BOLETÍN OFICIAL DEL ESTADO
Núm. 259

Miércoles 30 de septiembre de 2020

2.

Sec. III. Pág. 82471

Conforme a lo dispuesto en el artículo 28.3 del RGPD, la IGAE:

3. En el caso de que se produzcan incidentes de seguridad que afecten a los
sistemas objeto de este convenio, las partes se comprometen a informarse mutuamente
con la máxima celeridad posible con objeto de identificar si el incidente es susceptible de
comunicación a la Autoridad de Control (la Agencia Española de Protección de Datos) y
a las personas concernidas sin sobrepasar el límite de setenta y dos horas según
establece el RGPD en su artículo 33. A su vez, ambas partes se comprometen a
colaborar para resolver el incidente y poner los medios para que no se vuelvan a
producir incidentes similares.
4. La Casa de S.M. el Rey presta a través de este convenio autorización general
para que la IGAE pueda recurrir a otro encargado del tratamiento para la ejecución de
las finalidades previstas en el presente convenio y siempre que se le impongan las
mismas obligaciones que aquí se estipulan mediante contrato u otro acto jurídico
vinculante. La información relativa a los encargados del tratamiento estará disponible en
la página web de la IGAE (www.pap.hacienda.gob.es).
5. A la fecha de la firma del convenio, los sistemas SIC’3, SOROLLA2 e IRIS son
sistemas de información de categoría MEDIA, a efectos del Esquema Nacional de
Seguridad (ENS). Corresponde a la IGAE garantizar la aplicación de las medidas de
seguridad de nivel MEDIO recogidas en el Anexo II del Real Decreto 3/2010, de 8 de
enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la
Administración Electrónica, así como las medidas correspondientes de las previstas en
dicho esquema al tratamiento de los datos personales de conformidad con el artículo 32
del RGPD.
6. En el caso de que se vayan a producir paradas programadas en los sistemas
objeto de este convenio que afecten a su utilización en horarios de uso habitual, la IGAE
informará a la Casa de S.M. el Rey sobre su duración prevista, con antelación sobre el
momento de la parada.
7. Las partes fijarán interlocutores relativos a la seguridad de la información y a la
protección de datos personales, que se encargarán de comunicar y coordinar el
tratamiento de los posibles incidentes de seguridad que se produzcan.

cve: BOE-A-2020-11462
Verificable en https://www.boe.es

2.1 Tratará los datos personales, de carácter identificativo y financiero, según las
instrucciones de la Casa de S.M. el Rey fijadas en el presente convenio;
2.2 Garantizará que las personas autorizadas a tratar los datos personales tienen
contraído compromiso de confidencialidad, guarden secreto profesional sobre los
mismos y no los comuniquen a terceros, salvo en aquellos casos en que deba hacerse
en estricto cumplimiento de la ley;
2.3 Asistirá a la Casa de S.M. el Rey, a través de medidas técnicas y organizativas
apropiadas y siempre que sea posible, para que pueda cumplir con su obligación de
responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los
interesados establecidos en el capítulo III del RGPD;
2.4 En caso de finalización del convenio, facilitará la devolución de los datos a la
Casa de S.M. el Rey, de acuerdo con las especificaciones técnicas que establezca la
IGAE;
2.5 Pondrá a disposición de la Casa de S.M. el Rey toda la información necesaria
para demostrar el cumplimiento de las obligaciones establecidas en el RGPD, así como
para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte
de la Casa de S.M. el Rey o de otro auditor autorizado por aquélla.