BOLETÍN OFICIAL DEL ESTADO
Viernes 27 de enero de 2023

Sec. III. Pág. 11841

3. En su caso, las transferencias de datos personales a un tercer país u
organización internacional, incluida la identificación de dicho tercer país u organización
internacional y, en el caso de las transferencias indicadas en el artículo 49 apartado 1,
párrafo segundo del RGPD, la documentación de garantías adecuadas.
4. Una descripción general de las medidas técnicas y organizativas de seguridad
relativas a:
a) La seudonimización y el cifrado de datos personales.
b) La capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento.
c) La capacidad de restaurar la disponibilidad y el acceso a los datos personales de
forma rápida, en caso de incidente físico o técnico.
d) El proceso de verificación, evaluación y valoración regulares de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
e) No comunicar los datos a terceras personas, salvo que cuente con la
autorización expresa del responsable del tratamiento, en los supuestos legalmente
admisibles.
El encargado puede comunicar los datos a otros encargados del tratamiento del
mismo responsable, de acuerdo con las instrucciones del responsable. En este caso, el
responsable identificará, de forma previa y por escrito, la entidad a la que se deben
comunicar los datos, los datos a comunicar y las medidas de seguridad a aplicar para
proceder a la comunicación.
Si el encargado debe transferir datos personales a un tercer país o a una
organización internacional, en virtud del Derecho de la Unión o de los Estados miembros
que le sea aplicable, informará al responsable de esa exigencia legal de manera previa,
salvo que tal Derecho lo prohíba por razones importantes de interés público.
f) Subcontratación.
Se autoriza al encargado a subcontratar con la empresa Identificar a la empresa
contratada en su caso.
Para subcontratar con otras empresas, el encargado debe comunicarlo por escrito al
responsable, identificando de forma clara e inequívoca la empresa subcontratista y sus
datos de contacto. La subcontratación podrá llevarse a cabo si el responsable no
manifiesta su oposición en el plazo de un mes.
El subcontratista, que también tiene la condición de encargado del tratamiento, está
obligado igualmente a cumplir las obligaciones establecidas en este documento para el
encargado del tratamiento y las instrucciones que dicte el responsable. Corresponde al
encargado inicial regular la nueva relación, de forma que el nuevo encargado quede sujeto a
las mismas condiciones (instrucciones, obligaciones, medidas de seguridad…) y con los
mismos requisitos formales que él, en lo referente al adecuado tratamiento de los datos
personales y a la garantía de los derechos de las personas afectadas. En el caso de
incumplimiento por parte del subencargado, el encargado inicial seguirá siendo plenamente
responsable ante el responsable en lo referente al cumplimiento de las obligaciones.
g) Mantener el deber de secreto respecto de los datos de carácter personal a los
que haya tenido acceso en virtud del presente encargo, incluso después de que finalice
su objeto.
h) Garantizar que las personas autorizadas para tratar datos personales se
comprometan, de forma expresa y por escrito, según el modelo facilitado por el
responsable del tratamiento, a respetar la confidencialidad y a cumplir las medidas de
seguridad correspondientes.
i) Remitir al responsable la documentación acreditativa del cumplimiento de la
obligación establecida en el apartado anterior.
j) Garantizar la formación necesaria en materia de protección de datos personales
de las personas autorizadas para tratar datos personales.

cve: BOE-A-2023-2213
Verificable en https://www.boe.es

Núm. 23