BOLETÍN OFICIAL DEL ESTADO
Miércoles 20 de septiembre de 2023

Sec. III. Pág. 127598

Responsable de esa exigencia legal de manera previa, salvo que tal derecho lo prohíba
por razones importantes de interés público.
Confidencialidad: El Encargado y todo su personal mantendrán el deber de secreto
respecto a los datos de carácter personal a los que hayan tenido acceso en virtud del
presente encargo, incluso después de que finalice el mismo.
El Encargado garantizará que las personas autorizadas para tratar datos personales
se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a
cumplir las medidas de seguridad correspondientes, de las que hay que informarles
convenientemente.
Si existe una obligación de confidencialidad estatutaria deberá quedar constancia
expresa de la naturaleza y extensión de esta obligación.
El Encargado mantendrá a disposición del Responsable la documentación
acreditativa del cumplimiento de esta obligación.
Medidas de seguridad: El Encargado, con carácter periódico y siempre que haya
cambios relevantes en su infraestructura de software, realizará una evaluación de
riesgos en materia de seguridad de la información de la que se derivarán la implantación
de mecanismos adecuados a los riesgos detectados tal y como se describe en el
artículo 32 del RGPD y en el Esquema Nacional de Seguridad, y en concreto:
a) Garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento.
b) Restaurar la disponibilidad y el acceso a los datos personales de forma rápida,
en caso de incidente físico o técnico.
c) Verificar, evaluar y valorar de forma regular la eficacia de las medidas técnicas y
organizativas implantadas para garantizar la seguridad del tratamiento.
d) Seudonimizar y cifrar los datos personales, en su caso.
La evaluación de riesgos de seguridad de la información deberá ser recogida en un
informe por el Encargado, que deberá proporcionarlo al Responsable. El alcance de
dicha evaluación de riesgos de seguridad de la información será la totalidad de datos
tratados por cuenta del Responsable. Las medidas de seguridad abarcarán la protección
de los sistemas de información, así como de los sistemas de tratamiento manual y
archivo de la documentación.
Registro de actividades de tratamiento: El Encargado llevará un registro de todas las
categorías de actividades de tratamiento efectuadas por cuenta del RESPONSABLE con
el contenido estipulado en el artículo 30.2 del RGPD, salvo que pueda ampararse en
alguna de las excepciones del artículo 30.5.
No comunicación: El Encargado no comunicará los datos a terceras personas, salvo
que cuente con la autorización expresa del Responsable en los supuestos legalmente
admisibles.
Formación de las personas autorizadas: El Encargado garantizará la formación
necesaria en materia de protección de datos personales de las personas autorizadas
para tratar datos personales.
Ejercicio de los derechos: El Encargado asistirá al Responsable, a través de medidas
técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda
cumplir con su obligación de responder a las solicitudes que tengan por objeto el
ejercicio de los derechos de los interesados (acceso, rectificación, supresión, oposición,
limitación del tratamiento y portabilidad de datos).
Notificación de violaciones de la seguridad: El Encargado notificará al Responsable,
sin dilación indebida, y en cualquier caso antes del plazo máximo de 24 horas, las
violaciones de la seguridad de los datos personales a su cargo de las que tenga
conocimiento, juntamente con toda la información relevante consignada en el
artículo 33.3. del RGPD.
Apoyo en realización de evaluaciones de impacto para la protección de datos: El
Encargado dará apoyo al Responsable en la realización de las evaluaciones de impacto
relativas a la protección de datos, cuando proceda.

cve: BOE-A-2023-19740
Verificable en https://www.boe.es

Núm. 225