BOLETÍN OFICIAL DEL ESTADO
Núm. 140

Lunes 10 de junio de 2024
Sexta.

Sec. III. Pág. 67459

Notificación de brechas de seguridad.

El Encargado del tratamiento tendrá la obligación de garantizar la implantación de los
requisitos de seguridad establecidos en este acuerdo y de comunicar a el CSD cualquier
incidente que afecte a la información, documentación y datos personales responsabilidad
del CSD, ya sea directa o indirectamente.
Cuando el Encargado del tratamiento o cualquier persona involucrada en los
servicios detectara una incidencia que produjera robo, perdida o daño alguno de la
información, que una persona hubiera accedido a la misma sin autorización, o que la
información hubiera sido utilizada de forma inapropiada, el Encargado del tratamiento
deberá comunicarse inmediatamente con el CSD informando de los detalles de la
incidencia y en cualquier caso antes del plazo de 40 horas, a través de correo electrónico
proad@csd.gob.es acompañando toda la información relevante para la documentación y
comunicación de la incidencia, y como mínimo, la siguiente información (siempre que se
disponga de ella):
1. Descripción de la naturaleza de la violación de la seguridad de los datos
personales, inclusive, cuando sea posible, las categorías y el número aproximado de
interesados afectados, y las categorías y el número aproximado de registros de datos
personales afectados.
2. El nombre y los datos de contacto del delegado de protección de datos o de otro
punto de contacto en el que pueda obtenerse más información.
3. Descripción de las posibles consecuencias.
4. Descripción de las medidas adoptadas o propuestas para remediar la brecha de
seguridad de los datos personales incluyendo, en su caso, las medidas para mitigar los
posibles efectos negativos.
Si no es posible facilitar la información simultáneamente, y en la medida en que no lo
sea, la información se facilitará de manera gradual sin dilación indebida.
Será responsabilidad del Encargado del tratamiento acometer las acciones de
contención y resolución del incidente que sean necesarias.
El CSD, realizará un seguimiento periódico del estado de la resolución del incidente,
comprometiéndose el Encargado del tratamiento a responder con los informes que le
sean solicitados.
Séptima. Registro de las categorías de tratamientos.
El Encargado del tratamiento deberá llevar, por escrito, un registro de todas las
categorías de tratamientos efectuados que refleje:
a) Los datos de contacto tanto del CSD como del Encargado del tratamiento, así
como, en su caso, los de sus representantes y delegados de protección de datos.
b) Las categorías de tratamientos realizados en nombre del CSD.
c) Una descripción general de las medidas de índole técnica y organizativa que
aplique.

El Encargado asistirá al responsable, mediante la aplicación de aquellas medidas
técnicas y organizativas que resulten apropiadas, y de conformidad con la naturaleza de
los datos tratados, en relación con las solicitudes que tengan por objeto el ejercicio de
los derechos de los interesados y, en particular, sus derechos de acceso, rectificación,
supresión («derecho al olvido»), oposición al tratamiento de sus datos, solicitud de la
portabilidad de sus datos de carácter personal, limitación del tratamiento, así como a la
facultad de no ser objeto de una decisión individual automatizada, incluyendo la
elaboración de perfiles.

cve: BOE-A-2024-11738
Verificable en https://www.boe.es

Octava. Derechos de los interesados.