BOLETÍN OFICIAL DEL ESTADO
Núm. 155

Sábado 28 de junio de 2025

Sec. III. Pág. 85785

inicial seguirá siendo plenamente responsable ante la Universidad Complutense en lo
referente al cumplimiento de las obligaciones del subcontratista.
En el caso de que el Encargado del Tratamiento, o la entidad subcontratada se
encontrarán ubicados en un tercer país que no fuera España, se tendrán en cuenta las
posibles repercusiones que dicha circunstancia provoca en relación con el tratamiento de
datos personales del que es responsable la FGUCM, M.P. Aunque la legislación
española será la aplicable a la FGUCM, M.P., como responsable del tratamiento con
sede en España, en cualquier caso –especialmente en lo relativo a las medidas de
seguridad a aplicar al tratamiento de datos personales efectuado–, se tendrán en cuenta
las citadas circunstancias, partiendo del mínimo exigido por la legislación española.
Quinta.
En relación con el ejercicio de los derechos de acceso, rectificación, supresión,
oposición, limitación, portabilidad y decisiones individuales automatizadas por parte de
los titulares de los datos personales, la única obligación del Encargado será comunicar a
la FGUCM, M.P. que se ha ejercido el correspondiente derecho. Dicha comunicación
debe ser puesta en conocimiento del Delegado de Protección de Datos de la FGUCM,
M.P. (dpdfgucm@ucm.es) y en ningún caso más allá del día laborable siguiente al de la
recepción de la solicitud o en el plazo máximo de 48 horas desde que es recibida,
debiendo quedar constancia del envío y de su recepción. Se adjuntará, igualmente, en
su caso, toda otra información que pueda ser relevante para resolver la solicitud
presentada.
Por su parte, en relación con el derecho de información, el Encargado del Tratamiento,
en el momento de la recogida de datos, en el caso de que se produzca, debe facilitar la
información relativa a los tratamientos de datos que se van a efectuar. De producirse dicha
información, tanto la redacción como el formato en el que se facilitará la misma, deberá
consensuarse con la FGUCM, M.P. antes del inicio de la recogida de datos.
Sexta.
El Encargado del Tratamiento notificará al responsable, sin dilación indebida y en el
plazo máximo de 72 horas, al correo electrónico de la FGUCM, M.P., las violaciones de
seguridad de los datos personales a su cargo de las que tenga conocimiento, con toda
aquella documentación necesaria para documentar y comunicar la incidencia. No será
necesaria la notificación cuando sea improbable que dicha violación de la seguridad
constituya un riesgo para los derechos y las libertades de las personas físicas.
El Encargado deberá facilitar a la FGUCM, M.P. si dispone de ella, la siguiente
información:

Será la FGUCM, M.P., como Responsable del Tratamiento, la responsable de
comunicar dicha violación, en caso de ser necesario, a la Agencia Española de
Protección de Datos, como a los interesados cuando sea probable que la violación
suponga un alto riesgo para los derechos y las libertades de las personas físicas.
Séptima.
Tal y como ha quedado recogido en el presente Acuerdo, es obligación del
Encargado del Tratamiento poner disposición del Responsable toda la información

cve: BOE-A-2025-13222
Verificable en https://www.boe.es

– Descripción de la naturaleza de la violación de la seguridad de los datos
personales (categorías y número aproximado de interesados afectados).
– Descripción de las posibles consecuencias de la violación de la seguridad de los
datos personales.
– Descripción de las medidas adoptadas o propuestas para poner remedio a la
violación, incluyendo, si procede, las medidas adoptadas para mitigar los posibles
efectos negativos.