BOCM
Pág. 20

BOLETÍN OFICIAL DE LA COMUNIDAD DE MADRID
SÁBADO 25 DE FEBRERO DE 2023

B.O.C.M. Núm. 48

b) Tratar los datos personales de conformidad con el contenido y los criterios de
seguridad que recoge el artículo 32 del RGPD, adoptando las medidas técnicas,
materiales y organizativas necesarias para asegurar la confidencialidad, secreto
e integridad de los Datos Personales a los que tenga acceso.
c) Mantener la más absoluta confidencialidad sobre los datos personales a los que
tenga acceso, así como sobre los que resulten de su tratamiento, cualquiera que sea
el soporte en el que se hubieren obtenido. Esta obligación se extiende a todo el
personal adscrito al servicio, con independencia de su vinculación, laboral, voluntaria, etc., o cualquier otra normativamente prevista para tal servicio.
d) El deber de secreto de las personas que tengan acceso a los datos personales, deberá constar por escrito. Su duración se extenderá aún después de la terminación de
la prestación del Servicio o de su desvinculación con la Asociación El Fanal, por
aplicación directa del RGPD.
e) Garantizar la formación de su personal, en materia de protección de datos personales antes, durante y después de asumir expresamente el deber de confidencialidad
que han de suscribir los empleados afectos al servicio, con motivo del presente encargo.
f)

Registrar documentalmente la observancia de las obligaciones relativas a: i) control de accesos y medidas de seguridad, ii) el deber de comunicación de los incidentes de seguridad, iii) el ejercicio de derechos por los titulares, iv) la realización
de evaluaciones de impacto, teniendo en cuenta la naturaleza del tratamiento y
la naturaleza de los datos tratados. En su caso, también colaborará en la realización de auditorías, consultas previas o inspecciones que realicen las autoridades
competentes.

g) Informar inmediatamente a la Dirección General de Infancia, Familias y Natalidad
(en el plazo máximo de 72 horas), en los términos del artículo 33 RGPD, cualquier
fallo en el sistema que haya puesto, o pueda poner en peligro la seguridad, o bien
cualquier violación de la seguridad de los datos personales a su cargo de la que
tenga conocimiento, juntamente con toda la información relevante para la notificación de la incidencia a la Autoridad de Control. Se procederá de forma idéntica
en el supuesto de una vulneración de la confidencialidad. (ej.: si accidentalmente
es accesible a terceros los datos e informaciones obtenidos durante la ejecución
del convenio). El adjudicatario deberá comunicarlo urgentemente (en un plazo
máximo de 72 horas) al responsable de tratamiento, a través de un email al Delegado de Protección de Datos, protecciondatos-psociales@madrid.org , y también
mediante escrito presentado ante el Registro de la Consejería competente.

i)

Atender y/o coadyuvar a la Dirección General de Infancia, Familias y Natalidad,
siempre que sea posible, para que esta pueda resolver y atender a los titulares (de
los datos personales) en el ejercicio de sus derechos.

j)

Tener a disposición de la Dirección General de Infancia, Familias y Natalidad,
para cuando así le sea requerido, los certificados previos del grado de cumplimiento, resultados de auditorías, sellos de calidad y demás justificantes que se generen
o que obtenga a su calidad de encargado de tratamiento.

k) En el supuesto de que la Asociación El Fanal requiera subencargar el tratamiento
de datos a un tercero, ya sea mediante la gestión directa o indirecta del servicio,
deberá, con carácter previo a formalizar el subencargo de tratamiento, o bien a la
mayor brevedad posible si ya hubiera sido formalizado anteriormente, facilitar los
datos del subencargado de tratamiento a la Dirección General de Infancia, Familias y Natalidad. Asimismo, trasladará al subencargado las obligaciones de esta
cláusula que les sean aplicables, y en todo caso, el deber de confidencialidad y secreto recogidos en las letras c) y d).

BOCM-20230225-2

h) No comunicar, ceder, ni difundir los datos personales a terceros, ni siquiera para
su conservación, salvo autorización expresa del responsable del tratamiento. Tampoco realizará ninguna operación de tratamiento de datos que no esté específicamente reflejada en las presentes estipulaciones, en el Anexo II de “Encargo de
Tratamiento de Datos” o que no se deduzcan razonablemente de las mismas.