BOLETÍN OFICIAL DEL ESTADO
Sábado 22 de enero de 2022

Sec. III. Pág. 7538

Tratamiento de datos personales
Para el cumplimiento del objeto de este acuerdo, la Secretaría General de
Instituciones Penitenciarias deberá tratar los datos personales de los cuales la Secretaría
Xeral Técnica de la Consellería de Sanidade, en nombre del Sistema Sanitario Público
de Galicia (en adelante Consellería de Sanidade) es Responsable del Tratamiento.
Ello conlleva que la Secretaría General de Instituciones Penitenciarias (en adelante
los Encargados de Tratamiento) actúe en calidad de Encargado del Tratamiento en cada
uno de sus ámbitos de competencia y, por tanto, tiene el deber de cumplir con la
normativa vigente en cada momento, tratando y protegiendo debidamente los Datos
Personales.
Si cualquiera de los Encargados de Tratamiento destinase los datos a otra finalidad,
los comunicara o los utilizara incumpliendo las estipulaciones del protocolo y/o la
normativa vigente, será considerado también como Responsable del Tratamiento,
respondiendo de las posibles infracciones en que hubiera incurrido.
En caso de que como consecuencia de la ejecución del acuerdo resultara necesario
en algún momento la modificación del mismo, cualquiera de los Encargados de
Tratamiento lo requerirá razonadamente y señalará los cambios que solicita. En caso de
que la Consellería de Sanidade estuviese de acuerdo con lo solicitado se generaría una
nueva versión de este anexo que recoja el tratamiento de datos actualizado, de modo
que el mismo siempre recoja fielmente el detalle del tratamiento, sin obligación de
actualizar el resto del acuerdo si no estuviese afectado por el cambio solicitado.
Obligaciones del encargado del tratamiento (estipulaciones como encargado
de tratamiento)
De conformidad con lo previsto en el artículo 28 del RGPD, los Encargados de
Tratamiento y todo su personal se obligan y garantizan el cumplimiento de las siguientes
estipulaciones:
– Tratar los Datos Personales conforme a las instrucciones documentadas en el
presente acuerdo o demás documentos aplicables a su ejecución y aquellas que, en su
caso, reciban de la Consellería de Sanidade por escrito en cada momento.
Los Encargados de Tratamiento informarán inmediatamente a la Consellería de
Sanidade cuando, en su opinión, una instrucción sea contraria a la normativa de
protección de Datos Personales aplicable en cada momento.
– Utilizar los datos personales objeto de tratamiento, o los que recoja para su
inclusión, sólo para la finalidad objeto de este acuerdo. No utilizará ni aplicará los Datos
Personales con una finalidad distinta a la ejecución del objeto del acuerdo, y en ningún
caso podrá utilizar los datos para fines propios ajenos al mismo.
– Tratar los Datos Personales de conformidad con los criterios de seguridad y el
contenido previsto en el artículo 32 del RGPD, así como observar y adoptar las medidas
técnicas y organizativas de seguridad necesarias o convenientes para asegurar la
confidencialidad, secreto e integridad de los Datos Personales a los que tenga acceso.
En particular, y sin carácter limitativo, se obliga a aplicar las medidas de protección
del nivel de riesgo y seguridad detalladas en el sumario de tratamiento recogido en forma
de tabla al final de este Anexo II (a partir de ahora, Sumario de Tratamiento).
– Mantener la más absoluta confidencialidad sobre los Datos Personales a los que
tenga acceso para la ejecución del acuerdo así como sobre los que resulten de su
tratamiento, cualquiera que sea el soporte en el que se hubieren obtenido. Esta
obligación se extiende a toda persona que pudiera intervenir en cualquier fase del
tratamiento por cuenta de los Encargados de Tratamiento, siendo deber de los
Encargados de Tratamiento instruir a las personas que de él dependan, de este deber de
secreto, y del mantenimiento de dicho deber aún después de la terminación de la
prestación del Servicio o de su desvinculación.

cve: BOE-A-2022-1028
Verificable en https://www.boe.es

Núm. 19