BOLETÍN OFICIAL DEL ESTADO
Sábado 22 de enero de 2022

Sec. III. Pág. 7539

– Llevar un listado de personas autorizadas para tratar los Datos Personales objeto
de este acuerdo y garantizar que las mismas se comprometen, de forma expresa y por
escrito, a respetar la confidencialidad, y a cumplir con las medidas de seguridad
correspondientes, de las que les debe informar convenientemente. Y mantener a
disposición de la Consellería de Sanidade dicha documentación acreditativa.
Para la gestión de permisos de accesos a sistemas de información bajo el control de
la Consellería de Sanidade se seguirán las instrucciones que ella dicte.
– Garantizar la formación necesaria en materia de protección de Datos Personales
de las personas autorizadas a su tratamiento.
Salvo que cuente en cada caso con la autorización expresa del Responsable del
Tratamiento, no comunicar (ceder) ni difundir los Datos Personales a terceros, ni siquiera
para su conservación, fuera de lo contemplado en este protocolo.
Tanto por la naturaleza del tratamiento encargado como por su condición de
organismos públicos, los Encargados de Tratamiento deben nombrar Delegado de
Protección de Datos, y comunicarlo a la AEPD, así como la identidad y datos de contacto
de la(s) persona(s) física(s) designada(s) por los Encargados de Tratamiento como sus
representante(s) a efectos de protección de los Datos Personales (representantes del
Encargado de Tratamiento), responsable(s) del cumplimiento de la regulación del
tratamiento de Datos Personales, en las vertientes legales/formales y en las de
seguridad.
Una vez finalizada la prestación objeto del presente protocolo, se compromete,
según corresponda y se instruya en el Sumario de Tratamiento, a devolver o destruir:
(i) Los Datos Personales a los que haya tenido acceso.
(ii) Los Datos Personales generados por los Encargados de Tratamiento por causa
del tratamiento, y
(iii) Los soportes y documentos en que cualquiera de estos datos consten, sin
conservar copia alguna; al no existir permiso o requerimiento por ley o por norma de
derecho comunitario para su conservación, por lo que se procederá a la destrucción. No
obstante, y aportando justificación de dicha solicitud, el Encargado del Tratamiento podrá
solicitar a la Consellería de Sanidade conservar los datos durante el tiempo que puedan
derivarse responsabilidades de su relación con el Responsable del Tratamiento. En caso
de ser aprobada esta solicitud, los Datos Personales se conservarán bloqueados y por el
tiempo mínimo, destruyéndose de forma segura y definitiva al final de dicho plazo.
Quedarán exentos de este compromiso aquellos datos incorporados a los
expedientes de evaluación de discapacidad o dependencia, que no puedan ser
considerados como excesivos para la finalidad con que han sido comunicados.
Según corresponda y se indique en el Sumario de Tratamiento, a llevar a cabo el
tratamiento de los Datos Personales en los sistemas/dispositivos de tratamiento, tanto
manuales como automatizados, y en las ubicaciones que en el citado Sumario se
especifican, equipamiento que podrá estar bajo el control de la Consellería de Sanidade
o bajo el control directo o indirecto de los Encargados de Tratamiento, u otros que hayan
sido expresamente autorizados por escrito por la Consellería de Sanidade, según se
establezca en dicho Sumario en su caso, y únicamente por los usuarios o perfiles de
usuarios asignados a la ejecución del objeto de este Protocolo.
Solo se contempla la posibilidad de tratar los Datos Personales dentro del Espacio
Económico Europeo u otro espacio considerado por la normativa aplicable como de
seguridad equivalente, no tratándolos fuera de este espacio.
De conformidad con el artículo 33 del RGPD, comunicar a la Consellería de
Sanidade, de forma inmediata, cualquier violación de la seguridad de los datos
personales a su cargo de la que tenga conocimiento, juntamente con toda la información
relevante para la documentación y comunicación de la incidencia o cualquier fallo en su
sistema de tratamiento y gestión de la información que haya tenido o pueda tener que
ponga en peligro la seguridad de los Datos Personales, su integridad o su disponibilidad,

cve: BOE-A-2022-1028
Verificable en https://www.boe.es

Núm. 19