BOLETÍN OFICIAL DEL ESTADO
Miércoles 14 de diciembre de 2022

Sec. III. Pág. 173607

La persona usuaria autorizadora y, subsidiariamente, el Organismo Estatal de la
Inspección de Trabajo y Seguridad Social, es responsable de la asignación de perfiles de
autorización a las personas usuarias, que deben corresponderse con las necesidades de
gestión y vigilará la correcta utilización de las autorizaciones concedidas.
Todas las personas usuarias autorizadas a acceder al sistema deberán quedar
identificadas y autentificadas, de forma que en todo momento pueda conocerse la
persona usuaria y los motivos por los que se accedió a la correspondiente información
contenida en el sistema.
Cada persona usuaria tendrá un único código de acceso y será responsable de los
accesos que se realicen con su código y contraseña personal.
Cuando alguna persona usuaria, ya sea autorizadora o autorizada, pase a
desempeñar un nuevo puesto de trabajo en distinta unidad de gestión o cause baja en el
trabajo de forma voluntaria, o sea objeto de suspensión de empleo, se procederá a la
baja del código de persona usuaria. Por otra parte, se establecerán controles en cuanto
al tiempo de inactividad de las personas usuarias que pasarán a la situación de
canceladas una vez transcurridos seis meses sin acceder al sistema de información de la
Tesorería General de la Seguridad Social. También se dispondrá de la posibilidad de
establecer fechas de caducidad de acceso al sistema por parte de personas usuarias y
limitaciones en el horario de conexión.
5. Los accesos a las bases de datos de la Tesorería General de la Seguridad
Social, se someterán a las garantías contenidas en la Ley Orgánica 3/2018, de 5 de
diciembre, de protección de datos personales y garantía de los derechos digitales (BOE
de 6 de diciembre) y en el Reglamento (UE) 2016/679 del Parlamento Europeo y del
Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que
respecta al tratamiento de datos personales y a la libre circulación de estos datos
(Reglamento general de protección de datos), y se regirán por las mismas reglas
establecidas en la cláusula quinta relativa a la «Remisión de información».
En lo que respecta a la forma y características de la autorización, asignación,
funcionamiento y demás condiciones de acceso a ficheros de datos, se deberán ajustar a
lo que se establece en la Orden Ministerial de 17 de enero de 1996 (BOE de 25 de
enero 1996).
6. A través de los sistemas y medios informáticos de auditoría que facilite la
Tesorería General de la Seguridad Social, como órgano cedente, la Inspección de
Trabajo y Seguridad Social deberá realizar las actividades de control que garanticen la
debida custodia y adecuada utilización de los datos recibidos y cualquier otra actividad
encaminada a garantizar la correcta forma y justificación del acceso a los ficheros o
bases en que aquéllos figuren incluidos.
La Tesorería General de la Seguridad Social se reserva la facultad de revisar en
cualquier momento posterior a que el presente convenio sea eficaz, las formas de
acceso a los datos protegidos ya sea a través de acceso directo a ficheros, soporte físico
o conexión telemática o electrónica, y la limitación de las mismas por razones técnicas,
por modificación de los contenidos de los ficheros a raíz de mejoras introducidas en los
mismos, por falta de uso de las transacciones o por otras razones que pudieran suponer
alteración de las condiciones pactadas en este convenio.
7. En lo referente al suministro de información regulado en este convenio, la
Tesorería General de la Seguridad Social podrá acordar la suspensión o la limitación de
aquellos accesos del personal de la Inspección de Trabajo y Seguridad Social en los que
adviertan incumplimientos de la obligación de sigilo, anomalías o irregularidades en los
accesos o en el régimen de control o incumplimientos de los principios y reglas que
deben presidir el suministro de información, de acuerdo con lo previsto en este convenio.
Dichas circunstancias deberán someterse, previamente, a conocimiento y aprobación de
la Comisión de Control y Seguimiento de la disposición undécima de este convenio.
Sin perjuicio de lo establecido anteriormente, cualquier violación de seguridad
relacionado con los datos personales que constituya un riesgo para los derechos y
libertades de las personas físicas titulares de los mismos, deberá ser notificada a la

cve: BOE-A-2022-21186
Verificable en https://www.boe.es

Núm. 299