Anexo UNICO
Acuerdo de corresponsabilidad en el tratamiento de datos personales
1. Objeto.
Las partes tendrán la consideración de Responsables del Tratamiento (en adelante Corresponsables del Tratamiento), conforme a lo establecido en el artículo 26 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante RGPD), así como en el artículo 29 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), y en el resto de normativa vigente en la materia. En consecuencia, el acceso a datos de carácter personal en el marco de este acuerdo se realiza con el único fin de permitir una adecuada prestación de los servicios y no se considerará como una cesión o comunicación de datos.
2. Obligaciones de las partes.
Las partes se obligan a cumplir todas las obligaciones derivadas del RGPD, de la LOPDGDD, así como de la legislación complementaria y que pueda sustituirlos en materia de protección de datos personales. Igualmente, se comprometen a colaborar entre ellas para facilitar su cumplimiento. Las partes reconocen actuar como corresponsables del tratamiento de los datos personales necesarios para la ejecución del presente convenio y tener legitimidad suficiente para tratarlos. Las partes se comprometen a tratar los datos personales necesarios para ejecutar este acuerdo únicamente para dar cumplimiento a su objeto, teniendo en consideración que los datos podrán ser tratados por los corresponsables de acuerdo con los tratamientos lícitos y previstos en estos casos en sus respectivas instituciones, fuera del régimen de corresponsabilidad establecido en este acuerdo. Las partes garantizarán que cuando faciliten datos personales al resto de partes lo harán cumpliendo todas las exigencias de la normativa vigente. En especial, deberán garantizar que lo hacen atendiendo a los principios de licitud, lealtad y transparencia, así como el principio de minimización de datos, y de manera que se garantice su exactitud.
2.1 Deber de Información.
Cumplirá con el deber de información a los interesados contemplado en los artículos 13 y 14 del RGPD y 11 de la LOPDGDD, aquel corresponsable que realice la recogida de datos, indicando la identidad de todos los corresponsables y el medio de cada uno a través del cual los interesados pueden ejercer sus derechos de acceso, rectificación, supresión y oposición, limitación del tratamiento, portabilidad de datos y a no ser objeto de decisiones individualizadas (incluida la elaboración de perfiles).
2.2 Respuesta y gestión del ejercicio de derechos.
Cada parte será responsable de atender las solicitudes de ejercicio de derechos establecidos en los artículos 15 a 22, ambos inclusive, del RGPD, que correspondan a tratamientos en los que ostenten la consideración de responsable del tratamiento. En el caso de que un interesado se dirija a la parte que no tenga bajo su responsabilidad el tratamiento de los datos sobre los que se ejercen los derechos en cuestión, esta remitirá la solicitud de forma inmediata a la parte responsable del tratamiento. No obstante, lo anterior, los interesados podrán ejercer los derechos que les reconoce el RGPD frente a, y en contra de, cada uno de los responsables, atendiendo a lo dispuesto en el artículo 26.3 RGPD. Las partes colaborarán entre sí para la adecuada atención y satisfacción de los derechos de los interesados. Los corresponsables deben comunicar a las otras partes por escrito la recepción de las solicitudes de ejercicio de derechos a fin de que puedan resolverlas conjuntamente dentro del plazo establecido. Será el corresponsable a quién se hubiera dirigido el interesado quién deberá contestarle por escrito, salvo que las partes acuerden otra cosa. A estos efectos, se entenderán como modo de notificación válido las cuentas de correo electrónico de los delegados de protección de datos de las partes firmantes, establecidos en el apartado 5 del anexo.
2.3 Medidas de seguridad.
Las partes se obligan a implantar las medidas de seguridad técnicas y organizativas adecuadas al riesgo para proteger los datos personales objeto de tratamiento en el marco de este acuerdo, de conformidad con el artículo 32 del RGPD, las medidas de seguridad correspondientes a lo previsto en el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad y con la orden ECD/298/2018, de 12 de marzo, por la que se aprueba la política de seguridad de la información en el ámbito de la administración electrónica del MECD.
2.4 Confidencialidad y comunicación de los datos.
Las partes mantendrán la confidencialidad en el tratamiento de todos los datos personales facilitados por las partes y de la información, de cualquier clase o naturaleza, resultante de la ejecución del presente acuerdo. Los datos de carácter personal no serán comunicados a terceros, salvo cuando se cedan a encargados de tratamiento autorizados o a otros organismos o Administraciones Públicas conforme a lo previsto legalmente. La obligación general de confidencialidad será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. Todas las personas que, actuando en nombre de cada responsable, tengan acceso a los datos personales de los interesados deben recibir instrucciones sobre el cumplimiento de sus obligaciones en materia de secreto, confidencialidad y protección de datos. Las obligaciones de confidencialidad y de secreto tendrán carácter indefinido, incluso después de que finalice el objeto del convenio.
2.5 Incidentes de seguridad.
En caso de sufrir un incidente de seguridad que afecte a los datos personales objeto de este acuerdo, debe notificarse al resto de corresponsables, sin dilación indebida, y en el plazo más breve posible con toda la información relevante, incluyendo como mínimo:
a) Descripción de la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados.
b) Datos de la persona de contacto del Corresponsable afectado para obtener más información.
c) Descripción de las posibles consecuencias de la violación de la seguridad de los datos personales.
d) Descripción de las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.
Si no es posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida. Se determinará de forma conjunta el alcance del incidente y si constituye un riesgo para los derechos y libertades del interesado, a efectos de determinar si es necesario realizar una notificación ante la Autoridad de Protección de Datos competente y, en su caso, a los interesados. A estos efectos, se entenderán como modo de notificación válido las cuentas de correo electrónico de los delegados de protección de datos de las partes firmantes, establecidos en el apartado 5 del anexo.
2.6 Cesión.
Tratar los datos personales conforme a los fines y medios regulados en este acuerdo, y no comunicar o ceder los citados datos a terceros no autorizados, ni siquiera para su conservación, sin la autorización correspondiente, previa autorización expresa y por escrito de todos los corresponsables del tratamiento o existencia de obligación legal.
2.7 Encargo de Tratamiento.
La intervención de encargados de tratamiento requerirá el consentimiento de las partes y la suscripción del correspondiente acuerdo de encargo conforme a lo previsto en el artículo 28 del RGPD, que se anexará al presente acuerdo. Dicho consentimiento no será necesario cuando el encargo de tratamiento se haya establecido en una norma de rango legal.
2.8 Colaboración.
Las partes quedan obligadas a colaborar entre ellas y a poner a disposición del corresponsable que lo solicite toda la información de la que se disponga para cumplir con la normativa en protección de datos, incluyendo el apoyo en la realización de Evaluaciones de Impacto en Protección de Datos (EIPD), Auditorías, inspecciones u otros.
2.9 Responsabilidades.
El incumplimiento por parte de alguna de las partes de la normativa en protección de datos, así como de las obligaciones referidas en el presente acuerdo comportará que responda directamente y de forma individual ante las Autoridades de Protección de Datos, o ante cualquier tercera persona de las infracciones que se puedan haber cometido derivadas de la ejecución del presente acuerdo y/o del cumplimiento de la legislación vigente en materia de protección de datos de carácter personal. En caso de que tal incumplimiento cause un daño al resto de corresponsables, éstos podrán reclamar daños y perjuicios a la parte o partes incumplidoras. Las partes responderán solidariamente frente a terceros de los tratamientos de datos personales derivados de este acuerdo, en los que actúen como corresponsables y les sean atribuibles o no puedan ser atribuidos a partes concretas, sin perjuicio de la posibilidad de las partes de reclamar contra la parte o las partes incumplidoras.
3. Duración.
La duración del presente acuerdo está vinculado a la duración del convenio del cual se deriva y de las responsabilidades que cualquiera de los corresponsables mantenga en cumplimiento de sus obligaciones legales.
4. Legislación y jurisdicción.
El presente acuerdo se regirá e interpretará conforme a la legislación española en todo aquello que no esté expresamente regulado, sometiéndose las partes, para las controversias que pudieran surgir con relación al mismo, a la competencia de los Juzgados y Tribunales, con renuncia a cualquier otro fuero que les pudiera corresponder.
5. Protección de datos. Información de las partes.
Se informa a los representantes que firman el presente acuerdo de Corresponsabilidad y a las personas de contacto que aparezcan en el mismo, que sus datos de carácter personal serán objeto de tratamientos responsabilidad de cada una de las partes. Los datos personales de los firmantes del presente acuerdo, y demás personas de contacto serán tratados con base en la ejecución del acuerdo, así como al cumplimiento de una misión de interés público, con la finalidad de gestionar el mantenimiento, cumplimiento, desarrollo, control y ejecución de lo dispuesto en el presente acuerdo. Puede ejercer los derechos de los artículos 15 al 22 del Reglamento, en la sede electrónica de cada una de las partes, presencialmente en las oficinas de registro o por correo postal. – Ministerio de Educación, Formación Profesional y Deporte. Contacto del Delegado de Protección de Datos: [email protected]. – Departamento de Educación de la Comunidad Autónoma del País Vasco. Contacto del Delegado de Protección de Datos: [email protected]. – Departamento de Educación y Formación Profesional de la Generalitat de Cataluña. Contacto del Delegado de Protección de Datos: [email protected]. – Consejería de Educación, Ciencia, Universidades y Formación Profesional de la Comunidad Autónoma de Galicia. Contacto del Delegado de Protección de Datos: [email protected]. – Asimismo, puede presentar reclamación ante la Agencia Española de Protección de Datos, autoridad de control en materia de protección de datos personales (www.aepd.es/es). subir Contactar Sobre la sede electrnica Mapa Aviso legal Accesibilidad Proteccin de datos Sistema Interno de Informacin Tutoriales Empleo en la AEBOE Agencia Estatal Boletn Oficial del Estado Avda. de Manoteras, 54 - 28050 Madrid