BOLETÍN OFICIAL DEL ESTADO
Jueves 26 de octubre de 2023

Sec. III. Pág. 141581

g) Salvo que cuente en cada caso con la autorización expresa del responsable del
tratamiento, no comunicar, ceder, ni difundir los datos personales a terceros, ni siquiera
para su conservación.
h) Asistir al responsable del tratamiento en la respuesta al ejercicio de los derechos
de:
1.º Acceso, rectificación, supresión y oposición.
2.º Limitación del tratamiento.
i) Nombrar un delegado de protección de datos, en caso de que sea necesario
según el Reglamento General de Protección de Datos, y comunicarlo al SESCAM,
también cuando la designación sea voluntaria, así como la identidad y datos de contacto
de la(s) persona(s) física(s) designada(s) por la Secretaría General de Instituciones
Penitenciarias como sus representante(s) a efectos de protección de los datos
personales (representantes del encargado de tratamiento), responsable(s) del
cumplimiento de la regulación del tratamiento de datos personales, en las vertientes
legales/formales y en las de seguridad.
j) Una vez finalizada la prestación objeto del presente convenio, se compromete,
según corresponda y se instruye en el presente Anexo «Tratamiento de Datos
Personales», a devolver o destruir:
1.º Los datos personales a los que haya tenido acceso;
2.º Los datos personales generados por la Secretaría General de Instituciones
Penitenciarias por causa del tratamiento; y
3.º Los soportes y documentos en que cualquiera de estos datos consten, sin
conservar copia alguna; salvo que se permita o requiera por ley o por norma de derecho
de la Unión Europea su conservación, en cuyo caso no procederá la destrucción.
El encargado del tratamiento podrá, no obstante, conservar los datos durante el
tiempo que puedan derivarse responsabilidades de su relación con el responsable del
tratamiento. En este último caso, los datos personales se conservarán bloqueados y por
el tiempo mínimo, destruyéndose de forma segura y definitiva al final de dicho plazo.
k) Según corresponda y se indique en el presente anexo, a llevar a cabo el
tratamiento de los datos personales en los sistemas/dispositivos de tratamiento,
manuales y automatizados, y en las ubicaciones que en el presente anexo se
especifican, equipamiento que podrá estar bajo el control del SESCAM o bajo el control
directo o indirecto de la Secretaría General de Instituciones Penitenciarias, u otros que
hayan sido expresamente autorizados por escrito por el SESCAM, según se establezca
en este anexo en su caso, y únicamente por los usuarios o perfiles de usuarios
asignados a la ejecución del objeto de este convenio.
l) Salvo que se indique otra cosa en este anexo o se instruya así expresamente por
el SESCAM, a tratar los datos personales dentro del Espacio Económico Europeo u otro
espacio considerado por la normativa aplicable como de seguridad equivalente, no
tratándolos fuera de este espacio ni directamente ni a través de cualesquiera terceros
autorizados conforme a lo establecido en este convenio, salvo que esté obligado a ello
en virtud del Derecho de la Unión o del Estado miembro que le resulte de aplicación.
En el caso de que por causa de derecho nacional o de la Unión Europea la
Secretaría General de Instituciones Penitenciarias se vea obligada a llevar a cabo alguna
transferencia internacional de datos, informará por escrito al SESCAM de esa exigencia
legal, con antelación suficiente a efectuar el tratamiento, y garantizará el cumplimiento de
cualesquiera requisitos legales que sean aplicables al SESCAM, salvo que el derecho
aplicable lo prohíba por razones importantes de interés público.
m) De conformidad con el artículo 33 del Reglamento General de Protección de
Datos, comunicar al SESCAM, de forma inmediata y a más tardar en el plazo de setenta
y dos horas, cualquier violación de la seguridad de los datos personales a su cargo de la
que tenga conocimiento, juntamente con toda la información relevante para la

cve: BOE-A-2023-21997
Verificable en https://www.boe.es

Núm. 256