BOLETÍN OFICIAL DEL ESTADO
Núm. 261

Viernes 2 de octubre de 2020

Sec. III. Pág. 83732

las disposiciones que en materia de protección de datos nacionales se encuentren en vigor
a la firma del convenio o que puedan estarlo durante su vigencia.
La naturaleza y finalidad que justifican el tratamiento de los datos de carácter personal
por cuenta del responsable, son exclusivamente las que se indican en el Anexo II.
Obligaciones del encargado.
Legislación aplicable: El encargado estará obligado a someterse en todo caso a la
normativa nacional y de la Unión Europea en materia de protección de datos.
Finalidad: El encargado utilizará los datos personales sólo para la finalidad objeto de
este tratamiento. En ningún caso podrá utilizar los datos para fines propios.
Declaración previa: La empresa adjudicataria tiene la obligación de presentar, antes de
la formalización del contrato, una declaración en la que ponga de manifiesto dónde van a
estar ubicados los servidores y desde dónde se van a prestar los servicios asociados a los
mismos. Asimismo, estará obligado a comunicar cualquier cambio que se produzca, a lo
largo de la vida del contrato, de la información facilitada en la declaración.
Instrucciones del responsable: El encargado tratará los datos personales únicamente
siguiendo instrucciones documentadas del responsable.
Devolución de los datos.

a) Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes
de los sistemas y servicios de tratamiento.
b) Restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en
caso de incidente físico o técnico.
c) Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y
organizativas implantadas para garantizar la seguridad del tratamiento.
d) Seudonimizar y cifrar los datos personales, en su caso.

cve: BOE-A-2020-11664
Verificable en https://www.boe.es

Una vez que finalice el presente acuerdo, el encargado devolverá al responsable o en
su caso, destruirá, los datos de carácter personal y, si procede, los soportes donde
consten, una vez acabada la prestación. El retorno ha de comportar el borrado total de los
datos existentes en los sistemas y documentos del encargado. No obstante, el encargado
puede conservar una copia, con los datos debidamente bloqueados, mientras puedan
derivarse responsabilidades por la ejecución de la prestación.
Transferencia internacional: Si el encargado debe transferir datos personales a un
tercer país o a una organización internacional, en virtud del Derecho de la Unión o de los
Estados miembros que le sea aplicable, informará por escrito al responsable de esa
exigencia legal de manera previa, salvo que tal Derecho lo prohíba por razones importantes
de interés público.
Confidencialidad: El Encargado y todo su personal mantendrán el deber de secreto
respecto a los datos de carácter personal a los que hayan tenido acceso en virtud del
presente encargo, incluso después de que finalice el mismo.
El encargado garantizará que las personas autorizadas para tratar datos personales se
comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las
medidas de seguridad correspondientes, de las que hay que informarles convenientemente.
Si existe una obligación de confidencialidad estatutaria deberá quedar constancia
expresa de la naturaleza y extensión de esta obligación.
El encargado mantendrá a disposición del responsable la documentación acreditativa
del cumplimiento de esta obligación.
Medidas de seguridad: El encargado con carácter periódico (y también siempre que
haya cambios relevantes en su infraestructura de software y hardware) realizará una
evaluación de riesgos en materia de seguridad de la información, de la que se derivarán la
implantación de mecanismos adecuados a los riesgos detectados tal y como se describe
en el artículo 32 del RGPD y en el Esquema Nacional de Seguridad y en concreto: