BOLETÍN OFICIAL DEL ESTADO
Lunes 10 de junio de 2024

Sec. III. Pág. 67457

periódicamente. Este listado se encuentra a disposición del responsable previa solicitud
por escrito al encargado.
Con todas las empresas subcontratadas, el encargado se compromete a formalizar
por escrito mediante un contrato, las especificaciones establecidas en la normativa
vigente, los deberes y obligaciones que debe observar durante la prestación del servicio
así como las instrucciones concretas que en su caso haya indicado el responsable para
la ejecución del presente convenio siendo considerado la empresa subcontratada como
un segundo encargado del tratamiento de la información de carácter personal del
responsable.
Quinta. Medidas de seguridad.
El Encargado del tratamiento ha implementado medidas técnicas y organizativas
apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta
el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y
los fines del tratamiento.
Como mínimo, se observarán las medidas de seguridad especificadas a
continuación:
a. Registro de actividades y documentación de seguridad. CECA ha elaborado un
inventario de los tratamientos efectuados y la documentación de seguridad que resulta
de obligado cumplimiento para todo el personal de su organización con acceso a los
datos y que cubre la totalidad de sus tratamientos.
Se han establecido políticas de seguridad que establecen las medidas a mantener
por tipología de datos y conforme a los diferentes tratamientos (almacenamiento,
custodia, procesamiento, envío mediante medios físicos o electrónicos, copia y borrado
de datos personales).
b. Responsable de seguridad. CECA ha designado un Responsable de seguridad
que coordina y hace un seguimiento exhaustivo del efectivo cumplimiento de las medidas
de seguridad establecidas y gestiona las incidencias de seguridad, sin perjuicio de las
funciones del Delegado de Protección de Datos designado conforme a la normativa
aplicable.
c. Se han establecido medidas de seguridad para tratamiento automatizado de
datos (controles de entrada, procesamiento y salida de información).
i. Identificación y autenticación de accesos. CECA mantiene un listado actualizado
del personal que tiene autorizado el acceso a los datos, definiendo sus funciones y
permisos de acceso y ha establecido un sistema de identificación inequívoca y
autenticación para el acceso por medio de contraseñas de duración limitada que facilitan
que cada persona acceda sólo a los datos precisos para sus funciones. Se limita la
posibilidad de intentos sucesivos de acceso no autorizado.
ii. Control de acceso. El Centro de Proceso de Datos del encargado de tratamiento
se encuentra ubicado en un edificio independiente al que únicamente puede acceder el
personal específicamente autorizado.
iii. Gestión de soportes no extraíbles. Todos los soportes que contienen los datos se
encuentran inventariados. Los soportes se conservan en un lugar distinto de la sala de
sistemas, de acceso limitado a las personas autorizadas.
iv. Gestión de soportes extraíbles. Los soportes extraíbles utilizados disponen de
mecanismos que obstaculizan su apertura, e impiden el acceso a la información
documental de personas no autorizadas. El Encargado de Tratamiento dispone de una
política que establece restricciones en el uso de dispositivos como terminales móviles,
portátiles, tablets, USBs, etc.
CECA mantiene un registro actualizado de la entrada y salida de soportes
informáticos en la empresa, indicando el tipo de soporte, la fecha y hora, el emisor/
destinatario, el número de soportes incluidos en el envío/recepción, el tipo de

cve: BOE-A-2024-11738
Verificable en https://www.boe.es

Núm. 140