I want to know about...

VIERNES, 23 DE FEBRERO DE 2024 - BOC EXTRAORDINARIO NÚM. 5

de la Unión, del Estado o de la Comunidad Autónoma, las mismas obligaciones de protección de datos que se deriven de la relación jurídica existente entre el responsable y el encargado, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del RGPD. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado.
8. El tratamiento por el encargado se regirá por la relación jurídica derivada de la solicitud de subvención, que vincula al encargado, como beneficiario, respecto del responsable, como órgano concedente o encargado de su gestión, que conllevará las siguientes obligaciones para el primero de ellos:
a Tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión, del Estado o de la Comunidad Autónomo, que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público.
b Garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria.
c Tomará todas las medidas necesarias de conformidad con el artículo 32 del RGPD.
d Respetará las condiciones indicadas para recurrir a otro encargado del tratamiento.
e Asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de las personas interesadas establecidos en el capítulo III del RGPD.
f Ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado.
g A elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la relación jurídica que motive el tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión, del Estado o de la Comunidad Autónoma.
h Pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en la presente disposición, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro órgano auditor autorizado por dicho responsable.

10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84 del RGPD, si un encargado del tratamiento infringe el RGPD al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento.
11. El encargado del tratamiento y cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo podrán tratar dichos datos siguiendo instrucciones del responsable, a no ser que estén obligados a ello en virtud del Derecho de la Unión, del Estado o de la Comunidad Autónoma.

i Pág. 201

boc.cantabria.es
CVE-2024-1374

9. La adhesión del encargado del tratamiento a un código de conducta aprobado a tenor del artículo 40 del RGPD o a un mecanismo de certificación aprobado a tenor del artículo 42 del RGPD podrá utilizarse como elemento para demostrar la existencia de las garantías suficientes a que se refieren los apartados 1 y 4 del artículo 28 del RGPD.

27/29