BOLETÍN OFICIAL DEL ESTADO
Núm. 114

Sábado 13 de mayo de 2023

Sec. III. Pág. 66987

responsables del tratamiento de datos a efectos de la legislación en materia de
protección de datos personales.
En el caso de la Agencia Tributaria, el responsable del tratamiento a efectos del
Reglamento General de Protección de Datos es el titular de la Dirección General.
En el caso de la Diputación Foral de Gipuzkoa, el responsable del tratamiento a los
efectos del Reglamento General de Protección de Datos es la persona titular de la
Dirección General de Hacienda.
Cuarta. Control y seguridad de la información intercambiada y de las aplicaciones
informáticas utilizadas.
El control y seguridad de la información intercambiada y de las aplicaciones
informáticas de la Agencia Tributaria para la gestión de Impuestos Especiales e
Impuestos Medioambientales, mencionadas en el apartado 2 de la cláusula primera, se
regirá por lo dispuesto en la normativa vigente en cada momento en materia de
seguridad de la información y, en particular, por el Real Decreto 311/2022, de 3 de mayo,
por el que se regula el Esquema Nacional de Seguridad, y en las políticas de seguridad
de la información aprobadas por la Agencia Tributaria y por la Diputación Foral de
Gipuzkoa.
Las partes se comprometen a cooperar para reforzar la seguridad de los
intercambios y reducir los riesgos derivados de la utilización de los sistemas de
información, en particular los de ciberseguridad y acceso indebido.
Se establecen los siguientes controles sobre los accesos, la custodia y la utilización
de la información suministrada al amparo de este convenio:
Control interno por parte del ente cesionario de la información.

Las Administraciones tributarias que suscriben el presente convenio realizarán
controles sobre la custodia, necesidad del acceso a la información y utilización de la
información intercambiada por las autoridades, funcionarios o resto de personal
dependiente de las mismas y sobre el mantenimiento de la confidencialidad de los datos
obtenidos, informando a la otra Administración implicada de los resultados de dicho
seguimiento.
En particular, se adoptarán medidas que eviten el riesgo de que la información pueda
ser utilizada para otros propósitos y que aseguren el cumplimiento de las condiciones
que sustentan cada una de las cesiones.
Contarán con un documento de seguridad de la información, un análisis y gestión de
riesgos y una asignación explícita de responsabilidades en materia de seguridad y
deberán aplicar dichos mecanismos de seguridad a la información intercambiada.
Impedirán el acceso a la información intercambiada por parte de personal no
autorizado, estableciendo la trazabilidad de los accesos a la información intercambiada.
En el supuesto de que el intercambio de información se lleve a cabo mediante
acceso a las bases de datos, este acceso se realizará de modo que quede constancia de
la identidad del usuario, de la información a que se accede y de la motivación de la
consulta.
A tal fin, los controladores designados por cada una de las Administraciones
tributarias, examinarán con periodicidad quincenal, los accesos realizados por sus
usuarios a las bases de datos que el sistema informático de control de accesos haya
seleccionado para ser tramitados, y su justificación; y, en su caso, realizarán los trámites
necesarios para su explicación por el usuario que los haya realizado. En cuanto a los
accesos a las bases de datos de la Agencia Tributaria, a estos efectos, se proporcionará
a los responsables de la Diputación Foral de Gipuzkoa la utilización de la herramienta
informática de control de la Agencia Tributaria, así como el adecuado adiestramiento en
su utilización.
Si como consecuencia de las labores de control se detectasen accesos indebidos o
se advirtiese la utilización de la información obtenida con fines distintos de la gestión

cve: BOE-A-2023-11392
Verificable en https://www.boe.es

a)