BOLETÍN OFICIAL DEL ESTADO
Lunes 1 de mayo de 2023

Sec. III. Pág. 60709

organizativos las medidas, tanto técnicas como organizativas, con objeto de garantizar la
seguridad de los datos de carácter personal tratados, en función del nivel de seguridad
aplicable a la naturaleza de los datos, de acuerdo con lo establecido en el Real
Decreto 1720/2007 o normativa que, en el futuro, lo sustituya.
9. Cada una de las partes firmantes de este Convenio queda informada de que sus
datos de carácter personal que vienen reflejados en el presente Convenio, serán
tratados por la otra parte, con la finalidad de permitir el desarrollo, cumplimiento y control
del mismo, siendo la base del tratamiento dicha relación, por lo que el suministro de los
datos con este fin es obligado e impediría su cumplimiento en caso contrario. Los datos
serán conservados con este fin durante todo el tiempo en que este convenio subsista y
aún después, hasta que prescriban las eventuales responsabilidades derivadas del
mismo. Podrán solicitar el acceso a los datos personales, su rectificación, su supresión,
su portabilidad y la limitación de su tratamiento, así como oponerse al mismo, en el
domicilio de la otra parte que figura en el presente Convenio. Los datos podrán ser
comunicados a las Administraciones Públicas cuando la Ley obligue a ello, así como a
la CE y al resto de instituciones comunitarias que sean necesarias para la coordinación,
gestión y justificación de las acciones desarrolladas. Frente a cualquier vulneración de
derechos, la parte afectada puede presentar una reclamación ante la Agencia Española
de Protección de Datos.
En todo lo no previsto expresamente anteriormente, todas las partes se
comprometen a observar la normativa vigente en materia de protección de datos
actuando en este sentido conforme a lo dispuesto en el Reglamento (UE) 2016/679, del
Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las
personas físicas en lo que respecta al tratamiento de datos personales y a la libre
circulación de estos datos, a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección
de Datos Personales y garantía de los derechos digitales y resto de normativa que
resultara de aplicación. Las partes únicamente podrá cederlos a los organismos oficiales
o entidades públicas a los que esté legalmente obligado, de acuerdo con lo indicado
anteriormente, la legislación vigente y el Derecho de la Unión Europea, no pudiendo
hacerlo con respecto a terceros privados. No están previstas transferencias
internacionales de datos.
10. De conformidad con lo dispuesto en el artículo 155 de la LRJSP, en ningún caso
podrá procederse a un tratamiento ulterior de los datos para fines incompatibles con el
fin para el cual se recogieron inicialmente los datos personales. De acuerdo con lo
previsto en el artículo 5.1.b) del Reglamento (UE) 2016/679, no se considerará
incompatible con los fines iniciales el tratamiento ulterior de los datos personales con
fines de archivo en interés público, fines de investigación científica e histórica o fines
estadísticos.
Fuera del caso previsto en el apartado anterior y siempre que las leyes especiales
aplicables a los respectivos tratamientos no prohíban expresamente el tratamiento
ulterior de los datos para una finalidad distinta, cuando la Administración Pública
cesionaria de los datos pretenda el tratamiento ulterior de los mismos para una finalidad
que estime compatible con el fin inicial, deberá comunicarlo previamente a la
Administración Pública cedente a los efectos de que esta pueda comprobar dicha
compatibilidad. La Administración Pública cedente podrá, en el plazo de diez días
oponerse motivadamente. Cuando la Administración cedente sea la Administración
General del Estado podrá en este supuesto, excepcionalmente y de forma motivada,
suspender la transmisión de datos por razones de seguridad nacional de forma cautelar
por el tiempo estrictamente indispensable para su preservación. En tanto que la
Administración Pública cedente no comunique su decisión a la cesionaria esta no podrá
emplear los datos para la nueva finalidad pretendida.
Se exceptúan de lo dispuesto en el párrafo anterior los supuestos en que el
tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales
esté previsto en una norma con rango de ley de conformidad con lo previsto en el
artículo 23.1 del Reglamento (UE) 2016/679.

cve: BOE-A-2023-10532
Verificable en https://www.boe.es

Núm. 103