BOLETÍN OFICIAL DEL ESTADO
Sábado 10 de agosto de 2024

Sec. III. Pág. 103533

– Cuando se precise realizar la extracción de datos personales fuera del recinto
donde se realiza su tratamiento, ya sea por medios físicos o por medios electrónicos, se
deberá valorar la posibilidad de utilizar un método de cifrado para garantizar la
confidencialidad de los datos personales en caso de acceso indebido a la información.
– En la parte del flujo de trabajo de cada Encargado del Tratamiento y como refuerzo
al apartado a), periódicamente se realizará una copia de seguridad en un segundo
soporte distinto del que se utiliza para el trabajo diario. La copia se almacenará en lugar
seguro, distinto de aquél en que esté ubicado el equipo con los ficheros originales, con el
fin de permitir la recuperación de los datos personales en caso de pérdida de la
información. La copia de seguridad debe estar encriptada.
– Se deberá evitar el acceso de personas no autorizadas a los datos personales, a
tal fin se evitará: dejar los datos personales expuestos a terceros (pantallas electrónicas
desatendidas, documentos en papel en zonas de acceso público, soportes con datos
personales, etc.), esta consideración incluye las pantallas que se utilicen para la
visualización de imágenes del sistema de videovigilancia, si lo hubiera. Cuando la
persona se ausente del puesto de trabajo, procederá al bloqueo de la pantalla o al cierre
de la sesión.
– Los documentos en papel y soportes electrónicos se almacenarán en lugar seguro
(armarios o estancias de acceso restringido) durante las 24 horas del día, y serán
custodiados cuando, con motivo de su tramitación, se encuentren fuera de los
dispositivos o salas de archivo.
– No se desecharán documentos (papel) o soportes electrónicos (cd, pen drives,
discos duros, etc.), con datos personales sin garantizar su destrucción, de forma que la
información no sea recuperable.
Elementos del tratamiento
El tratamiento de los Datos Personales comprenderá: registro (grabación),
estructuración, modificación, consulta, interconexión (cruce), cotejo, supresión,
destrucción (de copias temporales), conservación (en sus sistemas de información),
copia de seguridad y recuperación.
Disposición de los datos al finalizar la colaboración
a) Una vez finalice la vigencia del convenio, el encargado (y sus subencargados
implícitamente) deben: devolver al responsable del tratamiento los datos de carácter
personal y, si procede, los soportes donde consten, una vez cumplida la prestación. La
devolución debe comportar el borrado total de los datos existentes en los equipos
informáticos utilizados por el encargado. No obstante, el encargado puede conservar una
copia, con los datos debidamente bloqueados, mientras puedan derivarse
responsabilidades de la ejecución de la prestación.
No obstante, y previa notificación por escrito del Responsable del Tratamiento a la
finalización del encargo, el Responsable del Tratamiento podrá requerir al encargado
para que, en vez de la opción a), cumpla con la b) o c) siguientes:
b) Devolver al encargado que designe por escrito el responsable del tratamiento,
los datos de carácter personal y, si procede, los soportes donde consten, una vez
cumplida prestación. La devolución debe comportar el borrado total de los datos
existentes en los equipos informáticos utilizados por el encargado. No obstante, el
encargado puede conservar una copia, con los datos debidamente bloqueados, mientras
puedan derivarse responsabilidades de la ejecución de la prestación.
c) Destruir los datos, una vez cumplida la prestación. Una vez destruidos, el
encargado debe certificar su destrucción por escrito y previa petición, debe entregar el
certificado al responsable del tratamiento. No obstante, el encargado puede conservar
una copia, con los datos debidamente boqueados, mientras puedan derivarse
responsabilidades de la ejecución de la prestación.

cve: BOE-A-2024-16672
Verificable en https://www.boe.es

Núm. 193