BOLETÍN OFICIAL DEL ESTADO
Núm. 268

Miércoles 6 de noviembre de 2024

Sec. III. Pág. 141938

los derechos digitales, así como a responsabilidades de cualquier otra naturaleza,
incluso penales, razón por la cual cuando, por cualquier medio, se tengan indicios de la
utilización de datos, antecedentes, registros o informes con finalidad distinta a la propia
gestión asignada al usuario, o su difusión indebida, infringiendo así el deber de secreto
profesional, se pondrán dichos hechos en conocimiento del interlocutor de la TGSS
definido a estos efectos, al objeto de procurar la adopción de las medidas pertinentes
entre ambas partes.
El expediente para conocer de las posibles responsabilidades administrativas que se
pudieran derivar de la indebida utilización de la información suministrada en ejecución de
este convenio deberá ser iniciado y concluido, así como exigida la responsabilidad, en su
caso, por la Administración a la que pertenezca la autoridad, funcionario u otro personal
responsable de dicha utilización indebida.
A fin de dar a conocer estas responsabilidades, en todas las altas de usuarios
realizadas se deberá cumplimentar un documento donde se especificarán los
compromisos adoptados por el usuario, en los términos que se indican en este convenio
y en el anexo I que se adjunta a este convenio. Dicho documento quedará en poder del
autorizador de nivel 4, si bien podrá ser remitido a la TGSS.
Sexta.

Control y seguridad de los datos.

El control y seguridad de los datos suministrados se regirá por lo dispuesto en el
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril
de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento
de datos personales y a la libre circulación de estos datos y por el que se deroga la
Directiva 95/46/CE (Reglamento general de protección de datos), en la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales, en las disposiciones reglamentarias del ordenamiento interno en
materia de protección de datos de carácter personal, en el Real Decreto 311/2022, de 3
de mayo, por el que se regula el Esquema Nacional de Seguridad y en la política de
seguridad en la utilización de medios electrónicos en la Administración de la Seguridad
Social y en el Consorcio.
El órgano cesionario deberá garantizar:
– Que tiene implantados los procedimientos que permitan gestionar el ciclo de vida
de sus usuarios o componentes autorizados a acceder a los servicios de cesiones de
datos del órgano cedente (altas, bajas o modificaciones de autorizaciones).
– Que los datos que se inserten en los servidores del órgano cesionario solo se
utilizaran para los fines legal o reglamentariamente previstos.
– Que podrá facilitar una lista actualizada de las personas o componentes
autorizados para realizar peticiones de datos en caso de ser solicitada por el órgano
cedente.
– Que comunicará cualquier variación relacionada con las personas que ha
autorizado a realizar peticiones de datos.

– Las responsabilidades que asumen.
– La finalidad concreta de la autorización.
– Que el órgano cedente almacena rastros de cada una de las peticiones realizadas.
– Que en cualquier momento se podrá solicitar la justificación de peticiones de datos
realizadas, de acuerdo con los requisitos legales y a la finalidad para la que se autorizó
la cesión de datos.
– Las medidas de seguridad que deberá tener en cuenta para garantizar la
seguridad de la información.

cve: BOE-A-2024-23049
Verificable en https://www.boe.es

El órgano cesionario debe garantizar que informará adecuadamente a todas las
personas para las que solicita la autorización de acceso al menos de: