BOLETÍN OFICIAL DEL ESTADO
Martes 6 de agosto de 2024

Sec. III. Pág. 101135

de las siguientes obligaciones que a continuación se detallan. Igualmente, en lo que
corresponda, y por la propia actividad que la Secretaría General de Instituciones
Penitenciarias, se aplicará la Ley Orgánica 7/2021, de 26 de mayo, de protección de
datos personales tratados para fines de prevención, detección, investigación y
enjuiciamiento de infracciones penales y de ejecución de sanciones penales, así como
cualquier otra norma de desarrollo y/o modificación de las anteriores que sea de obligado
cumplimiento:
a) Tratar los datos personales conforme a las instrucciones documentadas en el
presente convenio y aquellas que, en su caso, reciba del SESPA por escrito en cada
momento.
La Secretaría General de Instituciones Penitenciarias informará inmediatamente al
SESPA cuando, en su opinión, una instrucción sea contraria a la normativa de protección
de datos personales aplicable en cada momento.
b) No utilizar ni aplicar los datos personales con una finalidad distinta a la ejecución
del objeto del presente convenio.
c) Tratar los datos personales de conformidad con los criterios de seguridad y el
contenido previsto en el artículo 32 del Reglamento General de Protección de Datos, así
como observar y adoptar las medidas técnicas y organizativas de seguridad necesarias,
o convenientes, para asegurar la confidencialidad, secreto e integridad de los datos
personales a los que tenga acceso.
En particular, y sin carácter limitativo, se obliga a aplicar las medidas de protección
del nivel de riesgo y seguridad detallados en el apartado 4.5 del presente anexo.
d) Mantener la más absoluta confidencialidad sobre los datos personales a los que
tenga acceso para la ejecución del convenio, así como sobre los que resulten de su
tratamiento, cualquiera que sea el soporte en el que se hubieren obtenido. Esta
obligación se extiende a toda persona que pudiera intervenir en cualquier fase del
tratamiento por cuenta de la Secretaría General de Instituciones Penitenciarias, siendo
deber de esta parte instruir a las personas que de él dependan, de este deber de
secreto, y del mantenimiento de dicho deber aun después de la terminación de la
ejecución del convenio o de su desvinculación.
e) Llevar un listado de personas autorizadas para tratar los datos personales objeto
de este convenio y garantizar que las mismas se comprometen, de forma expresa y por
escrito (según modelo del anexo II), a respetar la confidencialidad y a cumplir con las
medidas de seguridad correspondientes, de las que les debe informar
convenientemente, así como a mantener a disposición del SESPA dicha documentación
acreditativa.
f) Garantizar la formación necesaria en materia de protección de datos personales
de las personas autorizadas a su tratamiento.
g) Salvo que cuente en cada caso con la autorización expresa del responsable del
tratamiento, no comunicar, ceder ni difundir los datos personales a terceros, ni siquiera
para su conservación.
h) Asistir al responsable del tratamiento en la respuesta al ejercicio de los derechos
de:
1.º Acceso, rectificación, supresión y oposición.
2.º Limitación del tratamiento.
i) Nombrar un delegado de protección de datos, en caso de que sea necesario
según el Reglamento General de Protección de Datos, y comunicarlo al SESPA, también
cuando la designación sea voluntaria, así como la identidad y datos de contacto de la(s)
persona(s) física(s) designada(s) por la Secretaría General de Instituciones
Penitenciarias como sus representante(s) a efectos de protección de los datos
personales (representantes del encargado de tratamiento), responsable(s) del
cumplimiento de la regulación del tratamiento de datos personales, en las vertientes
legales/formales y en las de seguridad.

cve: BOE-A-2024-16296
Verificable en https://www.boe.es

Núm. 189