BOLETÍN OFICIAL DEL ESTADO
Núm. 82

Viernes 4 de abril de 2025

Sec. III. Pág. 46940

Tercera. Modificación de la cláusula octava del convenio.
Se modifica la cláusula octava del convenio, relativa al control y seguridad de los
datos suministrados, que queda redactada de la siguiente forma:
«Octava. Control y seguridad de los datos suministrados.
1. El control y seguridad de los datos suministrados se regirá por lo dispuesto
en la normativa vigente en cada momento en materia de protección de datos y
seguridad de la información y, en particular, en el Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo de 27 de abril de 2016, en la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales, en el Real Decreto 311/2022, de 3 de mayo, por
el que se regula el Esquema Nacional de Seguridad, y en la Política de Seguridad
de la Información de la Agencia Tributaria y de la Entidad Local que se adhiera al
presente convenio.
2. La Administración cesionaria será responsable respecto de la utilización
que sus usuarios realicen de la información recibida, en especial de la
proporcionalidad, adecuación y pertinencia de los datos a los que se acceda.
3. La Administración cesionaria deberá garantizar que todos los usuarios
autorizados para realizar consultas reciben acciones formativas y de
concienciación en relación con los requisitos para poder hacer uso de estas
consultas, y de buenas prácticas de seguridad para que estas consultas se
realicen en unas condiciones adecuadas, evitando posibles incidencias de
seguridad.
4. Se establecen los siguientes controles sobre los accesos, la custodia y la
utilización de la información suministrada al amparo de este convenio:
a)

Control interno por parte del ente cesionario de la información.

b) Control por el ente titular de la información cedida.
La Agencia Tributaria aplicará los controles ordinarios derivados de su sistema
de gestión de la seguridad de la información. Este control se podrá extender a las
actuaciones realizadas en el ámbito del convenio por los encargados de
tratamiento, si los hubiere. En particular, las cesiones de información realizadas
quedarán registradas en el sistema de control de accesos de la Agencia Tributaria.
El Servicio de Auditoría Interna de la Agencia Tributaria podrá acordar otras
actuaciones de comprobación al objeto de verificar la adecuada obtención y

cve: BOE-A-2025-6856
Verificable en https://www.boe.es

Ambas partes realizarán controles sobre la custodia y utilización que de los
datos recibidos realicen las autoridades, funcionarios o resto de personal
dependientes de ella, informando a la Comisión Mixta de Coordinación y
Seguimiento prevista en la cláusula decimocuarta del presente convenio de los
resultados obtenidos en dicho seguimiento.
Contarán con una política de seguridad de la información, un análisis y gestión
de riesgos y una asignación explícita de responsabilidades en materia de
seguridad adecuadas para su misión, objetivos y tamaño y deberá aplicar dichos
mecanismos de seguridad a la información suministrada.
Impedirán el acceso a la información suministrada por parte de personal no
autorizado, estableciendo la trazabilidad de los accesos a la información
suministrada y desarrollando auditorías del acceso a los datos con criterios
aleatorios y de riesgo.
Adoptarán medidas específicas que eviten el riesgo de que la información
pueda ser utilizada, incluso inadvertidamente, para otros propósitos o por personal
en el que concurra algún conflicto de intereses. Así como medidas que aseguren
el cumplimiento de las condiciones que sustentan cada una de las cesiones.