BOLETÍN OFICIAL DEL ESTADO
Núm. 63

Martes 12 de marzo de 2024
Cuarta.

Sec. III. Pág. 29483

Obligaciones del responsable del fichero.

Cada una de las Partes, en su calidad de Responsable del tratamiento, manifiesta y
hace constar, a los efectos legales oportunos que:
– Los datos a los que accederá la otra Parte se hallan debidamente legalizados,
legitimados y cumplen con todas las prescripciones legales y reglamentarias que exige la
normativa vigente en materia de protección de datos.
– Los términos del presente Acuerdo en nada alteran ni sustituyen las obligaciones y
responsabilidades que le sean atribuibles a cada una de las partes, como Responsable
del tratamiento, en virtud de la vigente legislación en materia de protección de datos.
Quinta.

Medidas de seguridad y violación de la seguridad.

Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza,
el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y
gravedad variables para los derechos y libertades de las personas físicas, el Encargado
del tratamiento aplicará medidas técnicas y organizativas apropiadas para garantizar un
nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:

Al evaluar la adecuación del nivel de seguridad, el Encargado del tratamiento tendrá
en cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.
El Encargado del tratamiento permitirá y contribuirá a la realización de auditorías,
incluidas inspecciones, por parte del propio responsable o de otro auditor autorizado por
el mismo. Asimismo, en caso de modificación de la normativa vigente en materia de
protección de datos o de otra normativa relacionada y que resultase aplicable al
tratamiento objeto del presente Acuerdo, el Encargado del tratamiento garantiza la
implantación y mantenimiento de cualesquiera otras medidas de seguridad que le fueran
exigibles, sin que ello suponga una modificación de los términos del presente Acuerdo.
En caso de violación de la seguridad de los datos personales en los sistemas de
información utilizados por el Encargado del tratamiento para la realización de las
acciones previstas en el Convenio, éste deberá notificar al Responsable del tratamiento,
sin dilación indebida, y en cualquier caso antes del plazo máximo de 48 horas naturales
desde que el primero tuvo conocimiento del incidente, las violaciones de la seguridad de
los datos personales a su cargo de las que tenga conocimiento, juntamente con toda la
información relevante para la documentación y comunicación de la incidencia conforme a
lo dispuesto en el artículo 33.3 del RGPD. En tal caso, corresponderá al Responsable del
tratamiento comunicar las violaciones de seguridad de los datos a la Autoridad de
Protección de Datos y/o a los interesados conforme a lo establecido en la normativa
vigente.
Sexta. Destino de los datos al finalizar la relación jurídica a través del convenio.
Una vez cumplida o resuelta la relación jurídica acordada entre las dos Partes, y que
justifica el acceso a los datos de carácter personal respecto de los cuales es responsable
regulado mediante el presente documento, los datos de carácter personal serán destruidos

cve: BOE-A-2024-4852
Verificable en https://www.boe.es

– La seudonimización y el cifrado de datos personales;
– La capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento, así como la
disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente
físico o técnico.
– Un proceso de verificación, evaluación y valoración regulares de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.