BOLETÍN OFICIAL DEL ESTADO
Núm. 158

Martes 4 de julio de 2023

Sec. III. Pág. 93189

f) Para el caso de que el Encargado tenga más de 250 trabajadores o el tratamiento
de datos implique un riesgo para los derechos de los interesados o incluya categorías
especiales de datos, deberá llevar a cabo, por escrito, un registro de todas las categorías
de tratamiento que efectúe por cuenta del Responsable, donde deberán constar los
datos del Encargado; las categorías y los tratamientos de datos efectuados; los datos del
Delegado de Protección de Datos; en su caso, las transferencias de datos personales
que se hubieran realizado o previsto realizar; y las medidas de seguridad adoptadas.
Tercera.
Tanto el Responsable como el Encargado del Tratamiento se comprometen, teniendo
en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el
contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad
variables para los derechos y las libertades de las personas físicas a establecer las
medidas técnicas y organizativas apropiadas para garantizar el nivel de seguridad
adecuado al riesgo existente. Todo ello, con el fin de garantizar su confidencialidad e
integridad, y evitar su alteración, pérdida, tratamiento o acceso no autorizado.
El Encargado del Tratamiento informará a su personal, colaboradores y
subcontratistas de las obligaciones establecidas en el presente documento, así como de
las obligaciones relativas al tratamiento automatizado de datos de carácter personal que
les incumbe, y garantizará la formación necesaria en protección de datos. El Encargado
del Tratamiento realizará cuantas advertencias y suscribirá cuantos documentos sean
necesarios con su personal y colaboradores, con el fin de asegurar el cumplimiento de
tales obligaciones. En este sentido, el Encargado deberá mantener a disposición del
Responsable la documentación o información que acredite dicho extremo.
En todo caso, el Encargado del Tratamiento deberá implantar las siguientes medidas
de seguridad necesarias para:
a) Garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento.
b) Restaurar la disponibilidad y el acceso a los datos personales de forma rápida,
en caso de incidente físico o técnico.
c) Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y
organizativas implantadas para garantizar la seguridad del tratamiento.
d) Seudonimizar y cifrar los datos personales, en su caso.
Las obligaciones establecidas para el Encargado del Tratamiento en la presente
estipulación serán también de obligado cumplimiento para sus empleados,
colaboradores, tanto externos como internos, y subcontratistas, por lo que el Encargado
del Tratamiento responderá frente al Responsable del Tratamiento si tales obligaciones
son incumplidas por tales empleados, colaboradores o subcontratistas.

Si el Encargado del Tratamiento pretendiera realizar una subcontratación del servicio
o parte del mismo, conforme a lo dispuesto en la normativa nacional y comunitaria,
el CES deberá autorizar previamente y por escrito, en el plazo de siete días desde que
se comunique dicha intención, la subcontratación de los servicios o parte de los servicios
encomendados al Encargado del Tratamiento. La subcontratación podrá llevarse a cabo
si el Responsable no manifiesta su oposición en el plazo establecido. Dicha
subcontratación deberá quedar debida y documentalmente acreditada.
En todo caso, el subcontratista del tratamiento debe estar sujeto a las mismas
condiciones y en la misma forma que el Encargado del Tratamiento en lo referente al
adecuado tratamiento de los datos personales y a la garantía de los derechos de las
personas afectadas. En caso de incumplimiento por el subcontratista, el Encargado
inicial seguirá siendo plenamente responsable ante la FGUCM M.P. en lo referente al
cumplimiento de las obligaciones del subcontratista.

cve: BOE-A-2023-15531
Verificable en https://www.boe.es

Cuarta.