BOLETÍN OFICIAL DEL ESTADO
Núm. 234

Jueves 29 de septiembre de 2022
Tres.

Sec. I. Pág. 133667

Se modifica el artículo 32, que queda redactado con el siguiente tenor literal:

«Artículo 32. Protección de datos de carácter personal.

Cuatro.

Se incluye un artículo 32 ter con el siguiente tenor literal:

«1. Los sujetos obligados pertenecientes a una misma categoría de las
establecidas en el artículo 2 de esta ley podrán crear sistemas comunes de
información, almacenamiento y, en su caso, acceso a la información y
documentación recopilada para el cumplimiento de las obligaciones de diligencia
debida establecidas en el capítulo II, con excepción de la relacionada con el
seguimiento continuo de la relación de negocios, regulada en el artículo 6.

cve: BOE-A-2022-15818
Verificable en https://www.boe.es

1. El tratamiento de datos personales para el cumplimiento de las
obligaciones establecidas en el capítulo III de esta ley se encuentra amparado por
lo dispuesto en el artículo 8.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales, y en el
artículo 6.1.c) del Reglamento (UE) 2016/679 del Parlamento Europeo y del
Consejo, de 27 de abril de 2016, no precisando del consentimiento del interesado.
Tampoco será necesario el consentimiento para las comunicaciones de datos
previstas en el citado capítulo y, en particular, para las previstas en el artículo 24.2,
quedando igualmente amparadas por el artículo 8.1 de la Ley Orgánica 3/2018,
de 5 de diciembre.
2. En virtud de lo dispuesto en el artículo 24.1, y de conformidad con el
artículo 14.5 del Reglamento (UE) 2016/679 del Parlamento Europeo y del
Consejo, de 27 de abril de 2016, no será de aplicación al tratamiento de datos la
obligación de información prevista en el artículo 14 del mencionado Reglamento
en relación con los tratamientos a los que se refiere el apartado anterior.
Asimismo, de conformidad con el artículo 23 del Reglamento (UE) 2016/679
del Parlamento Europeo y del Consejo, de 27 de abril de 2016, no procederá la
atención de los derechos establecidos en los artículos 15 a 22 del Reglamento en
relación con los citados tratamientos. En caso de ejercicio de los citados derechos
por el interesado, los sujetos obligados se limitarán a ponerle de manifiesto lo
dispuesto en este artículo.
Lo dispuesto en el presente apartado será igualmente aplicable a los
tratamientos llevados a cabo por el Servicio Ejecutivo de la Comisión para el
cumplimiento de las funciones que le otorga esta ley.
3. Los órganos centralizados de prevención a los que se refiere el artículo 27
tendrán la condición de encargados del tratamiento a los efectos previstos en la
normativa de protección de datos personales.
Se exceptúan de lo señalado en el párrafo anterior los tratamientos que
llevasen a cabo los órganos centralizados de prevención de incorporación
obligatoria en el ámbito de las funciones que se les atribuyan reglamentariamente.
La norma reglamentaria especificará los supuestos en que estos órganos tengan
la condición de responsables del tratamiento.
4. Los sujetos obligados deberán realizar una evaluación de impacto en la
protección de datos de los tratamientos a los que se refiere este artículo a fin de
adoptar medidas técnicas y organizativas reforzadas para garantizar la integridad,
confidencialidad y disponibilidad de los datos personales. Dichas medidas deberán
en todo caso garantizar la trazabilidad de los accesos y comunicaciones de los
datos.
En todo caso, el tratamiento deberá llevarse únicamente a cabo por los
órganos a los que se refiere el artículo 26 ter de esta ley.
5. Serán de aplicación a los ficheros creados en aplicación de lo dispuesto en
el capítulo III las medidas de seguridad y control reforzadas.»