BOCM
B.O.C.M. Núm. 211

BOLETÍN OFICIAL DE LA COMUNIDAD DE MADRID
MIÉRCOLES 4 DE SEPTIEMBRE DE 2024

Pág. 129

evaluaciones de impacto relativas a la protección de datos personales y consultas previas al
respecto a las autoridades competentes cuando proceda, teniendo en cuenta la naturaleza del
tratamiento y la información de la que disponga, y de conformidad con las disposiciones
contenidas en la cláusula novena del presente acuerdo.
-

Disponer de evidencias que demuestren su cumplimiento de la normativa de protección de Datos
Personales y del deber de responsabilidad activa, como, a título de ejemplo, certificados previos
sobre el grado de cumplimiento o resultados de auditorías, que habrá de poner a disposición del
Responsable, a requerimiento de este. Asimismo, durante la vigencia del acuerdo, pondrá a
disposición del Responsable toda información, certificaciones y auditorías realizadas en cada
momento. Igualmente, proporcionará al Responsable cuantos datos o documentos le sean
requeridos en los controles, auditorías o inspecciones que realice en cualquier momento el propio
Responsable del tratamiento u otro auditor autorizado por este.

-

En caso de estar obligado a ello por el artículo 37.1 del RGPD y por el artículo 34 de la
LOPDGDD, designar un Delegado de Protección de Datos y comunicar su identidad y datos de
contacto al Responsable, así como cumplir con el resto de requerimientos establecidos en los
artículos 37 a 39 del RGPD y 35 a 37 de la LOPDGDD. En los mismos términos se procederá en
caso de que la designación haya sido voluntaria.

-

Asimismo, el Encargado habrá de comunicar la identidad y datos de contacto de la(s) persona(s)
física(s) designada(s) por el mismo como su/s representante(s) a efectos de protección de los
Datos Personales, responsable(s) del cumplimiento de la regulación del tratamiento de datos
personales, en las vertientes legales/formales y en las de seguridad.

-

Respetar todas las obligaciones que pudieran corresponderle como Encargado del tratamiento
con arreglo al RGPD y a la LOPDGDD, o de cualquier otra disposición o regulación
complementaria que le fuera igualmente aplicable.

Octava. Obligaciones del responsable del tratamiento
El Responsable manifiesta y hace constar a los efectos legales oportunos que:
a) Cumple con todas sus obligaciones en materia de protección de datos como responsable del
tratamiento y es consciente de que los términos de este convenio en nada alteran ni sustituyen las
obligaciones y responsabilidades que sean atribuibles al Responsable del tratamiento como tal.
b) Supervisa el tratamiento y el cumplimiento de la normativa de protección de datos por parte del
Encargado del tratamiento.
Novena. Medidas de seguridad y violación de la seguridad
Teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el
contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los
derechos y libertades de las personas físicas, el Encargado del tratamiento aplicará las medidas
técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que
en su caso incluya, entre otros:
a) La seudonimización y el cifrado de datos personales.
b) La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento, así como la disponibilidad y el acceso a
los datos personales de forma rápida en caso de incidente físico o técnico.
c) Un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas
técnicas y organizativas para garantizar la seguridad del tratamiento.

El Encargado del tratamiento permitirá y contribuirá a la realización de controles, auditorías e
inspecciones, por parte del Responsable del tratamiento o de otro auditor autorizado por este.
Asimismo, en caso de modificación de la normativa vigente en materia de protección de datos o de
otra normativa relacionada y que resultase aplicable al tratamiento objeto del convenio de referencia,
el Encargado garantiza la implantación y mantenimiento de cualesquiera otras medidas de seguridad
que le fueran exigibles, sin que ello suponga una modificación de los términos de este convenio.

BOCM-20240904-24

Al evaluar la adecuación del nivel de seguridad, el Encargado tendrá en cuenta los riesgos que
presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o
alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma,
o la comunicación o acceso no autorizados a esos datos.