BOLETÍN OFICIAL DEL ESTADO
Núm. 169

Viernes 16 de julio de 2021

Sec. III. Pág. 85077

como a los interesados cuando sea probable que la violación suponga un alto riesgo
para los derechos y las libertades de las personas físicas.
Séptima.
Tal y como ha quedado recogido en el presente acuerdo, es obligación del encargado
de tratamiento poner disposición del responsable toda la información necesaria para
demostrar el cumplimiento de sus obligaciones, así como para la realización de las
auditorías o las inspecciones que realicen el responsable u otro auditor autorizado por él
en el ejercicio de sus funciones y deber de diligencia.
Octava.
El presente acuerdo tiene una duración limitada al desarrollo de las correspondientes
actividades derivadas del presente Convenio, de acuerdo a la legislación vigente.
En caso de finalización de la relación entre ambos (responsable y encargado de
tratamiento), los datos de carácter personal utilizados por este último deberán ser
destruidos y suprimir cualquier copia que esté en su poder, en los equipos informáticos
del encargado. Una vez destruidos, el encargado debe comunicar su destrucción por
escrito al responsable del tratamiento.
No obstante, el encargado puede conservar una copia, con los datos debidamente
bloqueados, mientras puedan derivarse responsabilidades de la ejecución de la prestación.
El mismo destino habrá de darse a cualquier soporte o documentos en que conste algún
dato de carácter personal objeto de tratamiento. En todo caso, los datos deberán ser
devueltos al responsable cuando se requiera la conservación de los datos personales, en
virtud del Derecho de la Unión o de los Estados miembros. En este sentido, el encargado
puede conservar una copia con los datos debidamente bloqueados, mientras puedan
derivarse responsabilidades de la ejecución de la prestación o del contrato celebrado.
La obligación finalmente asumida debe quedar documentada por parte del
encargado y a disposición del responsable del tratamiento cuando este lo solicite. En el
caso de la destrucción, el encargado debe certificar su destrucción por escrito y debe
entregar el certificado al responsable.
Novena.
El encargado de tratamiento garantiza la adopción de las medidas necesarias para el
cumplimiento de las obligaciones derivadas de la normativa en materia de protección de
datos, respondiendo personalmente de cualesquiera sanciones, multas o cargos que
pudieran serle impuestos por el incumplimiento de las obligaciones derivadas del
presente documento y de la legislación aplicable.
En caso de incumplimiento de cualquiera de las estipulaciones del presente
documento por parte del encargado del tratamiento, este exonerará expresamente al
responsable de tratamiento de cualquier responsabilidad, y en concreto:

En los casos enumerados y en los derivados del incumplimiento de cualquiera de las
estipulaciones del presente documento, el encargado de tratamiento será considerado
como responsable de tratamiento, respondiendo de las infracciones en que por ello
hubiera incurrido personalmente, así como de las reclamaciones que por el citado
incumplimiento se hubieran formulado ante la Agencia Española de Protección de Datos
y de la indemnización que, en su caso, se reconozca al afectado que, de conformidad
con la normativa vigente en materia de protección de datos, ejercite la acción de
responsabilidad por el daño o lesión que sufra en sus bienes o derechos.

https://www.boe.es

BOLETÍN OFICIAL DEL ESTADO

D. L.: M-1/1958 - ISSN: 0212-033X

cve: BOE-A-2021-11892
Verificable en https://www.boe.es

– En el supuesto de que el encargado de tratamiento utilice o destine los datos de carácter
personal para cualquier otro fin distinto del aquí pactado y aceptado por ambas partes.
– En caso de vulneración por parte del encargado de tratamiento del deber que le
incumbe de guardar secreto sobre los citados datos y de no comunicarlos a terceros.