BOLETÍN OFICIAL DEL ESTADO
Jueves 23 de mayo de 2024

Sec. III. Pág. 58948

Joven y para el fin específico que se requiera. Se deberá tener un control de las
personas que tengan acceso en cada actuación del Encargado, y será evidenciable,
debiendo contar con el correspondiente compromiso de confidencialidad.
g) Llevar un listado de personas autorizadas en el apartado anterior para tratar los
Datos Personales objeto del tratamiento y garantizar que las mismas se comprometen a
respetar la confidencialidad, y a cumplir con las medidas de seguridad correspondientes,
de las que les debe informar convenientemente. Igualmente mantener a disposición del
Responsable del Tratamiento dicha documentación acreditativa. Dicha documentación
acreditativa no comportará en ningún caso una comunicación de datos personales de las
personas autorizadas.
h) No comunicar los datos a terceras personas, salvo que cuente con la
autorización expresa del Responsable del Tratamiento, en los supuestos legalmente
admitidos.
i) Llevar, por escrito, un registro de todos los incidentes de seguridad de la
información tanto que se deban aportar o no al CCN-CERT.
j) Para la realización del servicio, se requieren las siguientes comunicaciones
internas de datos entre los Encargados del Tratamiento del Ministerio de Cultura:
– ..............................
– .............................., como entidad encargada de facilitar los medios de pago de las
tarjetas prepago y de gestión de altas, modificaciones y bajas de TPVs de las entidades
adheridas, recibe de forma segura a través de la plataforma informática mediante APIs,
los datos personales necesarios de las personas beneficiarias del Bono Cultural Joven y
de las entidades adheridas al programa.
k) En caso de duda en el acceso a los datos por personal autorizado o en el flujo de
estos, se consultará al responsable la manera de proceder y siempre de manera que se
respete la confidencialidad y la seguridad de la información.
l) El Encargado del Tratamiento siempre colaborará tanto en el cumplimiento de las
obligaciones del responsable como en su demostración.
m) En el ámbito de actuación del encargado, se atenderán las siguientes
indicaciones:
– No se permitirá el uso para fines particulares de aquellos ordenadores y
dispositivos destinados al tratamiento de los datos personales.
– Cuando el mismo ordenador o dispositivo se utilice para el tratamiento de datos
personales y fines de uso personal, se recomienda disponer de varios perfiles o usuarios
distintos para cada una de las finalidades. Deben mantenerse separados los usos
profesional y personal del ordenador o dispositivo.
– Si, en el procedimiento de tratamiento o acceso a los datos a través de un equipo
de los Encargados del Tratamiento, se realice mediante acceso remoto, se debe
disponer de las medidas de seguridad adecuadas contando, al menos, de una VPN y
doble factor de autenticación, 2FA, o medidas de seguridad equivalentes y que cumplan
con el nivel requerido del ENS para en el nivel que corresponda.
– Se recomienda disponer de perfiles con derechos de administración para la
instalación y configuración del sistema y usuarios sin privilegios o derechos de
administración para el acceso a los datos personales. Esta medida evitará que, en caso
de ataque de ciberseguridad, puedan obtenerse privilegios de acceso o modificar el
sistema operativo.
– Se garantizará la existencia de contraseñas (o mecanismos equivalentes) para el
acceso a los datos personales almacenados en sistemas electrónicos. La contraseña
tendrá, al menos, 16 caracteres, mezcla de números y letras, y se renovarán
periódicamente (al menos de forma trimestral).
– Cuando a los datos personales accedan distintas personas, para cada persona
con acceso a los datos personales, se dispondrá de un usuario y contraseña específicos
(identificación inequívoca).

cve: BOE-A-2024-10397
Verificable en https://www.boe.es

Núm. 125