BOLETÍN OFICIAL DEL ESTADO
Núm. 150

Lunes 23 de junio de 2025

Sec. III. Pág. 83308

acuerdo a lo establecido en el RGPD, en la Ley Orgánica 3/2018 y en sus normas de
desarrollo.
3. Como responsable del tratamiento de los datos de carácter personal, son
obligaciones del ICAA:
a) Facilitar por escrito al encargado las instrucciones necesarias para el tratamiento
de los datos personales, y específicamente en lo referente a las medidas técnicas y
organizativas a aplicar y destrucción o devolución de los datos.
b) Dar respuesta a la persona interesada respecto a sus solicitudes de ejercicio de
los derechos de acceso, rectificación, supresión y portabilidad de los datos, de limitación
y oposición a su tratamiento, así como a no ser objeto de decisiones basadas
únicamente en el tratamiento automatizado de sus datos, cuando procedan.
c) En su caso, notificar las violaciones de seguridad a la Autoridad de Control y a la
persona interesada.
d) Elaborar la evaluación de impacto cuando proceda.
e) Efectuar las consultas a la Autoridad de control, cuando proceda.
f) Cualquier otra recogida en la legislación en vigor y aplicable a los responsables
de tratamiento de datos personales.
La entidad colaboradora se compromete a:

a) Tratar los datos únicamente conforme a las instrucciones del ICAA en su
condición de responsable del tratamiento, no aplicándolos o utilizándolos con fines
distintos a los previstos en el presente convenio.
b) Garantizar la debida confidencialidad de las personas autorizadas para tratar
datos personales contenidos en los expedientes cuya gestión es objeto del convenio.
c) Adoptar las medidas de índole técnica y organizativas apropiadas que garanticen
un nivel de seguridad de los datos de carácter personal adecuado al riesgo, teniendo en
cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el
contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad
variables para los derechos y libertades de las personas físicas. En especial habrá que
tener en cuenta que se han de tratar los datos de las personas con reducción de
movilidad.
d) En caso de recurrir a otro encargado del tratamiento respetará las condiciones
indicadas en los apartados 2 y 4 del artículo 28 del RGPD.
e) Asistir al ICAA a través de las oportunas medidas técnicas y organizativas,
siempre que sea posible, para que ésta pueda cumplir con su obligación de responder a
las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados en
relación con sus datos personales, para lo cual, cualquier solicitud en este sentido que
reciba será puesta en conocimiento del ICAA en el plazo de setenta y dos horas.
f) Ayudar al ICAA a garantizar el cumplimiento de las obligaciones establecidas en
los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la
información a disposición de la entidad colaboradora financiera. En particular, si esta
tuviera conocimiento de un incidente de seguridad, lo comunicará al ICAA en el plazo de
veinticuatro horas a través del correo electrónico que se determine a efectos del
cumplimiento de las obligaciones de ésta como responsable, con la asistencia que fuera
necesaria en el ámbito de sus funciones; asimismo, asistirá al ICAA, siempre que fuera
posible en su obligación de efectuar una evaluación de impacto si se estimase necesario;
por último, y aunque no está prevista la realización de transferencias internacionales de
datos, si fueran necesarias se realizarán siguiendo los instrucciones del ICAA.
g) Una vez cumplido el convenio, devolver al ICAA los datos de carácter personal,
al igual que cualquier soporte o documentos en que conste algún dato de carácter
personal objeto de tratamiento.
h) Poner a disposición del ICAA toda la información necesaria para demostrar el
cumplimiento de las anteriores obligaciones, así como para permitir y contribuir a la

cve: BOE-A-2025-12790
Verificable en https://www.boe.es

4.