BOLETÍN OFICIAL DEL ESTADO
Núm. 18

Sábado 20 de enero de 2024

Sec. III. Pág. 7927

el que se regula el Esquema Nacional de Seguridad, y en la Política de Seguridad
de la Información de la Agencia Tributaria y de la Comunidad Autónoma.
Se establecen los siguientes controles sobre la custodia y la utilización de la
información suministrada al amparo de este convenio:
a)

Control interno por parte del ente cesionario de la información.

La Comunidad Autónoma realizará controles sobre la constancia y validez de
la autorización previa de los interesados y sobre la custodia y utilización que de los
datos recibidos realicen las autoridades, funcionarios o resto de personal
dependientes de ella, informando a la Comisión Mixta de Coordinación y
Seguimiento prevista en la cláusula decimocuarta del presente convenio de los
resultados obtenidos en dicho seguimiento.
En particular, se adoptarán medidas que eviten el riesgo de que la información
pueda ser utilizada para otros propósitos y que aseguren el cumplimiento de las
condiciones que sustentan cada una de las cesiones.
b) Control por el ente titular de la información cedida.
La Comunidad Autónoma acepta someterse a las actuaciones de
comprobación que pueda acordar la Agencia Tributaria.
La Agencia Tributaria aplicará los controles ordinarios derivados de su sistema
de gestión de la seguridad de la información. En particular, las cesiones de
información realizadas quedarán registradas en el sistema de control de accesos
de la Agencia Tributaria. El Servicio de Auditoría Interna de la Agencia Tributaria
podrá acordar otras actuaciones de comprobación al objeto de verificar la
adecuada obtención y utilización de la información cedida y las condiciones
normativas o convencionales que resultan de aplicación.
Cuando se planteen dudas sobre la custodia o la utilización de la información
intercambiada, la Administración titular de la información podrá dirigirse a la
cesionaria para que realice las comprobaciones y adopte las medidas que estime
pertinentes.
Las Agencia Tributaria podrá interrumpir temporalmente los suministros de
información ante la ocurrencia de una brecha o incidente de seguridad, poniéndolo
en conocimiento inmediato de los responsables de seguridad de la Comunidad
Autónoma.»
Sexta. Modificación de la cláusula décima del convenio.
Se modifica la cláusula décima del convenio, relativa al tratamiento de datos
personales, que queda rectada de la siguiente forma:
Tratamiento de datos personales.

En el caso de que la información incorpore datos personales de los
interesados, tanto el cedente como el cesionario tratarán los datos de acuerdo al
Reglamento General de Protección de Datos y a la Ley Orgánica de Protección de
Datos Personales y garantía de los derechos digitales.
Los datos tratados en este convenio tienen la categorización de información
tributaria.
Los tratamientos de datos anteriores a la cesión son responsabilidad de la
Agencia Tributaria, cedente de la información, y los tratamientos posteriores son
responsabilidad de la Comunidad Autónoma, cesionaria de la información.
Las partes se comprometen a cooperar en la resolución de los incidentes de
seguridad y asumen las obligaciones que les incumben cuando actúen como
responsables del tratamiento de datos a efectos de la legislación en materia de
protección de datos personales.

cve: BOE-A-2024-1075
Verificable en https://www.boe.es

«Décima.