BOCM
B.O.C.M. Núm. 294

-

BOLETÍN OFICIAL DE LA COMUNIDAD DE MADRID
LUNES 11 DE DICIEMBRE DE 2023

Pág. 201

No revelar, transferir, ceder o de otra forma comunicar los datos de carácter personal
responsabilidad del Responsable, ya sea verbalmente o por escrito, por medios electrónicos,
papel o mediante acceso informático, ni siquiera para su conservación, a ningún tercero, salvo
que exista autorización o instrucción previa del Responsable, que deberá constar, en todo caso,
por escrito.

-

-

-

-

-

-

-

-

-

Tratar los datos personales dentro del Espacio Económico Europeo u otro espacio considerado
por la normativa aplicable como de seguridad equivalente, no tratándolos fuera de este espacio
ni directamente ni a través de subencargado/s autorizado/s conforme a lo establecido en el
convenio suscrito o demás documentos convencionales que pudieran adicionarse o
complementar al mismo, salvo que esté obligado a ello en virtud del Derecho de la Unión o del
Estado miembro que le resultede aplicación.
En el caso de que por causa de Derecho nacional o de la Unión Europea el Encargado se vea
obligado a llevar a cabo alguna transferencia internacional de datos, informará por escrito al
Responsable de esa exigencia legal, con antelación suficiente a efectuar el tratamiento, y garantizará el
cumplimiento de cualesquiera requisitos legales que sean aplicables al Responsable del tratamiento,
salvo que el Derecho aplicable lo prohíba por razones importantes de interés público.
Adoptar y aplicar las medidas de seguridad estipuladas en el artículo 32 del RGPD, y en el Real
Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridaden el ámbito
de la Administración Electrónica (ENS), que garanticen la seguridad de los datos de carácter
personal responsabilidad del Responsable y eviten su alteración, pérdida, tratamiento o acceso no
autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los
riesgos a que estén expuestos, ya provengan de la acción humana o del medio físico o natural.
Garantizar, a lo largo de toda la vigencia del convenio, la formación necesaria en materia de
protección de datos personales de las personas autorizadas para tratar datos personales.
En caso de estar obligado a ello por el artículo 30 del RGPD y 31 de la LOPDGDD, el Encargado
mantendrá un registro, incluso en formato electrónico, de todas las categorías de actividades.
Asistir al Responsable del tratamiento, teniendo en cuenta la naturaleza del tratamiento, a través de
medidas técnicas y organizativas apropiadas, para que este pueda cumplir con su obligación de
responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados en
los términos dispuestos en la cláusula undécima del presente acuerdo, y le ayudará a garantizar el
cumplimiento de las obligaciones establecidas en los artículos 32a 36 del RGPD, teniendo en cuenta
la naturaleza del tratamiento y la información a disposición del Encargado.
Colaborar con el Responsable en el cumplimiento de sus obligaciones en materia de medidas
de seguridad, comunicación y/o notificación de brechas (logradas e intentadas) de medidas de
seguridad a las autoridades competentes o los interesados, y colaborar en la realización de
evaluaciones de impacto relativas a la protección de datos personales y consultas previas al
respecto a las autoridades competentes cuando proceda, teniendo en cuenta la naturaleza del
tratamiento y la información de la que disponga, y de conformidad con las disposiciones
contenidas en la cláusula novena del presenteacuerdo.
Disponer de evidencias que demuestren su cumplimiento de la normativa de protección de
Datos Personales y del deber de responsabilidad activa, como, a título de ejemplo, certificados
previos sobre el grado de cumplimiento o resultados de auditorías, que habrá de poner a
disposición del Responsable, a requerimiento de este. Asimismo, durante la vigencia del
contrato, pondrá a disposición del Responsable toda información, certificaciones y auditorías
realizadas en cada momento. Igualmente, proporcionará al Responsable cuantos datos o
documentos le sean requeridos en los controles, auditorías o inspecciones que realice en
cualquier momento el propio Responsable del tratamiento u otro auditor autorizado por este.
En caso de estar obligado a ello por el artículo 37.1 del RGPD y por el artículo 34 de la
LOPDGDD, designar un Delegado de Protección de Datos y comunicar su identidad y datos de
contacto al Responsable, así como cumplir con el resto de requerimientos establecidos en los
artículos 37 a 39 del RGPD y 35 a 37 de la LOPDGDD. En los mismos términos se procederá
en caso de que la designación haya sido voluntaria.
Asimismo, el Encargado habrá de comunicar la identidad y datos de contacto de la(s)
persona(s) física(s) designada(s) por el mismo como su/s representante(s) a efectos de
protección de los Datos Personales, responsable(s) del cumplimiento de la regulación del
tratamiento de datos personales, en las vertientes legales/formales y en las de seguridad.
Respetar todas las obligaciones que pudieran corresponderle como Encargado del tratamiento con
arreglo al RGPD y a la LOPDGDD, o de cualquier otra disposición o regulación complementaria que
le fuera igualmente aplicable.

BOCM-20231211-41

A estos efectos, el Encargado podrá comunicar los datos a otros Encargados del tratamiento del
mismo Responsable de acuerdo con las instrucciones de dicho Responsable. En este caso, el
Responsable identificará, de forma previa y por escrito, la entidad a la que se deben comunicar los
datos, los datos concretos a comunicar y las medidas de seguridad a aplicar para proceder a la
comunicación.