BOLETÍN OFICIAL DEL ESTADO
Núm. 268

Miércoles 6 de noviembre de 2024

Sec. III. Pág. 141917

infringe la normativa vigente en materia de protección de datos deberá informar
inmediatamente al Responsable.
c) Adoptar, como se recoge a continuación, las medidas técnicas y organizativas
pertinentes para garantizar la seguridad e integridad de los datos de carácter personal a
los que tenga acceso, evitando su alteración, pérdida, tratamiento o acceso no
autorizado.
d) No comunicar en ningún caso a terceras personas los datos de carácter personal
a los que tenga acceso, ni tan siquiera a efectos de su conservación, sin la previa
autorización del Responsable. El Encargado podrá comunicar datos a otros Encargados
del mismo Responsable de acuerdo con sus instrucciones. En este caso, la Unión
Profesional identificará previamente la entidad a la que se podrá o deberá comunicar, así
como los datos y las medidas de seguridad que corresponde aplicar para proceder a la
comunicación.
e) Devolver o destruir, según se acuerde, los datos comunicados por el
Responsable una vez finalizada la vigencia de este contrato.
f) Para el caso de que el Encargado tenga más de 250 trabajadores o el tratamiento
de datos implique un riesgo para los derechos de los interesados o incluya categorías
especiales de datos, deberá llevar a cabo, por escrito, un registro de todas las categorías
de tratamiento que efectúe por cuenta del Responsable, donde deberán constar los
datos del Encargado; las categorías y los tratamientos de datos efectuados; los datos del
Delegado de Protección de Datos; en su caso, las transferencias de datos personales
que se hubieran realizado o previsto realizar; y las medidas de seguridad adoptadas.
Tercera.

a) Garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento.
b) Restaurar la disponibilidad y el acceso a los datos personales de forma rápida,
en caso de incidente físico o técnico.
c) Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y
organizativas implantadas para garantizar la seguridad del tratamiento.
d) Seudonimizar y cifrar los datos personales, en su caso.
Las obligaciones establecidas para el Encargado del Tratamiento en la presente
estipulación serán también de obligado cumplimiento para sus empleados,
colaboradores, tanto externos como internos, y subcontratistas, por lo que el Encargado

cve: BOE-A-2024-23047
Verificable en https://www.boe.es

Tanto el Responsable como el Encargado del Tratamiento se comprometen –
teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el
alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y
gravedad variables para los derechos y las libertades de las personas físicas– a
establecer las medidas técnicas y organizativas apropiadas para garantizar el nivel de
seguridad adecuado al riesgo existente. Todo ello, con el fin de garantizar su
confidencialidad e integridad, y evitar su alteración, pérdida, tratamiento o acceso no
autorizado.
El Encargado del Tratamiento informará a su personal, colaboradores y
subcontratistas de las obligaciones establecidas en el presente documento, así como de
las obligaciones relativas al tratamiento automatizado de datos de carácter personal que
les incumbe, y garantizará la formación necesaria en protección de datos. El Encargado
del Tratamiento realizará cuantas advertencias y suscribirá cuantos documentos sean
necesarios con su personal y colaboradores, con el fin de asegurar el cumplimiento de
tales obligaciones. En este sentido, el Encargado deberá mantener a disposición del
Responsable la documentación o información que acredite dicho extremo.
En todo caso, el Encargado del Tratamiento deberá implantar las siguientes medidas
de seguridad necesarias para: