BOLETÍN OFICIAL DEL ESTADO
Sábado 4 de septiembre de 2021

Sec. III. Pág. 107749

En particular, y sin carácter limitativo, se obliga a aplicar las medidas de protección
del nivel de riesgo y seguridad detallados en el apartado 2 del presente anexo.
d) Mantener la más absoluta confidencialidad sobre los datos personales a los que
tenga acceso para la ejecución del Convenio, así como sobre los que resulten de su
tratamiento, cualquiera que sea el soporte en el que se hubieren obtenido. Esta
obligación se extiende a toda persona que pudiera intervenir en cualquier fase del
tratamiento por cuenta de la Secretaría General de Instituciones Penitenciarias, siendo
deber de esta parte instruir a las personas que de él dependan, de este deber de
secreto, y del mantenimiento de dicho deber aún después de la terminación de la
ejecución del Convenio o de su desvinculación.
e) Llevar un listado de personas autorizadas para tratar los datos personales objeto de
este Convenio y garantizar que las mismas se comprometen, de forma expresa y por escrito
(según modelo del anexo II), a respetar la confidencialidad, y a cumplir con las medidas de
seguridad correspondientes, de las que les debe informar convenientemente, así como a
mantener a disposición del SALUD dicha documentación acreditativa.
f) Garantizar la formación necesaria en materia de protección de datos personales
de las personas autorizadas a su tratamiento.
g) Salvo que cuente en cada caso con la autorización expresa del responsable del
tratamiento, no comunicar, ceder, ni difundir los datos personales a terceros, ni siquiera
para su conservación.
h) Asistir al responsable del tratamiento en la respuesta al ejercicio de los derechos de:
1.º Acceso, rectificación, supresión y oposición.
2.º Limitación del tratamiento.
i) Nombrar un delegado de protección de datos, en caso de que sea necesario
según el Reglamento General de Protección de Datos, y comunicarlo al SALUD, también
cuando la designación sea voluntaria, así como la identidad y datos de contacto de la(s)
persona(s) física(s) designada(s) por la Secretaría General de Instituciones
Penitenciarias como sus representante(s) a efectos de protección de los datos
personales (representantes del encargado de tratamiento), responsable(s) del
cumplimiento de la regulación del tratamiento de datos personales, en las vertientes
legales/formales y en las de seguridad.
j) Una vez finalizada la prestación objeto del presente Convenio, se compromete,
según corresponda y se instruye en el presente anexo «Tratamiento de Datos
Personales», a devolver o destruir:
1.º Los datos personales a los que haya tenido acceso;
2.º Los datos personales generados por la Secretaría General de Instituciones
Penitenciarias por causa del tratamiento; y
3.º Los soportes y documentos en que cualquiera de estos datos consten, sin
conservar copia alguna; salvo que se permita o requiera por ley o por norma de derecho
de la Unión Europea su conservación, en cuyo caso no procederá la destrucción.
El encargado del tratamiento podrá, no obstante, conservar los datos durante el
tiempo que puedan derivarse responsabilidades de su relación con el responsable del
tratamiento. En este último caso, los datos personales se conservarán bloqueados y por
el tiempo mínimo, destruyéndose de forma segura y definitiva al final de dicho plazo.
k) Según corresponda y se indique en el presente anexo, a llevar a cabo el
tratamiento de los datos personales en los sistemas/dispositivos de tratamiento,
manuales y automatizados, y en las ubicaciones que en el presente anexo se
especifican, equipamiento que podrá estar bajo el control del SALUD o bajo el control
directo o indirecto de la Secretaría General de Instituciones Penitenciarias, u otros que
hayan sido expresamente autorizados por escrito por el SALUD, según se establezca en
este anexo en su caso, y únicamente por los usuarios o perfiles de usuarios asignados a
la ejecución del objeto de este Convenio.

cve: BOE-A-2021-14559
Verificable en https://www.boe.es

Núm. 212