Texto consolidado del BOE.
Disposición adicional séptima. Protección de datos personales.
1. Los tratamientos de datos de carácter personal de las personas físicas se realizarán con estricta sujeción a lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
2. En el tratamiento de datos de carácter personal en las aplicaciones y servicios digitales diseñados, desarrollados o en mantenimiento por parte de la Agencia y que hayan sido creados o implantados en el ámbito de sus competencias y puestos a disposición de los órganos de la Administración General del Estado y de las demás administraciones públicas, así como de los organismos y entidades de Derecho público vinculados o dependientes de las mismas, la Agencia tendrá la consideración de «Encargado del Tratamiento», correspondiendo a aquéllos la consideración de «Responsable del Tratamiento», en aplicación del Reglamento general de protección de datos.
3. En su condición de encargado del tratamiento y conforme dispone el artículo 28.3 del Reglamento general de protección de datos, la Agencia:
a) Tratará los datos personales según las instrucciones de los órganos y organismos a cuya disposición se pusieran las aplicaciones y servicios digitales.
b) Garantizará que las personas autorizadas a tratar los datos personales tienen contraído compromiso de confidencialidad, guarden secreto profesional sobre los mismos y no los comuniquen a terceros, salvo en aquellos casos en que deba hacerse en estricto cumplimiento de la ley.
c) Asistirá al órgano, organismo o entidad, a través de medidas técnicas y organizativas apropiadas y siempre que sea posible, para que pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III del Reglamento general de protección de datos.
d) A la finalización de la puesta a disposición de las aplicaciones y servicios digitales, facilitará la devolución de los datos al órgano u organismo.
e) Pondrá a disposición del órgano u organismo beneficiario toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el Reglamento general de protección de datos, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del órgano u organismo o de otro auditor autorizado por aquél.