BOLETÍN OFICIAL DEL ESTADO
Núm. 158

Martes 4 de julio de 2023

Sec. III. Pág. 93190

En el caso de que el Encargado del Tratamiento, o la entidad subcontratada se
encontrarán ubicados en un tercer país que no fuera España, se tendrán en cuenta las
posibles repercusiones que dicha circunstancia provoca en relación con el tratamiento de
datos personales del que es responsable el CES. Aunque la legislación española será la
aplicable a el CES, como responsable del tratamiento con sede en España, en cualquier
caso –especialmente en lo relativo a las medidas de seguridad a aplicar al tratamiento de
datos personales efectuado–, se tendrán en cuenta las citadas circunstancias, partiendo
del mínimo exigido por la legislación española.
Quinta.
En relación con el ejercicio de los derechos de acceso, rectificación, supresión,
oposición, limitación, portabilidad y decisiones individuales automatizadas por parte de
los titulares de los datos personales, la única obligación del Encargado será comunicar a
la Fundación General de la Universidad Complutense que se ha ejercido el
correspondiente derecho. Dicha comunicación debe ser puesta en conocimiento del
Delegado de Protección de Datos de la FGUCM (dpofgu@ucm.es) y en ningún caso más
allá del día laborable siguiente al de la recepción de la solicitud o en el plazo máximo
de 48 horas desde que es recibida, debiendo quedar constancia del envío y de su
recepción. Se adjuntará, igualmente, en su caso, toda otra información que pueda ser
relevante para resolver la solicitud presentada.
Por su parte, en relación con el derecho de información, el Encargado del
Tratamiento, en el momento de la recogida de datos, en el caso de que se produzca,
debe facilitar la información relativa a los tratamientos de datos que se van a efectuar. De
producirse dicha información, tanto la redacción como el formato en el que se facilitará la
misma, deberá consensuarse con el CES antes del inicio de la recogida de datos.
Sexta.
El Encargado del Tratamiento notificará al responsable, sin dilación indebida y en el
plazo máximo de 72 horas, al correo electrónico del CES, las violaciones de seguridad
de los datos personales a su cargo de las que tenga conocimiento, con toda aquélla
documentación necesaria para documentar y comunicar la incidencia. No será necesaria
la notificación cuando sea improbable que dicha violación de la seguridad constituya un
riesgo para los derechos y las libertades de las personas físicas.
El Encargado deberá facilitar al CES, si dispone de ella, la siguiente información:

Será el CES, como Responsable del Tratamiento, la responsable de comunicar dicha
violación, en caso de ser necesario, a la Agencia Española de Protección de Datos,
como a los interesados cuando sea probable que la violación suponga un alto riesgo
para los derechos y las libertades de las personas físicas.
Séptima.
Tal y como ha quedado recogido en el presente acuerdo, es obligación del
Encargado del Tratamiento poner disposición del Responsable toda la información
necesaria para demostrar el cumplimiento de sus obligaciones, así como para la
realización de las auditorías o las inspecciones que realicen el Responsable u otro
auditor autorizado por él en el ejercicio de sus funciones y deber de diligencia.

cve: BOE-A-2023-15531
Verificable en https://www.boe.es

– Descripción de la naturaleza de la violación de la seguridad de los datos
personales (categorías y número aproximado de interesados afectados).
– Descripción de las posibles consecuencias de la violación de la seguridad de los
datos personales.
– Descripción de las medidas adoptadas o propuestas para poner remedio a la
violación, incluyendo, si procede, las medidas adoptadas para mitigar los posibles
efectos negativos.