BOLETÍN OFICIAL DEL ESTADO
Sábado 18 de marzo de 2023

Sec. III. Pág. 41114

– Notificación al resto de corresponsables de violaciones de la seguridad de los
datos sin dilación indebida, y en cualquier caso antes del plazo máximo de treinta y seis
horas, y a través de correo electrónico o cualquier otro medio que acredite la recepción
de la comunicación, para de forma conjunta y coordinada proceder a comunicar la misma
a la AEPD. En todo caso, CEAGA como punto de contacto, podrá encargarse de realizar
una única notificación a la Autoridad de Control competente, y, en su caso, a los
interesados.
– Coordinar conjuntamente la realización de las evaluaciones de impacto relativas a
la protección de datos, cuando proceda.
– Coordinar conjuntamente la realización de las consultas previas a la autoridad de
control, cuando proceda.
En relación a la atención a los derechos de los interesados, los derechos que todo
titular de datos de carácter personal puede ejercer vienen regulados en los artículos
del 15 al 22 del RGPD. Estos son:
1. Acceso, rectificación, supresión y oposición.
2. Limitación del tratamiento.
3. Portabilidad de datos.
4. A no ser objeto de decisiones individualizadas automatizadas (incluida la
elaboración de perfiles).
En este sentido, independientemente de ante qué corresponsable ejerza el afectado
cualquiera de sus derechos, será CEAGA, como punto de contacto, el encargado de
atender la solicitud dentro del plazo legalmente establecido, esto es, sin dilación indebida
y en el plazo máximo de un mes desde la recepción de la misma.
Para ello, en caso de que un interesado presente una solicitud de ejercicio de
derechos ante otro corresponsable distinto de CEAGA, aquel deberá comunicar dicha
solicitud a la mayor brevedad posible, sin superar el plazo de siete días desde su
recepción, al corresponsable encargado de atender las solicitudes de los interesados,
esto es CEAGA.
En relación a la implantación de medidas de seguridad técnica y organizativa, todos
los corresponsables, en el caso de que tuvieran acceso a datos de carácter personal
derivados del Programa BFA, se comprometen a adoptar todas las medidas de
seguridad necesarias, de conformidad con lo establecido en el artículo 32 del RGPD. En
este sentido teniendo en cuenta el estado de la técnica, los costes de aplicación y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de
probabilidad y gravedad variables para los derechos y las libertades de las personas
físicas, todos los promotores del Programa BFA se comprometen a establecer las
medidas técnicas y organizativas apropiadas para garantizar el nivel de seguridad
adecuado al riesgo existente.
En todo caso, se comprometen a implantar mecanismos para:
a) Garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento.
b) Restaurar la disponibilidad y el acceso a los datos personales de forma rápida,
en caso de incidente físico o técnico.
c) Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y
organizativas implantadas para garantizar la seguridad del tratamiento.
d) Seudonimizar y cifrar los datos personales, en su caso.
En relación con las posibles responsabilidades que pudiesen surgir respecto a los
daños y perjuicios causados a los interesados, no tendrá responsabilidad el
corresponsable que demuestre su falta de culpabilidad respecto al daño causado, de
conformidad con lo establecido en el artículo 82.3 del RGPD.
El hecho de que CEAGA como punto de contacto no libera al resto de
corresponsables del cumplimiento de sus responsabilidades.

cve: BOE-A-2023-7118
Verificable en https://www.boe.es

Núm. 66