BOLETÍN OFICIAL DEL ESTADO
Lunes 26 de junio de 2023

Sec. III. Pág. 89587

internacional y, en el caso de las transferencias indicadas en el artículo 49 apartado 1,
párrafo segundo del RGPD, la documentación de garantías adecuadas.
4. Una descripción general de las medidas técnicas y organizativas de seguridad
relativas a:
a) La seudonimización y el cifrado de datos personales;
b) La capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento;
c) La capacidad de restaurar la disponibilidad y el acceso a los datos personales de
forma rápida, en caso de incidente físico o técnico;
d) El proceso de verificación, evaluación y valoración regulares de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
e. No comunicar los datos a terceras personas, salvo que cuente con la
autorización expresa del responsable del tratamiento, en los supuestos legalmente
admisibles.
El encargado puede comunicar los datos a otros encargados del tratamiento del
mismo responsable, de acuerdo con las instrucciones del responsable. En este caso, el
responsable identificará, de forma previa y por escrito, la entidad a la que se deben
comunicar los datos, los datos a comunicar y las medidas de seguridad a aplicar para
proceder a la comunicación.
Si el encargado debe transferir datos personales a un tercer país o a una
organización internacional, en virtud del Derecho de la Unión o de los Estados miembros
que le sean aplicables, informará al responsable de esa exigencia legal de manera
previa, salvo que tal derecho lo prohíba por razones importantes de interés público.
f. No subcontratar ninguna de las prestaciones que formen parte del objeto de este
convenio que comporten el tratamiento de datos personales, salvo los servicios
auxiliares necesarios para el normal funcionamiento de los servicios del encargado. Si
fuera necesario subcontratar algún tratamiento, este hecho se deberá comunicar
previamente y por escrito al responsable, con una antelación de quince días, indicando
los tratamientos que se pretende subcontratar e identificando, de forma clara e
inequívoca, la empresa subcontratista y sus datos de contacto. La subcontratación podrá
llevarse a cabo si el responsable no manifiesta su oposición en el plazo establecido.
El subcontratista, que también tendrá la condición de encargado del tratamiento, está
obligado igualmente a cumplir las obligaciones establecidas en este convenio para el
encargado del tratamiento y las instrucciones que dicte el responsable. Corresponde al
encargado inicial regular la nueva relación de forma que el nuevo encargado quede
sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad…),
y con los mismos requisitos formales que él, en lo referente al adecuado tratamiento de
los datos personales y a la garantía de los derechos de las personas afectadas. En el
caso de incumplimiento por parte del subencargado, el encargado inicial seguirá siendo
plenamente responsable ante el responsable en lo referente al cumplimiento de las
obligaciones.
g. Mantener el deber de secreto respecto a los datos de carácter personal a los que
haya tenido acceso en virtud del presente convenio, incluso después de que finalice su
objeto.
h. Garantizar que las personas autorizadas para tratar datos personales se
comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir
las medidas de seguridad correspondientes, de las que hay que informarles
convenientemente.
i. Mantener a disposición del responsable la documentación acreditativa del
cumplimiento de la obligación establecida en el apartado anterior.
j. Garantizar la formación necesaria en materia de protección de datos personales
de las personas autorizadas para tratar datos personales.

cve: BOE-A-2023-14980
Verificable en https://www.boe.es

Núm. 151