BOLETÍN OFICIAL DEL ESTADO
Núm. 155

Sábado 28 de junio de 2025

Sec. III. Pág. 85784

f) Para el caso de que el Encargado tenga más de 250 trabajadores o el tratamiento
de datos implique un riesgo para los derechos de los interesados o incluya categorías
especiales de datos, deberá llevar a cabo, por escrito, un registro de todas las categorías
de tratamiento que efectúe por cuenta del Responsable, donde deberán constar los
datos del Encargado; las categorías y los tratamientos de datos efectuados; los datos del
Delegado de Protección de Datos; en su caso, las transferencias de datos personales
que se hubieran realizado o previsto realizar; y las medidas de seguridad adoptadas.
Tercera.
Tanto el Responsable como el Encargado del Tratamiento se comprometen –
teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el
alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y
gravedad variables para los derechos y las libertades de las personas físicas– a
establecer las medidas técnicas y organizativas apropiadas para garantizar el nivel de
seguridad adecuado al riesgo existente. Todo ello, con el fin de garantizar su
confidencialidad e integridad, y evitar su alteración, pérdida, tratamiento o acceso no
autorizado.
El Encargado del Tratamiento informará a su personal, colaboradores y
subcontratistas de las obligaciones establecidas en el presente documento, así como de
las obligaciones relativas al tratamiento automatizado de datos de carácter personal que
les incumbe, y garantizará la formación necesaria en protección de datos. El Encargado
del Tratamiento realizará cuantas advertencias y suscribirá cuantos documentos sean
necesarios con su personal y colaboradores, con el fin de asegurar el cumplimiento de
tales obligaciones. En este sentido, el Encargado deberá mantener a disposición del
Responsable la documentación o información que acredite dicho extremo.
En todo caso, el Encargado del Tratamiento deberá implantar las siguientes medidas
de seguridad necesarias para:
a) Garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento.
b) Restaurar la disponibilidad y el acceso a los datos personales de forma rápida,
en caso de incidente físico o técnico.
c) Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y
organizativas implantadas para garantizar la seguridad del tratamiento.
d) Seudonimizar y cifrar los datos personales, en su caso.
Las obligaciones establecidas para el Encargado del Tratamiento en la presente
estipulación serán también de obligado cumplimiento para sus empleados,
colaboradores, tanto externos como internos, y subcontratistas, por lo que el Encargado
del Tratamiento responderá frente al Responsable del Tratamiento si tales obligaciones
son incumplidas por tales empleados, colaboradores o subcontratistas.

Si el Encargado del Tratamiento pretendiera realizar una subcontratación del servicio
o parte del mismo, conforme a lo dispuesto en la normativa nacional y comunitaria, la
FGUCM, M.P. deberá autorizar previamente y por escrito, en el plazo de 7 días desde
que se comunique dicha intención, la subcontratación de los servicios o parte de los
servicios encomendados al Encargado del Tratamiento. La subcontratación podrá
llevarse a cabo si el Responsable no manifiesta su oposición en el plazo establecido.
Dicha subcontratación deberá quedar debida y documentalmente acreditada.
En todo caso, el subcontratista del tratamiento debe estar sujeto a las mismas
condiciones y en la misma forma que el Encargado del tratamiento en lo referente al
adecuado tratamiento de los datos personales y a la garantía de los derechos de las
personas afectadas. En caso de incumplimiento por el subcontratista, el Encargado

cve: BOE-A-2025-13222
Verificable en https://www.boe.es

Cuarta.