BOLETÍN OFICIAL DEL ESTADO
Núm. 50

Lunes 28 de febrero de 2022

Sec. III. Pág. 23559

2. Se establecen los siguientes controles sobre la custodia y la utilización de la
información suministrada al amparo de este Convenio:
a)

Control interno por parte del ente cesionario de la información.

La Universidad de Alcalá realizará controles sobre la custodia y utilización que de los
datos recibidos realicen las autoridades, funcionarios o resto de personal dependientes
de ella, informando a la Comisión Mixta de Coordinación y Seguimiento prevista en la
cláusula Decimotercera del presente Convenio de los resultados obtenidos en dicho
seguimiento.
Contará con una política de seguridad de la información, un análisis y gestión de
riesgos y una asignación explícita de responsabilidades en materia de seguridad
adecuadas para su misión, objetivos y tamaño y deberá aplicar dichos mecanismos de
seguridad a la información suministrada por la Agencia Tributaria.
Impedirá el acceso a la información suministrada por parte de personal no
autorizado, estableciendo la trazabilidad de los accesos a la información suministrada y
desarrollando auditorías del acceso a los datos con criterios aleatorios y de riesgo.
Adoptará medidas específicas que eviten el riesgo de que la información pueda ser
utilizada, incluso inadvertidamente, para otros propósitos o por personal en el que
concurra algún conflicto de intereses, así como medidas que aseguren el cumplimiento
de las condiciones que sustentan cada una de las cesiones.
b)

Control por el ente titular de la información cedida.

La Agencia Tributaria aplicará los controles ordinarios derivados de su sistema de
gestión de la seguridad de la información. En particular, las cesiones de información
realizadas quedarán registradas en el sistema de control de accesos de la Agencia
Tributaria. El Servicio de Auditoría Interna de la Agencia Tributaria podrá acordar otras
actuaciones de comprobación para verificar la adecuada obtención y utilización de la
información cedida y de las condiciones normativas o convencionales que resultan de
aplicación.
Novena.

Tratamiento de datos personales.

En el caso de que la información incorpore datos personales de los interesados,
tanto el cedente, la Agencia Tributaria, como el cesionario, la Universidad de Alcalá,
tratarán los datos de acuerdo al Reglamento (UE) 2016/679 del Parlamento Europeo y
del Consejo, de 27 de abril de 2016 y a la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales.
Los datos tratados en este Convenio tienen la categorización de información
tributaria.
En el caso del cedente de los datos, la Agencia Tributaria, el responsable del
Tratamiento a efectos del Reglamento General de Protección de Datos es el titular de la
Dirección General.
En el caso del cesionario de los datos, la Universidad de Alcalá, el responsable del
tratamiento de los datos a los efectos del Reglamento es la Secretaría General.
Obligación de sigilo.

1. Cuantas autoridades, funcionarios y resto de personal tengan conocimiento de
los datos o información suministrados en virtud de este Convenio estarán obligados al
más estricto y completo sigilo respecto de ellos. La violación de esta obligación implicará
incurrir en las responsabilidades penales, administrativas y civiles que resulten
procedentes, así como el sometimiento al ejercicio de las competencias que
corresponden a la Agencia Española de Protección de Datos.
2. El expediente administrativo para conocer de las posibles responsabilidades de
cualquier índole que se pudieran derivar de la indebida utilización de la información

cve: BOE-A-2022-3155
Verificable en https://www.boe.es

Décima.