BOLETÍN OFICIAL DEL ESTADO
Martes 29 de agosto de 2023

Sec. III. Pág. 121059

– Garantizar que las personas autorizadas para tratar datos personales se
comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir
las medidas de seguridad correspondientes, de las que hay que informarles
convenientemente.
– Mantener a disposición del responsable la documentación acreditativa del
cumplimiento de la obligación establecida en el apartado anterior.
– Garantizar la formación necesaria en materia de protección de datos personales
de las personas autorizadas para tratar datos personales.
– Notificación de violaciones de la seguridad de los datos.
El encargado del tratamiento notificará al responsable del tratamiento, sin dilación
indebida y a través de la dirección de correo electrónico que le indique el responsable,
las violaciones de la seguridad de los datos personales a su cargo de las que tenga
conocimiento, juntamente con toda la información relevante para la documentación y
comunicación de la incidencia.
Se facilitará, como mínimo, la información siguiente:
a) Descripción de la naturaleza de la violación de la seguridad de los datos
personales, inclusive, cuando sea posible, las categorías y el número aproximado de
interesados afectados, y las categorías y el número aproximado de registros de datos
personales afectados.
b) Datos de la persona de contacto para obtener más información.
c) Descripción de las posibles consecuencias de la violación de la seguridad de los
datos personales. Descripción de las medidas adoptadas o propuestas para poner
remedio a la violación de la seguridad de los datos personales, incluyendo, si procede,
las medidas adoptadas para mitigar los posibles efectos negativos.
Si no es posible facilitar la información simultáneamente, y en la medida en que no lo
sea, la información se facilitará de manera gradual sin dilación indebida.
– Poner a disposición del responsable toda la información necesaria para demostrar
el cumplimiento de sus obligaciones, así como para la realización de las auditorías o las
inspecciones que realicen el responsable u otro auditor autorizado por él.
– Auxiliar al responsable de tratamiento a implantar las medidas de seguridad
necesarias para:
a) Garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento.
b) Restaurar la disponibilidad y el acceso a los datos personales de forma rápida,
en caso de incidente físico o técnico.
c) Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y
organizativas implantadas para garantizar la seguridad del tratamiento.
– Asistirá a la AESA, siempre que sea posible, para que ésta pueda cumplir y dar
respuesta a los ejercicios de Derechos.
Cuando una persona ejerza un derecho (de acceso, rectificación, supresión y
oposición, limitación del tratamiento, portabilidad de datos y a no ser objeto de
decisiones individualizadas automatizadas, u otros reconocidos por la normativa
aplicable (conjuntamente, los «Derechos»), ante el encargado del tratamiento, éste debe
comunicarlo a la AESA con la mayor prontitud. La comunicación debe hacerse de forma
inmediata y en ningún caso más allá del día laborable siguiente al de la recepción del
ejercicio de derecho, juntamente, en su caso, con la documentación y otras
informaciones que puedan ser relevantes para resolver la solicitud que obre en su poder,
e incluyendo la identificación fehaciente de quien ejerce el derecho.
– Derecho de información.
El encargado del tratamiento, en el momento de la recogida de los datos, debe
facilitar la información relativa a los tratamientos de datos que se van a realizar. La

cve: BOE-A-2023-18767
Verificable en https://www.boe.es

Núm. 206