BOLETÍN OFICIAL DEL ESTADO
Núm. 157

Martes 1 de julio de 2025

Sec. III. Pág. 86723

documentación o información que acredite dicho extremo. En todo caso, el Tratamiento
responderá frente al Responsable del tratamiento si tales obligaciones son incumplidas
por tales empleados, colaboradores o subcontratistas.
Cuarta.
Si el Encargado del tratamiento pretendiera realizar una subcontratación de la
totalidad o de parte de las actividades contempladas en el convenio, conforme a lo
dispuesto en la normativa nacional y comunitaria, el CIS deberá autorizar previamente y
por escrito, en el plazo de siete días desde que se comunique dicha intención, la
subcontratación de la totalidad o parte de la actividad encomendada al Encargado del
tratamiento. La subcontratación podrá llevarse a cabo si el Responsable no manifiesta su
oposición en el plazo establecido. Dicha subcontratación deberá quedar debida y
documentalmente acreditada.
En todo caso, el subcontratista del tratamiento debe estar sujeto a las mismas
condiciones y en la misma forma que el Encargado del tratamiento en lo referente al
adecuado tratamiento de los datos personales y a la garantía de los derechos de las
personas afectadas. En caso de incumplimiento por el subcontratista, el Encargado
inicial seguirá siendo plenamente responsable ante el CIS en lo referente al
cumplimiento de las obligaciones del subcontratista.
Quinta.
En el caso de que el Encargado del tratamiento, o la entidad subcontratada se
encontrarán ubicados en un tercer país que no fuera España, se tendrán en cuenta las
posibles repercusiones que dicha circunstancia provoca en relación con el tratamiento de
datos personales del que es responsable el CIS. Aunque la legislación española será la
aplicable al CIS, como responsable del tratamiento con sede en España, en cualquier
caso –especialmente en lo relativo a las medidas de seguridad a aplicar al tratamiento de
datos personales efectuado–, se tendrán en cuenta las citadas circunstancias, partiendo
del mínimo exigido por la legislación española.
Sexta.

Séptima.
El Encargado del tratamiento notificará al responsable, sin dilación indebida y en el
plazo máximo de 72 horas, al correo electrónico del CIS, las violaciones de seguridad de
los datos personales a su cargo de las que tenga conocimiento, con toda aquélla
documentación necesaria para documentar y comunicar la incidencia. No será necesaria
la notificación cuando sea improbable que dicha violación de la seguridad constituya un
riesgo para los derechos y las libertades de las personas físicas.

cve: BOE-A-2025-13384
Verificable en https://www.boe.es

En relación con el ejercicio de los derechos de acceso, rectificación, supresión,
oposición, limitación, portabilidad y decisiones individuales automatizadas por parte de los
titulares de los datos personales, la única obligación del Encargado será comunicar al CIS
que se ha ejercido el correspondiente derecho. Dicha comunicación debe ser puesta en
conocimiento del Delegado de Protección de Datos del CIS (secretariageneral@cis.es) y en
ningún caso más allá del día laborable siguiente al de la recepción de la solicitud o en el
plazo máximo de 48 horas desde que es recibida, debiendo quedar constancia del envío y
de su recepción. Se adjuntará, igualmente, en su caso, toda otra información que pueda ser
relevante para resolver la solicitud presentada.
Por su parte, en relación con el derecho de información, el Encargado del
tratamiento, en el momento de la recogida de datos, en el caso de que se produzca,
debe facilitar la información relativa a los tratamientos de datos que se van a efectuar. De
producirse dicha información, tanto la redacción como el formato en el que se facilitará la
misma, deberá consensuarse con el CIS antes del inicio de la recogida de datos.