BOLETÍN OFICIAL DEL ESTADO
Núm. 247

Lunes 16 de octubre de 2023

Sec. III. Pág. 138310

eviten su alteración, pérdida, tratamiento o acceso no autorizado, en conformidad con el
estado de la tecnología en cada momento, la naturaleza de los datos almacenados y los
riesgos a que están expuestos, provenientes de la acción humana o del medio físico o
natural.
La AFA se compromete a seguir las recomendaciones/indicaciones establecidas en
la Evaluación de Impacto en la Protección de Datos de este tratamiento.
Séptima. Comunicación de brechas de la seguridad de los datos.
La AFA, como encargado del tratamiento, tiene que notificar a la responsable del
tratamiento, sin dilación indebida, y en cualquier caso antes del plazo máximo
de 24 horas desde su detección, las violaciones de la seguridad de los datos personales
a su cargo de las que tenga conocimiento, con toda la información relevante para la
documentación y comunicación de la incidencia.
El encargado del tratamiento tiene que facilitar, como mínimo, la información
siguiente, si la tiene:
a) Descripción de la naturaleza de la violación de la seguridad de los datos
personales, inclusive, cuando sea posible, las categorías y el número aproximado de
personas, y las categorías y el número aproximado de registros de datos personales
afectados.
b) El nombre y los datos de contacto del delegado o delegada de protección de
datos, en su caso, o de otros puntos de contacto en los que pueda obtenerse más
información.
c) Descripción de las posibles consecuencias de la violación de la seguridad de los
datos personales.
d) Descripción de las medidas adoptadas o propuestas para poner remedio a la
violación de la seguridad de los datos personales, incluyendo, si procede, las medidas
adoptadas para mitigar los posibles efectos negativos.
Si no fuera posible facilitar toda esta información de manera simultánea, la
información se tendría que facilitar sin más dilación indebida de manera gradual y tan
pronto como fuera posible.
En caso de que las violaciones de seguridad de los datos detectados sean
imputables al encargado del tratamiento, éste, con comunicación previa a la responsable
del tratamiento, y después del análisis y valoración de la situación, será el encargado de
comunicar las mencionadas violaciones de la seguridad al delegado de protección de
datos del MITMA, así como a los interesados, cuando sea probable que la violación
suponga un alto riesgo para los derechos y las libertades de las personas físicas. En
caso de que las violaciones de seguridad no sean imputables al encargado del
tratamiento, corresponderá a la responsable del tratamiento llevar a cabo las
comunicaciones estipuladas.

El encargado del tratamiento, el personal encargado de la realización de las tareas,
así como cualquier persona que intervenga en cualquier fase, se tienen que
comprometer, a observar el secreto profesional respecto de los datos de carácter
personal, independientemente del soporte o forma en los que tengan conocimiento de
estos, para la ejecución de este contrato. Estas obligaciones subsisten incluso después
de finalizar la presente relación contractual, como mínimo hasta la prescripción de las
acciones legales que se puedan derivar de ella.
El encargado del tratamiento responderá ante la responsable del tratamiento del
cumplimiento de la obligación establecida en esta cláusula.

cve: BOE-A-2023-21394
Verificable en https://www.boe.es

Octava. Confidencialidad.