BOLETÍN OFICIAL DEL ESTADO
Jueves 22 de mayo de 2025

Sec. III. Pág. 68116

examinados, resolución de dudas y facilitación en su caso del justificante de realización
del examen.
Si el encargado del tratamiento considera que alguna de las instrucciones infringe el
RGPD o cualquier otra disposición en materia de protección de datos, el encargado
informará inmediatamente al responsable.
– Adoptar las medidas de índole técnica y organizativas necesarias documentadas,
en cumplimiento de lo dispuesto en la normativa vigente, que garanticen la seguridad de
los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no
autorizado, garantizando la protección de los derechos de los interesados. El nivel de
seguridad al que se refiere el tratamiento propiedad de AESA será de tipo Medio, según
lo previsto en el anexo II (Medidas de seguridad) del Real Decreto 311/2022, de 3 de
mayo, por el que se regula el Esquema Nacional de Seguridad.
– No comunicar los datos a terceras personas, salvo que cuente con la autorización
expresa del responsable del tratamiento, en los supuestos legalmente admisibles.
– Mantener el deber de secreto respecto a los datos de carácter personal a los que
haya tenido acceso en virtud del presente encargo, incluso después de que finalice el
convenio.
– Garantizar que las personas autorizadas para tratar datos personales se
comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir
las medidas de seguridad correspondientes, de las que hay que informarles
convenientemente.
– Mantener a disposición de AESA la documentación acreditativa del cumplimiento
de la obligación establecida en el apartado anterior.
– Garantizar la formación necesaria en materia de protección de datos personales
de las personas autorizadas para tratar datos personales.
– Notificación de violaciones de la seguridad de los datos:
El encargado del tratamiento notificará a AESA, sin dilación indebida, las violaciones
de la seguridad de los datos personales a su cargo de las que tenga conocimiento,
juntamente con toda la información relevante para la documentación y comunicación de
la incidencia. Se facilitará, como mínimo, la información siguiente:
a) Descripción de la naturaleza de la violación de la seguridad de los datos
personales, inclusive, cuando sea posible, las categorías y el número aproximado de
interesados afectados, y las categorías y el número aproximado de registros de datos
personales afectados.
b) Datos de la persona de contacto para obtener más información.
c) Descripción de las posibles consecuencias de la violación de la seguridad de los
datos personales. Descripción de las medidas adoptadas o propuestas para poner
remedio a la violación de la seguridad de los datos personales, incluyendo, si procede,
las medidas adoptadas para mitigar los posibles efectos negativos.
Si no es posible facilitar la información simultáneamente, y en la medida en que no lo
sea, la información se facilitará de manera gradual sin dilación indebida.
– Poner disposición de AESA toda la información necesaria para demostrar el
cumplimiento de sus obligaciones, así como para la realización de las auditorías o las
inspecciones que realicen AESA u otro auditor autorizado por AESA.
– Auxiliar a AESA a implantar las medidas de seguridad necesarias para:
a) Garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento.
b) Restaurar la disponibilidad y el acceso a los datos personales de forma rápida,
en caso de incidente físico o técnico.
c) Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y
organizativas implantadas para garantizar la seguridad del tratamiento.

cve: BOE-A-2025-10189
Verificable en https://www.boe.es

Núm. 123