BOLETÍN OFICIAL DEL ESTADO
Núm. 140

Sábado 12 de junio de 2021

Sec. III. Pág. 71953

con todas las medidas de seguridad implementadas, de las que han de ser previamente
informados. Este compromiso se entenderá cumplido cuando venga impuesto por una
obligación de naturaleza estatutaria.
– Verificar y evaluar el grado de cumplimiento de estas medidas en cada ocasión,
identificando y comunicando a este Responsable (y/o a su Delegado de Protección de
Datos) la persona de contacto asignada. En su caso, colaborar en el análisis de impacto
y a la evaluación del riesgo del tratamiento con el Responsable.
– Facilitar cuando así le sea requerido las auditorías y actuaciones de control e
inspección que de dicho tratamiento realice, tanto el propio Responsable como la
Autoridad de Control competente en un plazo máximo a determinar en cada
requerimiento, colaborando en todo momento con el Responsable y/o su Delegado de
Protección de Datos. Asimismo, deberá proceder a la notificación de las violaciones de
seguridad al Responsable y a las Autoridades de Protección de Datos que resulten
competentes y/o en su caso, a los propios titulares de los datos afectados, de forma
coordinada y autorizada por el Responsable.
– Informar inmediatamente al Responsable si, en su opinión, una instrucción infringe
el RGPD u otras disposiciones en materia de protección de datos de la Unión Europea o
de España. También le comunicará con carácter urgente cualquier violación de seguridad
que se produzca respecto al tratamiento de datos SIUSS.
– No ceder, publicar ni comunicar datos personales a terceras personas, salvo previa
y expresa autorización por parte del responsable del tratamiento y siempre que se trate
de los supuestos previstos en la normativa o en el apartado quinto.
– De estar adherido el Encargado de tratamiento a un código de conducta de
protección de datos, deberá adoptar cuantas medidas adicionales le vengan impuestas
en dicho código o certificado.
5.

Subcontratación.

No podrá modificar o subcontratar a otro encargado, ni ceder los datos a un tercero
sin la expresa autorización por escrito del Responsable en el plazo de 15 días hábiles
desde la recepción de la solicitud de autorización. En el supuesto de que el Responsable
lo autorice, el Encargado deberá de comunicar los datos de contacto del Subcontratista,
avalando su idoneidad para el servicio externalizado. El subcontratista ostentará la
condición de encargado de tratamiento, siendo necesario a tal efecto que suscriba un
acuerdo de Encargo de Tratamiento específico con el Ministerio de Derechos Sociales y
Agenda 2030, adicional al presente.
El Ministerio de Derechos Sociales y Agenda 2030 como Encargado principal seguirá
respondiendo íntegramente de las obligaciones legales y las consignadas en el presente
documento.
Derechos de los Afectados y Colaboración con las Autoridades de Control.

El Encargado deberá asistir al Responsable, en la respuesta a los afectados titulares
de los datos en el ejercicio de sus derechos. A tal fin, cuando las personas afectadas
ejerzan los derechos de acceso, rectificación u oposición; en su caso, la portabilidad de
los datos o el derecho a no ser objeto de decisiones automatizadas y aquellos otros que
figuren en los artículos 12-22 del RGPD y en la Ley Orgánica 3/2018, deberá comunicar
a la mayor brevedad posible la solicitud al Responsable y/o su Delegado de Protección
de Datos teniendo en cuenta que el tiempo de respuesta al ciudadano no podrá superar
el mes natural.

cve: BOE-A-2021-9807
Verificable en https://www.boe.es

6.