BOLETÍN OFICIAL DEL ESTADO
Núm. 34

Jueves 9 de febrero de 2023

Sec. III. Pág. 19356

índole que se pudieran derivar del acceso indebido o de la utilización incorrecta de la
información suministrada en ejecución de este convenio deberá ser iniciado y concluido,
así como la responsabilidad exigida, en su caso, por la Administración a la que
pertenezca la autoridad, funcionario u otro tipo de personal responsable de dicha
utilización indebida.
Octava.

Control y seguridad de los datos suministrados.

1. El control y seguridad de los datos suministrados se regirá por lo dispuesto en el
Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de
Seguridad en el ámbito de la Administración Electrónica y en la Política de Seguridad de
la Información de la Agencia Tributaria y del ICO.
2. Se establecen los siguientes controles sobre la custodia y la utilización de la
información suministrada al amparo de este convenio:
a) Control interno por parte del ente cesionario de la información. La Agencia
Tributaria y el ICO realizarán controles sobre la custodia y utilización que de los datos
recibidos realicen las autoridades, funcionarios o resto de personal dependientes de ella,
pudiendo informar, en el seno de la Comisión Mixta prevista en el presente convenio, a la
otra entidad de los resultados obtenidos en dicho seguimiento.
Contarán con una política de seguridad de la información, un análisis y gestión de
riesgos y una asignación explícita de responsabilidades en materia de seguridad
adecuadas para su misión, objetivos y tamaño y deberá aplicar dichos mecanismos de
seguridad a la información suministrada.
Impedirán el acceso a la información suministrada por parte de personal no
autorizado, estableciendo la trazabilidad de los accesos a la información suministrada, y
desarrollando auditorías del acceso a los datos con criterios aleatorios y de riesgo.
Adoptarán medidas específicas que eviten el riesgo de que la información pueda ser
utilizada, incluso inadvertidamente, para otros propósitos, o por personal en el que
concurra algún conflicto de intereses. Así como medidas que aseguren el cumplimiento
de las condiciones que sustentan cada una de las cesiones.
b) Control por el ente titular de la información cedida. La Agencia Tributaria y el ICO
aplicarán los controles ordinarios derivados de su sistema de gestión de la seguridad de
la información. Las cesiones de información realizadas quedarán registradas en los
sistemas de control de accesos del ente titular de la información cedida. En particular, en
el caso de la Agencia Tributaria, las cesiones de información realizadas quedarán
registradas en su sistema de control de accesos.
El Servicio de Auditoría Interna de la Agencia Tributaria y el ICO podrán acordar
otras actuaciones de comprobación para verificar la adecuada obtención y utilización de
la información cedida y el cumplimiento de las condiciones normativas o convencionales
que resultan de aplicación.
3. La documentación obrante en cada Administración relativa a los controles
efectuados sobre la custodia y utilización de los datos cedidos deberá conservarse por
un periodo de tiempo no inferior a tres años. En especial, deberán conservarse las
autorizaciones expresas de los interesados.
Comisión Mixta de Coordinación y Seguimiento.

1. Con el fin de coordinar las actividades necesarias para la ejecución del presente
convenio, así como para llevar a cabo su supervisión, seguimiento y control, se creará
una Comisión Mixta de Coordinación y Seguimiento compuesta por tres representantes

cve: BOE-A-2023-3484
Verificable en https://www.boe.es

Novena.