BOLETÍN OFICIAL DEL ESTADO
Núm. 3

Martes 4 de enero de 2022

Sec. III. Pág. 1001

2. Los efectos del cumplimiento y la resolución del convenio se regirán por lo
previsto en el artículo 52 de la Ley 40/2015, de 1 de octubre, en lo que resulte de
aplicación al convenio que nos ocupa.
3. Asimismo, el convenio se podrá resolver por denuncia expresa de cualquiera de
las Partes, en cualquier momento, con un preaviso de tres meses de antelación a la
fecha en la que se pretenda que la referida finalización surta efectos, cumpliendo con las
obligaciones adquiridas durante dichos tres meses.
4. En caso de que alguna de las partes deseara resolver el convenio, por el motivo
que fuere, deberá comunicarlo por escrito a la otra parte con al menos un mes de
antelación a la fecha de resolución prevista, exponiendo las causas que motivan tal
decisión.
5. En caso de finalización anticipada del convenio, si existen actuaciones en curso
de ejecución, las Partes, a propuesta de la Comisión Mixta de Coordinación y
Seguimiento, podrán acordar la continuación y finalización de las actuaciones citadas
que consideren oportunas, estableciendo un plazo improrrogable para su finalización.
6. El presente convenio, quedará resuelto automáticamente por imposibilidad
sobrevenida de cumplir la finalidad para la que fue suscrito.
Decimotercera.

Cláusula de protección de datos.

1. Ambas partes se comprometen a mantener en secreto todos los datos de
carácter personal facilitados entre ambos corresponsables.
2. Cada responsable y, en su caso, su representante, llevará un registro de las
actividades de tratamiento efectuadas bajo su responsabilidad. Dicho registro deberá
contener toda la información indicada en el apartado uno del artículo 30 del Reglamento
General de protección de datos.
3. No será obligatoria esta cláusula para los responsables que empleen a menos
de 250 personas, a menos que el tratamiento que realice pueda entrañar un riesgo para
los derechos y libertades de los interesados, no sea ocasional, o incluya categorías
especiales de datos personales indicadas, o datos personales relativos a condenas e
infracciones penales.
4. En caso de violación de la seguridad de los datos personales, el corresponsable
del tratamiento que haya sufrido el incidente lo notificará tanto, al otro corresponsable,
como a la autoridad de control competente, de conformidad con el artículo 55, sin
dilación indebida y, de ser posible, a más tardar, 72 horas después de que haya tenido
constancia de ella, a menos que a juicio del corresponsable afectado, sea improbable
que dicha violación de la seguridad constituya un riesgo para los derechos y las
libertades de las personas físicas.
5. Cada corresponsable deberá realizar anualmente un análisis de riesgos teniendo
en cuenta la naturaleza, ámbito, contexto, así como los riesgos de diversa probabilidad y
gravedad que entraña el tratamiento para los derechos y libertades de las personas
físicas con el objetivo de identificar e implantar las medidas técnicas y organizativas
necesarias.
6. En el plazo más breve posible, cada corresponsable deberá implantar las
medidas de seguridad necesarias para hacer frente a los riesgos detectados en el

cve: BOE-A-2022-216
Verificable en https://www.boe.es

En cumplimiento del Reglamento (UE) 2016/679 del Parlamento Europeo y del
Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que
respecta al tratamiento de datos personales y a la libre circulación de estos datos (en
adelante el Reglamento) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de
Datos Personales y garantía de los derechos digitales, las dos partes acuerdan cumplir
con las obligaciones y medidas técnicas y organizativas apropiadas a fin de garantizar y
poder demostrar un nivel de seguridad adecuado en calidad de corresponsables del
tratamiento en los términos establecidos en el artículo 26 del RGPD.
En particular: