BOLETÍN OFICIAL DEL ESTADO
Lunes 13 de febrero de 2023

Sec. III. Pág. 22144

Estipulaciones como Encargado de Tratamiento.
De conformidad con lo previsto en el artículo 28 del RGPD, las partes se obligan a y
garantizan el cumplimiento de las siguientes obligaciones:
a) Tratar los Datos Personales conforme a las instrucciones documentadas en el
presente Convenio o demás documentos aplicables a la ejecución del convenio y
aquellas que, en su caso, reciba del responsable del tratamiento por escrito en cada
momento. El encargado informará inmediatamente al Responsable cuando, en su
opinión, una instrucción sea contraria a la normativa de protección de Datos Personales
aplicable en cada momento.
b) No utilizar ni aplicar los Datos Personales con una finalidad distinta a la
ejecución del objeto del Convenio.
c) Tratar los Datos Personales de conformidad con los criterios de seguridad y el
contenido previsto en el artículo 32 del RGPD, así como observar y adoptar las medidas
técnicas y organizativas de seguridad necesarias o convenientes para asegurar la
confidencialidad, secreto e integridad de los Datos Personales a los que tenga acceso.
d) Mantener la más absoluta confidencialidad sobre los Datos Personales a los que
tengan acceso para la ejecución del convenio así como sobre los que resulten de su
tratamiento, cualquiera que sea el soporte en el que se hubieren obtenido. Esta
obligación se extiende a toda persona que pudiera intervenir en cualquier fase del
tratamiento por cuenta de las partes, siendo deber de cada una de las partes instruir a
las personas que de él dependan, de este deber de secreto, y del mantenimiento de
dicho deber aún después de la terminación de las actuaciones objeto del Convenio o de
su desvinculación.
e) Llevar un listado de personas autorizadas para tratar los Datos Personales
objeto de este convenio y garantizar que las mismas se comprometen, de forma expresa
y por escrito, a respetar la confidencialidad, y a cumplir con las medidas de seguridad
correspondientes, de las que les debe informar convenientemente. Y mantener a
disposición de las partes dicha documentación acreditativa.
f) Garantizar la formación necesaria en materia de protección de Datos Personales
de las personas autorizadas a su tratamiento.
g) Salvo que cuente en cada caso con la autorización expresa del Responsable del
Tratamiento, no comunicar (ceder) ni difundir los Datos Personales a terceros, ni siquiera
para su conservación.
h) Nombrar Delegado de Protección de Datos, en caso de que sea necesario según
el RGPD, y comunicarlo a la AEPD, también cuando la designación sea voluntaria, así
como la identidad y datos de contacto de la(s) persona(s) física(s) designada(s) por las
partes como sus representante(s) a efectos de protección de los Datos Personales,
responsable(s) del cumplimiento de la regulación del tratamiento de Datos Personales,
en las vertientes legales/formales y en las de seguridad.
i) Una vez finalizada la prestación objeto del presente Convenio, se compromete, a
destruirlos, sin conservar copia alguna o, si alguna de las partes así se lo indica,
devolvérselos, así como también los soportes o documentos en que consten. En caso de
que se opte por su destrucción cada una de las partes acreditarán dicha destrucción
presentando una certificación firmada por persona debidamente facultada. No obstante,
las partes podrá conservar una copia, con los datos debidamente bloqueados, mientras
puedan derivarse responsabilidades de la ejecución de la prestación.
j) Salvo que se indique otra cosa o se instruya así expresamente por alguna de las
partes, a tratar los Datos Personales dentro del Espacio Económico Europeo u otro
espacio considerado por la normativa aplicable como de seguridad equivalente, no
tratándolos fuera de este espacio ni directamente ni a través de cualesquiera
subcontratistas autorizados conforme a lo establecido en este Convenio o demás
documentos, salvo que esté obligado a ello en virtud del Derecho de la Unión o del
Estado miembro que le resulte de aplicación. En el caso de que por causa de Derecho
nacional o de la Unión Europea alguna de las partes se vea obligada a llevar a cabo

cve: BOE-A-2023-3802
Verificable en https://www.boe.es

Núm. 37