El Interventor General de la Administración del Estado y la Directora General de la Agencia Estatal de Administración Tributaria han suscrito, con fecha 27 de marzo de 2026, una adenda de modificación y prórroga del Convenio entre la Agencia Estatal de Administración Tributaria y la Intervención General de la Administración del Estado en materia de intercambio recíproco de información para la lucha contra el fraude fiscal y para la lucha contra la morosidad en las operaciones comerciales de las entidades del sector público, así como para la lucha contra el fraude en la obtención o percepción de ayudas o subvenciones a cargo de fondos públicos o de la Unión Europea.
Para general conocimiento y en cumplimiento de lo establecido en el artículo 48.8 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, se dispone la publicación del referido convenio como anejo a la presente resolución.
Madrid, 1 de abril de 2026.–El Interventor General de la Administración del Estado, Pablo Arellano Pardo.
ANEJO
Adenda de modificación y prórroga del Convenio entre la Agencia Estatal de Administración Tributaria y la Intervención General de la Administración del Estado en materia de intercambio recíproco de información para la lucha contra el fraude fiscal y para la lucha contra la morosidad en las operaciones comerciales de las entidades del sector público, así como para la lucha contra el fraude en la obtención o percepción de ayudas o subvenciones a cargo de fondos públicos o de la Unión Europea
Madrid, 27 de marzo de 2026.
PARTES QUE INTERVIENEN
De una parte, doña Soledad Fernández Doctor, Directora General de la Agencia Estatal de Administración Tributaria, cargo para el que fue designada por Real Decreto 436/2022, de 8 de junio, actuando por delegación de firma conferida mediante Resolución de fecha 24 de marzo de 2026 por don Jesús Gascón Catalán, Presidente de la Agencia Estatal de Administración Tributaria, y en uso de las atribuciones que le confiere el artículo 103.tres.2 de la Ley 31/1990, de 27 de diciembre, de Presupuestos Generales del Estado para 1991.
Y de otra, don Pablo Arellano Pardo en su condición de Interventor General de la Administración del Estado, cargo para el que fue nombrado por el Real Decreto 618/2018, de 22 de junio de 2018 (BOE núm. 152, de 23 de junio); que actúa, por delegación en virtud del apartado séptimo. 2 a).3.º de la Orden HFP/1500/2021, de 29 de diciembre, de delegación de competencias y por la que se fijan los límites de las competencias de gestión presupuestaria y concesión de subvenciones y ayudas de los titulares de las Secretarías de Estado, de acuerdo con lo dispuesto en el artículo 61.k) de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.
Reconociéndose ambas partes la capacidad legal necesaria para formalizar la presente adenda, realizan la siguiente
EXPOSICIÓN DE MOTIVOS
I
La Agencia Estatal de Administración Tributaria (en adelante, Agencia Tributaria) es la entidad de derecho público encargada, en nombre y por cuenta del Estado, de la aplicación efectiva del sistema tributario estatal y del aduanero y de aquellos recursos de otras Administraciones y Entes públicos nacionales o de la Unión Europea cuya gestión se le encomiende por ley o por convenio.
La Intervención General de la Administración del Estado (en adelante, IGAE) es el órgano al que corresponde, entre otras funciones, el control de la gestión económico-financiera, el seguimiento del déficit público, el control de subvenciones y ayudas públicas, la lucha contra la morosidad en las operaciones comerciales de las entidades del Sector Público y las actuaciones de investigación de irregularidades y casos de fraude a los intereses financieros de la Unión Europea.
II
En el marco de la colaboración mutua que debe presidir las relaciones entre las Administraciones Públicas, de conformidad con lo dispuesto en los artículos 3.1.k), 140, 141 y 142 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante Ley de Régimen Jurídico del Sector Público), los representantes de la Agencia Tributaria y de la IGAE suscribieron, en fecha 30 de marzo de 2022, un convenio para el intercambio recíproco de información para la lucha contra el fraude fiscal, el fraude de subvenciones y para la lucha contra la morosidad en las operaciones comerciales de las entidades del sector público.
El intercambio de información que contempla el convenio viene posibilitado por la legislación tributaria, por la normativa relativa a subvenciones, así como por la normativa presupuestaria, y cumple lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
Adicionalmente, el artículo 21 del Real Decreto-ley 36/2020, de 30 de diciembre, por el que se aprueban medidas urgentes para la modernización de la Administración Pública y para la ejecución del Plan de Recuperación, Transformación y Resiliencia, encomienda a la IGAE el ejercicio de las funciones y competencias que le atribuye la normativa europea a la autoridad de control del Instrumento Europeo de Recuperación.
Dicho artículo establece asimismo que cualquier entidad pública o privada quedará obligada a facilitar la información que le sea solicitada por la IGAE para el ejercicio de estas funciones, adicionales a las que le corresponden como Autoridad de auditoría en materia de fondos estructurales.
III
De acuerdo con la Ley de Régimen Jurídico del Sector Público, la cláusula decimocuarta del convenio dispone su vigencia durante un plazo de cuatro años desde su inscripción en el Registro Electrónico estatal de Órganos e Instrumentos de Cooperación del sector público estatal, pudiendo los firmantes acordar, antes del vencimiento del plazo, una prórroga expresa por un período de hasta cuatro años adicionales. Así, mediante la presente adenda, se acuerda prorrogar la vigencia del convenio, la cual, de conformidad con la cláusula decimocuarta, finaliza el 31 de marzo de 2026.
Por otra parte, mediante esta adenda, se incorporan una serie de modificaciones en diversas cláusulas del convenio, al objeto de mejorar los intercambios de información que se contemplan en el mismo, tanto en materia de subvenciones u otros tipos de ayudas, como la que resulta precisa para el desarrollo de las actuaciones de Control Financiero de ayudas públicas que compete a la IGAE, en cuanto autoridad de control designada para los fondos europeos instrumentados mediante el Mecanismo de Resiliencia y Recuperación.
En el ámbito subvencional, se incorporan modificaciones destinadas a asegurar un mejor cumplimiento por parte de la Base de Datos Nacional de Subvenciones (en adelante, BDNS), cuya gestión, administración y custodia corresponde a la IGAE, de aquellas finalidades que le atribuye el artículo 20.1 de la Ley 38/2003 de 17 de noviembre, General de Subvenciones (en adelante, LGS), en orden a servir como instrumento al servicio de la transparencia, para la planificación de las políticas públicas, de mejora de la gestión y de colaboración en la lucha contra el fraude de subvenciones y ayudas públicas. Así, se modifica la cláusula segunda del convenio, relativa a la autorización de los interesados, al objeto de reflejar, asimismo, el artículo 21 del Real Decreto-ley 36/2020, y los supuestos de cesión de información previamente recibida por la BDNS, a las que ésta quede obligada en cumplimiento de las previsiones del artículo 20.5.a) de la LGS, cesiones para las que no es preciso el consentimiento de aquellos interesados a que se refiera dicha información.
Asimismo, y con el objeto de evitar demoras en el registro por BDNS de la información relativa a inhabilitaciones para poder obtener la condición de beneficiario de ayudas, se modifica en la cláusula sexta, apartado 1.b), relativo a los suministros de información de la Agencia Tributaria a la IGAE al amparo de lo dispuesto en el artículo 95.1.d) y l) de la LGT, la periodicidad para el suministro de información, estableciéndose un suministro inmediato de la información disponible procedente de Agencia Tributaria, en vez de trimestral, a la vez que se refleja que tal intercambio afectará no sólo a situaciones relativas a entregas con naturaleza de subvención, sino en general a todo tipo de ayudas.
En cuanto al apartado 1.c) de la cláusula sexta, se extiende el ámbito del suministro previsto en el mismo a ayudas que tengan la condición de minimis. Teniendo en cuenta que los nuevos Reglamentos de la Unión europea reguladores de ayudas de minimis establecen la obligación de transparencia de dicha modalidad de ayudas, así como la obligación de mantener un Registro de las mismas (en este caso, ya constituido por la BDNS), sería preciso ampliar el alcance de la citada cláusula para el supuesto en que se pudiera conceder algún beneficio fiscal que tuviese la naturaleza de ayuda de minimis.
En el ámbito del control de fondos europeos, resulta necesaria incorporar expresamente la asignación de la condición de autoridad de control atribuida a la IGAE en el control de los fondos europeos por las funciones y competencias que le atribuye la normativa europea, en particular, en relación con la lucha contra el fraude, asignación que fue realizada mediante artículo 21 del Real Decreto-ley 36/2020.
Se modifica también la cláusula tercera del convenio, relativa a los destinatarios de la información suministrada, al objeto de incorporar como excepción a la prohibición de cesión de datos a terceros, la cesión a las Intervenciones generales de las Comunidades Autónomas a los efectos de que éstas realicen las actuaciones que la IGAE le encomiende en el ámbito de la de la lucha contra el fraude, como autoridad de auditoria o equivalente en el ámbito de los fondos europeos. Esta modificación resulta necesaria para poder realizar las funciones que tiene atribuidas la IGAE con la eficiencia y finalidad que requiere los compromisos asumidos con la Comisión europea, para los cuales las auditorías específicas de la IGAE desempeñan un papel esencial en la verificación del cumplimiento de los objetivos e hitos fijados en el Plan de Recuperación, Transformación y Resiliencia y, consiguientemente, en los desembolsos o pagos asociados, así como el resto de mecanismos similares que puedan establecer la normativa europeos del resto de fondos europeos.
En este sentido, la disposición adicional 112.ª Análisis sistemático del riesgo de conflicto de interés en los procedimientos administrativos que ejecutan el Plan de Recuperación, Transformación y Resiliencia, de la Ley 31/2022, de 23 de diciembre, de Presupuestos Generales del Estado para el año 2023, establece que:
«[…] En todo caso, los resultados del análisis realizado quedarán registrados en el sistema de información de gestión del Plan de Recuperación, Transformación y Resiliencia a los efectos de las posibles auditorías específicas sobre conflicto de interés a llevar a cabo ex post en el ámbito de la estrategia de auditoría que determine la Intervención General de la Administración del Estado como Autoridad Independiente de Auditoría, acordada con la Comisión Europea.»
Precisamente, en dichas auditorías especificas participan las Intervenciones Generales de Comunidades Autónomas, de acuerdo con el mandato expresamente recogido en el artículo 21 del Real Decreto-ley 36/2020, de 30 de diciembre, por el que se aprueban medidas urgentes para la modernización de la Administración Pública y para la ejecución del Plan de Recuperación, Transformación y Resiliencia, y por expresa encomienda de la IGAE. Dicho artículo en su apartado 2, señala lo que sigue:
«En particular, corresponderá a la Intervención General de la Administración del Estado las actuaciones derivadas del diseño y ejercicio del control de los fondos que se exijan por la normativa europea, asumiendo la coordinación de los controles asignados a cualquiera otro órgano de control estatal, autonómico o local, así como el ejercicio de las relaciones con las Instituciones Comunitarias y Nacionales para asegurar un sistema de control eficaz y eficiente.»
De acuerdo con ello, la Adenda al Plan de Recuperación, aprobada por la Comisión en octubre de 2023, señala lo siguiente en su apartado V.6.3:
«La autoridad con competencias para realizar la declaración de gestión, a diferencia del diseño de los fondos estructurales, no lleva a cabo auditorías o controles, que corresponderán a la autoridad de auditoría. La IGAE realiza estas auditorías, por mediación de la Oficina Nacional de Auditoría, que cuenta con una División específica para las auditorías sobre el Mecanismo de Recuperación y Resiliencia, aunque cuenta con la colaboración del resto de las unidades de la IGAE y de las Intervenciones General de las Ciudades y Comunidades Autónomas cuando sea preciso […].
[…] La autoridad de control coordina la actividad de las Comunidades y Ciudades Autónomas para garantizar la adecuada realización de los trabajos que deben realizarse. En función del tipo de auditoría se puede optar por diversos mecanismos de colaboración (encomienda de trabajos de auditoría, realización de auditorías de sistemas o realización de auditorías de legalidad y buena gestión). En la estrategia se detallan las formas de colaboración aplicables en cada caso. Esta coordinación se realiza mediante los instrumentos de coordinación habituales, partiendo del mandato de coordinación previsto en el artículo 21 del Real Decreto-ley 36/2020.»
Por otra parte, se considera conveniente recoger en la cláusula séptima del convenio, relativa al acceso directo a bases de datos, el acceso por parte de la IGAE a la herramienta informática de data mining, con sede en la Agencia Tributaria, MINERVA o cualquier otra que la sustituya, de conformidad con disposición adicional 112.ª de la Ley 31/2022, de 23 de diciembre, de Presupuestos Generales del Estado para el año 2023, y según la Orden HFP/55/2023, de 24 de enero, relativa al análisis sistemático del riesgo de conflicto de interés en los procedimientos que ejecutan el Plan de Recuperación, Transformación y Resiliencia.
Finalmente, durante el tiempo transcurrido desde la firma del convenio se han producido modificaciones normativas y se han adoptado mejoras en materia de control y seguridad de los datos suministrados y de tratamiento de los datos de carácter personal que permiten un enunciado de las cláusulas del convenio más adecuado a las normas vigentes, tanto europeas como nacionales, sobre protección de datos de carácter personal y sobre seguridad de la información, por lo que se introducen mediante esta adenda las modificaciones pertinentes.
IV
La tramitación de esta adenda ha cumplido los trámites preceptivos que preceden a su firma y, en particular, el informe previo del Servicio Jurídico de la Agencia Tributaria.
En consecuencia, siendo jurídicamente procedente la ampliación y prórroga del convenio a través de la presente adenda, ambas partes acuerdan las siguientes:
CLÁUSULAS
Primera. Modificación de la cláusula segunda del convenio.
Se modifica la cláusula segunda del convenio, relativa a la autorización de los interesados en la información suministrada, que queda redactado de la siguiente forma:
«Segunda. Autorización de los interesados en la información suministrada.
En aplicación de lo dispuesto en el artículo 95.1.d) y l) de la LGT, en el artículo 20.5.a) de la LGS y en el artículo 21.2 del Real Decreto-ley 36/2020, de 30 de diciembre, los intercambios de información amparados en el presente convenio no precisarán de la autorización de los interesados.»
Segunda. Modificación de la cláusula tercera del convenio.
Se modifica la cláusula tercera del convenio, relativa a los destinatarios de la información suministrada, que queda redactado de la siguiente forma:
«Tercera. Destinatarios de la información suministrada.
1. La información cedida por la Agencia Tributaria al amparo de lo dispuesto en el artículo 95.1.d) y l) de la Ley General Tributaria sólo podrá tener por destinatarios a los órganos de la IGAE que tienen atribuidas las funciones que justifican la cesión. En ningún caso podrán ser destinatarios órganos, organismos o entes que realicen funciones distintas de las descritas.
Todo ello sin perjuicio de la estricta afectación de la información remitida por la Agencia Tributaria a los fines que la justifican y para los que se solicitó.
En cualquier caso, el destinatario no podrá ceder a terceros la información remitida por la Agencia Tributaria excepto en el supuesto previsto en la disposición adicional vigésima de la Ley General Presupuestaria, en relación con las operaciones comerciales efectuadas por las entidades del sector público, de conformidad con el alcance que se prevé; o en aquellos casos en que la información se ceda a la Base de Datos Nacional de Subvenciones de acuerdo con lo previsto en el artículo 20 de la Ley General de Subvenciones; o en aquellos casos en los que la información se ceda a la OLAF de conformidad con lo establecido en los artículos 3.3 y 8.2 del Reglamento (UE, Euratom) n.º 883/2013, relativo a las investigaciones efectuadas por dicha Oficina; o en los supuestos en que la IGAE, en el ejercicio de las funciones que le corresponde como autoridad de auditoria o equivalente de los fondos europeos, asigne a las Intervenciones Generales de las Comunidades Autónomas, la realización de concretas actuaciones de control, y se ceda la información necesaria para su ejecución, en el ámbito del control de las medidas de lucha contra el fraude previstos en la normativa europea y nacional.
2. La información cedida por la IGAE solo podrá tener como destinatarios a los órganos y servicios de la Agencia Tributaria que tienen atribuidas las funciones que justifican la cesión. En ningún caso podrán ser destinatarios órganos, organismos o entes que realicen funciones distintas de las descritas.
En cualquier caso, el destinatario no podrá ceder a terceros la información remitida por la IGAE dentro del marco de este convenio.»
Tercera. Modificación de la cláusula sexta del convenio.
Se modifica la cláusula sexta del convenio, relativa al intercambio de información de carácter periódico, que queda redactado de la siguiente forma:
«Sexta. Intercambio de información de carácter periódico.
1. Para el cumplimiento de las finalidades descritas en la cláusula primera se establecen los siguientes intercambios de información, que deberán realizarse con la periodicidad y fechas límites que se detallan a continuación:
a) Suministros de información de la IGAE a la Agencia Tributaria al amparo de lo dispuesto en la disposición adicional vigésima tercera de la Ley General de Subvenciones.
Información Periodicidad Fecha límite Concesión de subvenciones a beneficiarios: información de concedentes, beneficiarios, normativa de la convocatoria, identificación de la concesión, fecha e importe de la concesión de las subvenciones. Trimestral (Incluyendo datos desde 2009). 1.ª quincena trimestre vencido. Pago de subvenciones a beneficiarios: información de la concesión de la subvención más la información específica del pago: identificación, fecha e importe del pago. Trimestral (Incluyendo datos desde 2009). 1.ª quincena trimestre vencido. Resolución del Procedimiento de Reintegro de subvenciones: información de la concesión de la subvención más información específica del procedimiento de reintegro (identificación, fecha de inicio, fecha de resolución e importe). Dos veces al año (Incluyendo datos desde 2009). 1 de marzo y 1 de julio. Entregas dinerarias sin contraprestación: información de concedentes, beneficiarios, identificación, fecha e importe de la entrega dineraria. Trimestral (Incluyendo datos desde 2009). 1.ª quincena trimestre vencido. Devolución de Entregas Dinerarias sin Contraprestación: información de concedentes, beneficiarios, identificación, fecha e importe de la devolución. Dos veces al año (Incluyendo datos desde 2009). 1 de marzo y 1 de julio. b) Suministros de información de la Agencia Tributaria a la IGAE al amparo de lo dispuesto en el artículo 95.1.d) y l) de la LGT.
Información Periodicidad Fecha límite Sanciones administrativas consistentes en la pérdida del derecho a acceder a nuevas subvenciones y ayudas públicas: información estructurada con identificación del sujeto sancionado, tanto a efectos de subvenciones como de contratos, identificación del acto sancionador; fecha de inicio y fecha de finalización del periodo de prohibición de acceso; y tipología de la prohibición. Cuando se tenga conocimiento de la información. Condenas por sentencia firme consistentes en la pérdida del derecho a acceder a nuevas subvenciones y ayudas públicas: información estructurada con identificación del sujeto condenado, tanto a efectos de subvenciones como de contratos, identificación de la sentencia condenatoria; fecha de inicio y fecha de finalización del periodo de prohibición de acceso; y tipología de la prohibición. Cuando se tenga conocimiento de la información. Datos declarados (modelos 340, 347 o SII) sobre operaciones comerciales entre terceros y entidades del sector público, previa identificación por la IGAE de las entidades del sector público. En los supuestos en que sea posible, se facilitará importe, fecha e identificación de las facturas. A petición. Abrir nuevo ejercicio el 1 de abril. Datos declarados (modelos 340, 346, 347 o SII) sobre subvenciones: ejercicio, identificación de entidad concedente de subvención, identificación de beneficiario, importe, fecha e identificación de factura/operación. Anual (carga inicial desde 2009). 1 de abril. Deducciones aplicadas en el IS por actividades de investigación, desarrollo e innovación, cinematografía, audiovisual o artes escénicas y musicales; creación de empleo u otras deducciones que se puedan establecer para el fomento de la realización de determinadas actividades siempre y cuando no hayan sido registradas en la BDNS en virtud de lo establecido en el artículo 2.1.d del RD 130/2019. Anual. 1 de octubre. A partir del listado de concesión de subvenciones proporcionado en julio desde la BDNS según la letra a): volumen total de operaciones y número de empleados de cada beneficiario (o en su lugar, Clave B-Ventas de la Relación de Ventas Declaradas y número de registros con clave A en el 190). Anual. 1 de agosto. Listado comprensivo de deudores a la Hacienda Pública contemplado en el artículo 95 bis de la LGT en formato tratable. La misma frecuencia con que se publique el listado. 1 mes a partir de la publicación. Datos identificativos de personas físicas y jurídicas. A petición. Información del Modelo 347 de declaración anual operaciones con terceras personas o información que lo sustituya, así como los datos declarados e imputados por los obligados a través del sistema SII, Sistema Inmediato de Información. A petición. Sistema para la detección de perfiles de riesgo: la Agencia Tributaria proporcionará información relevante referida al análisis de riesgos de incumplimiento en la obtención o percepción de ayudas y subvenciones a cargo de fondos públicos o de la UE, de acuerdo con el artículo 95.1.d) LGT. La IGAE a estos efectos proveerá a la Agencia Tributaria del listado de los perceptores a analizar y los detalles necesarios para la realización del análisis. A petición. c) Suministro de información de la Agencia Tributaria a la IGAE sobre ayudas de Estado y ayudas de minimis en el marco de lo establecido en el artículo 95.4 LGT.
La Agencia Tributaria suministrará a la BDNS la información sobre beneficios fiscales de su competencia que constituyan ayudas de Estado y ayudas de minimis publicables según lo establecido en el artículo 4.b) del Real Decreto 130/2019, de 8 de marzo, por el que se regula la Base de Datos Nacional de Subvenciones y la publicidad de las subvenciones y demás ayudas públicas.
2. La información prevista en el apartado anterior podrá modificarse en la medida de las necesidades de cualquiera de las partes, siempre dentro de los márgenes autorizados por la normativa vigente, o como consecuencia de la evolución de la normativa tributaria o en materia de subvenciones.
Para instrumentar la ampliación de la información se precisará la formalización de la correspondiente adenda al presente convenio, que podrá ser estipulada en cualquier momento de su vigencia.
No obstante, y sin necesidad de suscribir la mencionada adenda, ambas partes podrán utilizar las nuevas transacciones y aplicaciones que se diseñen para sustituir las actuales, así como acceder a todas las mejoras técnicas que se introduzcan en las aplicaciones informáticas que afectan a este convenio.»
Cuarta. Modificación de la cláusula séptima del convenio.
Se modifica la cláusula séptima del convenio, relativa al acceso directo a bases de datos, que queda redactado de la siguiente forma:
«Séptima. Acceso directo a bases de datos.
1. La Agencia Tributaria proporcionará a la IGAE el acceso a consulta de sus bases de datos de la siguiente información:
– Declaraciones y autoliquidaciones presentadas por el contribuyente: IRPF, IS, retenciones del trabajo, IVA (modelos 390, 303, y 340), e IAE.
– Imputaciones de IRPF, IS e IVA (declaraciones informativas).
– Datos de cuentas bancarias.
– Relaciones de los contribuyentes con terceros y sobre sus cargos institucionales (participaciones en el capital, socios y administradores de personas jurídicas, representantes, autorizados en cuentas bancarias y similares).
– Información sobre inmuebles.
– Resumen de situación tributaria de un contribuyente: obligaciones y situación censal.
– S.I.R.
– Herramienta informática de data mining, con sede en la Agencia Tributaria, MINERVA, o cualquier otra que la sustituya, así como la base de datos de titularidades reales de la que se nutre.
La gestión de usuarios y el control de accesos se realizará según establece la Resolución de 29 de noviembre de 1996 de la Subsecretaría del Ministerio de Economía y Hacienda.»
Quinta. Modificación de la cláusula octava del convenio.
Se modifica la cláusula octava del convenio, relativa al control y seguridad de los datos suministrados, que queda redactado de la siguiente forma:
«Octava. Control y seguridad de los datos suministrados.
1. El control y seguridad de los datos suministrados se regirá por lo dispuesto en el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, y en los documentos de seguridad aprobados por la Agencia Tributaria y la IGAE, respectivamente.
2. La Administración cesionaria será responsable respecto de la utilización que sus usuarios realicen de los ficheros, en especial de la proporcionalidad, adecuación y pertinencia de los datos a los que se acceda.
3. Se establecen los siguientes controles sobre los accesos, la custodia y la utilización de la información suministrada al amparo de este convenio:
a) Control interno por parte del ente cesionario de la información.
La Agencia Tributaria, por un lado, y la IGAE, por otro, realizarán controles sobre la custodia y utilización que de los datos recibidos realicen las autoridades, funcionarios o resto de personal dependientes de las mismas, informando a la Comisión Mixta de Coordinación y Seguimiento de los resultados obtenidos en dicho seguimiento.
Contarán con una política de seguridad de la información, un análisis y gestión de riesgos y una asignación explícita de responsabilidades en materia de seguridad adecuadas para su misión, objetivos y tamaño y deberá aplicar dichos mecanismos de seguridad a la información suministrada por el cedente.
Impedirán el acceso a la información suministrada por parte de personal no autorizado, estableciendo la trazabilidad de los accesos a la información suministrada y desarrollando auditorías del acceso a los datos con criterios aleatorios y de riesgo.
Adoptarán medidas específicas que eviten el riesgo de que la información pueda ser utilizada, incluso inadvertidamente, para otros propósitos o por personal en el que concurra algún conflicto de intereses, así como medidas que aseguren el cumplimiento de las condiciones que sustentan cada una de las cesiones.
Deberá evitar que los funcionarios autorizados a realizar consultas a datos tributarios realicen accesos que no se ajusten a la finalidad de este convenio, accesos a datos propios o a datos en los que pueda existir algún tipo de conflicto de interés.
Si como consecuencia de las labores de control se advirtiese la utilización de la información obtenida con fines distintos de los previstos en el presente convenio se abrirán diligencias informativas en orden a su esclarecimiento y, en su caso, a la exigencia por parte del órgano competente de las responsabilidades disciplinarias o administrativas que procedan según la normativa vigente, con traslado, si procede, a la autoridad judicial correspondiente.
En los supuestos de cesión de datos a Comunidades Autónomas y Entidades Locales en los términos previstos en la disposición adicional vigésima de la Ley 47/2003, General Presupuestaria, se concertará la aplicación de modelos de seguimiento y control que respondan a los mismos fines y garantías que los previstos por la Agencia Tributaria y la IGAE.
Lo dispuesto en el párrafo anterior será también de aplicación a los supuestos de cesión de datos a la OLAF en virtud de los artículos 3.3 y 8.2 del Reglamento (UE, Euratom) n.º 883/2013.
b) Control por el ente titular de la información cedida.
Aplicarán los controles ordinarios derivados de su sistema de gestión de la seguridad de la información. En particular, las cesiones de información realizadas quedarán registradas en el sistema de control de accesos de la Agencia Tributaria.
Sin perjuicio de los dispuesto anteriormente, la Agencia Tributaria y la IGAE podrán establecer cualquier sistema de comprobación accesorio, a cuyo efecto el responsable de seguridad de cada Entidad podrá solicitar de su homólogo la información que estime pertinente relativa a las incidencias producidas.
4. Tanto la IGAE como la Agencia Tributaria aceptan someterse a las actuaciones de comprobación que pueda acordar el Servicio de Auditoría Interna de la Agencia Tributaria y el Comité de Coordinación de la Seguridad de la Información de los Sistemas de Información Presupuestaria, contemplado en la Resolución de 21 de diciembre de 2015, de la Secretaría de Estado de Presupuestos y Gastos, por la que se regula la política de seguridad de los sistemas de información de la Secretaría de Estado de Presupuestos y Gastos y de la IGAE, al objeto de verificar la adecuada obtención y utilización de la información cedida y de las condiciones normativas o convencionales que resultan de aplicación.
5. Las partes se comprometen a colaborar en la investigación y resolución de las incidencias de seguridad.
Cuando se adviertan anomalías o irregularidades en la correcta custodia o utilización de la información cedida, así como si se incumplieran los principios, reglas y garantías establecidos en el presente convenio, el ente titular de la información se dirigirá al cesionario para que realice las comprobaciones y adopte las medidas que se estimen pertinentes, pudiéndose suspender o limitar el acceso o suministro de datos en tanto tales medidas no sean adoptadas. Si las anomalías o irregularidades tienen carácter previo al suministro de la información, el mismo podrá suspenderse hasta que queden completamente aclaradas o se adopten las medidas que resulten procedentes.
Cuando se planteen dudas sobre la correcta custodia o utilización de la información cedida, el ente titular de la información se dirigirá al cesionario para que realice las comprobaciones y adopte las medidas que se estimen pertinentes. Si las dudas tienen carácter previo al suministro de la información, el mismo podrá suspenderse hasta que queden completamente aclaradas o se adopten las medidas que resulten procedentes.
Asimismo, ante la ocurrencia de una brecha o incidente de seguridad, las partes podrán interrumpir temporalmente el acceso directo a las bases de datos y los suministros de información. En caso de interrupción temporal, ésta deberá ponerse en conocimiento inmediato de la Comisión Mixta de Coordinación y Seguimiento del convenio.»
Sexta. Modificación de la cláusula novena del convenio.
Se modifica la cláusula novena del convenio, relativa al tratamiento de datos personales, que queda redactada de la siguiente forma:
«Novena. Tratamiento de datos personales.
En el caso de que la información incorpore datos personales, tanto el cedente como el cesionario tratarán los datos de acuerdo al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
Los datos tratados en este convenio tienen la categorización de información tributaria.
Las partes se comprometen a cooperar en la resolución de los incidentes de seguridad y asumen las obligaciones que les incumben cuando actúen como responsables del tratamiento de datos a efectos de la legislación en materia de protección de datos personales.
Los datos personales que se recogen en el presente convenio, y los que deriven de su ejecución, serán incorporados a las actividades de tratamiento de responsabilidad de las partes firmantes.
En el caso de la Agencia Tributaria, el Responsable del Tratamiento a efectos del Reglamento General de Protección de Datos es el titular de la Dirección General.
En el caso de la IGAE, el Responsable del Tratamiento a los efectos del Reglamento General de Protección de Datos es el titular de la Intervención General.»
Séptima. Modificación de la cláusula décima del convenio.
Se modifica la cláusula décima del convenio, relativa a la obligación de sigilo, que queda redactada de la siguiente forma:
«Décima. Obligación de sigilo.
Cuantas autoridades, funcionarios y resto de personal tengan conocimiento de los datos o información suministrados en virtud de este convenio estarán obligados al más estricto y completo sigilo respecto de ellos. La violación de esta obligación implicará incurrir en las responsabilidades penales, administrativas y civiles que resulten procedentes.
El expediente para conocer de las posibles responsabilidades de cualquier índole que se pudieran derivar del acceso indebido o de la utilización incorrecta de la información suministrada en ejecución de este convenio deberá ser iniciado y concluido, así como la responsabilidad exigida, en su caso, por la Administración a la que pertenezca la autoridad, funcionario u otro tipo de personal responsable de dicha utilización indebida.
El acuerdo de confidencialidad continuará vigente incluso después de la extinción de este convenio, sea cual sea la causa de dicha extinción.»
Octava. Prórroga del convenio.
En virtud de la cláusula decimocuarta del convenio y conforme al artículo 49 de la Ley de Régimen Jurídico del Sector Público, las partes firmantes acuerdan prorrogar por un periodo de cuatro años adicionales el Convenio entre la Agencia Estatal de Administración Tributaria y la Intervención General de la Administración del Estado, de fecha 30 de marzo de 2022, en materia de intercambio recíproco de información para la lucha contra el fraude fiscal y para la lucha contra la morosidad en las operaciones comerciales de las entidades del sector público, así como para la lucha contra el fraude en la obtención o percepción de ayudas o subvenciones a cargo de fondos públicos o de la Unión Europea, incluyendo las modificaciones incorporadas mediante la presente adenda.
Dicha prórroga, de conformidad con lo previsto en dicho artículo 49, se comunicará al Registro Electrónico Estatal de Órganos e Instrumentos de Cooperación del sector público estatal.
Novena. Eficacia de las modificaciones.
Las modificaciones del convenio contenidas en la presente adenda serán de aplicación desde la fecha de su inscripción en el Registro Electrónico estatal de Órganos e Instrumentos de Cooperación del sector público estatal. Asimismo, la adenda se publicará en el «Boletín Oficial del Estado».
En prueba de conformidad, ambas partes firman la adenda electrónicamente en el lugar indicado en el encabezamiento.–El Interventor General de la Administración del Estado, Pablo Arellano Pardo.–La Directora General de la Agencia Estatal de Administración Tributaria, Soledad Fernández Doctor.