RESOLUCIÓN EXT/1250/2024, de 26 de marzo, por la que se da publicidad al encargo de gestión de la Secretaría de Acción Exterior del Gobierno y de la Unión Europea del Departamento de Acción Exterior y Unión Europea de la Generalitat de Catalunya a la Agencia Catalana de Cooperación al Desarrollo para la gestión del Registro de organizaciones no gubernamentales para el desarrollo.

En fecha 1 de marzo de 2024, se ha firmado el encargo de gestión de la Secretaría de Acción Exterior del Gobierno y de la Unión Europea del Departamento de Acción Exterior y Unión Europea de la Generalitat de Catalunya a la Agencia Catalana de Cooperación al Desarrollo para la gestión del Registro de Organizaciones No Gubernamentales para el Desarrollo.

Dadas las previsiones del artículo 112.2 de la Ley 26/2010, de 3 de agosto, de régimen jurídico y de procedimiento de las administraciones públicas de Cataluña,

Resuelvo:

Hacer público el encargo de gestión de la Secretaría de Acción Exterior del Gobierno y de la Unión Europea del Departamento de Acción Exterior y Unión Europea de la Generalitat de Catalunya a la Agencia Catalana de Cooperación al Desarrollo para la gestión del Registro de Organizaciones No Gubernamentales para el Desarrollo.

Barcelona, 26 de marzo de 2024

Vicenç Margalef Parellada

Director de la Agencia Catalana de Cooperación al Desarrollo

Encargo de gestión de la Secretaría de Acción Exterior del Gobierno y de la Unión Europea del Departamento de Acción Exterior y Unión Europea de la Generalitat de Catalunya a la Agencia Catalana de Cooperación al Desarrollo para la gestión del Registro de Organizaciones No Gubernamentales para el Desarrollo.

REUNIDOS

Por un lado, el señor Miquel Royo Vidal, secretario de Acción Exterior del Gobierno y de la Unión Europea, en virtud del Decreto 231/2022, de 18 de octubre, por el que se le nombra, y de acuerdo con las competencias de dirección, coordinación y seguimiento de la política de cooperación al desarrollo del Gobierno que le atribuye el Decreto 138/2023, de 25 de julio, de reestructuración del Departamento de Acción Exterior y Unión Europea.

Y por otra, el señor Vicenç Margalef Parellada, director de la Agencia Catalana de Cooperación al Desarrollo (ACCD), que actúa en virtud de las facultades que le otorga el artículo 9.3.f) de los estatutos de la ACCD, aprobados por Decreto 236/2003, de 8 de octubre, y del nombramiento efectuado por el Acuerdo de Gobierno GOV/141/2022, de 5 de julio (DOGC n.º 8704, de 7 de julio de 2022).

Ambas partes se reconocen mutuamente la competencia y capacidad para suscribir este encargo de gestión y, en su virtud,

MANIFIESTAN

1. La Secretaría de Acción Exterior del Gobierno y de la Unión Europea tiene atribuida, entre otras, la función de dirección, coordinación y seguimiento de la política de cooperación al desarrollo del Gobierno, así como la de velar por la coherencia de las actuaciones de los distintos departamentos y organismos de la Generalitat con esta política.

2. La Ley 26/2001, de 31 de diciembre, de Cooperación al Desarrollo, crea el Registro de Organizaciones No Gubernamentales para el desarrollo, en el que pueden inscribirse todas las entidades de derecho privado, sin ánimo de lucro, legalmente constituidas, con sede social o una delegación permanente en Cataluña y que tengan como fines institucionales principales expresamente recogidos en los estatutos la ejecución de las actividades de cooperación al desarrollo y solidaridad internacional a las que se hace referencia en el artículo 1.2, en coherencia con los valores, las finalidades y los principios establecidos en esta ley.

3. En el artículo 3 del Decreto 109/2003, de 15 de abril, por el que se regula el Registro de Organizaciones No Gubernamentales para el Desarrollo previsto en la Ley 26/2001, de 31 de diciembre, de Cooperación al Desarrollo, se establece que este registro depende del Departamento de la Presidencia y está adscrito a la Secretaría de Relaciones Exteriores, si bien de acuerdo con el Decreto 184/2022, de 10 de octubre, de denominación y determinación del ámbito de competencia de los departamentos en los que se organiza el Gobierno y la Administración de la Generalitat de Catalunya, ahora depende del Departamento de Acción Exterior y Unión Europea y queda adscrito a la Secretaría de Acción Exterior del Gobierno y de la Unión Europea.

En el artículo 11.2 de este decreto se establece que la publicidad del Registro de Organizaciones No Gubernamentales para el Desarrollo se hará efectiva mediante la certificación del contenido de los asientos expedida por el encargado del registro, por nota informativa o copia de los asientos.

4. La Secretaría de Acción Exterior del Gobierno y la Unión Europea no dispone de medios materiales ni personales para asumir tareas que se deriven de la gestión del registro. Por otra parte, en los años anteriores de gestión se ha hecho evidente que la ACCD es eficaz en la gestión del registro dado su conocimiento y experiencia en materia de cooperación al desarrollo.

5. La ACCD es una entidad de derecho público, adscrita al Departamento de Acción Exterior y Unión Europea de la Generalitat de Catalunya mediante la Dirección General de Cooperación al Desarrollo de la Secretaría de Acción Exterior del Gobierno y de la Unión Europea, que se encarga, entre otras funciones, de la ejecución y gestión de la política de cooperación al desarrollo de la Generalitat, siguiendo las directrices establecidas por el órgano competente en materia de relaciones exteriores de la Administración de la Generalitat. En el ejercicio de las funciones establecidas en los estatutos, la ACCD asesora y apoya a entidades públicas y privadas que desarrollan actividades en el ámbito de la cooperación al desarrollo.

En el Decreto 236/2003, de 8 de octubre, por el que se aprueban los estatutos de la ACCD, se define su organización y funciones.

6. En el artículo 10 de la Ley 26/2010, de 3 de agosto, de Régimen Jurídico y de Procedimiento de las Administraciones Públicas de Cataluña, y el artículo 11 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), se dispone que la realización de actividades de carácter material, técnico o de servicios de la competencia de los órganos administrativos, organismos o entidades públicas, puede ser encomendada a otros órganos, organismos o entidades públicas de la propia Administración o de otra distinta por razones de eficacia, o cuando no se disponga de los medios técnicos idóneos para ejercerlas.

Por todo ello, se acuerda formalizar este encargo de gestión, entre ambas partes, con sujeción a las siguientes

CLÁUSULAS

Primera. Objeto

El objeto de este encargo de gestión es el establecimiento de los términos de colaboración entre la Administración de la Generalitat de Catalunya, mediante el Departamento de Acción Exterior y Unión Europea, y la Agencia Catalana de Cooperación al Desarrollo (ACCD) para gestionar el Registro de Organizaciones No Gubernamentales para el Desarrollo (en adelante, el "Registro").

Segunda. Compromisos de actuación de las partes

2.1 La ACCD asume las siguientes tareas:

   a) La recepción de la documentación de inscripción, modificación u otra documentación registral relativa al Registro e introducción de la información en la base de datos.

   b) La atención informativa y acompañamiento para las entidades en las gestiones relativas al Registro.

   c) El análisis de la documentación que se acompaña en las solicitudes de inscripción o modificación o cualquier otra que sea objeto de inscripción en el Registro.

   d) Los requerimientos a las entidades interesadas de subsanación de deficiencias o entrega de documentación, cuando proceda.

   e) La elaboración de las propuestas de inscripción, de acuerdo con el artículo 5.4 del Decreto 109/2003, de 15 de abril.

   f) La elaboración de las propuestas de denegación de inscripción, de acuerdo con el artículo 6.2 del Decreto 109/2003, de 15 de abril.

   g) La elaboración de las propuestas de modificación de los datos inscritos, de acuerdo con el artículo 7 del Decreto 109/2003, de 15 de abril.

   h) La elaboración de las propuestas de cancelación de la inscripción, de acuerdo con el artículo 9 del Decreto 109/2003, de 15 de abril.

   i) La publicidad y actualización de la información contenida en el Registro en los términos previstos en la Ley 19/2014, de 29 de diciembre, de Transparencia, Acceso a la Información Pública y Buen Gobierno.

   j) La custodia y gestión del anexo en el Registro, de acuerdo con el artículo 10 del Decreto 109/2003, de 15 de abril.

   k) La preparación de la documentación relativa a la resolución de los eventuales recursos que puedan interponerse de acuerdo con el artículo 6.2 y 9.3, respectivamente, del Decreto 109/2003, de 15 de abril.

   l) Otras tareas que puedan derivarse del apoyo a la Secretaría de Acción Exterior del Gobierno y de la Unión Europea en la gestión del Registro (de ahora en adelante, Secretaría).

2.2 Corresponde a la Secretaría:

Resolver las inscripciones, denegaciones de inscripciones, modificaciones y cancelaciones en el Registro, de acuerdo con los artículos 5.4, 6.2, 7 y 9.3, respectivamente, del Decreto 109/2003, de 15 de abril.

Tercera. Financiación

El encargo de gestión no conlleva ninguna retribución ni contraprestación económica específica a favor de la ACCD. Las partes deben poner a disposición de este encargo sus recursos técnicos y humanos para la realización de las actividades indicadas en la cláusula segunda.

Cuarta. Seguimiento y control

Corresponde a la Secretaría la responsabilidad en el seguimiento del cumplimiento de este encargo, así como el control de las actuaciones descritas en la cláusula segunda del mismo.

En consecuencia, la Secretaría podrá recabar informes y dictar instrucciones de funcionamiento internas y, en general, ejercerá las funciones de control o supervisión que considere oportunas para el funcionamiento eficiente del Registro.

Quinta. Vigencia

Este encargo de gestión surtirá efectos desde la fecha de su firma hasta el 31 de diciembre de 2027, prorrogándose anualmente de forma automática, hasta que no se produzca una de las causas de resolución anticipada expresamente previstas.

El encargo puede modificarse y prorrogarse, de mutuo acuerdo por las partes, por escrito y mientras esté vigente.

Sexta. Extinción del encargo de gestión

Las causas de extinción y resolución anticipada del encargo son las siguientes:

   a) La finalización del plazo de vigencia y/o cualquiera de las prórrogas.

   b) El mutuo acuerdo de las partes, manifestado por escrito con una antelación mínima de un (1) mes y en cualquier momento. Aunque las partes denuncien su finalización anticipada, los pactos iniciados al amparo de este encargo con anterioridad al momento mencionado deberán mantenerse hasta que finalicen, prorrogándose el encargo automáticamente hasta la finalización de los pactos en los términos establecidos en el artículo 52.3 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.

   c) La imposibilidad sobrevenida, legal o material, de dar cumplimiento al objeto.

   d) El incumplimiento de sus pactos y/o la normativa aplicable por alguna de las partes.

   e) La decisión judicial declaratoria de la nulidad del acuerdo.

   f) Cualquier otra causa que prevea la legislación vigente.

Séptima. Protección de datos

7.1 Para la ejecución de las prestaciones necesarias para dar cumplimiento al objeto del presente encargo, es necesario que la ACCD acceda a los datos contenidos en el Registro, el cual contiene datos de carácter personal.

7.2 Consecuentemente, la ACCD tiene la posición de encargada del tratamiento de los datos personales del Registro y se obliga al cumplimiento de todo lo que se establece en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, y en la normativa de desarrollo (o la normativa que la sustituya), en relación con los datos personales a los que tenga acceso con ocasión del contrato; y de lo que se establece en el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en cuanto al tratamiento de datos personales y a la libre circulación de estos datos, por el que se deroga la Directiva 95/46/CE (en adelante, "RGPD").

A estos efectos, las partes firmarán, como anexo al presente encargo, el correspondiente acuerdo de encargo de tratamiento.

Octava. Naturaleza del encargo de gestión

Este encargo de gestión tiene naturaleza administrativa y queda fuera del ámbito de aplicación de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, por la que se transponen al ordenamiento jurídico español las directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de 2014, tal y como se dispone en el artículo 6.3 de este cuerpo legal, dado que se trata de un encargo sin contraprestación económica.

Novena. Publicidad

De acuerdo con el artículo 110.3 de la Ley 26/2010, de 3 de agosto, de Régimen Jurídico y de Procedimiento de las Administraciones Públicas de Cataluña, este encargo debe publicarse en el Diari Oficial de la Generalitat de Catalunya y en la web del Registro de Convenios de Colaboración y Cooperación de la Generalitat, que es accesible desde el Portal de la Transparencia.

Décima. Resolución de controversias y jurisdicción competente

Las posibles discrepancias en la interpretación y dudas derivadas sobre el cumplimiento de este encargo deberán resolverse de mutuo acuerdo bajo los criterios de buena fe y de colaboración.

En las cuestiones litigiosas que puedan surgir en la aplicación del encargo, ambas partes se someterán a la jurisdicción contencioso-administrativa.

Y, como prueba de conformidad, las partes firman electrónicamente este encargo de gestión a un solo efecto, en el lugar indicado en el encabezamiento y en la fecha de la última firma electrónica.

Miquel Royo Vidal

Secretario de Acción Exterior del Gobierno y de la Unión Europea.

Vicenç Margalef Parellada

Director de la ACCD

Anexo al encargo de gestión de la Secretaría de Acción Exterior del Gobierno y de la Unión Europea del Departamento de Acción Exterior y Unión Europea de la Generalitat de Catalunya a la Agencia Catalana de Cooperación al Desarrollo para la gestión del Registro de Organizaciones No Gubernamentales para el Desarrollo.

Acuerdo de encargo de tratamiento de datos de carácter personal entre la secretaría de Acción Exterior del Gobierno y de la Unión Europea del Departamento de Acción Exterior y Unión Europea de la Generalitat de Catalunya a la Agencia Catalana de Cooperación al Desarrollo.

REUNIDOS

Por un lado, el señor Miquel Royo Vidal, secretario de Acción Exterior del Gobierno y de la Unión Europea, en nombre de la Secretaría de Acción Exterior del Gobierno y de la Unión Europea del Departamento de Acción Exterior y Unión Europea de la Generalitat de Catalunya, en virtud del Decreto 231/2022, de 18 de octubre, por el que se nombra al señor Miquel Royo Vidal como secretario de Acción Exterior del Gobierno y de la Unión Europea del Departamento de Acción Exterior y Unión Europea, con las competencias de dirección, coordinación y seguimiento de la política de cooperación al desarrollo del gobierno que le atribuye el Decreto 138/2023, de 25 de julio, de reestructuración del Departamento de Acción Exterior y Unión Europea.

Y por otra, el señor Vicenç Margalef Parellada, director de la Agencia Catalana de Cooperación al Desarrollo (ACCD), que actúa en virtud de las facultades que le otorga el artículo 9.3.f) de los estatutos de la ACCD, aprobados por Decreto 236/2003, de 8 de octubre, y del nombramiento efectuado por el Acuerdo de Gobierno GOV/141/2022, de 5 de julio (DOGC n.º 8704, de 7 de julio de 2022).

Ambas partes, en nombre y representación de las respectivas instituciones y en uso de las atribuciones propias de sus cargos, se reconocen mutuamente la capacidad necesaria para contratar y obligarse y

MANIFIESTAN

1. Que la Secretaría de Acción Exterior del Gobierno y de la Unión Europea del Departamento de Acción Exterior y Unión Europea de la Generalitat de Catalunya es responsable del tratamiento de datos personales objeto de este contrato, de conformidad con lo que se establece en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que se refiere al tratamiento de datos personales y a la libre circulación de estos datos, por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos, o RGPD) (DOUE de 4.5.2016).

2. Que el responsable del tratamiento formaliza un encargo de gestión con la ACCD, que actúa como encargado de gestionar el Registro de Organizaciones No Gubernamentales para el Desarrollo previsto en la Ley 26/2001, de 31 de diciembre, de Cooperación al Desarrollo (RONGD).

3. Que, para el cumplimiento y la prestación de estos servicios, el encargado del tratamiento necesariamente debe acceder y tratar datos de carácter personal que son responsabilidad del responsable del tratamiento.

4. Que, tanto el responsable del tratamiento como el encargado del tratamiento de los datos garantizan que la persona delegada de protección de datos participará de forma adecuada y oportuna en todas las cuestiones relativas a la protección de datos personales.

5. Que, en cumplimiento de lo dispuesto en el artículo 28 del RGPD, el encargado del tratamiento ofrece garantías suficientes al responsable del tratamiento de tener implantadas las garantías políticas, técnicas y organizativas adecuadas (anexo I) para dar cumplimiento a la normativa vigente en materia de protección de datos y proteger los derechos de las personas interesadas, por lo que ambas partes convienen suscribir este contrato y acuerdan las siguientes

CLÁUSULAS

Primera. Objeto del encargo del tratamiento

Mediante estas cláusulas, se habilita a la ACCD, como encargada del tratamiento, para tratar por cuenta de la Secretaría de Acción Exterior del Gobierno y de la Unión Europea del Departamento de Acción Exterior y Unión Europea, responsable del tratamiento, los datos de carácter personal necesarios para la gestión del RONGD.

Las operaciones de tratamiento autorizadas serán las estrictamente necesarias para alcanzar la finalidad del encargo, y son las que se reflejan a continuación:

   - Conservación

   - Extracción

   - Consulta

   - Comunicación por transmisión

   - Difusión

   - Interconexión

   - Cotejo

   - Limitación

   - Supresión

   - Destrucción

   - Comunicación

Segunda. Identificación de la información afectada

Para ejecutar las prestaciones derivadas del cumplimiento del objeto de este encargo, la Secretaría de Acción Exterior del Gobierno y de la Unión Europea, como responsable del tratamiento, encarga a la ACCD, en el marco del encargo de gestión, la recopilación y el tratamiento de la información necesaria para la correcta gestión del RONGD.

Concretamente, las categorías de datos objeto de tratamiento deben ser datos de carácter identificativo (NIF, DNI, pasaporte y NIE, nombre y apellidos, teléfono y dirección postal o electrónica, imagen, teléfono, firma electrónica, firma manuscrita); características personales (sexo), detalles de empleo profesional (cuerpo, escala; categoría, grado; puesto de trabajo, cargo); académicas y profesionales (formación y titulaciones), económicas, financieras y de seguros (ingresos, rentas; datos bancarios, datos de nómina; impuestos, deducciones).

Tercera. Duración

La duración de este contrato de protección de datos estará vinculada a la vigencia y al tiempo establecido en el encargo de gestión correspondiente.

Cuarta. Obligaciones del responsable del tratamiento

Corresponde al responsable del tratamiento:

   a) Entregar al encargado del tratamiento los datos a los que se hace referencia en la cláusula segunda de este documento.

   b) Garantizar que los datos recopilados, a los que se hace referencia en la cláusula segunda de este documento, se han obtenido lícitamente y que son los datos adecuados para poder prestar el servicio contratado.

   c) Realizar una evaluación de los riesgos derivados de las operaciones de tratamiento y, en su caso, una evaluación de impacto para determinar y trasladar al encargado las medidas de seguridad adecuadas para mitigar los riesgos y garantizar la seguridad de los datos, y que este las implante.

   d) Realizar las consultas previas que correspondan.

   e) Velar, antes del tratamiento y durante el mismo, por que el encargado cumpla el RGPD.

   f) Supervisar el tratamiento, incluida la ejecución de inspecciones y auditorías sobre el cumplimiento del encargado en lo que respecta a la aplicación de la normativa de protección de datos.

Quinta. Obligaciones del encargado del tratamiento

El encargado del tratamiento y todo su personal se obligan a:

   a) Utilizar los datos personales objeto de tratamiento solamente para la finalidad objeto de este encargo. En ningún caso podrán utilizar los datos para finalidades propias o distintas a las que son objeto del encargo o que sean contrarias a lo estipulado en este contrato.

   b) Tratar los datos de acuerdo con las instrucciones del responsable del tratamiento.

Si el encargado del tratamiento considera que alguna de las instrucciones infringe el RGPD o cualquier otra disposición en materia de protección de datos de la Unión Europea o de los Estados miembros, informará inmediatamente al responsable.

   c) Llevar, por escrito, un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del responsable que contenga:

   1. El nombre y los datos de contacto del encargado (o encargados) y del responsable por cuya cuenta actúa y, en su caso, del representante del responsable o del encargado y del delegado de protección de datos.

   2. Las operaciones de tratamientos efectuadas por cuenta del responsable.

   3. En su caso, categorías de destinatarios de los datos, indicando la finalidad que motiva la cesión y la base que la legitima.

   4. En su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho país u organización internacional, y en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, del RGPD, la documentación de garantías adecuadas.

   5. Una descripción general de las medidas técnicas y organizativas de seguridad apropiadas para garantizar un nivel de seguridad adecuado al riesgo que conlleva el tratamiento de los datos y que, en su caso, incluya, entre otros:

   - Seudonimizar y cifrar los datos personales.

   - Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.

   - Restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico.

   - Establecer procedimientos de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas que garantizan la seguridad del tratamiento.

   d) No comunicar los datos a terceras personas, salvo que tenga la autorización expresa del responsable del tratamiento, en los supuestos legalmente admisibles. En caso de que exista esta autorización, será necesario anexarla al presente contrato.

La transmisión de datos a autoridades públicas en el ejercicio de sus funciones públicas no es considerada una comunicación de datos, por lo que no será necesaria la autorización del responsable si estas transmisiones son necesarias para alcanzar la finalidad del encargo.

Una vez autorizado, el encargado puede comunicar los datos a otros encargados del tratamiento del propio responsable, de acuerdo con las instrucciones del responsable. En este caso, el responsable debe identificar, previamente y por escrito, la entidad a la que deben comunicarse los datos, los datos que deben comunicarse y las medidas de seguridad que deben aplicarse para realizar la comunicación.

   e) El encargado no podrá realizar transferencias internacionales de datos a terceros países u organizaciones internacionales no establecidos en la UE, salvo que haya obtenido una autorización previa y por escrito del responsable, que deberá anexarse a este contrato.

   f) Subcontratación. El encargado no podrá subcontratar ninguna de las prestaciones que formen parte del objeto de este contrato que comporten el tratamiento de datos personales, salvo los servicios auxiliares necesarios para el funcionamiento normal de los servicios del encargado.

Si es necesario subcontratar algún tratamiento, deberá comunicarse previamente por escrito al responsable, y obtener la autorización por escrito, que deberá anexarse a este contrato. Esta autorización deberá informar al responsable sobre: los tratamientos que se pretenden subcontratar y los datos identificativos y de contacto de la empresa subcontratista.

Hecha la subcontratación, el subcontratista también tendrá la condición de encargado del tratamiento y estará obligado igualmente a cumplir las obligaciones que se establecen en este documento para el encargado del tratamiento y las instrucciones que dicte el responsable. Corresponde al encargado inicial regular la nueva relación, de forma que el nuevo encargado quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad...) y a los mismos requisitos formales que él en lo que se refiere al tratamiento adecuado de los datos personales y a la garantía de los derechos de las personas afectadas. Si el subencargado lo incumple, el encargado inicial sigue siendo plenamente responsable ante el responsable en cuanto al cumplimiento de las obligaciones.

   g) Mantener el deber de secreto respecto a los datos de carácter personal a los que haya tenido acceso en virtud de este encargo, incluso después de que finalice el objeto.

   h) Garantizar que las personas autorizadas para tratar datos personales se comprometen, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que debe informarles convenientemente.

   i) Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales.

   j) Asistir al responsable del tratamiento en la respuesta al ejercicio de los siguientes derechos:

      1. Acceso, rectificación, supresión y oposición.

      2. Limitación del tratamiento.

      3. Portabilidad de datos.

      4. No ser objeto de decisiones individualizadas automatizadas (incluida la elaboración de perfiles).

Cuando las personas afectadas ejerzan los derechos de acceso, rectificación, supresión y oposición, limitación del tratamiento, portabilidad de datos y no ser objeto de decisiones individualizadas automatizadas ante el encargado del tratamiento, este deberá comunicarlo por correo electrónico a la dirección protecciodades.exteriors@gencat.cat. La comunicación deberá realizarse de forma inmediata, y en ningún caso más allá del día siguiente al día laborable en que se haya recibido la solicitud, junto, si procede, con otras informaciones que puedan ser relevantes para resolver la solicitud.

   k) Derecho de información. El encargado del tratamiento debe facilitar, en el momento de recoger los datos, la información relativa a los tratamientos de datos que se llevarán a cabo. La redacción y el formato en el que se facilitará la información deberá consensuarse con el responsable antes de iniciar la recogida de los datos.

   l) Notificación de violaciones de la seguridad de los datos. El encargado del tratamiento deberá informar al responsable del tratamiento, sin dilación indebida y, en cualquier caso, antes del plazo máximo de 24 horas, y a través de la dirección electrónica protecciodades.exteriors@gencat.cat, de las violaciones de la seguridad de los datos personales a su cargo de las que tenga conocimiento, junto con toda la información relevante para documentar y comunicar la incidencia, y tomar las medidas necesarias para mitigar los posibles efectos negativos que pudieran haberse ocasionado.

La notificación no será necesaria cuando sea improbable que esta violación de la seguridad constituya un riesgo para los derechos y libertades de las personas físicas.

Si se dispone de ella, se debe facilitar, como mínimo, la siguiente información:

   1. Descripción de la naturaleza de la violación de la seguridad de los datos personales, incluidas, cuando sea posible, las categorías y número aproximado de personas interesadas afectadas y las categorías y el número aproximado de registros de datos personales afectados.

   2. Nombre y datos de contacto del delegado de protección de datos u otro punto de contacto que permita ampliar la información.

   3. Descripción de las posibles consecuencias de violación de la seguridad de los datos personales.

   4. Descripción de las medidas adoptadas o propuestas para remediar la violación de la seguridad de los datos personales, incluidas, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.

Si no fuera posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información deberá facilitarse de forma gradual sin dilación indebida.

Corresponde al encargado del tratamiento comunicar las violaciones de la seguridad de los datos a la autoridad de protección de datos e informar o facilitar una copia de la comunicación efectuada al responsable del tratamiento.

La comunicación contendrá, como mínimo, la siguiente información:

a. Descripción de la naturaleza de la violación de la seguridad de los datos personales, incluidas, cuando sea posible, las categorías y número aproximado de personas interesadas afectadas y las categorías y el número aproximado de registros de datos personales afectados.

b. Nombre y datos de contacto del delegado de protección de datos u otro punto de contacto que permita ampliar la información.

c. Descripción de las posibles consecuencias de la violación de la seguridad de sus datos personales.

d. Descripción de las medidas adoptadas o propuestas para remediar la violación de la seguridad de los datos personales, incluidas, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.

Si no fuera posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información deberá facilitarse de forma gradual sin dilación indebida.

Corresponde al encargado del tratamiento comunicar lo antes posible a las personas interesadas las violaciones de la seguridad de los datos cuando sea probable que la violación suponga un riesgo alto para los derechos y libertades de las personas físicas, informar de ello o bien facilitar una copia de la comunicación efectuada al responsable del tratamiento.

La comunicación deberá hacerse en un lenguaje claro y sencillo y, como mínimo, es necesario:

   a) Explicar la naturaleza de la violación de datos.

   b) Indicar el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que se pueda obtener más información.

   c) Describir las posibles consecuencias de la violación de la seguridad de sus datos personales.

   d) Describir las medidas adoptadas o propuestas por el responsable del tratamiento para remediar la violación de la seguridad de los datos personales, incluidas, en su caso, las medidas adoptadas para mitigar sus posibles efectos negativos.

   m) Proporcionar apoyo al responsable del tratamiento a la hora de realizar las evaluaciones de impacto relativas a la protección de datos, cuando proceda.

   n) Proporcionar apoyo al responsable del tratamiento a la hora de realizar las consultas previas a la autoridad de control, cuando proceda.

   o) Poner a disposición del responsable toda la información necesaria para demostrar que cumple sus obligaciones, así como para realizar las auditorías o inspecciones que efectúen el responsable u otro auditor autorizado por este.

   p) Designar a un delegado o delegada de protección de datos, en los casos establecidos por la normativa en materia de protección de datos, y comunicar su identidad y los datos de contacto a la persona responsable.

   q) Destino de los datos. Devolver al responsable del tratamiento los datos de carácter personal y, en su caso, los soportes en los que consten, una vez cumplida la prestación.

La devolución conllevará la destrucción de las copias y el borrado total de los datos existentes en los equipos informáticos utilizados por el encargado.

No obstante, el encargado podrá conservar una copia, con los datos debidamente bloqueados, mientras puedan derivarse responsabilidades de la ejecución de la prestación.

   r) De acuerdo con el artículo 82 del RGPD, el encargado se responsabiliza, ante el responsable, de los daños y perjuicios causados a las personas interesadas o terceras, incluidas las sanciones administrativas que se deriven de reclamaciones judiciales o extrajudiciales o de procedimientos sancionadores de la autoridad de control, que sean consecuencia del incumplimiento de las instrucciones recibidas a través de este contrato.

Sexta. Derechos de la persona responsable del tratamiento

La persona responsable del tratamiento tiene derecho a:

a) Obtener de la persona encargada toda la información que considere necesaria relativa a los datos y tratamientos que se describen en la cláusula segunda, a fin de que pueda cumplir con sus obligaciones como persona responsable.

b) Obtener la asistencia de la persona encargada para atender a las peticiones e inspecciones de cualquier autoridad de control, cuando los tratamientos objeto de las peticiones e inspecciones sean los que lleva a cabo la persona encargada.

c) Ser compensada por la persona encargada por los daños y perjuicios que soporte como consecuencia del incumplimiento de las obligaciones de la persona encargada o de sus subcontratados.

Séptima. Modificación del Acuerdo

Este acuerdo de encargo de tratamiento se puede modificar de forma expresa de común acuerdo entre las partes, mediante la firma de la adenda correspondiente.

Octava. Comunicaciones y notificaciones

Las comunicaciones dirigidas a la persona responsable del tratamiento deben enviarse a: Laietana, 14, 08003 Barcelona, y a protecciodades.exteriors@gencat.cat.

Las comunicaciones dirigidas a la persona encargada del tratamiento deben enviarse a: Via Laietana, 14, 08003 Barcelona, y a protecciodades.accd@gencat.cat.

Novena. Seguimiento y control

Se realizarán reuniones durante la vigencia del presente acuerdo, para llevar a cabo el seguimiento y control de las medidas técnicas y organizativas de seguridad, a fin de que el tratamiento se efectúe de conformidad con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, y su normativa de desarrollo, así como, si procede, con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, por el que se deroga la Directiva 95/46/CE.

A las citadas reuniones asistirán la persona designada por la persona responsable del tratamiento y por la persona encargada del tratamiento, y la persona delegada de protección de datos, si procede.

La primera reunión tendrá lugar cuando alguna de las dos partes lo considere necesario, previa comunicación con un mínimo de 48 horas de antelación.

Y, como prueba de conformidad, las partes firman electrónicamente este encargo de gestión a un solo efecto, en el lugar indicado en el encabezamiento y en la fecha de la última firma electrónica.

Miquel Royo Vidal

Secretario de Acción Exterior del Gobierno y de la Unión Europea

Vicenç Margalef Parellada

Director de la ACCD