BOLETÍN OFICIAL DEL ESTADO
Núm. 3

Martes 4 de enero de 2022

Sec. III. Pág. 978

Tercera: Del tratamiento de datos personales, responsabilidad de la UNED, por parte
del encargado de tratamiento.
La UNED y, en particular, los trabajadores que participen en la ejecución de este
convenio, tendrán la obligación de guardar estricta confidencialidad y, en su caso,
secreto profesional, aun después de finalizar sus relaciones.
La UNED ostentará la condición de Encargado del Tratamiento, obligándose,
especialmente, a cumplir con el Reglamento (UE) 2016/679 del Parlamento Europeo y
del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo
que respecta al tratamiento de datos personales y a la libre circulación de estos datos y
con la normativa que se cree para su desarrollo, así como de las disposiciones que en
materia de protección de datos nacionales se encuentren en vigor a la firma del convenio
o que puedan estarlo durante su vigencia.
Obligaciones del encargado:
Legislación aplicable: El encargado estará obligado a someterse en todo caso a la
normativa nacional y de la Unión Europea en materia de protección de datos.
Finalidad: El encargado utilizará los datos personales sólo para la finalidad objeto de
este tratamiento. En ningún caso podrá utilizar los datos para fines propios.
Declaración previa: La UNED tiene la obligación de presentar, antes de la
formalización del contrato, una declaración en la que ponga de manifiesto dónde van a
estar ubicados los servidores y desde dónde se van a prestar los servicios asociados a
los mismos. Asimismo, estará obligado a comunicar cualquier cambio que se produzca, a
lo largo de la vida del contrato, de la información facilitada en la declaración.
Instrucciones del responsable: El encargado tratará los datos personales únicamente
siguiendo instrucciones documentadas del responsable.

Una vez que finalice el presente acuerdo, el encargado devolverá al responsable o
en su caso, destruirá, los datos de carácter personal y, si procede, los soportes donde
consten, una vez acabada la prestación, salvo que los alumnos/as, en el momento de
formalizar la matrícula, acepten explícitamente la posibilidad de recibir comunicaciones
de la UNED relacionadas con los cursos indicados en este convenio una vez que el
curso haya concluido. El retorno ha de comportar el borrado total de los datos existentes
en los sistemas y documentos del encargado. No obstante, el encargado puede
conservar una copia, con los datos debidamente bloqueados, mientras puedan derivarse
responsabilidades por la ejecución de la prestación.
Transferencia internacional: Si el encargado debe transferir datos personales a un
tercer país o a una organización internacional, en virtud del Derecho de la Unión o de los
Estados miembros que le sea aplicable, informará por escrito al responsable de esa
exigencia legal de manera previa, salvo que tal Derecho lo prohíba por razones
importantes de interés público.
Confidencialidad: El encargado y todo su personal mantendrán el deber de secreto
respecto a los datos de carácter personal a los que hayan tenido acceso en virtud del
presente encargo, incluso después de que finalice el mismo.
El encargado garantizará que las personas autorizadas para tratar datos personales
se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a
cumplir las medidas de seguridad correspondientes, de las que hay que informarles
convenientemente.
Si existe una obligación de confidencialidad estatutaria deberá quedar constancia
expresa de la naturaleza y extensión de esta obligación
El encargado mantendrá a disposición del responsable la documentación acreditativa
del cumplimiento de esta obligación.
Medidas de seguridad: El encargado con carácter periódico (y también siempre que
haya cambios relevantes en su infraestructura de software y hardware) realizará una

cve: BOE-A-2022-214
Verificable en https://www.boe.es

Devolución de los datos: