BOLETÍN OFICIAL DEL ESTADO
Martes 13 de diciembre de 2022

Sec. III. Pág. 170913

Ley 42/1994, de 30 de diciembre de Medidas fiscales, Administrativas y de Orden Social,
y regulado en el Real Decreto 397/1996 de 1 de marzo.
La Ley 6/2018, de 3 de julio, de Presupuestos Generales del Estado para el
año 2018, en el apartado tres de la disposición adicional centésima cuadragésima
primera, en la redacción dada por la disposición final quinta de la Ley 19/2021, de 20 de
diciembre, por la que se establece el ingreso mínimo vital, atribuye al INSS la
administración, la gestión y el mantenimiento del registro y del sistema informático que
da soporte a la Tarjeta Social Digital (en adelante, TSD).
Dos. La Tarjeta Social Digital (TSD) es un sistema de información creado por la
disposición adicional centésima cuadragésima primera de la Ley 6/2018, de 3 de julio, de
Presupuestos Generales del Estado para el año 2018, destinado a mejorar y coordinar
las políticas de protección social impulsadas por las diferentes administraciones públicas.
Constituye un conjunto asociado de datos de carácter personal, que incluye las
prestaciones sociales de contenido económico, destinadas a personas y familias, con
cargo a recursos de carácter público. Participan en esta iniciativa los organismos del
sector público que tengan a su cargo el reconocimiento, el mantenimiento o el abono de
prestaciones personales o familiares de carácter económico, y que son gestionadas por
las administraciones públicas, entidades y organismos y empresas públicas. Además,
recoge una información paramétrica y actualizada sobre determinadas situaciones
subjetivas, y ofrece, en base a dicha información, explotaciones estadísticas dirigidas a
la medición de la vulnerabilidad social a nivel sectorial, geográfico, económico o laboral
que sirvan de fundamento a las autoridades de la Administración Central, Autonómica o
Local para el diseño e implementación de sus políticas de protección social.
Tres. La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y garantía de los derechos digitales, obliga a los responsables de los
ficheros, así como a los encargados del tratamiento de datos, a cumplir con el principio
de responsabilidad activa en la adopción de medidas de índole técnica y organizativa
necesarias que garanticen la seguridad de los datos de carácter personal y eviten su
alteración, pérdida, tratamiento o acceso no autorizado.
Esta obligación legal ha sido cumplida mediante el análisis preventivo de los riesgos
inherentes a la naturaleza de los datos, objeto de tratamiento en la Tarjeta Social Digital,
formalizado mediante la Evaluación de Impacto de Protección de Datos para identificar,
evaluar y tratar los riesgos asociados al tratamiento de datos personales, y de ese modo,
poder asegurar los principios de protección de los datos integrados en la TSD y
garantizar los derechos y libertades de los interesados, incluida la evaluación del impacto
del tratamiento de aquellos datos personales de los menores de edad de trece años que
se incluyan en la TSD. Respecto al resto de medidas exigidas por el principio legal de
responsabilidad activa, destaca la Resolución de 14 de septiembre de 2018, por la que
se establecen las prescripciones técnicas necesarias para el desarrollo y aplicación de la
entonces «Tarjeta Social Universal» (en la actualidad, ha de entenderse «Tarjeta Social
Digital), publicada en el BOE el día 20 de septiembre de 2018.
Cuatro. El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo,
de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta
al tratamiento de datos personales y a la libre circulación de estos datos y por el que se
deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos), constituye
la norma de referencia del Derecho de la Unión Europea, estableciendo, entre otros
elementos, las bases jurídicas legítimas para la justificación de los diversos tratamientos
de los datos personales en su artículo 6 por parte del responsable del tratamiento,
adquiriendo mayor capacidad, de decisión y, a la vez, más obligaciones de asistencia a
los titulares del dato así como establecer las garantías y condiciones para una seguridad
activa.
Cinco. Por otra parte, el Real Decreto 3/2010, de 8 de enero, por el que se regula el
Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica, obliga a
los responsables de los sistemas de información a clasificar sus sistemas y aplicar, en

cve: BOE-A-2022-21130
Verificable en https://www.boe.es

Núm. 298