BOLETÍN OFICIAL DEL ESTADO
Núm. 212

Sábado 4 de septiembre de 2021

4.4

Sec. III. Pág. 107753

Disposición de los datos al finalizar el objeto del Convenio:

Una vez finalice el objeto del Convenio, la Secretaría General de Instituciones
Penitenciarias debe:
a) Devolver al responsable del tratamiento los datos de carácter personal y, si procede,
los soportes donde consten, una vez cumplido el objeto del Convenio. La devolución debe
comportar el borrado total de los datos existentes en los equipos informáticos utilizados por el
encargado. No obstante, el encargado puede conservar una copia, con los datos
debidamente bloqueados, mientras puedan derivarse responsabilidades de la ejecución del
objeto del Convenio.
No obstante, el responsable del tratamiento podrá requerir al encargado para que en
vez de la opción a), cumpla con la b) o con la c) siguientes.
b) Devolver al encargado que designe por escrito el responsable del tratamiento,
los datos de carácter personal y, si procede, los soportes donde consten, una vez
cumplido el objeto del Convenio. La devolución debe comportar el borrado total de los
datos existentes en los equipos informáticos utilizados por el encargado. No obstante, el
encargado puede conservar una copia, con los datos debidamente bloqueados, mientras
puedan derivarse responsabilidades de la ejecución de la prestación.
c) Destruir los datos, una vez cumplido el objeto del Convenio. Una vez destruidos,
el encargado debe certificar su destrucción por escrito y debe entregar el certificado al
responsable del tratamiento. No obstante, el encargado puede conservar una copia, con
los datos debidamente boqueados, mientras puedan derivarse responsabilidades de la
ejecución del objeto del Convenio.
4.5

Medidas de seguridad:

Los datos deben protegerse empleando las medidas que un sujeto diligente debe
tomar para evitar que dichos datos pierdan su razonable confidencialidad, integridad y
disponibilidad, según Esquema Nacional de Seguridad conforme a la disposición
adicional primera de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y garantía de los derechos digitales.
La Secretaría General de Instituciones Penitenciarias no podrá no implementar o suprimir
dichas medidas mediante el empleo de un análisis de riesgo o evaluación de impacto salvo
aprobación expresa del SALUD. A estos efectos, el personal de la Secretaría General de
Instituciones Penitenciarias debe seguir las medidas de seguridad establecidas por el
SALUD, no pudiendo efectuar tratamientos distintos de los definidos por éste.
ANEXO II

Don/Doña ………………………………..…………………….....…………………....………,
mayor de edad, con DNI ……………………… funcionario del Ministerio del Interior con
categoría profesional de ………………………… y dentro del Convenio entre la Secretaría de
General de Instituciones Penitenciarias, del Ministerio del Interior, y el Servicio de Salud del
Gobierno de Aragón en materia de asistencia sanitaria a personas privadas de libertad en
centros penitenciarios, para dar cumplimiento a la normativa de Protección de Datos de
Carácter Personal, declara que realiza actividades que requieren la conexión con los
Sistemas de Información OMI Y HCE, obteniendo por ello la condición de tercero encargado
de tratamiento de los datos personales cuya responsabilidad es del Servicio Aragonés de
Salud (en adelante, SALUD), exigiéndosele por ello las siguientes se compromete y obliga a:
Primero.
Atender las instrucciones relativas a la seguridad de la información contenidas en las
normas de seguridad de las Administraciones, y en particular los requisitos de seguridad

cve: BOE-A-2021-14559
Verificable en https://www.boe.es

Información para profesionales sanitarios del Ministerio del Interior