BOLETÍN OFICIAL DEL ESTADO
Miércoles 5 de marzo de 2025

Sec. III. Pág. 30307

Tercera. Autoridad designada para operar el BNDP.
El INGESA, a través del Centro Nacional de Dosimetría, es la autoridad nacional
designada para operar el BNDP.
Cuarta. Responsabilidades en el tratamiento de datos personales y datos personales
de salud.
Responsabilidad en el tratamiento de los datos personales.
1. Responsables del tratamiento. De acuerdo con el artículo 4.7 del RGPD, se
consideran responsables del tratamiento las Partes firmantes de este convenio, el
INGESA y la Comunidad Autónoma, en relación con las operaciones de tratamiento de
datos personales que lleven a través de las infraestructuras referidas en la cláusula
segunda, y deberán cumplir las obligaciones inherentes a tal condición.
2. Encargados del tratamiento. Las Partes firmantes del convenio, en tanto
responsables del tratamiento, podrán contratar con terceros actividades o servicios que
conlleven la participación en la provisión de servicios del BNDP. Éstos serán
considerados encargados del tratamiento de conformidad con los artículos 4.8 del RGPD
y 33 de la LOPDGDD, actuando al amparo de un acto o negocio jurídico de acuerdo con
el artículo 28 del RGPD, cuya regulación no podrá ser contradictorias con las cláusulas
del presente convenio y con cuantos documentos o especificaciones técnicas se
desarrollen para proveer los servicios del BNDP por cada una de las partes.
3. Normativa aplicable. Cada organización designada por una de las partes
firmantes del convenio asume la responsabilidad del tratamiento de datos en lo que
respecta a las operaciones de recopilación, acceso, almacenamiento, transferencia y
demás actividades de tratamiento de datos de la información dosimétrica comunicada en
el marco del funcionamiento del BNDP y la infraestructura de la HCDSNS. Esto significa
que los datos personales se registran, transfieren y almacenan de acuerdo con los
principios básicos recogidos en el RGPD y en la LOPDGDD.
Principios relativos al tratamiento de datos personales.
1. El tratamiento de datos personales que lleven a cabo los responsables del
tratamiento, y en su caso, los encargados del tratamiento deberán cumplir los principios
recogidos en el artículo 5 del RGPD y los principios de licitud, lealtad y transparencia,
limitación de la finalidad, minimización de los datos, exactitud, limitación del plazo de
conservación, Integridad y confidencialidad y responsabilidad Proactiva, contenidos en la
LOPDGDD.
2. Las bases jurídicas del tratamiento para la finalidad de prestación del servicio de
SIDAP integrado en el BNDP son las previstas en el artículo 6.1 c), d) y e) del RGPD y lo
dispuesto en el artículo 9.2 g), h) e i) del RGPD en relación con la Directiva 2013/59/
Euratom del Consejo, de 5 de diciembre, por la que se establecen normas de seguridad
básicas para la protección contra los peligros derivados de la exposición a radiaciones
ionizantes, el Real Decreto 601/2019, de 18 de octubre, sobre justificación y optimización
del uso de las radiaciones ionizantes para la protección radiológica de las personas con
ocasión de exposiciones médicas, y la disposición adicional decimoséptima de la
LOPDGDD que al amparo de las letras g), h), i) y j) del artículo 9.2 RGPD legitima el
tratamiento de datos relacionados con la salud que estén regulados en las siguientes
leyes y su normativa de desarrollo: la Ley 41/2002, de 14 de noviembre, básica
reguladora de la autonomía del paciente y de derechos y obligaciones en materia de
información y documentación clínica; la Ley 16/2003, de 28 de mayo, de cohesión y
calidad del Sistema Nacional de Salud; y el texto refundido de la Ley de garantías y uso
racional de los medicamentos y productos sanitarios aprobada por el Real Decreto
Legislativo 1/2015, de 24 de julio.

cve: BOE-A-2025-4399
Verificable en https://www.boe.es

Núm. 55