BOLETÍN OFICIAL DEL ESTADO
Núm. 162

Lunes 7 de julio de 2025

Sec. III. Pág. 90655

El citado deber de reserva permanecerá durante las negociaciones del acuerdo, su
periodo de vigencia y subsistirá con posterioridad a la extinción de éste.
Quinta.

Control y seguridad de los datos suministrados.

1. El control y seguridad de los datos suministrados se regirá por lo dispuesto en la
normativa vigente que, en su caso, resulte de aplicación y por la Política de Seguridad de
la Información del Banco de España y del ICO, respectivamente. Asimismo, al ICO le
resultará de aplicación el Real Decreto 311/2022, de 3 de mayo, por el que se regula el
Esquema Nacional de Seguridad.
2. La entidad cesionaria será responsable, respecto de la utilización que sus usuarios
realicen, de la información recibida. En especial, de la proporcionalidad, adecuación a los
fines perseguidos por el convenio y pertinencia de los datos a los que acceda.
3. Se establecen controles sobre la custodia y la utilización de la información
suministrada al amparo de este convenio:
a)

Control interno por parte del ente cesionario de la información.

– El Banco de España y el ICO realizarán controles sobre la custodia y utilización
que de los datos recibidos realicen las autoridades, funcionarios o resto de personal
dependientes de ella, pudiendo informar, en el seno de la Comisión Mixta de
Coordinación y de Seguimiento prevista en el presente convenio, a la otra entidad de los
resultados obtenidos en dicho seguimiento.
– Contarán con una política de seguridad de la información, un análisis y gestión de
riesgos y una asignación explícita de responsabilidades en materia de seguridad
adecuadas para su misión, objetivos y tamaño, y deberá aplicar dichos mecanismos de
seguridad a la información suministrada por el cedente.
– Impedirán el acceso a la información suministrada por parte del personal,
proveedores o terceros no autorizados, estableciendo la trazabilidad de los accesos a la
información suministrada.
– Adoptarán medidas específicas que eviten el riesgo de que la información pueda
ser utilizada, incluso inadvertidamente, para otros propósitos diferentes de los previstos
en el convenio, o por personal en el que concurra algún conflicto de intereses. Así como
medidas que aseguren el cumplimiento de las condiciones que sustentan cada una de
las cesiones.
Si como consecuencia de las labores de control se advirtiese la utilización de la
información obtenida con fines distintos de los previstos en el presente convenio, se
abrirán diligencias informativas en orden a su esclarecimiento y, en su caso, a la
exigencia por parte del órgano competente de las responsabilidades disciplinarias o
administrativas que procedan según la normativa vigente, con traslado, si procede, a la
autoridad judicial correspondiente.
Control por el ente titular de la información cedida.

El Banco de España y el ICO aplicarán los controles ordinarios derivados de su
sistema de gestión de la seguridad de la información.
Las partes se comprometen a colaborar en la investigación y resolución de posibles
incidencias de seguridad.
Cuando se adviertan anomalías o irregularidades en la correcta custodia o utilización
de la información cedida, así como si se incumplieran los principios, reglas y garantías
establecidos en el presente convenio, el ente titular de la información se dirigirá al
cesionario para que realice las comprobaciones y adopte las medidas que se estimen
pertinentes, pudiéndose suspender o limitar el acceso o suministro de datos en tanto
tales medidas no sean adoptadas.

cve: BOE-A-2025-13997
Verificable en https://www.boe.es

b)