BOLETÍN OFICIAL DEL ESTADO
Núm. 157

Martes 1 de julio de 2025

Sec. III. Pág. 86724

El Encargado deberá facilitar al CIS, si dispone de ella, la siguiente información:
a) Descripción de la naturaleza de la violación de la seguridad de los datos
personales (entre otros, categorías y número aproximado de interesados afectados).
b) Descripción de las posibles consecuencias de la violación de la seguridad de los
datos personales.
c) Descripción de las medidas adoptadas o propuestas para poner remedio a la
violación, incluyendo, si procede, las medidas adoptadas para mitigar los posibles
efectos negativos.
Será el CIS, como Responsable del tratamiento, el responsable de comunicar dicha
violación, en caso de ser necesario, a la Agencia Española de Protección de Datos,
como a los interesados cuando sea probable que la violación suponga un alto riesgo
para los derechos y las libertades de las personas físicas.
Octava.
Tal y como ha quedado recogido en el presente acuerdo, es obligación del
Encargado del tratamiento poner a disposición del Responsable toda la información
necesaria para demostrar el cumplimiento de sus obligaciones, así como para la
realización de las auditorías o las inspecciones que realicen el Responsable u otro
auditor autorizado por él en el ejercicio de sus funciones y deber de diligencia.
Novena.
El presente acuerdo tiene una duración limitada al desarrollo de las correspondientes
actividades derivadas del presente convenio, sin perjuicio de que las obligaciones de
secreto y confidencialidad establecidas en el presente documento tengan una duración
indefinida, manteniéndose en vigor con posterioridad a la finalización, por cualquier
causa, de la relación entre el Encargado del tratamiento y el Responsable del
tratamiento.
En caso de finalización de la relación entre ambos (Responsable y Encargado del
tratamiento), los datos de carácter personal utilizados por este último deberán ser
destruidos y suprimir cualquier copia que esté en su poder, en los equipos informáticos
del Encargado. Una vez destruidos, el Encargado debe comunicar y certificar su
destrucción por escrito al Responsable del tratamiento.
No obstante, el encargado puede conservar una copia, con los datos debidamente
bloqueados, mientras puedan derivarse responsabilidades de la ejecución del convenio.
El mismo destino habrá de darse a cualquier soporte o documentos en que conste algún
dato de carácter personal objeto de tratamiento. En todo caso, los datos deberán ser
devueltos al Responsable cuando se requiera la conservación de los datos personales,
en virtud del Derecho de la Unión o de los Estados miembros.

El Encargado del tratamiento garantiza la adopción de las medidas necesarias para
el cumplimiento de las obligaciones derivadas de la normativa en materia de protección
de datos, respondiendo personalmente de cualesquiera sanciones, multas o cargos que
pudieran serle impuestos por el incumplimiento de las obligaciones derivadas del
presente documento y de la legislación aplicable.
En caso de incumplimiento de cualquiera de las estipulaciones del presente
documento por parte del Encargado del tratamiento, éste exonerará expresamente al
Responsable del tratamiento de cualquier responsabilidad, y en concreto:
a) En el supuesto de que el Encargado del tratamiento utilice o destine los datos de
carácter personal para cualquier otro fin distinto del aquí pactado y aceptado por ambas
partes.

cve: BOE-A-2025-13384
Verificable en https://www.boe.es

Décima.