BOLETÍN OFICIAL DEL ESTADO
Núm. 234

Viernes 27 de septiembre de 2024

Sec. III. Pág. 118968

diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, y en
las demás normas del ordenamiento jurídico que resulten de aplicación.
Sexta.

Obligación de sigilo.

1. Cuantas autoridades, funcionarios y resto de personal tengan conocimiento de
los datos secretos o información personal suministrados en virtud de este convenio
estarán obligados al más estricto y completo sigilo respecto de ellos. La violación de esta
obligación implicará incurrir en las responsabilidades penales, administrativas y civiles
que resulten procedentes, así como el sometimiento al ejercicio de las competencias que
corresponden a la Agencia de Protección de Datos.
2. El expediente administrativo para conocer de las posibles responsabilidades de
cualquier índole que se pudieran derivar de la indebida utilización de la información
suministrada en ejecución de este convenio deberá ser iniciado y concluido, así como
exigida la responsabilidad, en su caso, por la Administración a la que pertenezca la
autoridad, funcionario u otro tipo de personal responsable de dicha utilización indebida.
3. El acuerdo de confidencialidad continuará vigente incluso después de la
extinción de este convenio, sea cual sea la causa de dicha extinción.
Séptima.

Control y seguridad de los datos suministrados.

1. El control y seguridad de los datos suministrados se regirá por lo dispuesto en el
Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de
Seguridad, y en la Política de Seguridad de la Información de la Agencia Tributaria.
2. Se establecen los siguientes controles sobre los accesos, la custodia y la
utilización de la información suministrada al amparo de este convenio:
a)

Control interno por parte de las entidades cesionarias de la información:

– Realizarán controles sobre la custodia y utilización que de los datos recibidos
realicen las autoridades, funcionarios o resto del personal dependiente, informando a la
Comisión Mixta de Coordinación y Seguimiento, prevista en la cláusula octava, de los
resultados obtenidos en dicho seguimiento.
– Contarán con una política de seguridad de la información, un análisis y gestión de
riesgos y una asignación explícita de responsabilidades en materia de seguridad
adecuadas, y deberán aplicar dichos mecanismos de seguridad a la información
suministrada por la Agencia Tributaria.
– Impedirán el acceso a la información suministrada por parte de personal no
autorizado, estableciendo la trazabilidad de los accesos a la información suministrada y
desarrollando auditorías del acceso a los datos con criterios aleatorios y de riesgo.
– Adoptarán medidas específicas que eviten el riesgo de que la información pueda
ser utilizada, incluso inadvertidamente, para otros propósitos, o por personal en el que
concurra algún conflicto de intereses, así como medidas que aseguren el cumplimiento
de las condiciones que sustentan cada una de las cesiones.

– La Agencia Tributaria aplicará los controles ordinarios derivados de su sistema de
gestión de la seguridad de la información. En particular, las cesiones de información
realizadas quedarán registradas en el sistema de control de accesos de la Agencia
Tributaria.
– El Servicio de Auditoría Interna de la Agencia Tributaria podrá acordar otras
actuaciones de comprobación al objeto de verificar la adecuada obtención y utilización
de la información cedida y de las condiciones normativas o convencionales que resulten
de aplicación.

cve: BOE-A-2024-19453
Verificable en https://www.boe.es

b) Control por la titular de la información cedida: