BOLETÍN OFICIAL DEL ESTADO
Núm. 217

Sábado 7 de septiembre de 2024

Sec. III. Pág. 111884

Sexta.
El Encargado del Tratamiento notificará al responsable, sin dilación indebida y en el
plazo máximo de setenta y dos horas, al correo electrónico de la FGUCM, M.P., las
violaciones de seguridad de los datos personales a su cargo de las que tenga
conocimiento, con toda aquella documentación necesaria para documentar y comunicar
la incidencia. No será necesaria la notificación cuando sea improbable que dicha
violación de la seguridad constituya un riesgo para los derechos y las libertades de las
personas físicas.
El Encargado deberá facilitar a la FGUCM, M.P. si dispone de ella, la siguiente
información:
– Descripción de la naturaleza de la violación de la seguridad de los datos
personales (categorías y número aproximado de interesados afectados).
– Descripción de las posibles consecuencias de la violación de la seguridad de los
datos personales.
– Descripción de las medidas adoptadas o propuestas para poner remedio a la
violación, incluyendo, si procede, las medidas adoptadas para mitigar los posibles
efectos negativos.
Será la FGUCM, M.P., como Responsable del Tratamiento, la responsable de
comunicar dicha violación, en caso de ser necesario, a la Agencia Española de
Protección de Datos, como a los interesados cuando sea probable que la violación
suponga un alto riesgo para los derechos y las libertades de las personas físicas.
Séptima.
Tal y como ha quedado recogido en el presente Acuerdo, es obligación del
Encargado del Tratamiento poner disposición del Responsable toda la información
necesaria para demostrar el cumplimiento de sus obligaciones, así como para la
realización de las auditorías o las inspecciones que realicen el Responsable u otro
auditor autorizado por él en el ejercicio de sus funciones y deber de diligencia.

El presente Acuerdo tiene una duración limitada al desarrollo de las correspondientes
actividades derivadas del presente convenio, de acuerdo a la legislación vigente.
En caso de finalización de la relación entre ambos (Responsable y Encargado del
Tratamiento), los datos de carácter personal utilizados por este último deberán ser
destruidos y suprimir cualquier copia que esté en su poder, en los equipos informáticos
del Encargado. Una vez destruidos, el encargado debe comunicar su destrucción por
escrito al responsable del tratamiento.
No obstante, el encargado puede conservar una copia, con los datos debidamente
bloqueados, mientras puedan derivarse responsabilidades de la ejecución de la
prestación. El mismo destino habrá de darse a cualquier soporte o documentos en que
conste algún dato de carácter personal objeto de tratamiento. En todo caso, los datos
deberán ser devueltos al responsable cuando se requiera la conservación de los datos
personales, en virtud del Derecho de la Unión o de los Estados miembros. En este
sentido, el Encargado puede conservar una copia con los datos debidamente
bloqueados, mientras puedan derivarse responsabilidades de la ejecución de la
prestación o del contrato celebrado.
La obligación finalmente asumida debe quedar documentada por parte del
Encargado y a disposición del Responsable del tratamiento cuando este lo solicite. En el
caso de la destrucción, el Encargado debe certificar su destrucción por escrito y debe
entregar el certificado al Responsable.

cve: BOE-A-2024-18048
Verificable en https://www.boe.es

Octava.