BOLETÍN OFICIAL DEL ESTADO
Núm. 145

Viernes 18 de junio de 2021

Sec. III. Pág. 74329

b) Control por el ente titular de la información cedida. La ciudad acepta someterse a
las actuaciones de comprobación que pueda acordar la Agencia Tributaria.
La Agencia Tributaria aplicará los controles ordinarios derivados de su sistema de gestión
de la seguridad de la información. En particular, las cesiones de información realizadas
quedarán registradas en el sistema de control de accesos de la Agencia Tributaria. El Servicio
de Auditoría Interna de la Agencia Tributaria podrá acordar otras actuaciones de
comprobación al objeto de verificar la adecuada obtención y utilización de la información
cedida y las condiciones normativas o convencionales que resultan de aplicación.
Décima.

Tratamiento de datos personales.

En el caso de que la información incorpore datos personales de los interesados,
tanto el cedente como el cesionario tratarán los datos de acuerdo al
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril
de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento
de datos personales y a la libre circulación de estos datos y por el que se deroga la
Directiva 95/46/CE (Reglamento General de Protección de Datos) y a la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales.
Los datos tratados en este Convenio tienen la categorización de información
tributaria en lo referente a la cláusula segunda A.1 y B del presente Convenio.
Los tratamientos de datos anteriores a la cesión son responsabilidad del cedente de
la información, y los tratamientos posteriores son responsabilidad de la ciudad cesionaria
de la información.
En el caso del Ministerio de Hacienda, el responsable del tratamiento a efectos del
Reglamento General de Protección de Datos es la persona titular de la Secretaría
General de Financiación Autonómica y Local.
En el caso de la Agencia Tributaria, el responsable del tratamiento a efectos del
Reglamento General de Protección de Datos es la persona titular de la Dirección
General.
En el caso de la ciudad, cada órgano, organismo o entidad autorizado a recibir
suministros de información tendrá designado un responsable del tratamiento a los
efectos del Reglamento General de Protección de Datos.
Undécima.

Obligación de sigilo.

Cuantas autoridades, funcionarios y resto de personal tengan conocimiento de los datos
o información suministrados en virtud de este Convenio estarán obligados al más estricto y
completo sigilo respecto de ellos. La violación de esta obligación implicará incurrir en las
responsabilidades penales, administrativas y civiles que resulten procedentes.
El expediente para conocer de las posibles responsabilidades de cualquier índole
que se pudieran derivar de la indebida utilización de la información suministrada en
ejecución de este Convenio deberá ser iniciado y concluido, así como exigida la
responsabilidad, en su caso, por la Administración a la que pertenezca la autoridad,
funcionario u otro tipo de personal responsable de dicha utilización indebida.
Archivo de las actuaciones.

La documentación obrante en cada administración relativa a los controles efectuados
sobre la custodia y utilización de los datos cedidos deberá conservarse por un periodo de
tiempo no inferior a tres años. En especial, la ciudad deberá conservar la autorización
expresa de los interesados.

cve: BOE-A-2021-10193
Verificable en https://www.boe.es

Duodécima.