BOLETÍN OFICIAL DEL ESTADO
Viernes 21 de enero de 2022

Sec. III. Pág. 7041

Se mantendrá en todo momento informada a la Consellería de Sanidad de las
comunicaciones realizadas en este sentido.
Cuando una persona ejerza un derecho (de acceso, rectificación, supresión y
oposición, limitación del tratamiento, portabilidad de datos y a no ser objeto de
decisiones individualizadas automatizadas, u otros reconocidos por la normativa
aplicable (conjuntamente, los «Derechos»), ante el encargado de tratamiento, éste debe
comunicarlo a la Consellería de Sanidad con la mayor prontitud. La comunicación debe
hacerse de forma inmediata y en ningún caso más allá del día laborable siguiente al de
la recepción del ejercicio de derecho, juntamente, en su caso, con la documentación y
otras informaciones que puedan ser relevantes para resolver la solicitud que obre en su
poder, e incluyendo la identificación fehaciente de quien ejerce el derecho.
Asistirá a la Consellería de Sanidad, siempre que sea posible, para que ésta pueda
cumplir y dar respuesta a los ejercicios de Derechos.
La responsabilidad última para resolver los ejercicios de derechos recibidos
corresponde a la Consellería de Sanidad.
Colaborar con la Consellería de Sanidad en el cumplimiento de sus obligaciones en
materia de:
(i) Medidas de seguridad,
(ii) comunicación y/o notificación de brechas (logradas e intentadas) de medidas de
seguridad a las autoridades competentes o los interesados, y
(iii) colaborar en la realización de evaluaciones de impacto relativas a la protección
de datos personales y consultas previas al respecto a las autoridades competentes;
teniendo en cuenta la naturaleza del tratamiento y la información de la que disponga.
Asimismo, pondrá a disposición de la Consellería de Sanidad, a requerimiento de
esta, toda la información necesaria para demostrar el cumplimiento de los compromisos
recogidos en el presente convenio y colaborará en la realización de auditoras e
inspecciones llevadas a cabo, en su caso, por la AEPD.
En los casos en que la normativa así lo exija (ver artículo 30.5 RGPD), llevar, por
escrito, incluso en formato electrónico, y de conformidad con lo previsto en el
artículo 30.2 del RGPD un registro de todas las categorías de actividades de tratamiento
efectuadas por cuenta de la Consellería de Sanidad (Responsable del tratamiento), que
contenga, al menos, las circunstancias a que se refiere dicho artículo.
Disponer de evidencias que demuestren su cumplimiento de la normativa de
protección de Datos Personales y del deber de responsabilidad activa, como, a título de
ejemplo, certificados previos sobre el grado de cumplimiento o resultados de auditorías,
que habrá de poner a disposición de la Consellería de Sanidad a requerimiento de esta.
Asimismo, durante la vigencia del convenio, pondrá a disposición de la Consellería de
Sanidad toda información, certificaciones y auditorías realizadas en cada momento.
La Consellería de Sanidad auditará los accesos realizados en IANUS a datos de
pacientes en el marco de este convenio, debiendo proporcionarle el encargado de
tratamiento toda la información que la Consellería de Sanidad considere necesaria para
verificar la legitimidad de dichos accesos. En el caso de detectar posibles
irregularidades, instará a los encargados de tratamiento a que instruyan los expedientes
disciplinarios y/o sancionadores correspondientes, teniendo derecho a que se le informe
en detalle del contenido de dichos expedientes, para poder emprender otro tipo de
acciones legales en caso de disconformidad.
Derecho de información: Los encargados de tratamiento, en el momento de la
recogida de los datos, deben facilitar la información relativa a los tratamientos de datos
que se van a realizar. La redacción y el formato en que se facilitará la información se
debe consensuar con el responsable antes del inicio de la recogida de los datos.
La presente cláusula 2.1 y las obligaciones en ella establecidas, así como el Sumario
de Tratamiento constituyen el contrato de encargo de tratamiento entre la Consellería de
Sanidad y los encargados de tratamiento a que hace referencia el artículo 28.3 RGPD.
Las obligaciones y prestaciones que aquí se contienen no son retribuibles de forma

cve: BOE-A-2022-1006
Verificable en https://www.boe.es

Núm. 18