BOLETÍN OFICIAL DEL ESTADO
Núm. 169

Viernes 16 de julio de 2021

Sec. III. Pág. 85076

deberá autorizar previamente y por escrito, en el plazo de siete días desde que se
comunique dicha intención, la subcontratación de los servicios o parte de los servicios
encomendados al encargado de tratamiento. La subcontratación podrá llevarse a cabo si
el responsable no manifiesta su oposición en el plazo establecido. Dicha subcontratación
deberá quedar debida y documentalmente acreditada.
En todo caso, el subcontratista del tratamiento debe estar sujeto a las mismas
condiciones y en la misma forma que el encargado del tratamiento en lo referente al
adecuado tratamiento de los datos personales y a la garantía de los derechos de las
personas afectadas. En caso de incumplimiento por el subcontratista, el encargado inicial
seguirá siendo plenamente responsable ante la FGUCM, M.P., en lo referente al
cumplimiento de las obligaciones del subcontratista.
En el caso de que el encargado de tratamiento, o la entidad subcontratada se
encontrarán ubicados en un tercer país que no fuera España, se tendrán en cuenta las
posibles repercusiones que dicha circunstancia provoca en relación con el tratamiento de
datos personales del que es responsable el CES. Aunque la legislación española será la
aplicable a el CES, como responsable del tratamiento con sede en España, en cualquier
caso –especialmente en lo relativo a las medidas de seguridad a aplicar al tratamiento de
datos personales efectuado–, se tendrán en cuenta las citadas circunstancias, partiendo
del mínimo exigido por la legislación española.
Quinta.
En relación con el ejercicio de los derechos de acceso, rectificación, supresión,
oposición, limitación, portabilidad y decisiones individuales automatizadas por parte de
los titulares de los datos personales, la única obligación del encargado será comunicar a
la Fundación General de la Universidad Complutense que se ha ejercido el
correspondiente derecho. Dicha comunicación debe ser puesta en conocimiento del
Delegado de Protección de Datos de la FGUCM (dpofgu@ucm.es) y en ningún caso más
allá del día laborable siguiente al de la recepción de la solicitud o en el plazo máximo
de 48 horas desde que es recibida, debiendo quedar constancia del envío y de su
recepción. Se adjuntará, igualmente, en su caso, toda otra información que pueda ser
relevante para resolver la solicitud presentada.
Por su parte, en relación con el derecho de información, el encargado de tratamiento,
en el momento de la recogida de datos, en el caso de que se produzca, debe facilitar la
información relativa a los tratamientos de datos que se van a efectuar. De producirse
dicha información, tanto la redacción como el formato en el que se facilitará la misma,
deberá consensuarse con el CES antes del inicio de la recogida de datos.
Sexta.

– Descripción de la naturaleza de la violación de la seguridad de los datos
personales (categorías y número aproximado de interesados afectados).
– Descripción de las posibles consecuencias de la violación de la seguridad de los
datos personales.
– Descripción de las medidas adoptadas o propuestas para poner remedio a la violación,
incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.
Será el CES, como responsable de tratamiento, la responsable de comunicar dicha
violación, en caso de ser necesario, a la Agencia Española de Protección de Datos,

cve: BOE-A-2021-11892
Verificable en https://www.boe.es

El encargado de tratamiento notificará al responsable, sin dilación indebida y en el
plazo máximo de setenta y dos horas, al correo electrónico del CES, las violaciones de
seguridad de los datos personales a su cargo de las que tenga conocimiento, con toda
aquella documentación necesaria para documentar y comunicar la incidencia. No será
necesaria la notificación cuando sea improbable que dicha violación de la seguridad
constituya un riesgo para los derechos y las libertades de las personas físicas.
El encargado deberá facilitar a el CES, si dispone de ella, la siguiente información: