BOLETÍN OFICIAL DEL ESTADO
Martes 12 de marzo de 2024

Sec. III. Pág. 29482

Tercera. Obligaciones del encargado del tratamiento.
Cada una de las Partes, en su calidad de Encargado del tratamiento, asume las
obligaciones siguientes:
– Acceder a los ficheros o bases de datos de carácter personal de la otra Parte,
únicamente, cuando el mismo sea imprescindible para el buen desarrollo de la acción
que ha sido acordada en el Convenio.
– Tratar los datos conforme a las instrucciones que reciba del responsable de los
mismos.
– Si la Parte que actúa como Encargada del tratamiento considera que alguna de las
instrucciones dadas por el responsable infringe el RGPD o cualquier otra disposición en
materia de protección de datos de la Unión o de los Estados miembros, informará
inmediatamente a éste último.
– No destinar, aplicar o utilizar los datos de carácter personal a los que tenga acceso
con un fin distinto del indicado en el presente Acuerdo o de cualquier otra forma que
suponga un incumplimiento de las instrucciones del responsable.
– Asumir la condición de responsable del tratamiento en caso de que destine los
datos a otra finalidad distinta del cumplimiento del objeto del acuerdo, los comunique o
los utilice incumpliendo las estipulaciones del acuerdo o las obligaciones de la normativa
vigente, respondiendo de las infracciones en que hubiera incurrido personalmente.
– No permitir el acceso a los datos de carácter personal a los que haya tenido
acceso a ningún empleado de su responsabilidad que no tenga la necesidad de
conocerlos para la realización de la actividad objeto de este acuerdo y prevista en el
convenio.
– No revelar, transferir, ceder o de otra forma comunicar los datos de carácter
personal a los que haya tenido acceso, ya sea verbalmente o por escrito, por medios
electrónicos, papel o mediante acceso informático, ni siquiera para su conservación, a
ningún tercero, salvo que exista autorización o instrucción previa del responsable de los
mismos.
– Dar apoyo al responsable de los datos en la realización de las evaluaciones de
impacto relativas a la protección de datos, cuando proceda.
– Dar apoyo al responsable de los datos en la realización de las consultas previas a
la Autoridad de Control, cuando proceda.
– Poner a disposición del responsable de los datos toda la información necesaria
para demostrar el cumplimiento de sus obligaciones, así como para la realización de las
auditorías o de las inspecciones que realicen, bien el propio responsable, u otro auditor
autorizado por este.
– Adoptar y aplicar las medidas de seguridad estipuladas en el presente Acuerdo,
conforme lo previsto en el artículo 32 del RGPD, que garanticen la seguridad de los
datos de carácter personal responsabilidad de cada una de las Partes y eviten su
alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la
tecnología, la naturaleza de los datos almacenados y los riesgos a que estén expuestos,
ya provengan de la acción humana o del medio físico o natural.
– En caso de estar obligado a ello por el artículo 37.1 del RGPD, designar un
delegado de protección de datos y comunicar su identidad y datos de contacto a la otra
Parte, así como cumplir con todo lo dispuesto en los artículos 37, 38 y 39 del RGPD.
– Respetar todas las obligaciones que pudieran corresponderle como encargado del
tratamiento con arreglo al RGPD, o de cualquier otra disposición o regulación
complementaria que le fuera igualmente aplicable.
– En caso de que la Parte que actúa como Encargado del tratamiento deba transferir
o permitir acceso a datos personales responsabilidad de la otra Parte a un tercero en
virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable,
informará a la segunda de esa exigencia legal de manera previa, salvo que estuviese
prohibido por razones de interés público.

cve: BOE-A-2024-4852
Verificable en https://www.boe.es

Núm. 63