BOLETÍN OFICIAL DEL ESTADO
Núm. 94

Viernes 18 de abril de 2025

Sec. III. Pág. 54332

En el caso de la Administración cesionaria cada órgano, organismo o entidad
autorizado a recibir suministros de información tendrá designado un Responsable del
Tratamiento a los efectos del Reglamento General de Protección de Datos. En el
momento que el cedente entrega al cesionario los datos, este adquiere la condición de
responsable del tratamiento de dichos datos.
Por su parte, el artículo 77.1 del TRLGSS, establece que los datos, informes o
antecedentes obtenidos por la Administración de la Seguridad Social en el ejercicio de
sus funciones tiene carácter reservado y sólo pueden utilizarse para los fines
encomendados a las entidades gestoras y servicios comunes de la Seguridad Social sin
poder ser cedidos o comunicados a terceros, salvo, que se den las excepciones
correspondientes.
Así, según lo contemplado en el artículo 6.1.c) y e) del RGPD, el tratamiento de
datos personales será lícito, sin necesidad del consentimiento del interesado, cuando
sea necesario para el cumplimiento de una obligación legal aplicable al responsable del
tratamiento, para el cumplimiento de una misión realizada en interés público o en el
ejercicio de poderes públicos conferidos al responsable del tratamiento, debiendo estar
establecida la base para el tratamiento en una norma con rango de ley, según lo previsto
en el artículo 8.2 de la citada Ley Orgánica 3/2018, de 5 de diciembre.
Asimismo, según el artículo 71.2, párrafo tercero del TRLGSS, «Los datos, informes
y antecedentes suministrados conforme a lo dispuesto en este apartado y en el anterior
únicamente serán tratados en el marco de las funciones de gestión de prestaciones
atribuidas a las entidades gestoras y servicios comunes de la Seguridad Social, sin
perjuicio de lo dispuesto en el artículo 77», en línea con el principio de «limitación de
finalidad» recogido en el artículo 5.1.b) del RGPD, según el cual los datos personales
serán «recogidos con fines determinados, explícitos y legítimos, y no serán tratados
ulteriormente de manera incompatible con dichos fines».
Séptima.

Control y seguridad de los accesos a la información.

a) Tramitar las solicitudes relacionadas con dicho suministro.
b) Solicitar las altas y bajas de los usuarios de la información cedida.
c) Asegurarse de que se preserva el carácter reservado de los datos suministrados,
y que se adoptan las medidas de seguridad necesarias al respecto.
d) Asegurarse de que los usuarios autorizados hacen un uso adecuado de su
autorización y de la información accedida, y de que existe el previo consentimiento del
interesado cuando el mismo sea imprescindible para acceder a sus datos.
e) En general, verificar y velar por la aplicación del presente convenio en el ámbito
de la Administración Pública cesionaria, y el cumplimiento de todas sus cláusulas, así
como de las demás disposiciones aplicables en materia de protección de datos de
carácter personal, instando, en su caso, a dicha aplicación o cumplimiento. En este
sentido, dará cuenta al cedente de todas las incidencias e irregularidades de que tenga
conocimiento.
Ambas partes se comprometen a comunicarse mutuamente todas las incidencias que
se produzcan en el suministro de información y que afecten al control, seguridad,
confidencialidad e integridad de los datos a suministrar o suministrados.

cve: BOE-A-2025-7937
Verificable en https://www.boe.es

La configuración de los accesos objeto del presente convenio habrá de cumplir lo
dispuesto en el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema
Nacional de Seguridad y las normas técnicas aprobadas por el Comité de Seguridad de
los Sistemas de Información de la Seguridad Social.
En el momento de realizar la petición de un suministro de información concreto, el
cesionario comunicará al cedente, el órgano responsable de la gestión de usuarios y del
control y seguridad de accesos respecto al mismo. A dicho órgano le corresponderá,
entre otras, las siguientes funciones: