BOLETÍN OFICIAL DEL ESTADO
Martes 21 de marzo de 2023

Sec. I. Pág. 42066

serán los que se especifiquen en el correspondiente registro de actividades de
tratamiento. Las obligaciones y derechos del responsable serán las dispuestas en
virtud del Derecho de la Unión o de los Estados miembros.
Lo expresado en el párrafo anterior no será aplicable cuando la Agencia sea
corresponsable del tratamiento, en los términos del artículo 26 del Reglamento
(UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016,
relativo a la protección de las personas físicas en lo que respecta al tratamiento de
datos personales y a la libre circulación de estos datos y por el que se deroga la
Directiva 95/46/CE (Reglamento general de protección de datos).
2. Se autoriza, con carácter general, a la Agencia a recurrir a otros
encargados del tratamiento, de conformidad con los apartados 2 y 4 del artículo 28
del Reglamento general de protección de datos. La Agencia mantendrá
permanentemente a disposición de los responsables de tratamiento una relación
actualizada de los encargados de tratamiento a los que, en su caso, haya
recurrido, con la información relevante en relación con el objeto del encargo.
3. La Agencia, en su condición de encargado del tratamiento, actuará de
conformidad con los siguientes términos y condiciones:
a) Tratará los datos personales únicamente siguiendo instrucciones
documentadas del responsable, inclusive con respecto a las transferencias de
datos personales a un tercer país o una organización internacional, salvo que esté
obligada a ello en virtud del Derecho de la Unión o de los Estados miembros que
se aplique al encargado; en tal caso, el encargado informará al responsable de
esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por
razones importantes de interés público.
b) Garantizará que las personas autorizadas para tratar datos personales se
hayan comprometido a respetar la confidencialidad o estén sujetas a una
obligación de confidencialidad de naturaleza estatutaria derivada de su condición
de empleado público. Garantizará el mismo deber de confidencialidad en caso de
que el tratamiento se realice por otros encargados a los que, en su caso, recurra.
c) Tomará todas las medidas necesarias de conformidad con el artículo 32
del Reglamento general de protección de datos.
d) Recurrirá únicamente a otros encargados de tratamiento que ofrezcan las
garantías suficientes de aplicación de medidas técnicas y organizativas
apropiadas, de manera que el tratamiento sea conforme con las disposiciones del
citado Reglamento, y acrediten el cumplimiento del Esquema Nacional de
Seguridad o hayan adoptado medidas que puedan considerarse equivalentes.
e) Asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a
través de medidas técnicas y organizativas apropiadas, siempre que sea posible,
para que este pueda cumplir con su obligación de responder a las solicitudes que
tengan por objeto el ejercicio de los derechos de las personas interesadas.
f) Ayudará al responsable a garantizar el cumplimiento de las obligaciones
establecidas en los artículos 32 a 36 del citado Reglamento, teniendo en cuenta la
naturaleza del tratamiento y la información a disposición del encargado.
g) Seguirá las instrucciones del responsable en lo relativo a la supresión o
conservación de los datos personales una vez finalice la prestación de los
servicios de tratamiento, de conformidad con lo dispuesto en el ordenamiento
jurídico, y suprimirá las copias existentes a menos que se requiera la conservación
de los datos personales en virtud del Derecho de la Unión o de los Estados
miembros.
h) Pondrá a disposición del responsable toda la información necesaria para
demostrar el cumplimiento de sus obligaciones como encargado, así como para
permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte
del responsable o de otro auditor autorizado por dicho responsable.

cve: BOE-A-2023-7343
Verificable en https://www.boe.es

Núm. 68