BOLETÍN OFICIAL DEL ESTADO
Miércoles 29 de diciembre de 2021

Sec. III. Pág. 166863

Todo el personal al que el encargado proporcione acceso a los datos personales
deberá ser informado, de forma expresa, a respetar la confidencialidad y a cumplir las
medidas de seguridad correspondientes, de las que hay que informarles
convenientemente.
d) Llevar por escrito y estar disponible, un Registro Actividades de Tratamiento
efectuados por cuenta del responsable, que contenga (en su caso): las transferencias de
datos personales a un tercer país u organización internacional, incluida la identificación
de dicho tercer país u organización internacional y, en el caso de las transferencias
indicadas en el artículo 49 apartado 1, párrafo segundo del RGPD, la documentación de
garantías adecuadas;
En ese registro, también se incluirá una descripción general de las medidas técnicas,
organizativas y de seguridad relativas a:
– La seudonimización y el cifrado de datos personales (en su caso),
– La capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento,
– La capacidad de restaurar la disponibilidad y el acceso a los datos personales de
forma rápida, en caso de incidente físico o técnico y
– El proceso de verificación, evaluación y valoración regulares de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
e) No comunicar los datos a terceras personas, salvo que cuente con la
autorización expresa del Responsable del tratamiento, en los supuestos legalmente
admitidos.
Si el encargado debe transferir datos personales a un tercer país o a una
organización internacional, en virtud del Derecho de la Unión o de los Estados miembros
que le sea aplicable, informará al responsable de esa exigencia legal de manera previa,
salvo que tal Derecho lo prohíba por razones importantes de interés público.
f) No subcontratar ninguna de las prestaciones que formen parte del objeto de este
contrato que comporten el tratamiento de datos personales, salvo los servicios auxiliares
necesarios para el normal funcionamiento de los servicios del encargado. El Encargado
podrá comunicar los datos a otros encargados del tratamiento del mismo responsable,
previo consentimiento y de acuerdo con las instrucciones del responsable, indicando los
tratamientos que se pretenden subcontratar e identificando, de forma clara e inequívoca,
la empresa subcontratista y sus datos de contacto.
En caso de que el Responsable autorice la subcontratación de los servicios por parte
del Encargado, éste se compromete a trasladar las obligaciones de este contrato a los
subencargados.
g) Mantener el deber de secreto respecto a los datos de carácter personal a los que
haya tenido acceso en virtud del presente encargo, incluso después de que finalice el
objeto del mismo.
h) Mantener a disposición del responsable la documentación acreditativa del
cumplimiento de la obligación establecida en el apartado anterior.
i) Garantizar la formación necesaria en materia de protección de datos personales
de las personas autorizadas para tratar datos personales.
j) Asistir al responsable del tratamiento en la respuesta al ejercicio de los derechos
de:
1. Acceso, rectificación, supresión y oposición.
2. Limitación del tratamiento.
3. Portabilidad de datos.
4. A no ser objeto de decisiones individualizadas automatizadas (incluida la
elaboración de perfiles).
k) Si procede, designar un delegado de protección de datos y comunicar su
identidad y datos de contacto al Responsable.

cve: BOE-A-2021-21785
Verificable en https://www.boe.es

Núm. 312