BOLETÍN OFICIAL DEL ESTADO
Martes 6 de agosto de 2024

Sec. III. Pág. 101136

j) Una vez finalizada la prestación objeto del presente convenio, se compromete,
según corresponda y se instruye en el presente anexo «Tratamiento de Datos
Personales», a devolver o destruir:
1.º Los datos personales a los que haya tenido acceso.
2.º Los datos personales generados por la Secretaría General de Instituciones
Penitenciarias por causa del tratamiento; y
3.º Los soportes y documentos en que cualquiera de estos datos consten, sin
conservar copia alguna, salvo que se permita o requiera por ley o por norma de derecho
de la Unión Europea su conservación, en cuyo caso no procederá la destrucción.
El encargado del tratamiento podrá, no obstante, conservar los datos durante el
tiempo que puedan derivarse responsabilidades de su relación con el responsable del
tratamiento. En este último caso, los datos personales se conservarán bloqueados y por
el tiempo mínimo, destruyéndose de forma segura y definitiva al final de dicho plazo.
Quedarán exentos de este compromiso aquellos datos incorporados a los
expedientes de evaluación de discapacidad o dependencia, que no puedan ser
considerados como excesivos para la finalidad con que han sido comunicados.
k) Según corresponda y se indique en el presente anexo, a llevar a cabo el
tratamiento de los datos personales en los sistemas/dispositivos de tratamiento,
manuales y automatizados, y en las ubicaciones que en el presente anexo se
especifican, equipamiento que podrá estar bajo el control del SESPA o bajo el control
directo o indirecto de la Secretaría General de Instituciones Penitenciarias, u otros que
hayan sido expresamente autorizados por escrito por el SESPA según se establezca en
este anexo en su caso, y únicamente por los usuarios o perfiles de usuarios asignados a
la ejecución del objeto de este convenio.
l) Salvo que se indique otra cosa en este anexo o se instruya así expresamente por
el SESPA, a tratar los datos personales dentro del Espacio Económico Europeo u otro
espacio considerado por la normativa aplicable como de seguridad equivalente, no
tratándolos fuera de este espacio ni directamente ni a través de cualesquiera terceros
autorizados conforme a lo establecido en este convenio, salvo que esté obligado a ello
en virtud del Derecho de la Unión o del Estado miembro que le resulte de aplicación.
En el caso de que por causa de Derecho nacional o de la Unión Europea la
Secretaría General de Instituciones Penitenciarias se vea obligada a llevar a cabo alguna
transferencia internacional de datos, informará por escrito al SESPA de esa exigencia
legal, con antelación suficiente a efectuar el tratamiento, y garantizará el cumplimiento de
cualesquiera requisitos legales que sean aplicables al SESPA, salvo que el Derecho
aplicable lo prohíba por razones importantes de interés público.
m) De conformidad con el artículo 33 del Reglamento General de Protección de
Datos, comunicar al SESPA, de forma inmediata y a más tardar en el plazo de 72 horas,
cualquier violación de la seguridad de los datos personales a su cargo de la que tenga
conocimiento, juntamente con toda la información relevante para la documentación y
comunicación de la incidencia o cualquier fallo en su sistema de tratamiento y gestión de
la información que haya tenido o pueda tener que ponga en peligro la seguridad de los
datos personales, su integridad o su disponibilidad, así como cualquier posible
vulneración de la confidencialidad como consecuencia de la puesta en conocimiento de
terceros de los datos e informaciones obtenidos durante la ejecución del convenio.
Comunicará con diligencia información detallada al respecto, incluso concretando qué
interesados sufrieron una pérdida de confidencialidad.
Se mantendrá en todo momento informada a la Consejería de Sanidad de las
comunicaciones realizadas en este sentido.
n) Cuando una persona ejerza un derecho (de acceso, rectificación, supresión y
oposición, limitación del tratamiento, portabilidad de datos y a no ser objeto de
decisiones individualizadas automatizadas, u otros reconocidos por la normativa
aplicable, conjuntamente, los «Derechos»), ante el encargado del tratamiento, éste debe
comunicarlo al SESPA con la mayor prontitud. La comunicación debe hacerse de forma

cve: BOE-A-2024-16296
Verificable en https://www.boe.es

Núm. 189