BOLETÍN OFICIAL DEL ESTADO
Núm. 180

Viernes 26 de julio de 2024

Sec. III. Pág. 95978

carácter personal a los que tenga acceso, evitando su alteración, pérdida, tratamiento o
acceso no autorizado.
d) No comunicar en ningún caso a terceras personas los datos de carácter personal
a los que tenga acceso, ni tan siquiera a efectos de su conservación, sin la previa
autorización del Responsable. El Encargado podrá comunicar datos a otros Encargados
del mismo Responsable de acuerdo con sus instrucciones. En este caso, el CIS
identificará previamente la entidad a la que se podrá o deberá comunicar, así como los
datos y las medidas de seguridad que corresponde aplicar para proceder a la
comunicación.
e) Devolver o destruir, según se acuerde, los datos comunicados por el Responsable
una vez finalizada la vigencia de este convenio.
f) Para el caso de que el Encargado tenga más de 250 trabajadores o el tratamiento
de datos implique un riesgo para los derechos de los interesados o incluya categorías
especiales de datos, deberá llevar a cabo, por escrito, un registro de todas las categorías
de tratamiento que efectúe por cuenta del Responsable, donde deberán constar los
datos del Encargado; las categorías y los tratamientos de datos efectuados; los datos del
Delegado de Protección de Datos; en su caso, las transferencias de datos personales
que se hubieran realizado o esté previsto realizar; y las medidas de seguridad
adoptadas.
Tercera.
Tanto el Responsable como el Encargado del tratamiento se comprometen -teniendo
en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el
contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad
variables para los derechos y las libertades de las personas físicas a establecer las
medidas técnicas y organizativas apropiadas para garantizar el nivel de seguridad
adecuado al riesgo existente. Todo ello, con el fin de garantizar su confidencialidad e
integridad, y evitar su alteración, pérdida, tratamiento o acceso no autorizado.
En todo caso, el Encargado del tratamiento deberá implantar las siguientes medidas
de seguridad necesarias para:

Las obligaciones establecidas para el Encargado del tratamiento en la presente
estipulación serán también de obligado cumplimiento para sus empleados,
colaboradores, tanto externos como internos, y subcontratistas. En este sentido, el
Encargado del tratamiento informará a su personal, colaboradores y subcontratistas de
las obligaciones establecidas en el presente documento, así como de las obligaciones
relativas al tratamiento automatizado de datos de carácter personal que les incumbe, y
garantizará la formación necesaria en protección de datos. El Encargado del tratamiento
realizará cuantas advertencias y suscribirá cuantos documentos sean necesarios con su
personal y colaboradores, con el fin de asegurar el cumplimiento de tales obligaciones.
En este sentido, el Encargado deberá mantener a disposición del Responsable la
documentación o información que acredite dicho extremo. En todo caso, el Tratamiento
responderá frente al Responsable del tratamiento si tales obligaciones son incumplidas
por tales empleados, colaboradores o subcontratistas.

cve: BOE-A-2024-15481
Verificable en https://www.boe.es

a) Garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento.
b) Restaurar la disponibilidad y el acceso a los datos personales de forma rápida,
en caso de incidente físico o técnico.
c) Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y
organizativas implantadas para garantizar la seguridad del tratamiento.
d) Seudonimizar y cifrar los datos personales, en su caso.