BOLETÍN OFICIAL DEL ESTADO
Núm. 23

Viernes 27 de enero de 2023

Sec. III. Pág. 11875

Darse apoyo mutuamente en la realización de las consultas previas a la Autoridad de
Control, cuando proceda.
Poner a disposición de las otras partes toda la información necesaria para demostrar
el cumplimiento de sus obligaciones, así como para la realización de las auditorías o las
inspecciones que realicen las otras partes con la finalidad de verificar el correcto
cumplimiento del convenio.
Adoptar y aplicar las medidas de seguridad estipuladas en el presente Acuerdo,
conforme lo previsto en el artículo 32 del RGPD, que garanticen la seguridad de los
datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no
autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos
almacenados y los riesgos a que estén expuestos, ya provengan de la acción humana o
del medio físico o natural.
En caso de estar obligado a ello por el artículo 37.1 del RGPD, y por el artículo 34 de
la LOPDGDD, designar un delegado de protección de datos y comunicar su identidad y
datos de contacto a las otras partes, así como cumplir con todo lo dispuesto en los
artículos 37, 38 y 39 del RGPD, y 35 a 37 de la LOPDGDD.
Respetar todas las obligaciones que pudieran corresponderle con arreglo al RGPD y
a la LOPDGDD, o de cualquier otra disposición o regulación complementaria que le fuera
igualmente aplicable.
En caso de que cualquiera de las partes deba transferir o permitir acceso a datos
personales responsabilidad de las otras a un tercero en virtud del Derecho de la Unión o
de los Estados miembros que le sea aplicable, informará a las otras de esa exigencia
legal de manera previa, salvo que estuviese prohibido por razones de interés público.
En caso de que el tratamiento incluya la recogida de datos personales, se
establecerán los procedimientos correspondientes a la recogida de los datos,
especialmente en lo relativo a la identificación fehaciente de usuarios, al deber de
información y, en su caso, la obtención del consentimiento de los interesados,
garantizando que estas instrucciones cumplen con todas las prescripciones legales y
reglamentarias que exige la normativa vigente en materia de protección de datos.
Supervisar el tratamiento y el cumplimiento de la normativa de protección de datos
por las otras partes.
Quinta.

Medidas de seguridad y violación de la seguridad.

a) La seudonimización y el cifrado de datos personales;
b) La capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento, así como la
disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente
físico o técnico.
c) Un proceso de verificación, evaluación y valoración regulares de la eficacia de
las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
d) Un catálogo de medidas de seguridad reconocido en normativas o estándares de
seguridad de la información.
Al evaluar la adecuación del nivel de seguridad, las partes tendrán en cuenta los
riesgos que presente el tratamiento de datos, en particular como consecuencia de la
destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos,
conservados o tratados de otra forma, o la comunicación o acceso no autorizados a
dichos datos. Las partes permitirán y contribuirán a la realización de auditorías, incluidas
inspecciones, a las otras partes.

cve: BOE-A-2023-2217
Verificable en https://www.boe.es

Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza,
el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y
gravedad variables para los derechos y libertades de las personas físicas, las partes
aplicarán las medidas técnicas y organizativas apropiadas para garantizar un nivel de
seguridad adecuado al riesgo, que en su caso incluya, entre otros: