BOLETÍN OFICIAL DEL ESTADO
Núm. 157

Martes 1 de julio de 2025

Sec. III. Pág. 86722

b) Tratar los datos cumpliendo con las mismas obligaciones que el Responsable o
de acuerdo con sus instrucciones, prestando especial atención a las obligaciones
relacionadas con el principio de información y el ejercicio de los derechos de los
interesados. Si el Encargado del tratamiento considera que alguna de las instrucciones
infringe la normativa vigente en materia de protección de datos deberá informar
inmediatamente al Responsable.
c) Adoptar, como se recoge en la siguiente cláusula, las medidas técnicas y
organizativas pertinentes para garantizar la seguridad e integridad de los datos de
carácter personal a los que tenga acceso, evitando su alteración, pérdida, tratamiento o
acceso no autorizado.
d) No comunicar en ningún caso a terceras personas los datos de carácter personal a
los que tenga acceso, ni tan siquiera a efectos de su conservación, sin la previa autorización
del Responsable. El Encargado podrá comunicar datos a otros Encargados del mismo
Responsable de acuerdo con sus instrucciones. En este caso, el CIS identificará
previamente la entidad a la que se podrá o deberá comunicar, así como los datos y las
medidas de seguridad que corresponde aplicar para proceder a la comunicación.
e) Devolver o destruir, según se acuerde, los datos comunicados por el
Responsable una vez finalizada la vigencia de este convenio.
f) Para el caso de que el Encargado tenga más de 250 trabajadores o el tratamiento
de datos implique un riesgo para los derechos de los interesados o incluya categorías
especiales de datos, deberá llevar a cabo, por escrito, un registro de todas las categorías de
tratamiento que efectúe por cuenta del Responsable, donde deberán constar los datos del
Encargado; las categorías y los tratamientos de datos efectuados; los datos del Delegado
de Protección de Datos; en su caso, las transferencias de datos personales que se hubieran
realizado o esté previsto realizar; y las medidas de seguridad adoptadas.
Tercera.
Tanto el Responsable como el Encargado del tratamiento se comprometen-teniendo
en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el
contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad
variables para los derechos y las libertades de las personas físicas a establecer las
medidas técnicas y organizativas apropiadas para garantizar el nivel de seguridad
adecuado al riesgo existente. Todo ello, con el fin de garantizar su confidencialidad e
integridad, y evitar su alteración, pérdida, tratamiento o acceso no autorizado.
En todo caso, el Encargado del tratamiento deberá implantar las siguientes medidas
de seguridad necesarias para:

Las obligaciones establecidas para el Encargado del tratamiento en la presente
estipulación serán también de obligado cumplimiento para sus empleados,
colaboradores, tanto externos como internos, y subcontratistas. En este sentido, el
Encargado del tratamiento informará a su personal, colaboradores y subcontratistas de
las obligaciones establecidas en el presente documento, así como de las obligaciones
relativas al tratamiento automatizado de datos de carácter personal que les incumbe, y
garantizará la formación necesaria en protección de datos. El Encargado del tratamiento
realizará cuantas advertencias y suscribirá cuantos documentos sean necesarios con su
personal y colaboradores, con el fin de asegurar el cumplimiento de tales obligaciones.
En este sentido, el Encargado deberá mantener a disposición del Responsable la

cve: BOE-A-2025-13384
Verificable en https://www.boe.es

a) Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes
de los sistemas y servicios de tratamiento.
b) Restaurar la disponibilidad y el acceso a los datos personales de forma rápida,
en caso de incidente físico o técnico.
c) Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y
organizativas implantadas para garantizar la seguridad del tratamiento.
d) Seudonimizar y cifrar los datos personales, en su caso.