BOLETÍN OFICIAL DEL ESTADO
Viernes 21 de enero de 2022

Sec. III. Pág. 7039

Tratamiento de Datos Personales.
Para el cumplimiento del objeto de este convenio, el Instituto Social de la Marina
deberá tratar los datos personales de los cuales la Consellería de Sanidad es
Responsable del Tratamiento.
Ello conlleva que el Instituto Social de la Marina (en adelante el encargado de
tratamiento) actúen en calidad de Encargado del Tratamiento en cada uno de sus
ámbitos de competencia y, por tanto, tiene el deber de cumplir con la normativa vigente
en cada momento, tratando y protegiendo debidamente los Datos Personales.
Si el encargado de tratamiento destinase los datos a otra finalidad, los comunicara o
los utilizara incumpliendo las estipulaciones del protocolo y/o la normativa vigente, será
considerado también como Responsable del Tratamiento, respondiendo de las posibles
infracciones en que hubiera incurrido.
En caso de que como consecuencia de la ejecución del convenio resultara necesario
en algún momento la modificación del mismo, el encargado de tratamiento lo requerirá
razonadamente y señalará los cambios que solicita. En caso de que la Consellería de
Sanidad estuviese de acuerdo con lo solicitado se generaría una nueva versión de este
anexo que recoja el tratamiento de datos actualizado, de modo que el mismo siempre
recoja fielmente el detalle del tratamiento.
Obligaciones del encargado del tratamiento (Estipulaciones como encargado de
tratamiento).
De conformidad con lo previsto en el artículo 28 del RGPD, los encargados de
tratamiento y todo su personal se obligan a y garantizan el cumplimiento de las
siguientes estipulaciones:
Tratar los Datos Personales conforme a las instrucciones documentadas en el
presente convenio o demás documentos aplicables a su ejecución y aquellas que, en su
caso, reciban de la Consellería de Sanidad por escrito en cada momento.
El encargado de tratamiento informará inmediatamente a la Consellería de Sanidad
cuando, en su opinión, una instrucción sea contraria a la normativa de protección de
Datos Personales aplicable en cada momento.
Utilizar los datos personales objeto de tratamiento, o los que recoja para su inclusión,
sólo para la finalidad objeto de este convenio. No utilizará ni aplicará los Datos
Personales con una finalidad distinta a la ejecución del objeto del convenio, y en ningún
caso podrá utilizar los datos para fines propios ajenos al mismo.
Tratar los Datos Personales de conformidad con los criterios de seguridad y el
contenido previsto en el artículo 32 del RGPD, así como observar y adoptar las medidas
técnicas y organizativas de seguridad necesaria o conveniente para asegurar la
confidencialidad, secreto e integridad de los Datos Personales a los que tenga acceso.
En particular, y sin carácter limitativo, se obliga a aplicar las medidas de protección
del nivel de riesgo y seguridad detalladas en el sumario de tratamiento recogido en forma
de tabla al final de este anexo II (a partir de ahora, Sumario de Tratamiento)
Mantener la más absoluta confidencialidad sobre los Datos Personales a los que
tenga acceso para la ejecución del convenio así como sobre los que resulten de su
tratamiento, cualquiera que sea el soporte en el que se hubieren obtenido. Esta
obligación se extiende a toda persona que pudiera intervenir en cualquier fase del
tratamiento por cuenta del encargado de tratamiento, siendo deber del encargado de
tratamiento instruir a las personas que de él dependan, de este deber de secreto, y del
mantenimiento de dicho deber aún después de la terminación de la prestación del
Servicio o de su desvinculación.
Llevar un listado de personas autorizadas para tratar los Datos Personales objeto de
este convenio y garantizar que las mismas se comprometen, de forma expresa y por
escrito, a respetar la confidencialidad, y a cumplir con las medidas de seguridad

cve: BOE-A-2022-1006
Verificable en https://www.boe.es

Núm. 18