BOLETÍN OFICIAL DEL ESTADO
Miércoles 28 de junio de 2023

Sec. III. Pág. 90540

4.7 Deber de información. Corresponde al Responsable facilitar el derecho de
información en el momento de la recogida de los datos.
4.8 Derechos del interesado. Cuando las personas afectadas ejerzan estos
derechos ante el Encargado, éste debe comunicarlo por correo electrónico al Delegado
de Protección de Datos de la Entidad Solicitante. La comunicación debe hacerse de
forma inmediata y en ningún caso más allá del día laborable siguiente a la recepción de
la solicitud, junto con otras informaciones que puedan ser relevantes, en su caso, para
resolver dicha solicitud.
4.9 Violaciones de seguridad. El Encargado notificará al Responsable del
tratamiento, sin dilación indebida, y en cualquier caso antes del plazo máximo
de cuarenta y ocho horas, y a través de correo electrónico al Delegado de Protección de
Datos de la entidad solicitante, las violaciones de la seguridad de los datos personales a
su cargo de las que tenga conocimiento, junto con toda la información relevante para la
documentación y comunicación de la incidencia. Si se dispone de información suficiente,
el Encargado facilitará, como mínimo, los extremos incluidos en el artículo 33,
apartado 3, del Reglamento (EU) 2016/679 del Parlamento Europeo y del Consejo, de 27
de abril de 2016.
4.10 Asistencia al Responsable. El Encargado debe dar apoyo al Responsable del
tratamiento en:
– La realización de las evaluaciones de impacto relativas a la protección de datos,
cuando proceda.
– La realización de las consultas previas a la autoridad de control, cuando proceda.
El Encargado pondrá a disposición del Responsable toda la información necesaria
para demostrar el cumplimiento de sus obligaciones conforme a la normativa de
protección de datos.
4.11 Medidas de seguridad. El Encargado adoptará las medidas necesarias de
índole técnica y organizativa que garanticen la seguridad de los datos que se evite la
alteración, pérdida, tratamiento o acceso no autorizado a los citados datos personales.
En particular, el Encargado pondrá en marcha las medidas de seguridad que se
corresponden con las previstas en el anexo II (medidas de seguridad) del Real
Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad
en el ámbito de la Administración Electrónica, y los controles de seguridad del Sistema
de Gestión de la Seguridad de la Información basado en la Norma UNE-EN ISO/
IEC 27001.
Durante el periodo de vigencia del convenio, el Responsable deberá adaptar estas
medidas de seguridad a los resultados de un Análisis de Riesgos o. en su caso, de una
Evaluación de Impacto en Protección de Datos, de conformidad con el artículo 32 del
Reglamento (EU) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril
de 2016. En tanto no se realice la evaluación de riesgos, se aplicarán de forma supletoria
las medidas que se estuviesen aplicando de conformidad con este Acuerdo.
4.12 Delegado de Protección de Datos. El Encargado pondrá a disposición del
Responsable los datos de contacto de su Delegado de Protección de Datos.
4.13 Finalización del encargo. En el caso de que se produzca alguna comunicación
de información, el Encargado devolverá al Responsable los datos de carácter personal y,
si procede, los soportes donde consten, una vez cumplida la prestación. La devolución
debe comportar el borrado total de los datos existentes en los equipos informáticos
utilizados por el Encargado. No obstante, el Encargado podrá conservar una copia de los
datos debidamente bloqueados, mientras puedan derivarse responsabilidades de la
ejecución de la prestación.

cve: BOE-A-2023-15129
Verificable en https://www.boe.es

Núm. 153