BOLETÍN OFICIAL DEL ESTADO
Núm. 80

Sábado 3 de abril de 2021

Sec. III. Pág. 38209

Ello sin perjuicio de los cambios en dicho modelo de gestión que puedan derivar de
la evolución tecnológica de las aplicaciones informáticas de la Agencia Tributaria.
Novena.

Control y seguridad de los datos suministrados.

1. El control y seguridad de los datos suministrados se regirá por lo dispuesto en el
Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de
Seguridad en el ámbito de la Administración Electrónica, y en la Política de Seguridad de
la Información de la Agencia Tributaria y de la Entidad Local que se adhiera al presente
Convenio.
2. Se establecen los siguientes controles sobre los accesos, la custodia y la
utilización de la información suministrada al amparo de este Convenio:
a) Control interno por parte del ente cesionario de la información. Las Entidades
Locales realizarán controles sobre la custodia y utilización que de los datos recibidos
realicen las autoridades, funcionarios o resto de personal dependiente de ellas,
informando a la Comisión Mixta de Coordinación y Seguimiento prevista en la cláusula
Decimocuarta de los resultados obtenidos en dicho seguimiento.
Contarán con una política de seguridad de la información, un análisis y gestión de
riesgos y una asignación explícita de responsabilidades en materia de seguridad
adecuadas para su misión, objetivos y tamaño y deberá aplicar dichos mecanismos de
seguridad a la información suministrada por la Agencia Tributaria.
Impedirán el acceso a la información suministrada por parte de personal no
autorizado, estableciendo la trazabilidad de los accesos a la información suministrada, y
desarrollando auditorías del acceso a los datos con criterios aleatorios y de riesgo.
Adoptarán medidas específicas que eviten el riesgo de que la información pueda ser
utilizada, incluso inadvertidamente, para otros propósitos, o por personal en el que
concurra algún conflicto de intereses. Así como medidas que aseguren el cumplimiento
de las condiciones que sustentan cada una de las cesiones.
b) Control por el ente titular de la información cedida. La Agencia Tributaria aplicará
los controles ordinarios derivados de su sistema de gestión de la seguridad de la
información. Este control se podrá extender a las actuaciones realizadas en el ámbito del
Convenio por los encargados de tratamiento, si los hubiere. En particular, las cesiones
de información realizadas quedarán registradas en el sistema de control de accesos de
la Agencia Tributaria. El Servicio de Auditoría Interna de la Agencia Tributaria podrá
acordar otras actuaciones de comprobación al objeto de verificar la adecuada obtención
y utilización de la información cedida y de las condiciones normativas o convencionales
que resultan de aplicación.
3. En cada Entidad Local se designará a una persona encargada del control y la
seguridad de los datos suministrados a efectos de la verificación del uso adecuado del
total de los suministros de información efectuados.
Tratamiento de datos personales.

En el caso de que la información incorpore datos personales de los interesados,
tanto la Agencia Tributaria como las Entidades Locales tratarán los datos de acuerdo al
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril
de 2016, y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y garantía de los derechos digitales.
Los datos tratados en este Convenio tienen la categorización de información
tributaria.
En el caso de la Agencia Tributaria, el Responsable del Tratamiento a efectos del
Reglamento General de Protección de Datos es el titular de la Dirección General.
En el caso de las Entidades Locales, el Responsable del Tratamiento a los efectos
del Reglamento General de Protección de Datos será la persona que designe cada
Entidad Local.

cve: BOE-A-2021-5263
Verificable en https://www.boe.es

Décima.