BOLETÍN OFICIAL DEL ESTADO
Núm. 126

Sábado 27 de mayo de 2023

Sec. III. Pág. 72886

Séptima. Transferencias internacionales de datos.
7.1 El Encargado del Tratamiento no podrá en ningún caso realizar transferencias
internacionales de los datos responsabilidad del Responsable del Tratamiento fuera del
Espacio Económico Europeo sin la previa autorización explícita de éste, realizada por
escrito.
7.2 Si el Encargado del Tratamiento debe transferir datos personales a un tercer
país o a una organización internacional, en virtud del Derecho de la Unión o de los
Estados miembros que le sea aplicable, informará por escrito al Responsable del
tratamiento de esa exigencia con antelación suficiente a efectuar el tratamiento, y
garantizará el cumplimiento de cualesquiera requisitos legales que sean aplicables al
Responsable del tratamiento, salvo que tal Derecho aplicable lo prohíba por razones
importantes de interés público.
Octava.

Seguridad de los datos personales.

8.1 El Responsable del Tratamiento, de acuerdo con los análisis de riesgos y, en su
caso, las evaluaciones de impacto realizadas sobre el tratamiento de los datos, informará
al Encargado del Tratamiento de las medidas técnicas y organizativas adecuadas para
que el tratamiento cumpla los requisitos legales, asegurando, concretamente, un nivel de
seguridad adecuado al riesgo, así como la defensa de los derechos de los titulares de los
datos, teniendo en cuenta las técnicas más avanzadas, los costes de aplicación y la
naturaleza, el ámbito, el contexto y las finalidades del tratamiento, así como los riesgos,
de probabilidad y gravedad variable, para los derechos y libertades de las personas
físicas, incluyendo:
a) La seudonimización y el cifrado de los datos personales;
b) La capacidad de asegurar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y de los servicios de tratamiento;
c) La capacidad de restablecer la disponibilidad y el acceso a los datos personales
de forma oportuna en el caso de un incidente físico o técnico;
d) Un proceso para probar, evaluar y valorar regularmente la eficacia de las
medidas técnicas y organizativas para garantir la seguridad del tratamiento.
Colaboración en la notificación de las violaciones de seguridad.

9.1 En caso de que se produzca una violación de seguridad en los sistemas del
Encargado del Tratamiento que pueda afectar a los datos responsabilidad del
Responsable del Tratamiento, el Encargado del Tratamiento, tan pronto como tenga
conocimiento, y a más tardar en el plazo de 72 horas, de la violación de datos
personales que ocasione la destrucción, pérdida o alteración accidental o ilícita, la
pérdida y la alteración, la revelación o el acceso no autorizados, de datos personales
transmitidos, conservados o tratados de otra forma o la comunicación o acceso no
autorizados a dichos datos, se obliga a notificarla al Responsable del Tratamiento, a
través de sgrealpatronato@mdsocialesa2030.gob.es, juntamente con toda la información
relevante para la documentación y comunicación de la incidencia.
9.2 El Encargado del Tratamiento tiene la obligación de facilitar al Responsable del
Tratamiento toda la información que disponga relacionada con violaciones de seguridad
de datos. En este sentido, ha de proporcionar, como mínimo, la siguiente información:
a) La descripción de la naturaleza de la violación de los datos personales,
incluyendo, si es posible, las categorías y el número aproximado de titulares de datos
afectados, así como las categorías y el número aproximado de registros de datos
personales en cuestión.
b) El nombre y los contactos de su delegado de protección de datos, persona de
contacto o figura similar.
c) Descripción de las probables consecuencias de la violación de datos personales.

cve: BOE-A-2023-12405
Verificable en https://www.boe.es

Novena.