BOCM

BOLETÍN OFICIAL DE LA COMUNIDAD DE MADRID

B.O.C.M. Núm. 237

MIÉRCOLES 5 DE OCTUBRE DE 2022

Pág. 141

• La capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma
rápida, en caso de incidente físico o técnico.

• El proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas
técnicas y organizativas para garantizar la seguridad del tratamiento.

•
•
•
•

Medidas para la identificación y autorización del usuario.
Medidas para la protección de los datos durante la transmisión.
Medidas para la protección de los datos durante el almacenamiento.
Medidas para garantizar la seguridad física de los lugares en los quese tratan los datos
personales.

• Medidas para garantizar el registro de incidentes.
• Medidas para garantizar la configuración del sistema, en especial la configuración por
defecto.

•
•
•
•
•
•
•

Medidas de gobernanza y gestión de la informática y la seguridadinformática internas.
Medidas para la certificación/garantía de procesos y productos.
Medidas para garantizar la minimización de datos.
Medidas para garantizar la calidad de los datos.
Medidas para garantizar una retención limitada de los datos.
Medidas para garantizar la responsabilidad proactiva.
Medidas para permitir la portabilidad de los datos y garantizar lasupresión.

4.- No comunicar los datos a terceras personas, salvo que cuente con laautorización expresa del
responsable del tratamiento, en los supuestoslegalmente admisibles.
5.- Transferencias internacionales.
Si el encargado debe transferir datos personales a un tercer país o a una organización internacional
solo podrá realizarse siguiendo instrucciones documentadas del responsable o en virtud de una
exigencia expresa del Derecho de la Unión o del Estado miembro al que esté sujeto el encargado;
se llevará a cabo de conformidad con el capítulo V del Reglamento (UE) 2016/679. Informará al
responsable de esa exigencia legal de manera previa,salvo que tal Derecho lo prohíba por razones
importantes de interés público.
El responsable se aviene a que, cuando el encargado recurra a un subencargado para llevar a cabo
actividades de tratamiento específicas (porcuenta del responsable) y dichas actividades conlleven
una transferencia de datos personales en el sentido del capítulo V del Reglamento (UE) 2016/679,el
encargado y el subencargado puedan garantizar el cumplimiento del capítulo V del Reglamento (UE)
2016/679 utilizando cláusulas contractuales tipo adoptadas por la Comisión, con arreglo al artículo
46, apartado 2, del Reglamento (UE) 2016/679, siempre que se cumplan las condiciones para la
utilización de dichas cláusulas contractuales tipo.
6.- Subcontratación:

b) Cuando el encargado contrate a un subencargado para llevar a cabo actividades de tratamiento
específicas (por cuenta del responsable), lo hará por medio de un contrato que imponga al
subencargado, en esencia,las mismas obligaciones en materia de protección de datos que las
impuestas al encargado en virtud de las presentes cláusulas. El encargadose asegurará de que el
subencargado cumpla las obligaciones a las que esté sujeto en virtud de las presentes cláusulas
y del Reglamento (UE) 2016/679.
c) El encargado proporcionará al responsable, a instancia de este, una copiadel contrato con el
subencargado y de cualquier modificación posterior delmismo. En la medida en que sea necesario
para proteger secretoscomerciales u otro tipo de información confidencial, como datos
personales, el encargado podrá expurgar el texto del contrato antes de compartir la copia.

BOCM-20221005-18

a) AUTORIZACIÓN PREVIA ESPECÍFICA: El encargado solo podrá subcontratar a un
subencargado las operaciones de tratamiento que realice por cuenta del responsable en virtud de
las presentes cláusulas con la autorización previa específica por escrito del responsable. El
encargado presentará la solicitud de autorización específica al menos 10 días antes de la
contratación del subencargado de que se trate, junto con lainformación necesaria para que el
responsable pueda resolver la solicitud.