BOLETÍN OFICIAL DEL ESTADO
Núm. 7

Lunes 8 de enero de 2024

Sec. III. Pág. 2177

las personas físicas en lo que respecta al tratamiento de datos personales y a la libre
circulación de estos datos, en adelante RGPD, se establece:
1.

El objeto del encargo del tratamiento:

El objeto del encargo serán la realización de las prestaciones descritas en las
cláusulas pertinentes de este convenio, de manera que mediante las presentes cláusulas
se habilita a la UPM, encargada del tratamiento, en adelante encargado del tratamiento,
para tratar por cuenta del MINISDEF, en adelante responsable del tratamiento, los datos
personales necesarios para realizar las prestaciones determinadas.
2.

Duración:

El presente convenio tiene la duración establecida en la cláusula décima. Una vez
finalice el convenio, el encargado del tratamiento debe devolver al responsable del
tratamiento los datos personales y suprimir cualquier copia que esté en su poder.
3.

Obligaciones del encargado del tratamiento:

a) Utilizar los datos personales objeto de tratamiento, o los que recoja para su
inclusión, solo para la finalidad objeto de este encargo. En ningún caso podrá utilizar los
datos para fines propios.
b) Tratar los datos de acuerdo con las instrucciones del MINISDEF. Si el encargado
del tratamiento considera que alguna de las instrucciones infringe el RGPD o cualquier
otra disposición en materia de protección de datos de la Unión o de los Estados
miembros, el encargado del tratamiento informará inmediatamente al responsable del
tratamiento.
c) Llevar, por escrito, un registro de todas las categorías de actividades de
tratamiento efectuadas por cuenta del MINISDEF, que contenga la información a que se
refiere el artículo 30 del RGPD.
d) No comunicar los datos a terceras personas, salvo que cuente con la
autorización expresa del MINISDEF, en los supuestos legalmente admisibles. El
encargado del tratamiento puede comunicar los datos a otros encargados del tratamiento
del mismo responsable de tratamiento de acuerdo con las instrucciones del MINISDEF.
En este caso, el MINISDEF identificará, de forma previa y por escrito, la entidad a la que
se deben comunicar los datos, los datos a comunicar y las medidas de seguridad a
aplicar para proceder a la comunicación. Si el encargado del tratamiento debe transferir
datos personales a un tercer país o a una organización internacional, en virtud
del Derecho de la Unión o de los Estados miembros que le sean aplicable, informará
al MINISDEF de esa exigencia legal de manera previa, salvo que tal Derecho lo prohíba
por razones importantes de interés público.
e) Mantener el deber de confidencialidad respecto a los datos personales a los que
haya tenido acceso en virtud del presente encargo, incluso después de que finalice su
objeto.
f) Garantizar que las personas autorizadas para tratar datos personales se
comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las
medidas de seguridad correspondientes, de las que hay que informarles convenientemente.
g) Mantener a disposición del responsable del tratamiento la documentación
acreditativa del cumplimiento de la obligación establecida en el apartado anterior.
h) Garantizar la formación necesaria en materia de protección de datos personales
de las personas autorizadas para tratar datos personales.
i) Asistir, si procede, al responsable del tratamiento en la respuesta al ejercicio de
los derechos de:
– Acceso, rectificación, supresión y oposición.
– Limitación del tratamiento.

cve: BOE-A-2024-416
Verificable en https://www.boe.es

El encargado del tratamiento y todo su personal se obliga a: