BOLETÍN OFICIAL DEL ESTADO
Núm. 66

Martes 18 de marzo de 2025

Sec. III. Pág. 36328

Así, según lo contemplado en el artículo 6.1.c) y e) del RGPD, el tratamiento de
datos personales será lícito, sin necesidad del consentimiento del interesado, cuando
sea necesario para el cumplimiento de una obligación legal aplicable al responsable del
tratamiento, para el cumplimiento de una misión realizada en interés público o en el
ejercicio de poderes públicos conferidos al responsable del tratamiento, debiendo estar
establecida la base para el tratamiento en una norma con rango de ley, según lo previsto
en el artículo 8.2 de la citada Ley Orgánica 3/2018, de 5 de diciembre.
Asimismo, según el artículo 71.2, párrafo tercero del TRLGSS, «Los datos, informes
y antecedentes suministrados conforme a lo dispuesto en este apartado y en el anterior
únicamente serán tratados en el marco de las funciones de gestión de prestaciones
atribuidas a las entidades gestoras y servicios comunes de la Seguridad Social, sin
perjuicio de lo dispuesto en el artículo 77», en línea con el principio de «limitación de
finalidad» recogido en el artículo 5.1.b) del RGPD, según el cual los datos personales
serán «recogidos con fines determinados, explícitos y legítimos, y no serán tratados
ulteriormente de manera incompatible con dichos fines».
Séptima.

Control y seguridad de los accesos a la información.

La configuración de los accesos objeto del presente convenio habrá de cumplir lo
dispuesto en el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema
Nacional de Seguridad y las normas técnicas aprobadas por el Comité de Seguridad de
los Sistemas de Información de la Seguridad Social.
En el momento de realizar la petición de un suministro de información concreto, el
cesionario comunicará al cedente, el órgano responsable de la gestión de usuarios y del
control y seguridad de accesos respecto al mismo. A dicho órgano le corresponderá,
entre otras, las siguientes funciones:
a) Tramitar las solicitudes relacionadas con dicho suministro.
b) Solicitar las altas y bajas de los usuarios de la información cedida.
c) Asegurarse de que se preserva el carácter reservado de los datos suministrados,
y que se adoptan las medidas de seguridad necesarias al respecto.
d) Asegurarse de que los usuarios autorizados hacen un uso adecuado de su
autorización y de la información accedida, y de que existe el previo consentimiento del
interesado cuando el mismo sea imprescindible para acceder a sus datos.
e) En general, verificar y velar por la aplicación del presente convenio en el ámbito
de la Administración Pública cesionaria, y el cumplimiento de todas sus cláusulas, así
como de las demás disposiciones aplicables en materia de protección de datos de
carácter personal, instando, en su caso, a dicha aplicación o cumplimiento. En este
sentido, dará cuenta al cedente de todas las incidencias e irregularidades de que tenga
conocimiento.
Ambas partes se comprometen a comunicarse mutuamente todas las incidencias que
se produzcan en el suministro de información y que afecten al control, seguridad,
confidencialidad e integridad de los datos a suministrar o suministrados.

Las Administraciones intervinientes aceptan someterse a las actuaciones de control y
supervisión que se relacionan a continuación al objeto de verificar la adecuada obtención
y utilización de la información cedida y de la adecuación a las normas legales o
convencionales que resultan de aplicación.
A través de los sistemas y medios informáticos de auditoría que facilite el INSS,
como órgano cedente, la administración cesionaria deberá realizar las actividades de
control que garanticen la debida custodia y adecuada utilización de los datos recibidos y
cualquier otra actividad encaminada a garantizar la correcta forma y justificación del
acceso a los sistemas de la información que aquellos figuren incluidos.

cve: BOE-A-2025-5384
Verificable en https://www.boe.es

Octava. Auditorías.