B.O.C.M. Núm. 41

BOLETÍN OFICIAL DE LA COMUNIDAD DE MADRID
VIERNES 18 DE FEBRERO DE 2022

5.3. Registro de actividades de tratamiento.
El Encargado llevará un registro de todas las categorías de actividades de tratamiento
efectuadas por cuenta del Responsable, salvo que pueda ampararse en alguna de las excepciones del artículo 30.5 del RGPD, que contendrá:
1. El nombre y los datos de contacto del Encargado o Encargados y de cada Responsable por cuenta del cual actúe el Encargado y, en su caso, del representante del Responsable o del Encargado y del delegado de protección de datos.
2. Las categorías de tratamientos efectuados por cuenta de cada Responsable.
3. En su caso, las transferencias de datos personales a un tercer país u organización
internacional, incluida la identificación de dicho tercer país u organización internacional y,
en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo del
RGPD-UE, la documentación de garantías adecuadas.
4. Una descripción general de las medidas técnicas y organizativas de seguridad relativas a:
a) La seudonimización y el cifrado de datos personales.
b) La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.
c) La capacidad de restaurar la disponibilidad y el acceso a los datos personales de
forma rápida, en caso de incidente físico o técnico.
d) El proceso de verificación, evaluación y valoración regulares de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
5.4. No comunicación.
El Encargado no comunicará los datos a terceras personas, salvo que cuente con la
autorización expresa del Responsable, en los supuestos legalmente admisibles.
El Encargado puede comunicar los datos a otros encargados del tratamiento del mismo Responsable, de acuerdo con las instrucciones del Responsable. En este caso, el Responsable identificará, de forma previa y por escrito, la entidad a la que se deben comunicar
los datos, los datos a comunicar y las medidas de seguridad a aplicar para proceder a la comunicación.
5.5. Transferencia internacional.
Si el Encargado debe transferir datos personales a un tercer país o a una organización
internacional, en virtud del Derecho de la Unión o de los Estados miembros que le sean aplicable, informará por escrito al Responsable de esa exigencia legal de manera previa, salvo
que tal Derecho lo prohíba por razones importantes de interés público.
5.6. Subcontratación.
El Encargado no subcontratará ninguna de las prestaciones que formen parte del objeto de este contrato que comporten el tratamiento de datos personales.
5.7. Deber de secreto.
El Encargado y todo su personal mantendrán el deber de secreto respecto a los datos
de carácter personal a los que hayan tenido acceso en virtud del presente encargo, incluso
después de que finalice el mismo.
5.8. Compromisos de confidencialidad por escrito.
El Encargado garantizará que las personas autorizadas para tratar datos personales se
comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las
medidas de seguridad correspondientes, de las que hay que informarles convenientemente.
Si existe una obligación de confidencialidad estatutaria deberá quedar constancia expresa de la naturaleza y extensión de esta obligación.
El Encargado mantendrá a disposición del Responsable la documentación acreditativa
del cumplimiento de esta obligación.
5.9. Formación de las personas autorizadas.
El Encargado garantizará la formación necesaria en materia de protección de datos
personales de las personas autorizadas para tratar datos de carácter personal.
5.10. Asistencia en caso de ejercicio de derechos.
El Encargado asistirá al Responsable en la respuesta al ejercicio de los derechos de:
1. Acceso, rectificación, supresión y oposición.
2. Limitación del tratamiento.

Pág. 139

BOCM-20220218-25

BOCM