BOLETÍN OFICIAL DEL ESTADO
Núm. 276

Jueves 17 de noviembre de 2022

Sec. III. Pág. 156903

2. Se establecen los siguientes controles sobre los accesos, la custodia y la
utilización de la información suministrada al amparo de este convenio:
a)

Control interno por parte del ente cesionario de la información.

El Consorcio realizará controles sobre la custodia y utilización que de los datos
recibidos realicen las autoridades, funcionarios o resto de personal dependiente del
mismo, informando a la Comisión Mixta de Coordinación y Seguimiento de los resultados
obtenidos en dicho seguimiento.
Contará con una política de seguridad de la información, un análisis y gestión de
riesgos y una asignación explícita de responsabilidades en materia de seguridad
adecuadas para su misión, objetivos y tamaño y deberá aplicar dichos mecanismos de
seguridad a la información suministrada por el cedente.
Impedirá el acceso a la información suministrada por parte de personal no
autorizado, estableciendo la trazabilidad de los accesos a la información suministrada y
desarrollando auditorías del acceso a los datos con criterios aleatorios y de riesgo.
Adoptará medidas específicas que eviten el riesgo de que la información pueda ser
utilizada, incluso inadvertidamente, para otros propósitos o por personal en el que
concurra algún conflicto de intereses, así como medidas que aseguren el cumplimiento
de las condiciones que sustentan cada una de las cesiones.
b)

Control por el ente titular de la información cedida.

La Agencia Tributaria aplicará los controles ordinarios derivados de su sistema de gestión
de la seguridad de la información. En particular, las cesiones de información realizadas
quedarán registradas en el sistema de control de accesos de la Agencia Tributaria. El Servicio
de Auditoría Interna de la Agencia Tributaria podrá acordar otras actuaciones de
comprobación al objeto de verificar la adecuada obtención y utilización de la información
cedida y de las condiciones normativas o convencionales que resultan de aplicación.
3. Asimismo, las partes se comprometen a colaborar en la investigación y resolución
de las incidencias de seguridad, En particular, en el caso de detectarse un riesgo inminente
o una incidencia de seguridad que afecte significativamente a la cesión de información, las
partes podrán interrumpir temporalmente los suministros dando aviso a la contraparte, y
comunicándolo de inmediato a la comisión prevista en la cláusula decimotercera.

En el caso de que la información incorpore datos personales de los interesados,
tanto el cedente como el cesionario tratarán los datos de acuerdo al Reglamento (UE)
2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la
protección de las personas físicas en lo que respecta al tratamiento de datos personales
y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE
(Reglamento general de protección de datos) y a la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
Los datos cedidos por la Agencia Tributaria en el marco del presente convenio tienen
la categorización de información tributaria.
En el caso de la Agencia Tributaria, el Responsable del Tratamiento a efectos del
Reglamento General de Protección de Datos es el titular de la Dirección General.
En el caso del Consorcio, el Responsable del Tratamiento a los efectos del Reglamento
General de Protección de Datos es el Consorcio para el Diseño, Construcción,
Equipamiento y Explotación del Centro de Láseres Pulsados Ultracortos Ultraintensos.
Décima.

Obligación de sigilo.

1. Cuantas autoridades, funcionarios y resto de personal tengan conocimiento de
los datos o información suministrados en virtud de este convenio estarán obligados al

cve: BOE-A-2022-18990
Verificable en https://www.boe.es

Novena. Tratamiento de datos personales.