BOLETÍN OFICIAL DEL ESTADO
Núm. 294

Sábado 9 de diciembre de 2023

Sec. III. Pág. 163814

de Datos Personales y garantía de los derechos digitales (LOPDGDD), en lo que refiere
al presente convenio e información objeto de cesión, en particular en lo relativo a las
obligaciones previstas aplicables a los Responsables del tratamiento.
La SESSyP y sus entidades gestoras y servicios comunes se comprometen a:
a) Definir funcionalmente, impulsar y poner a disposición de la SGOPIPS, los datos
solicitados por la misma.
b) Colaborar en la detección, diagnóstico y resolución de las incidencias que surjan
en la realización de los trámites contemplados en el presente convenio.
c) Adoptar las medidas técnicas, administrativas y organizativas precisas para
asegurar que ninguno de los datos personales facilitados por la SGOPIPS sean
distribuidos a terceras personas, instituciones u organizaciones, sin el consentimiento
expreso de los interesados, con la salvedad de los supuestos de cesión de datos
previstos en la normativa que dé cobertura a la finalidad perseguida por la cesión.
La SGOPIPS se compromete a:
a) Garantizar que los datos se utilizarán exclusivamente con la finalidad de
evaluación de los proyectos piloto de itinerarios de inclusión, quedando prohibida
cualquier actuación dirigida a otros fines que los que son objeto de este convenio.
b) Adoptar las medidas técnicas, administrativas y organizativas precisas para
asegurar que ninguno de los datos personales facilitados por las entidades gestoras y
servicios comunes de la Seguridad Social sean distribuidos a terceras personas,
instituciones u organizaciones, sin el consentimiento expreso de los interesados, con la
salvedad de los supuestos de cesión de datos previstos en la normativa que dé
cobertura a la finalidad perseguida por la cesión.
c) Garantizar la disponibilidad, integridad, confidencialidad, acceso restringido y
trazabilidad de los datos, durante el ciclo de vida de utilización de la información. Para
ello deberán implementarse las medidas de seguridad oportunas, que en todo caso
incluirán la limitación y control del acceso a los mismos. Asimismo, se deberá garantizar
la trazabilidad de los accesos y de las actuaciones realizadas en relación con los datos
cedidos.
En el caso de que pudiera producirse algún incidente que afecte a la seguridad de
los datos que han sido objeto de comunicación, las partes se comprometen a informarse
mutuamente con la máxima celeridad posible (a más tardar en el plazo de veinticuatro
horas) con objeto de identificar si el incidente es susceptible de comunicación a la
Agencia Española de Protección de Datos) y a las personas concernidas.
Quinta.

Procedimiento de suministro de la información.

a) La SGOPIPS enviará al responsable del tratamiento de datos, INSS, TGSS
o ISM, cada petición específica, que será analizada y evaluada para verificar que se
cumplen los requisitos exigidos por la normativa en materia de protección de datos.
En dicha petición la SGOPIPS deberá expresar la finalidad de los datos que se solicitan
y justificar su necesidad para el ejercicio de sus competencias.
El responsable del tratamiento autorizará la cesión, previa comprobación de la
finalidad para la que se solicitan los datos. Una vez la petición ha sido autorizada, la
GISS, en su calidad de responsable de la seguridad de las tecnologías de la información
y las comunicaciones en los sistemas de información de la Seguridad Social, a efectos
del Esquema Nacional de Seguridad, encargada de los datos de tratamientos de datos a
efectos del Reglamento General de Protección de datos, transmitirá los datos objeto de
solicitud, enviando la información a la SGOPIPS en un fichero que incluya el identificador
personal y la información solicitada.

cve: BOE-A-2023-25107
Verificable en https://www.boe.es

La colaboración interadministrativa entre la SESSyP y la SGOPIPS se desarrollará
conforme el siguiente procedimiento de actuación: