BOLETÍN OFICIAL DEL ESTADO
Miércoles 4 de noviembre de 2020

Sec. III. Pág. 96130

– Tratar los datos conforme a las instrucciones que reciba del responsable del
tratamiento.
– Seguir los procedimientos e instrucciones que reciba del responsable de
tratamiento, especialmente en lo relativo al deber de información y, en su caso, la
obtención del consentimiento de los afectados.
– Informar inmediatamente al responsable de tratamiento si el encargado de
tratamiento detectase que alguna de las instrucciones del responsable del tratamiento
infringe la normativa vigente en materia de protección de datos.
– No destinar, aplicar o utilizar los datos de carácter personal responsabilidad del
responsable del tratamiento con fin distinto del indicado en el presente Convenio o de
cualquier otra forma que suponga un incumplimiento de las instrucciones del
responsable del tratamiento.
– No revelar, transferir, ceder o de otra forma comunicar los datos de carácter
personal responsabilidad del responsable del tratamiento, ya sea verbalmente o por
escrito, por medios electrónicos, papel o mediante acceso informático, ni siquiera para su
conservación, a ningún tercero, salvo que exista autorización o instrucción previa del
responsable del tratamiento.
– Salvo para los servicios auxiliares propios de la actividad del encargado del
tratamiento, en caso de que el encargado del tratamiento necesitara subcontratar todo o
parte de los servicios contratados por el responsable del tratamiento en los que
intervenga el tratamiento de datos personales, deberá comunicarlo previamente y por
escrito al responsable del tratamiento, con una antelación mínima de 1 mes, indicando
los tratamientos que se pretende subcontratar e identificando de forma clara e
inequívoca la empresa subcontratista y sus datos de contacto. La subcontratación podrá
llevarse a cabo si el responsable del tratamiento no manifiesta su oposición en el plazo
establecido. El subcontratista, que también tendrá la condición de encargado del
tratamiento, está obligado igualmente a cumplir las obligaciones establecidas en este
documento para el encargado del tratamiento y las instrucciones que dicte el
responsable. El encargado del tratamiento seguirá siendo plenamente responsable ante
el responsable del Tratamiento en lo referente al cumplimiento de las obligaciones.
– Dar traslado al responsable del tratamiento a la mayor brevedad posible, y en el
plazo máximo de dos (2) días hábiles, de cualquier solicitud de ejercicio del derecho de
acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad de los
datos y a no ser objeto de decisiones individualizadas automatizadas, efectuada por un
afectado cuyos datos hayan sido tratados por el encargado del tratamiento con motivo
del cumplimiento del objeto del presente Convenio, a fin de que por el mismo se resuelva
en los plazos establecidos por la normativa vigente.
– Poner a disposición del responsable del tratamiento toda la información necesaria
para demostrar el cumplimiento de sus obligaciones, así como para la realización de las
auditorías o las inspecciones que realicen el responsable del Tratamiento u otro auditor
autorizado por este.
– En caso de que el encargado del tratamiento deba transferir o permitir acceso a
datos personales responsabilidad del responsable del tratamiento a un tercero en virtud
del Derecho de la Unión o de los Estados miembros que le sea aplicable, informará al
responsable del Tratamiento de esa exigencia legal de manera previa, salvo que
estuviese prohibido por razones de interés público.
– Una vez cumplida o resuelta la relación contractual acordada entre el responsable
del tratamiento y el encargado del tratamiento, el responsable del tratamiento deberá
proporcionar al encargado del tratamiento instrucciones precisas sobre el destino de los
datos, pudiendo elegir entre su devolución, remisión a otro prestador de servicios o
destrucción íntegra, siempre que no exista previsión legal que exija la conservación de
los datos, en cuyo caso no podrá procederse a su destrucción.
– Adoptar y aplicar las medidas técnicas y organizativas apropiadas para garantizar
un nivel de seguridad que evite su alteración, pérdida, tratamiento o acceso no
autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos

cve: BOE-A-2020-13575
Verificable en https://www.boe.es

Núm. 291