BOLETÍN OFICIAL DEL ESTADO
Jueves 26 de octubre de 2023

Sec. III. Pág. 141582

documentación y comunicación de la incidencia o cualquier fallo en su sistema de
tratamiento y gestión de la información que haya tenido o pueda tener que ponga en
peligro la seguridad de los datos personales, su integridad o su disponibilidad, así como
cualquier posible vulneración de la confidencialidad como consecuencia de la puesta en
conocimiento de terceros de los datos e informaciones obtenidos durante la ejecución del
convenio. Comunicará con diligencia información detallada al respecto, incluso
concretando qué interesados sufrieron una pérdida de confidencialidad.
n) Cuando una persona ejerza un derecho (de acceso, rectificación, supresión y
oposición, limitación del tratamiento, portabilidad de datos y a no ser objeto de
decisiones individualizadas automatizadas, u otros reconocidos por la normativa
aplicable, conjuntamente, los «Derechos»), ante el encargado del tratamiento, éste debe
comunicarlo al SESCAM con la mayor prontitud. La comunicación debe hacerse de
forma inmediata y en ningún caso más allá del día laborable siguiente al de la recepción
del ejercicio de derecho, juntamente, en su caso, con la documentación y otras
informaciones que puedan ser relevantes para resolver la solicitud que obre en su poder,
e incluyendo la identificación fehaciente de quien ejerce el derecho.
Asistirá al SESCAM, siempre que sea posible, para que ésta pueda cumplir y dar
respuesta a los ejercicios de derechos.
ñ) Colaborar con el SESCAM en el cumplimiento de sus obligaciones en materia de:
1.º Medidas de seguridad,
2.º Comunicación y/o notificación de brechas (logradas e intentadas) de medidas
de seguridad a las autoridades competentes o los interesados, y
3.º Colaborar en la realización de evaluaciones de impacto relativas a la protección
de datos personales y consultas previas al respecto a las autoridades competentes;
teniendo en cuenta la naturaleza del tratamiento y la información de la que disponga.
Asimismo, pondrá a disposición del SESCAM, a requerimiento de éste, toda la
información necesaria para demostrar el cumplimiento de las obligaciones previstas en
este convenio y colaborará en la realización de auditoras e inspecciones llevadas a cabo,
en su caso, por el SESCAM.
o) En los casos en que la normativa así lo exija (de acuerdo con el artículo 30.5 del
Reglamento General de Protección de Datos), llevar, por escrito, incluso en formato
electrónico, y de conformidad con lo previsto en el artículo 30.2 del Reglamento General
de Protección de Datos, un registro de todas las categorías de actividades de tratamiento
efectuadas por cuenta del SESCAM (Responsable del tratamiento), que contenga, al
menos, las circunstancias a que se refiere dicho artículo.
p) Disponer de evidencias que demuestren su cumplimiento de la normativa de
protección de datos personales y del deber de responsabilidad activa, como, a título de
ejemplo, certificados previos sobre el grado de cumplimiento o resultados de auditorías,
que habrá de poner a disposición del SESCAM a requerimiento de esta. Asimismo,
durante la vigencia del convenio, pondrá a disposición del SESCAM toda información,
certificaciones y auditorías realizadas en cada momento.
q) Derecho de información: El encargado del tratamiento, en el momento de la
recogida de los datos, debe facilitar la información relativa a los tratamientos de datos
que se van a realizar. La redacción y el formato en que se facilitará la información se
debe consensuar con el responsable antes del inicio de la recogida de los datos.
La presente cláusula de este anexo y las obligaciones en ella establecidas,
constituyen el acto jurídico de encargo de tratamiento entre el SESCAM y la Secretaría
General de Instituciones Penitenciarias a que hace referencia el artículo 28.3
Reglamento General de Protección de Datos. Las obligaciones y prestaciones que aquí
se contienen no son retribuibles de forma distinta de lo previsto en el presente convenio
y tendrán la misma duración que el convenio, prorrogándose en su caso por períodos
iguales a éste. No obstante, a la finalización del convenio, el deber de secreto continuará
vigente, sin límite de tiempo, para todas las personas involucradas en la ejecución del
convenio.

cve: BOE-A-2023-21997
Verificable en https://www.boe.es

Núm. 256