BOLETÍN OFICIAL DEL ESTADO
Viernes 9 de agosto de 2024

Sec. III. Pág. 102657

de datos de la Unión o de los Estados miembros, el Encargado informará
inmediatamente al Responsable.
c) Llevar, por escrito, un registro de las actividades de tratamiento efectuadas por
cuenta del Responsable, que contenga:
– El nombre y los datos de contacto del Encargado o Encargados y de cada
responsable por cuenta del cual actúe el Encargado y, en su caso, del representante del
Responsable o del Encargado y del delegado de protección de datos.
– Las categorías de tratamientos efectuados por cuenta de cada responsable.
– En su caso, las transferencias de datos personales a un tercer país u organización
internacional, incluida la identificación de dicho tercer país u organización internacional y,
en el caso de las transferencias indicadas en el artículo 49 apartado 1, párrafo segundo
del RGPD, la documentación de garantías adecuadas.
– Una descripción general de las medidas técnicas y organizativas de seguridad
relativas a (i) a seudonimización y el cifrado de datos personales, (ii) la capacidad de
garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los
sistemas y servicios de tratamiento (iii) la capacidad de restaurar la disponibilidad y el
acceso a los datos personales de forma rápida, en caso de incidente físico o técnico
y (iv) al proceso de verificación, evaluación y valoración regulares de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
El registro se pondrá a disposición del Responsable previa solicitud motivada de
este.
d) No comunicar los Datos a terceras entidades o personas, salvo en los supuestos
de subcontratación autorizados por el Responsable del Tratamiento. En caso de que se
autorice la subcontratación, el Encargado será requisito imprescindible que se cumplan
las siguientes condiciones:
– Que el tratamiento de los datos por parte del subcontratista se ajuste a las
instrucciones del Responsable.
– Que el Encargado y el subcontratista formalicen un contrato de encargo de
tratamiento de datos que recoja las mismas obligaciones de esta cláusula.
– Que el contrato suscrito entre el Encargado y el subcontratista sea puesto a
disposición del Responsable a su mera solicitud para verificar su existencia y contenido.
En caso de incumplimiento, el Encargado inicial seguirá siendo plenamente
responsable ante el Responsable en lo referente al cumplimiento de las obligaciones.
e) Mantener el deber de secreto respecto a los datos personales a los que haya
tenido acceso en virtud del presente contrato, incluso después de que finalice su objeto.
f) Garantizar que las personas autorizadas para tratar los datos personales se
comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir
las medidas de seguridad correspondientes, de las que hay que informarles
convenientemente.
g) Asistir al Responsable, cuando sea necesario, en la respuesta al ejercicio de los
derechos del afectado.
h) Dar apoyo al Responsable del Tratamiento en la realización de las evaluaciones
de impacto relativas a la protección de datos, cuando proceda.
i) Llevar a cabo un análisis de riesgos e implementar medidas de seguridad
adecuadas en base al mismo, teniendo en cuenta el Esquema Nacional de Seguridad en
todo caso.
j) Comunicar al Responsable las violaciones de la seguridad de los datos accedidos
en un plazo máximo de 48 horas desde que tenga constancia de las mismas. El
Encargado, además, colaborará con el Responsable en cualquier investigación
relacionada con violaciones de seguridad que afecten a los datos personales. La
comunicación de la brecha de seguridad se realizará al correo electrónico:
datos.personales@aecid.es.

cve: BOE-A-2024-16564
Verificable en https://www.boe.es

Núm. 192