BOLETÍN OFICIAL DEL ESTADO
Núm. 86

Lunes 11 de abril de 2022

Sec. III. Pág. 50727

Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales.
En el caso de la Agencia Tributaria, el Responsable del Tratamiento a efectos del
Reglamento General de Protección de Datos es el titular de la Dirección General.
En el caso del Instituto de Estadística de Navarra, el Responsable del Tratamiento a
los efectos del Reglamento General de Protección de Datos es el Departamento de
Economía y Hacienda. Instituto de Estadística de Navarra (Nastat).
Los intercambios a los que se refiere este convenio podrán ser interrumpidos
temporalmente por cualquiera de las partes cuando se detecte un incidente que
amenace la seguridad de la información, dando cuenta a la Comisión Mixta de
Coordinación y Seguimiento del convenio para su toma en consideración.
Sexta. Control y seguridad de los datos suministrados.
1. El control y seguridad de los datos suministrados se regirá por lo dispuesto en el
Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de
Seguridad en el ámbito de la Administración Electrónica modificado por el Real
Decreto 951/2015, de 23 de octubre, y en la Política de Seguridad de la Información de
la Agencia Tributaria.
2. Se establecen los siguientes controles sobre los accesos, la custodia y la
utilización de la información suministrada al amparo de este convenio:
a)

Control interno por parte del ente cesionario de la información.

En relación con los datos recibidos, realizará controles sobre la custodia y utilización
llevadas a cabo por las autoridades, funcionarios o resto de personal dependiente de
ellos, informando a la Comisión Mixta de Coordinación y Seguimiento (regulada en la
cláusula novena) de los resultados obtenidos en dicho seguimiento.
Contará con una política de seguridad de la información, un análisis y gestión de
riesgos y una asignación explícita de responsabilidades en materia de seguridad
adecuadas para su misión, objetivos y tamaño, y deberá aplicar dichos mecanismos de
seguridad a la información suministrada por la Agencia Tributaria.
Impedirá el acceso a la información suministrada por parte de personal no
autorizado, estableciendo la trazabilidad de los accesos a la información suministrada, y
desarrollando auditorías del acceso a los datos con criterios aleatorios y de riesgo.
Adoptará medidas específicas que eviten el riesgo de que la información pueda ser
utilizada, incluso inadvertidamente, para otros propósitos, o por personal en el que
concurra algún conflicto de intereses. Asimismo, se adoptarán medidas que aseguren el
cumplimiento de las condiciones que sustentan cada una de las cesiones.
Control por el ente titular de la información cedida.

La Agencia Tributaria y el Instituto de Estadística de Navarra aplicarán los controles
ordinarios derivados de su sistema de gestión de la seguridad de la información. En
particular, las cesiones de información realizadas quedarán registradas en el sistema de
control de accesos de la Agencia Tributaria. El Servicio de Auditoría Interna de la
Agencia Tributaria podrá acordar otras actuaciones de comprobación al objeto de
verificar la adecuada obtención y utilización de la información cedida y de las
condiciones normativas o convencionales que resultan de aplicación.
3. De conformidad con el punto 1 del artículo 34 del Real Decreto 3/2010, los
sistemas de información del Instituto de Estadística de Navarra serán objeto de una
auditoría regular ordinaria, al menos cada dos años, que verifique el cumplimiento de los
requerimientos del Esquema Nacional de Seguridad; así como las auditorías de carácter
extraordinario que deban realizarse cuando se produzcan modificaciones sustanciales en
el sistema de información, que puedan repercutir en las medidas de seguridad
requeridas.

cve: BOE-A-2022-5941
Verificable en https://www.boe.es

b)