BOLETÍN OFICIAL DEL ESTADO
Núm. 140

Lunes 10 de junio de 2024

Sec. III. Pág. 67456

de general conocimiento y excepto por lo que se refiere a la información requerida en
virtud de ley o cualquier otra regulación aplicable y obligatoria.
Una vez finalizado el presente acuerdo, la obligación de confidencialidad y deber de
secreto prevista en esta cláusula se mantendrá de forma indefinida incluso hasta después
de cesar en su relación con el responsable del tratamiento, cualquiera que fuera la causa.
En caso de detectarse cualquier tipo de actuación indebida por cualquier persona
que desempeñe funciones profesionales para el encargado del tratamiento (acceso a
información que no corresponde a sus funciones, uso indebido de usuarios y
contraseñas, un usuario con más autorizaciones de las necesarias o cualquier otra), será
responsabilidad y obligación expresa del encargado del tratamiento la comunicación
inmediata junto con informe detallado de los hechos.
Tercera. Instrucciones del responsable del tratamiento.
El Encargado del tratamiento se compromete a tratar los datos personales a los que
tenga acceso únicamente conforme a las instrucciones por escrito que, a tal efecto, le
indique el responsable del tratamiento; siempre siguiendo, cuando menos, con la misma
política de protección de datos personales y con la política de medidas de seguridad
para su resguardo que aquellas empleadas para tal efecto por el responsable del
tratamiento. Este compromiso se extenderá asimismo con respecto a las transferencias
internacionales de datos de carácter personal a un tercer país o una organización
internacional.
En consecuencia, los datos que se conozcan u obtengan en virtud de este acuerdo:
− No podrán ser utilizados para ninguna otra finalidad distinta de la ejecución del
mismo, tendrán carácter confidencial y no serán publicados o puestos en conocimiento
de terceras partes sin la autorización previa y por escrito del responsable del tratamiento.
En ningún caso tratará los datos para fines propios.
− No serán comunicados a terceros sin la previa autorización por escrito del CSD. En
este sentido, el encargado de tratamiento, por escrito y de manera previa a que el CSD
autorice la comunicación, identificará el CSD o entidades a que vaya a comunicar los
datos, qué datos o categoría de datos personales van a ser objeto de la comunicación y
las medidas de seguridad a aplicar para proceder a la misma.
En este sentido, el Encargado del tratamiento se compromete a informar
inmediatamente al responsable del tratamiento en el caso en que una instrucción dirigida
por este pudiera infringir las disposiciones que resultasen aplicables en materia de
protección de datos recogidas en el ordenamiento comunitario o de los Estados miembros.
En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los
comunique o los utilice incumpliendo las estipulaciones del presente acuerdo, será
considerado también Responsable del tratamiento, respondiendo personalmente de las
infracciones en que hubiera incurrido, así como de los daños y perjuicios que puede
causar en este caso a el CSD.
Subcontratación de los servicios.

El responsable autoriza al encargado a subcontratar total o parcialmente el
tratamiento de datos, otorgándole plena autonomía en la subcontratación de terceros,
siempre y cuando se cumplan los siguientes requisitos:
El Encargado está autorizado para subcontratar con terceros siempre que
aporten una mejora, en términos de eficiencia y eficacia, a los servicios incluidos en
el presente convenio (empresas de tecnología, seguridad, gestores, consultores,
auditores, etc.).
La identificación de las empresas subcontratadas autorizadas por el responsable se
encuentra en el correspondiente listado que el encargado irá actualizando

cve: BOE-A-2024-11738
Verificable en https://www.boe.es

Cuarta.