BOLETÍN OFICIAL DEL ESTADO
Lunes 13 de mayo de 2024

Sec. III. Pág. 54506

Séptima. Protección de datos, transparencia y confidencialidad.
En relación con el tratamiento de los datos de carácter personal, las partes, en el
desarrollo de sus correspondientes actividades derivadas del presente convenio,
atenderán las disposiciones de obligado cumplimiento establecidas en el Reglamento
(UE) n.º 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo
a la protección de las personas físicas en lo que respecta al tratamiento de datos
personales y a la libre circulación de estos datos y por el que se deroga la
Directiva 95/46/CE, y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de
Datos Personales y garantía de los derechos digitales, por la que se adapta el
ordenamiento jurídico español a esa norma, así como a lo que establezca el resto de
normativa en vigor durante la vigencia de este convenio.
En el caso de este convenio, CNMV es Responsable del Tratamiento de la manera
que se especifica a lo largo del presente apartado y EOI actuará en calidad de
Encargada de Tratamiento y, por tanto, tiene el deber de cumplir con la normativa vigente
tratando y protegiendo debidamente los Datos Personales.
Por tanto, sobre CNMV recaen las responsabilidades del Responsable del
Tratamiento y sobre EOI las de Encargado de Tratamiento. Si EOI destinase los datos a
otra finalidad, los comunicara o los utilizara incumpliendo las estipulaciones del convenio
y/o la normativa vigente, será considerado también como Responsable del Tratamiento,
respondiendo de las infracciones en que hubiera incurrido personalmente.
En el presente apartado se describen en detalle los Datos Personales a proteger, así
como el tratamiento a realizar y las medidas a implementar por ambas partes. En caso
de que como consecuencia de la ejecución del contrato resultara necesario en algún
momento la modificación de lo estipulado en el presente apartado, ambas partes lo
requerirán razonadamente y señalarán los cambios que solicitan.
Estipulaciones como Encargado de Tratamiento:
De conformidad con lo previsto en el artículo 28 del RGPD, ambas partes se obligan
a y garantizan el cumplimiento de las siguientes obligaciones:
a) Tratar los Datos Personales conforme a las instrucciones documentadas en el
presente convenio o demás documentos aplicables a la ejecución del convenio y
aquellas que, en su caso, reciba del responsable del tratamiento por escrito en cada
momento. El encargado informará inmediatamente al Responsable cuando, en su
opinión, una instrucción sea contraria a la normativa de protección de Datos Personales
aplicable en cada momento.
b) No utilizar ni aplicar los Datos Personales con una finalidad distinta a la
ejecución del objeto del convenio.
c) Tratar los Datos Personales de conformidad con los criterios de seguridad y el
contenido previsto en el artículo 32 del RGPD, así como observar y adoptar las medidas
técnicas y organizativas de seguridad necesarias o convenientes para asegurar la
confidencialidad, secreto e integridad de los Datos Personales a los que tenga acceso.
d) Mantener la más absoluta confidencialidad sobre los Datos Personales a los que
tengan acceso para la ejecución del convenio así como sobre los que resulten de su
tratamiento, cualquiera que sea el soporte en el que se hubieren obtenido. Esta
obligación se extiende a toda persona que pudiera intervenir en cualquier fase del
tratamiento por cuenta de ambas partes, siendo deber de cada una de las partes instruir
a las personas que de él dependan, de este deber de secreto, y del mantenimiento de
dicho deber aún después de la terminación de las actuaciones objeto del convenio o de
su desvinculación.
e) Llevar un listado de personas autorizadas para tratar los Datos Personales
objeto de este convenio y garantizar que las mismas se comprometen, de forma expresa
y por escrito, a respetar la confidencialidad, y a cumplir con las medidas de seguridad

cve: BOE-A-2024-9617
Verificable en https://www.boe.es

Núm. 116