BOLETÍN OFICIAL DEL ESTADO
Sábado 13 de mayo de 2023

Sec. III. Pág. 66918

Cuarta. Control y seguridad de la información intercambiada y de las aplicaciones
informáticas utilizadas.
El control y seguridad de la información intercambiada y de las aplicaciones
informáticas de la Agencia Tributaria para la gestión de Impuestos Especiales e
Impuestos Medioambientales, mencionadas en el apartado 2 de la cláusula primera, se
regirá por lo dispuesto en la normativa vigente en cada momento en materia de
seguridad de la información y, en particular, por el Real Decreto 311/2022, de 3 de mayo,
por el que se regula el Esquema Nacional de Seguridad, y en las políticas de seguridad
de la información aprobadas por la Agencia Tributaria y por la Diputación Foral de
Bizkaia.
Las partes se comprometen a cooperar para reforzar la seguridad de los
intercambios y reducir los riesgos derivados de la utilización de los sistemas de
información, en particular los de ciberseguridad y acceso indebido.
Se establecen los siguientes controles sobre los accesos, la custodia y la utilización
de la información suministrada al amparo de este convenio:
a) Control interno por parte del ente cesionario de la información.
Las Administraciones Tributarias que suscriben el presente convenio realizarán
controles sobre la custodia, necesidad del acceso a la información y utilización de la
información intercambiada por las autoridades, funcionarios o resto de personal
dependiente de las mismas y sobre el mantenimiento de la confidencialidad de los datos
obtenidos, informando a la otra Administración implicada de los resultados de dicho
seguimiento.
En particular, se adoptarán medidas que eviten el riesgo de que la información pueda
ser utilizada para otros propósitos y que aseguren el cumplimiento de las condiciones
que sustentan cada una de las cesiones.
Contarán con un documento de seguridad de la información, un análisis y gestión de
riesgos y una asignación explícita de responsabilidades en materia de seguridad y
deberán aplicar dichos mecanismos de seguridad a la información intercambiada.
Impedirán el acceso a la información intercambiada por parte de personal no
autorizado, estableciendo la trazabilidad de los accesos a la información intercambiada.
En el supuesto de que el intercambio de información se lleve a cabo mediante
acceso a las bases de datos, este acceso se realizará de modo que quede constancia de
la identidad del usuario, de la información a que se accede y de la motivación de la
consulta.
A tal fin, los controladores designados por cada una de las Administraciones
Tributarias, examinarán con periodicidad quincenal, los accesos realizados por sus
usuarios a las bases de datos que el sistema informático de control de accesos haya
seleccionado para ser tramitados, y su justificación; y, en su caso, realizarán los trámites
necesarios para su explicación por el usuario que los haya realizado. En cuanto a los
accesos a las bases de datos de la Agencia Tributaria, a estos efectos, se proporcionará
a los responsables de la Diputación Foral de Bizkaia la utilización de la herramienta
informática de control de la Agencia Tributaria, así como el adecuado adiestramiento en
su utilización.
Si como consecuencia de las labores de control se detectasen accesos indebidos o
se advirtiese la utilización de la información obtenida con fines distintos de la gestión
propia de las Administraciones Tributarias, se abrirán diligencias informativas en orden a
su esclarecimiento y, en su caso, a la exigencia por parte del órgano competente de las
responsabilidades disciplinarias o administrativas que procedan según la normativa
vigente, con traslado, si procede, a la autoridad judicial correspondiente.
En la Agencia Tributaria se designa al Administrador de Seguridad Externo de la
Delegación Especial del País Vasco como interlocutor en las cuestiones relativas a la
dirección, seguimiento y coordinación del funcionamiento de los mecanismos de control

cve: BOE-A-2023-11390
Verificable en https://www.boe.es

Núm. 114