BOLETÍN OFICIAL DEL ESTADO
Núm. 169

Viernes 16 de julio de 2021

Sec. III. Pág. 85075

los que tenga acceso, evitando su alteración, pérdida, tratamiento o acceso no
autorizado.
d) No comunicar en ningún caso a terceras personas los datos de carácter personal
a los que tenga acceso, ni tan siquiera a efectos de su conservación, sin la previa
autorización del responsable. El encargado podrá comunicar datos a otros encargados
del mismo responsable de acuerdo con sus instrucciones. En este caso, el CES
identificará previamente la entidad a la que se podrá o deberá comunicar, así como los
datos y las medidas de seguridad que corresponde aplicar para proceder a la
comunicación.
e) Devolver o destruir, según se acuerde, los datos comunicados por el responsable
una vez finalizada la vigencia de este contrato.
f) Para el caso de que el encargado tenga más de 250 trabajadores o el tratamiento
de datos implique un riesgo para los derechos de los interesados o incluya categorías
especiales de datos, deberá llevar a cabo, por escrito, un registro de todas las categorías
de tratamiento que efectúe por cuenta del responsable, donde deberán constar los datos
del encargado; las categorías y los tratamientos de datos efectuados; los datos del
Delegado de Protección de Datos; en su caso, las transferencias de datos personales
que se hubieran realizado o previsto realizar; y las medidas de seguridad adoptadas.
Tercera.
Tanto el responsable como el encargado de tratamiento se comprometen teniendo en
cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el
contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad
variables para los derechos y las libertades de las personas físicas a establecer las
medidas técnicas y organizativas apropiadas para garantizar el nivel de seguridad
adecuado al riesgo existente. Todo ello, con el fin de garantizar su confidencialidad e
integridad, y evitar su alteración, pérdida, tratamiento o acceso no autorizado.
El encargado de tratamiento informará a su personal, colaboradores y
subcontratistas de las obligaciones establecidas en el presente documento, así como de
las obligaciones relativas al tratamiento automatizado de datos de carácter personal que
les incumbe, y garantizará la formación necesaria en protección de datos. El encargado
de tratamiento realizará cuantas advertencias y suscribirá cuantos documentos sean
necesarios con su personal y colaboradores, con el fin de asegurar el cumplimiento de
tales obligaciones. En este sentido, el encargado deberá mantener a disposición del
responsable la documentación o información que acredite dicho extremo.
En todo caso, el encargado de tratamiento deberá implantar las siguientes medidas
de seguridad necesarias para:

Las obligaciones establecidas para el encargado de tratamiento en la presente
estipulación serán también de obligado cumplimiento para sus empleados,
colaboradores, tanto externos como internos, y subcontratistas, por lo que el encargado
de tratamiento responderá frente al responsable de tratamiento si tales obligaciones son
incumplidas por tales empleados, colaboradores o subcontratistas.
Cuarta.
Si el encargado de tratamiento pretendiera realizar una subcontratación del servicio o
parte del mismo, conforme a lo dispuesto en la normativa nacional y comunitaria, el CES

cve: BOE-A-2021-11892
Verificable en https://www.boe.es

a) Garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento.
b) Restaurar la disponibilidad y el acceso a los datos personales de forma rápida,
en caso de incidente físico o técnico.
c) Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y
organizativas implantadas para garantizar la seguridad del tratamiento.
d) Seudonimizar y cifrar los datos personales, en su caso.