BOLETÍN OFICIAL DEL ESTADO
Lunes 13 de febrero de 2023

Sec. III. Pág. 22145

alguna transferencia internacional de datos, informará por escrito a la otra parte de esa
exigencia legal, con antelación suficiente a efectuar el tratamiento, y garantizará el
cumplimiento de cualesquiera requisitos legales que sean aplicables a según la parte
que actúe como Responsable, salvo que el Derecho aplicable lo prohíba por razones
importantes de interés público.
k) De conformidad con el artículo 33 RGPD, comunicar a la otra parte, de forma
inmediata y a más tardar en el plazo de 24 horas, cualquier violación de la seguridad de
los datos personales a su cargo de la que tenga conocimiento, juntamente con toda la
información relevante para la documentación y comunicación de la incidencia o cualquier
fallo en su sistema de tratamiento y gestión de la información que haya tenido o pueda
tener que ponga en peligro la seguridad de los Datos Personales, su integridad o su
disponibilidad, así como cualquier posible vulneración de la confidencialidad como
consecuencia de la puesta en conocimiento de terceros de los datos e informaciones
obtenidos durante la ejecución del convenio. Comunicará con diligencia información
detallada al respecto, incluso concretando qué interesados sufrieron una pérdida de
confidencialidad.
l) Cuando una persona ejerza un derecho (de acceso, rectificación, supresión y
oposición, limitación del tratamiento, portabilidad de datos y a no ser objeto de
decisiones individualizadas automatizadas, u otros reconocidos por la normativa
aplicable (conjuntamente, los «Derechos»), ante una de las partes, éste debe
comunicarlo a la otra parte con la mayor prontitud. La comunicación debe hacerse de
forma inmediata y en ningún caso más allá del día laborable siguiente al de la recepción
del ejercicio de derecho, juntamente, en su caso, con la documentación y otras
informaciones que puedan ser relevantes para resolver la solicitud que obre en su poder,
e incluyendo la identificación fehaciente de quien ejerce el derecho.
Asistirá al Responsable, siempre que sea posible, para que ésta pueda cumplir y dar
respuesta a los ejercicios de Derechos.
m) Colaborar, las partes, en el cumplimiento de sus obligaciones en materia de (i)
medidas de seguridad, (ii) comunicación y/o notificación de brechas (logradas e
intentadas) de medidas de seguridad a las autoridades competentes o los interesados, y
(iii) colaborar en la realización de evaluaciones de impacto relativas a la protección de
datos personales y consultas previas al respecto a las autoridades competentes;
teniendo en cuenta la naturaleza del tratamiento y la información de la que disponga.
Asimismo, pondrá a disposición de la parte que figure como responsable, toda la
información necesaria para demostrar el cumplimiento de las obligaciones previstas en
este Convenio y demás documentos contractuales y colaborará en la realización de
auditorías e inspecciones llevadas a cabo, en su caso, por el Responsable.
n) En los casos en que la normativa así lo exija (véase artículo 30.5 RGPD), llevar
por escrito, incluso en formato electrónico, y de conformidad con lo previsto en el
artículo 30.2 del RGPD un registro de todas las categorías de actividades de tratamiento
efectuadas por cuenta del Responsable, que contenga, al menos, las circunstancias a
que se refiere dicho artículo.
o) Disponer de evidencias que demuestren su cumplimiento de la normativa de
protección de Datos Personales y del deber de responsabilidad activa, como, a título de
ejemplo, certificados previos sobre el grado de cumplimiento o resultados de auditorías,
que habrá de poner a disposición del Responsable a requerimiento de esta. Asimismo,
durante la vigencia del convenio, pondrá a disposición del Responsable toda
información, certificaciones y auditorías realizadas en cada momento.
p) Derecho de información: El encargado del tratamiento, en el momento de la
recogida de los datos, debe facilitar la información relativa a los tratamientos de datos
que se van a realizar. La redacción y el formato en que se facilitará la información se
debe consensuar con el responsable antes del inicio de la recogida de los datos.
Lo dispuesto a lo largo del presente apartado junto con las obligaciones en él
establecidas, constituyen las bases de la relación jurídica de encargo de tratamiento entre el
responsable y el encargado del tratamiento a que hace referencia el artículo 28.3 RGPD.

cve: BOE-A-2023-3802
Verificable en https://www.boe.es

Núm. 37