BOLETÍN OFICIAL DEL ESTADO
Lunes 24 de junio de 2024

Sec. III. Pág. 73064

d) El proceso de verificación, evaluación y valoración regulares de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
e. No comunicar los datos a terceras personas, salvo que cuente con la
autorización expresa del responsable del tratamiento, en los supuestos legalmente
admisibles.
El encargado puede comunicar los datos a otros encargados del tratamiento del
mismo responsable, de acuerdo con las instrucciones del responsable. En este caso, el
responsable identificará, de forma previa y por escrito, la entidad a la que se deben
comunicar los datos, los datos a comunicar y las medidas de seguridad a aplicar para
proceder a la comunicación.
Si el encargado debe transferir datos personales a un tercer país o a una
organización internacional, en virtud del Derecho de la Unión o de los Estados miembros
que le sean aplicables, informará al responsable de esa exigencia legal de manera
previa, salvo que tal Derecho lo prohíba por razones importantes de interés público.
f. No subcontratar ninguna de las prestaciones que formen parte del objeto de este
convenio que comporten el tratamiento de datos personales, salvo los servicios
auxiliares necesarios para el normal funcionamiento de los servicios del encargado. Si
fuera necesario subcontratar algún tratamiento, este hecho se deberá comunicar
previamente y por escrito al responsable, con una antelación de 15 días, indicando los
tratamientos que se pretende subcontratar e identificando, de forma clara e inequívoca,
la empresa subcontratista y sus datos de contacto. La subcontratación podrá llevarse a
cabo si el responsable no manifiesta su oposición en el plazo establecido.
El subcontratista, que también tendrá la condición de encargado del tratamiento, está
obligado igualmente a cumplir las obligaciones establecidas en este convenio para el
encargado del tratamiento y las instrucciones que dicte el responsable. Corresponde al
encargado inicial regular la nueva relación de forma que el nuevo encargado quede
sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad…),
y con los mismos requisitos formales que él, en lo referente al adecuado tratamiento de
los datos personales y a la garantía de los derechos de las personas afectadas. En el
caso de incumplimiento por parte del subencargado, el encargado inicial seguirá siendo
plenamente responsable ante el responsable en lo referente al cumplimiento de las
obligaciones.
g. Mantener el deber de secreto respecto a los datos de carácter personal a los que
haya tenido acceso en virtud del presente convenio, incluso después de que finalice su
objeto.
h. Garantizar que las personas autorizadas para tratar datos personales se
comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir
las medidas de seguridad correspondientes, de las que hay que informarles
convenientemente.
i. Mantener a disposición del responsable la documentación acreditativa del
cumplimiento de la obligación establecida en el apartado anterior.
j. Garantizar la formación necesaria en materia de protección de datos personales
de las personas autorizadas para tratar datos personales.
k. Asistir al responsable del tratamiento en la respuesta al ejercicio de los derechos de:
1. Acceso, rectificación, supresión y oposición;
2. Limitación del tratamiento;
3. Portabilidad de datos;
4. A no ser objeto de decisiones individualizadas automatizadas (incluida la
elaboración de perfiles).
Cuando las personas afectadas ejerzan los derechos de acceso, rectificación,
supresión y oposición, limitación del tratamiento, portabilidad de datos y a no ser objeto
de decisiones individualizadas automatizadas, ante el encargado del tratamiento, éste
debe comunicarlo por correo electrónico al Delegado de Protección de Datos del

cve: BOE-A-2024-12794
Verificable en https://www.boe.es

Núm. 152