BOLETÍN OFICIAL DEL ESTADO
Lunes 16 de junio de 2025

Sec. III. Pág. 78709

2. Se establecen los siguientes controles sobre los accesos, la custodia y la
utilización de la información suministrada al amparo de este convenio:
a) Control interno por parte del ente cesionario de la información. La Agencia
Tributaria, por un lado, y el SEPE, por otro, realizarán controles sobre la custodia y
utilización que de los datos recibidos realicen las autoridades, funcionarios o resto de
personal dependiente de ellos, informando a la Comisión Mixta de Coordinación y
Seguimiento de los resultados obtenidos en dicho seguimiento.
La Administración cesionaria será responsable respecto de la utilización que sus
usuarios realicen de la información recibida, en especial de la proporcionalidad,
adecuación y pertinencia de los datos a los que se acceda. Asimismo, deberá evitar que
los funcionarios autorizados a realizar consultas a datos tributarios realicen accesos que
no se ajusten a la finalidad de este convenio, accesos a datos propios o a datos en los
que pueda existir algún tipo de conflicto de interés.
Contarán con una política de seguridad de la información, un análisis y gestión de
riesgos y una asignación explícita de responsabilidades en materia de seguridad
adecuadas para su misión, objetivos y tamaño y deberá aplicar dichos mecanismos de
seguridad a la información suministrada por la Agencia Tributaria.
Impedirán el acceso a la información suministrada por parte de personal no
autorizado, estableciendo la trazabilidad de los accesos a la información suministrada, y
desarrollando auditorías del acceso a los datos con criterios aleatorios y de riesgo.
Adoptarán medidas específicas que eviten el riesgo de que la información pueda ser
utilizada, incluso inadvertidamente, para otros propósitos, o por personal en el que
concurra algún conflicto de intereses. Asimismo, se adoptarán medidas que aseguren el
cumplimiento de las condiciones que sustentan cada una de las cesiones.
Si como consecuencia de las labores de control se advirtiese la utilización de la
información obtenida con fines distintos de los previstos en el presente convenio se
abrirán diligencias informativas en orden a su esclarecimiento y, en su caso, a la
exigencia por parte del órgano competente de las responsabilidades disciplinarias o
administrativas que procedan según la normativa vigente, con traslado, si procede, a la
autoridad judicial correspondiente.
La Administración cesionaria deberá garantizar que todos los usuarios autorizados
para realizar consultas reciben acciones formativas y de concienciación en relación con
los requisitos para poder hacer uso de estas consultas, y de buenas prácticas de
seguridad para que estas consultas se realicen en unas condiciones adecuadas,
evitando posibles incidencias de seguridad.
b) Control por el ente titular de la información cedida. La Agencia Tributaria y el
SEPE aplicarán los controles ordinarios derivados de su sistema de gestión de la
seguridad de la información. En particular, las cesiones de información realizadas
quedarán registradas en el sistema de control de accesos de la Agencia Tributaria. El
Servicio de Auditoría Interna de la Agencia Tributaria podrá acordar otras actuaciones de
comprobación al objeto de verificar la adecuada obtención y utilización de la información
cedida y de las condiciones normativas o convencionales que resultan de aplicación.
Cuando se adviertan anomalías o irregularidades en la correcta custodia o utilización
de la información cedida, así como si se incumplieran los principios, reglas y garantías
establecidos en el presente convenio, el ente titular de la información se dirigirá al
cesionario para que realice las comprobaciones y adopte las medidas que se estimen
pertinentes, pudiéndose suspender o limitar el acceso o suministro de datos en tanto
tales medidas no sean adoptadas. Si las anomalías o irregularidades tienen carácter
previo al suministro de la información, el mismo podrá suspenderse hasta que queden
completamente aclaradas o se adopten las medidas que resulten procedentes.
Cuando se planteen dudas sobre la correcta custodia o utilización de la información
cedida, el ente titular de la información se dirigirá al cesionario para que realice las
comprobaciones y adopte las medidas que se estimen pertinentes. Si las dudas tienen
carácter previo al suministro de la información, el mismo podrá suspenderse hasta que
queden completamente aclaradas o se adopten las medidas que resulten procedentes.

cve: BOE-A-2025-12131
Verificable en https://www.boe.es

Núm. 144