BOLETÍN OFICIAL DEL ESTADO
Núm. 133

Viernes 4 de junio de 2021

Sec. III. Pág. 68574

– No comunicar los datos a terceras personas, salvo en los supuestos legalmente
admisibles.
– Mantener el deber de secreto respecto a los datos de carácter personal a los que
haya tenido acceso en virtud de este Convenio, incluso después de que finalice su
objeto.
– Garantizar que las personas autorizadas para tratar datos personales se
comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir
las medidas de seguridad correspondientes, de las que hay que informarles
convenientemente.
Cuando las personas afectadas ejerzan los derechos en materia de protección de
datos derivados de los tratamientos objeto del presente Convenio, las Partes se
comprometen a colaborar para su adecuada atención.
4.

Notificación de violaciones de la seguridad de los datos

Cada Parte notificará a la otra Parte sin dilación indebida, y en cualquier caso antes
del plazo máximo de 24 horas, las violaciones de la seguridad de los datos personales a
su cargo de las que tenga conocimiento, juntamente con toda la información relevante
sobre la incidencia.
No será necesaria la notificación cuando sea improbable que dicha violación de la
seguridad constituya un riesgo para los derechos y las libertades de las personas físicas.
Si se dispone de ella se facilitará, como mínimo, la información siguiente:
– Descripción de la naturaleza de la violación de la seguridad de los datos
personales, inclusive, cuando sea posible, las categorías y el número aproximado de
interesados afectados, y las categorías y el número aproximado de registros de datos
personales afectados.
– El nombre y los datos de contacto del delegado de protección de datos o de otro
punto de contacto en el que pueda obtenerse más información.
– Descripción de las posibles consecuencias de la violación de la seguridad de los
datos personales.
– Descripción de las medidas adoptadas o propuestas para poner remedio a la
violación de la seguridad de los datos personales, incluyendo, si procede, las medidas
adoptadas para mitigar los posibles efectos negativos.

Por INGESA: Subdirección General de Gestión Económica y de Recursos Humanos,
Instituto Nacional de Gestión Sanitaria, Dirección: Calle Alcalá, 56, 28071 Madrid. Correo
electrónico: direccion.ingesa@ingesa.sanidad.gob.es
Por el CGCOF: Departamento de Protección de Datos, Consejo General de Colegios
Oficiales de Farmacéuticos, Dirección: Calle Villanueva, 11, 28001 Madrid. Correo
electrónico: dpoprotecciondatos@redfarma.org
5.

Ejercicio de derechos de los interesados

Los derechos de los interesados, reconocidos en los artículos 15 al 22 del
Reglamento (UE) 2016/678 de 27 de abril de 2016 relativo a la protección de las
personas físicas en lo que respecta al tratamiento de datos personales y a la libre

cve: BOE-A-2021-9333
Verificable en https://www.boe.es

Si no es posible facilitar la información simultáneamente, y en la medida en que no lo
sea, la información se facilitará de manera gradual sin dilación indebida. Corresponderá,
en cualquier caso, a la Parte que haya sufrido la violación de la seguridad de los datos
su comunicación a la autoridad de Protección de Datos y al interesado.
En caso de ser preciso, las Partes colaborarán en la realización de las evaluaciones
de impacto relativas a la protección de datos, cuando proceda, poniendo a disposición de
las otras Partes toda la información necesaria para demostrar el cumplimiento de sus
obligaciones. Los delegados de protección de datos son los siguientes: