BOLETÍN OFICIAL DEL ESTADO
Núm. 110

Lunes 6 de mayo de 2024

Sec. III. Pág. 51136

Las partes se comprometen a cumplir, en los términos que sea de aplicación, lo que
está establecido en el Reglamento (UE) 2016/679, del Parlamento Europeo y del
Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que
respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el
que se deroga la Directiva 95/46/CE (Reglamento General de protección de datos,
RGPD), y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y garantía de los derechos digitales, así como en las disposiciones de
desarrollo que se dicten.
El MINISDEF y la Fundación, tienen la consideración de responsables de los
tratamientos en que se incorporen datos personales que, cada una de las partes,
respectivamente, recaben. El acceso por uno de los intervinientes en el convenio a los
datos personales que la otra parte interviniente hubiera recabado se hará bajo la
consideración de encargado de tratamiento de los datos personales, para lo que deberán
suscribirse los actos jurídicos de encargo de tratamiento pertinentes en los términos y
condiciones previstos en el artículo 28 del RGPD y única y exclusivamente conforme a la
finalidad objeto del convenio. Los datos personales no se cederán ni se comunicarán a
terceros, salvo cuando ello sea conforme a la legalidad.
Las partes intervinientes en el convenio asumen que deben informar a los titulares de
los datos personales de las características del tratamiento de los datos personales que, en
el marco del convenio, se llevará a cabo; asumen que han de obtener el consentimiento de
los titulares de los datos personales para llevar a efecto los tratamientos de los datos
personales que sean consecuencia de las actuaciones previstas en el convenio, y también
asumen las obligaciones derivadas de la obligación de implementar las oportunas medidas
técnicas y organizativas, así como de implementar el correspondiente mecanismo que
solvente las violaciones de la seguridad de los datos personales que pudieran producirse;
asumen, también, la obligación de establecer el mecanismo de respuesta al ejercicio por
parte de los titulares de los datos personales de los derechos que derivan de la normativa
de protección de datos personales.
La documentación de cada actividad que se realice al amparo del convenio incluirá la
oportuna cláusula sobre el tratamiento concreto los datos personales, con especificación
de los puntos legalmente exigibles.
Los datos personales objeto de tratamiento a consecuencia del convenio se
incorporarán a los Registros de Actividades de Tratamiento (RAT,s) de cada una de las
partes intervinientes en el convenio, con la finalidad de gestionar la relación descrita en
el convenio. Las partes intervinientes se abstendrán de hacer ningún tipo de tratamiento
de los datos personales que no sea estrictamente necesario para el cumplimiento de los
fines del convenio. Los titulares de los datos personales podrán ejercitar ante el
responsable o el encargado del tratamiento de los datos personales los derechos de
acceso, de rectificación, de supresión y portabilidad de los datos personales, y de
limitación u oposición al tratamiento de los datos.
Si las partes intervinientes en el convenio destinasen los datos personales que
obtengan a consecuencia del mismo a otra finalidad, los comunicasen o utilizasen
incumpliendo lo estipulado en el convenio y/o en la normativa de protección de datos
personales, cada una de las partes intervinientes responderá de las responsabilidades
que deriven de los daños y perjuicios causados, a fin de garantizar al perjudicado la
indemnización efectiva, sin perjuicio del artículo 82.5 del RGPD europeo.
Las garantías que, en orden a los datos personales, se establecen tendrán validez
durante la vigencia del presente convenio y de sus prórrogas.
Novena.

Eficacia y Duración.

Con arreglo a lo establecido en el artículo 48.8 de la Ley 40/2015, de 1 de octubre, el
convenio se perfeccionará por la prestación del consentimiento de las partes y resultará
eficaz una vez inscrito, en el plazo de cinco días hábiles desde su finalización en el

cve: BOE-A-2024-9093
Verificable en https://www.boe.es

Octava. Protección de datos de carácter personal.