BOLETÍN OFICIAL DEL ESTADO
Núm. 153

Lunes 27 de junio de 2022

Sec. III. Pág. 90139

Su periodo de vigencia, de acuerdo con lo establecido en el artículo 49.h de la
Ley 40/2015, de 1 de octubre, será de un año, pudiendo prorrogarse, de forma expresa y
por mutuo acuerdo, por un período de hasta cuatro años adicionales, formalizándose por
adenda la correspondiente prórroga antes de la expiración del plazo de vigencia del
convenio.
Protección de datos.

Las partes se comprometen a cumplir, en los términos que sea de aplicación, lo
establecido en el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo,
de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta
al tratamiento de datos personales y a la libre circulación de estos datos y por el que se
deroga la Directiva 95/46/CE (Reglamento General de protección de datos, RGPD), y en
la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales, así como en las disposiciones de desarrollo que se
dicten.
Sobre el Ministerio de Defensa y el Salud, en calidad de corresponsables, recaen las
responsabilidades que deriven del tratamiento de los datos personales. Las partes
intervinientes en el convenio asumen que deben informar a los titulares de los datos
personales de las características del tratamiento de los datos personales; que deben de
obtener el oportuno consentimiento de los titulares de los datos personales para llevar a
efecto los tratamientos de datos personales consecuencia de las actuaciones que se
contemplan en el convenio, y también asumen las obligaciones derivadas de la
obligación de implementar las medidas técnicas y organizativas y el correspondiente
mecanismo en caso de violación de la seguridad de los datos personales, y establecer el
mecanismo de respuesta al ejercicio por los titulares de los datos personales de los
derechos de protección de los datos personales.
La documentación de cada actividad que se realice al amparo del convenio incluirá la
oportuna cláusula sobre el tratamiento concreto de los datos personales, con
especificación de los puntos legalmente exigibles.
Los datos personales, objeto de tratamiento a consecuencia del desarrollo de la
convenio, se incorporarán a los Registros de Actividades de Tratamiento (RAT, s), con la
finalidad de gestionar la relación descrita en el convenio. Las partes intervinientes se
abstendrán de hacer ningún tipo de tratamiento de los datos personales que no sea
estrictamente necesario para el cumplimiento de los fines del convenio. Los titulares de
los datos personales podrán ejercitar ante el responsable o el encargado del tratamiento
de los datos personales los derechos de acceso, de rectificación, de supresión y
portabilidad de los datos personales, y de limitación u oposición al tratamiento de los
datos (derechos ARCO+).
Si las partes intervinientes en el convenio destinasen los datos personales que
obtengan a consecuencia del mismo a otra finalidad, los comunicasen o utilizasen
incumpliendo lo estipulado en el convenio y en la normativa de protección de datos
personales, cada una de las partes intervinientes responderá de las responsabilidades
que deriven de los daños y perjuicios causados, a fin de garantizar al perjudicado la
indemnización efectiva, sin perjuicio del artículo 82.5 del RGPD europeo.
Asimismo se deberá dar cumplimiento en lo que concerniente a protección de datos
en lo establecido en la Ley 41/2002, de 14 noviembre, básica reguladora de la
autonomía del paciente y de derechos y obligaciones en materia de información y
documentación clínica.

cve: BOE-A-2022-10627
Verificable en https://www.boe.es

Decimosexta.