BOLETÍN OFICIAL DEL ESTADO
Sábado 14 de septiembre de 2024

Sec. III. Pág. 113916

b. Tratar los datos de acuerdo con las instrucciones documentadas del
Responsable. Inclusive con respecto a las transferencias internacionales de datos, si el
Encargado debe transferir datos personales a un tercer país o a una organización
internacional, en virtud del Derecho de la Unión o de los Estados miembros que le sea
aplicable, informará al Responsable de esa exigencia legal de manera previa, salvo que
tal Derecho lo prohíba por razones importantes de interés público.
c. Llevar, por escrito, salvo que pueda acogerse a alguna de las excepciones del
artículo 30.5 del RGPD, un registro de todas las categorías de actividades de
tratamiento efectuadas por cuenta del Responsable, que contenga, conforme al
artículo 30.2 del RGPD:
1. El nombre y los datos de contacto del Encargado y de cada responsable por
cuenta del cual actúe el Encargado.
2. Las categorías de tratamientos efectuados por cuenta de cada responsable.
3. Una descripción general de las medidas técnicas y organizativas de seguridad
apropiadas que esté aplicando al tratamiento de los datos.
d. No comunicar los datos a terceras personas, salvo que cuente con la
autorización expresa del Responsable, en los supuestos legalmente admisibles.
e. Mantener el deber de secreto respecto a los datos de carácter personal a los que
haya tenido acceso en virtud del presente convenio, incluso después de que finalice el
mismo.
f. Garantizar que las personas autorizadas para tratar datos personales se
comprometan de forma expresa y por escrito, a respetar la confidencialidad y a cumplir
las medidas de seguridad correspondientes, de las que el encargado les informará
convenientemente. El Encargado mantendrá a disposición del Responsable la
documentación acreditativa del cumplimiento de esta obligación.
g. Garantizar la formación necesaria en materia de protección de datos personales
de las personas autorizadas para tratar datos personales.
h. Cuando las personas afectadas ejerzan los derechos de acceso, rectificación,
supresión y oposición, limitación del tratamiento y portabilidad de datos ante el
Encargado, éste debe comunicarlo por correo electrónico a la dirección que indique el
Responsable. La comunicación debe hacerse de forma inmediata y en ningún caso más
allá del día laborable siguiente al de la recepción de la solicitud, juntamente, en su caso,
con otras informaciones que puedan ser relevantes para resolver la solicitud.
i. Notificación de violaciones de la seguridad de los datos. El encargado notificará al
Responsable, sin dilación indebida y a través de la dirección de correo electrónico que le
indique el Responsable, las violaciones de la seguridad de los datos personales a su
cargo de las que tenga conocimiento, juntamente con toda la información relevante para
la documentación y comunicación de la incidencia. Se facilitará, como mínimo, la
información siguiente:
– Descripción de la naturaleza de la violación de la seguridad de los datos
personales, inclusive, cuando sea posible, las categorías y el número aproximado de
interesados afectados, y las categorías y el número aproximado de registros de datos
personales afectados.
– Datos de la persona de contacto del Encargado para obtener más información.
– Descripción de las posibles consecuencias de la violación de la seguridad de los
datos personales.
– Descripción de las medidas adoptadas o propuestas para poner remedio a la
violación de la seguridad de los datos personales, incluyendo, si procede, las medidas
adoptadas para mitigar los posibles efectos negativos. Si no es posible facilitar la
información simultáneamente, y en la medida en que no lo sea, la información se
facilitará de manera gradual sin dilación indebida.

cve: BOE-A-2024-18468
Verificable en https://www.boe.es

Núm. 223