BOLETÍN OFICIAL DEL ESTADO
Sábado 2 de agosto de 2025

Sec. III. Pág. 104731

3. Portabilidad de datos.
4. A no ser objeto de decisiones individualizadas automatizadas (incluida la
elaboración de perfiles).
Cuando las personas afectadas ejerzan los derechos de acceso, rectificación,
supresión y oposición, limitación del tratamiento, portabilidad de datos y a no ser objeto
de decisiones individualizadas automatizadas, ante el encargado del tratamiento, éste
debe comunicarlo por correo electrónico al Delegado de Protección de Datos del
Ministerio de Educación, Formación Profesional y Deportes en la dirección
dpd@educacion.gob.es.
La comunicación debe hacerse de forma inmediata y, en ningún caso, más allá del
día laborable siguiente al de la recepción de la solicitud, juntamente, en su caso, con
otras informaciones que puedan ser relevantes para resolver la solicitud.
l. El encargado del tratamiento, en el momento de la recogida de los datos, debe
facilitar la información relativa a los tratamientos de datos que se van a realizar. La
redacción y el formato en que se facilitará la información se debe consensuar con el
responsable antes del inicio de la recogida de los datos.
m. El encargado del tratamiento notificará al responsable del tratamiento, sin
dilación indebida, y en cualquier caso antes del plazo máximo de 24 horas, y a través de
un correo electrónico al Delegado de Protección de Datos del Ministerio de Educación,
Formación Profesional y Deportes en la dirección anteriormente indicada, las violaciones
de la seguridad de los datos personales a su cargo de las que tenga conocimiento,
juntamente con toda la información relevante para la documentación y comunicación de
la incidencia.
No será necesaria la notificación cuando sea improbable que dicha violación de la
seguridad constituya un riesgo para los derechos y las libertades de las personas físicas.
Si se dispone de ella se facilitará, como mínimo, la información siguiente:
a) Descripción de la naturaleza de la violación de la seguridad de los datos
personales, inclusive, cuando sea posible, las categorías y el número aproximado de
interesados afectados, y las categorías y el número aproximado de registros de datos
personales afectados.
b) El nombre y los datos de contacto del delegado de protección de datos o de otro
punto de contacto en el que pueda obtenerse más información.
c) Descripción de las posibles consecuencias de la violación de la seguridad de los
datos personales.
d) Descripción de las medidas adoptadas o propuestas para poner remedio a la
violación de la seguridad de los datos personales, incluyendo, si procede, las medidas
adoptadas para mitigar los posibles efectos negativos.
Si no es posible facilitar la información simultáneamente, y en la medida en que no lo
sea, la información se facilitará de manera gradual sin dilación indebida.
Corresponde al encargado del tratamiento comunicar en el menor tiempo posible, y
en todo caso antes de 36 horas, las violaciones de la seguridad de los datos a los
interesados, cuando sea probable que la violación suponga un alto riesgo para los
derechos y las libertades de las personas físicas.
La comunicación debe realizarse en un lenguaje claro y sencillo y deberá, como
mínimo:
e) Explicar la naturaleza de la violación de datos.
f) Indicar el nombre y los datos de contacto del delegado de protección de datos o
de otro punto de contacto en el que pueda obtenerse más información.
g) Describir las posibles consecuencias de la violación de la seguridad de los datos
personales.

cve: BOE-A-2025-16038
Verificable en https://www.boe.es

Núm. 185