BOLETÍN OFICIAL DEL ESTADO
Núm. 67

Miércoles 19 de marzo de 2025

Sec. III. Pág. 36698

regula el Esquema Nacional de Seguridad, y en la Política de Seguridad de la
Información de la Agencia Tributaria y del ICO, respectivamente.
2. La entidad cesionaria será responsable, respecto de la utilización que sus
usuarios realicen, de la información recibida. En especial, de la proporcionalidad,
adecuación y pertinencia de los datos a los que se acceda.
3. La entidad cesionaria deberá garantizar que todos los usuarios autorizados para
realizar consultas reciben acciones formativas y de concienciación en relación con los
requisitos para poder hacer uso de estas consultas, y de buenas prácticas de seguridad
para que estas consultas se realicen en unas condiciones adecuadas, evitando posibles
incidencias de seguridad.
4. Se establecen los siguientes controles sobre la custodia y la utilización de la
información suministrada al amparo de este convenio:
a)

Control interno por parte del ente cesionario de la información.

– La Agencia Tributaria y el ICO realizarán controles sobre la custodia y utilización
que de los datos recibidos realicen las autoridades, funcionarios o resto de personal
dependientes de ella, pudiendo informar, en el seno de la Comisión Mixta prevista en el
presente convenio, a la otra entidad de los resultados obtenidos en dicho seguimiento.
– Contarán con una política de seguridad de la información, un análisis y gestión de
riesgos y una asignación explícita de responsabilidades en materia de seguridad
adecuadas para su misión, objetivos y tamaño y deberá aplicar dichos mecanismos de
seguridad a la información suministrada por el cedente.
– Impedirán el acceso a la información suministrada por parte de personal no
autorizado, estableciendo la trazabilidad de los accesos a la información suministrada, y
desarrollando auditorías del acceso a los datos con criterios aleatorios y de riesgo.
– Adoptarán medidas específicas que eviten el riesgo de que la información pueda
ser utilizada, incluso inadvertidamente, para otros propósitos, o por personal en el que
concurra algún conflicto de intereses. Así como medidas que aseguren el cumplimiento
de las condiciones que sustentan cada una de las cesiones.
– Deberá evitar que el personal autorizado a realizar consultas a datos tributarios
realice accesos que no se ajusten a la finalidad de este convenio, accesos a datos
propios o a datos en los que pueda existir algún tipo de conflicto de interés.
Si como consecuencia de las labores de control se advirtiese la utilización de la
información obtenida con fines distintos de los previstos en el presente convenio, se
abrirán diligencias informativas en orden a su esclarecimiento y, en su caso, a la
exigencia por parte del órgano competente de las responsabilidades disciplinarias o
administrativas que procedan según la normativa vigente, con traslado, si procede, a la
autoridad judicial correspondiente.
Control por el ente titular de la información cedida.

La Agencia Tributaria y el ICO aplicarán los controles ordinarios derivados de su
sistema de gestión de la seguridad de la información. En particular, en el caso de la
Agencia Tributaria, las cesiones de información realizadas quedarán registradas en su
sistema de control de accesos.
Sin perjuicio de lo dispuesto anteriormente, el Servicio de Auditoría Interna de la
Agencia Tributaria y el ICO podrán establecer cualquier sistema de comprobación
accesorio al objeto de verificar la adecuada obtención y utilización de la información
cedida y el cumplimiento de las condiciones normativas o convencionales que resultan
de aplicación, a cuyo efecto el responsable de seguridad de cada entidad podrá solicitar
de su homólogo la información que estime pertinente relativa a las incidencias
producidas.
Las partes se comprometen a colaborar en la investigación y resolución de las
incidencias de seguridad.

cve: BOE-A-2025-5467
Verificable en https://www.boe.es

b)