BOLETÍN OFICIAL DEL ESTADO
Núm. 140

Lunes 10 de junio de 2024

Sec. III. Pág. 67460

En el caso de que las personas afectadas ejerzan los derechos mencionados en el
apartado anterior ante el encargado del tratamiento, éste debe comunicarlo por correo
electrónico a la dirección indicada por el responsable. La comunicación deberá hacerse
de forma inmediata y en ningún caso más allá del día laborable siguiente al de la
recepción de la solicitud, juntamente, en su caso, con cualquier otra información que
pueda ser relevante para resolver la solicitud.
Novena. Devolución o destrucción de los datos.
Una vez cumplida la prestación contractual, el Encargado se compromete a devolver
a la misma los datos de carácter personal y, si procede, los soportes donde consten, una
vez cumplida la prestación. La devolución debe comportar el borrado total de los datos
existentes en los equipos informáticos utilizados por el Encargado del tratamiento.
Asimismo, el Encargado del tratamiento deberá garantizar que al finalizar la relación
contractual con cualquier persona con la que desempeñe una función profesional:
– La persona devuelve y no conserva de ninguna forma la información y medios del
CSD.
– Confirmar lo anterior de forma manuscrita o bien mediante cualquier medio similar
que permita el marco legal vigente.
– La cancelación inmediata de las autorizaciones a los procesos de información.
No obstante lo anterior, el Encargado del tratamiento puede conservar una copia, con
los datos debidamente bloqueados, mientras puedan derivarse responsabilidades de la
ejecución de los servicios.

El CSD, en cumplimiento de su capacidad de control, podrá realizar por su cuenta
revisiones que verifiquen el cumplimiento de las políticas y medidas de seguridad
exigidas en este acuerdo para la protección de información y datos personales. Las
revisiones podrán ser en los sistemas de información e instalaciones de tratamiento de
datos del Encargado del tratamiento o bien a través de la recopilación de información
que corrobore el cumplimiento por parte del Encargado del tratamiento.
En cualquier caso, el Encargado del tratamiento deberá mantener a disposición del
CSD, la documentación (en soporte físico o electrónico) que acredite el cumplimiento de
sus obligaciones conforme al acuerdo.
Asimismo, el Encargado de tratamiento deberá acreditar que ha realizado los
correspondientes análisis de riesgos y, si procede, las evaluaciones de impacto sobre la
protección de datos pertinentes.
A fin de facilitar o incluso evitar la revisión por parte del CSD, el Encargado del
tratamiento podrá aportar las oportunas certificaciones cuyos ámbitos de aplicación
incluyan los servicios y personal ofrecidos por esta al banco. Si el Encargado del
tratamiento decidiera aportar las mencionadas certificaciones, deberá asimismo aportar
la documentación pertinente, certificación, ámbito de aplicación, así como presentar los
informes de las auditorías a las que de acuerdo con la certificación se encuentra
sometida. En caso de que el CSD encontrase incumplimientos de seguridad
incompatibles con la prestación del servicio, según el análisis de riesgos realizado por
éste, dependiendo de la gravedad de los mismos, podrá requerir al Encargado de
tratamiento la resolución inmediata de los problemas detectados mediante la elaboración
de un plan de corrección que deberá hacerse efectivo en un plazo determinado, que no
podrá exceder de tres meses.
Todo lo anterior, sin perjuicio de la posibilidad de realizar cualesquiera otras auditorías
o revisiones a efectos de verificar de otras obligaciones presentes en este acuerdo.

cve: BOE-A-2024-11738
Verificable en https://www.boe.es

Décima. Auditoría.