BOLETÍN OFICIAL DEL ESTADO
Núm. 217

Sábado 7 de septiembre de 2024

Sec. III. Pág. 111882

tratamiento de datos de carácter personal por cuenta de terceros, para cuyo
cumplimiento asume los siguientes compromisos con carácter general:
a) Acceder a los datos de carácter personal, cuya responsabilidad es de la
FGUCM, M.P., únicamente si tal acceso es necesario para la prestación del servicio
contratado, y no utilizará o aplicará dichos datos para fin distinto de la prestación del
servicio. En ningún caso podrá utilizar los datos para fines propios.
b) Tratar los datos cumpliendo con las mismas obligaciones que el Responsable o
de acuerdo con sus instrucciones, prestando especial atención a las obligaciones
relacionadas con el principio de información y el ejercicio de los derechos de los
interesados. Si el Encargado del Tratamiento considera que alguna de las instrucciones
infringe la normativa vigente en materia de protección de datos deberá informar
inmediatamente al Responsable.
c) Adoptar, como se recoge a continuación, las medidas técnicas y organizativas
pertinentes para garantizar la seguridad e integridad de los datos de carácter personal a
los que tenga acceso, evitando su alteración, pérdida, tratamiento o acceso no
autorizado.
d) No comunicar en ningún caso a terceras personas los datos de carácter personal
a los que tenga acceso, ni tan siquiera a efectos de su conservación, sin la previa
autorización del Responsable. El Encargado podrá comunicar datos a otros Encargados
del mismo Responsable de acuerdo con sus instrucciones. En este caso, la FGUCM,
M.P., identificará previamente la entidad a la que se podrá o deberá comunicar, así como
los datos y las medidas de seguridad que corresponde aplicar para proceder a la
comunicación.
e) Devolver o destruir, según se acuerde, los datos comunicados por el
Responsable una vez finalizada la vigencia de este contrato.
f) Para el caso de que el Encargado tenga más de 250 trabajadores o el tratamiento
de datos implique un riesgo para los derechos de los interesados o incluya categorías
especiales de datos, deberá llevar a cabo, por escrito, un registro de todas las categorías
de tratamiento que efectúe por cuenta del Responsable, donde deberán constar los
datos del Encargado; las categorías y los tratamientos de datos efectuados; los datos del
Delegado de Protección de Datos; en su caso, las transferencias de datos personales
que se hubieran realizado o previsto realizar; y las medidas de seguridad adoptadas.

Tanto el Responsable como el Encargado del Tratamiento se comprometen -teniendo
en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el
contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad
variables para los derechos y las libertades de las personas físicas a establecer las
medidas técnicas y organizativas apropiadas para garantizar el nivel de seguridad
adecuado al riesgo existente. Todo ello, con el fin de garantizar su confidencialidad e
integridad, y evitar su alteración, pérdida, tratamiento o acceso no autorizado.
El Encargado del Tratamiento informará a su personal, colaboradores y
subcontratistas de las obligaciones establecidas en el presente documento, así como de
las obligaciones relativas al tratamiento automatizado de datos de carácter personal que
les incumbe, y garantizará la formación necesaria en protección de datos. El Encargado
del Tratamiento realizará cuantas advertencias y suscribirá cuantos documentos sean
necesarios con su personal y colaboradores, con el fin de asegurar el cumplimiento de
tales obligaciones. En este sentido, el Encargado deberá mantener a disposición del
Responsable la documentación o información que acredite dicho extremo.
En todo caso, el Encargado del Tratamiento deberá implantar las siguientes medidas
de seguridad necesarias para
a) Garantizar la confidencialidad, integridad,
permanentes de los sistemas y servicios de tratamiento.

disponibilidad

y

resiliencia

cve: BOE-A-2024-18048
Verificable en https://www.boe.es

Tercera.