BOLETÍN OFICIAL DEL ESTADO
Viernes 5 de julio de 2024

Sec. III. Pág. 83595

c) La capacidad de restaurar la disponibilidad y el acceso a los datos personales de
forma rápida, en caso de incidente físico o técnico.
d) El proceso de verificación, evaluación y valoración regulares de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
e) No comunicar los datos a terceras personas, salvo que cuente con la
autorización expresa del responsable del tratamiento, en los supuestos legalmente
admisibles.
El encargado puede comunicar los datos a otros encargados del tratamiento del
mismo responsable, de acuerdo con las instrucciones del responsable. En este caso, el
responsable identificará, de forma previa y por escrito, la entidad a la que se deben
comunicar los datos, los datos a comunicar y las medidas de seguridad aplicar para
proceder a la comunicación.
Si el encargado debe transferir datos personales a un tercer país o a una
organización internacional, en virtud del Derecho de la Unión o de los Estados miembros
que le sea aplicable, informará al responsable de esa exigencia legal de manera previa,
salvo que tal Derecho lo prohíba por razones importantes de interés público.
f) Subcontratación. Se autoriza al encargado a subcontratar con la empresa
identificar a la empresa contratada en su caso.
Para subcontratar con otras empresas, el encargado debe comunicarlo por escrito al
responsable, identificando de forma clara e inequívoca la empresa subcontratista y sus
datos de contacto. La subcontratación podrá llevarse a cabo si el responsable no
manifiesta su oposición en el plazo de un mes.
El subcontratista, que también tiene la condición de encargado del tratamiento, está
obligado igualmente a cumplir las obligaciones establecidas en este documento para el
encargado del tratamiento y las instrucciones que dicte el responsable. Corresponde al
encargado inicial regular la nueva relación, de forma que el nuevo encargado quede
sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad…) y
con los mismos requisitos formales que él, en lo referente al adecuado tratamiento de los
datos personales y a la garantía de los derechos de las personas afectadas. En el caso
de incumplimiento por parte del subencargado, el encargado inicial seguirá siendo
plenamente responsable ante el responsable en lo referente al cumplimiento de las
obligaciones.
g) Mantener el deber de secreto respecto de los datos de carácter personal a los
que haya tenido acceso en virtud del presente encargo, incluso después de que finalice
su objeto.
h) Garantizar que las personas autorizadas para tratar datos personales se
comprometan, de forma expresa y por escrito, según el modelo facilitado por el
responsable del tratamiento, a respetar la confidencialidad y a cumplir las medidas de
seguridad correspondientes.
i) Remitir al responsable la documentación acreditativa del cumplimiento de la
obligación establecida en el apartado anterior.
j) Garantizar la formación necesaria en materia de protección de datos personales
de las personas autorizadas para tratar datos personales.
k) Asistir al responsable del tratamiento en la respuesta al ejercicio de los
derechos de:
1. Acceso, rectificación, supresión y oposición.
2. Limitación del tratamiento.
3. Portabilidad de datos.
4. A no ser objeto de decisiones individualizadas automatizadas (incluida la
elaboración de perfiles).
Cuando las personas afectadas ejerzan los derechos de acceso, rectificación,
supresión y oposición, limitación del tratamiento, portabilidad de datos y a no ser objeto
de decisiones individualizadas automatizadas, ante el encargado del tratamiento, este
debe comunicarlo por correo electrónico a la dirección.

cve: BOE-A-2024-13752
Verificable en https://www.boe.es

Núm. 162