Categoría: Normativas

Con fecha 4 de febrero de 2022 se ha suscrito el Convenio entre la Tesorería General de la Seguridad Social y la Administración de la Comunidad Autónoma de Andalucía, sobre intercambio recíproco de información y, en cumplimiento de lo dispuesto en el artículo 48.8 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, procede la publicación en el «Boletín Oficial del Estado» del citado convenio, que figura como anexo de esta resolución.
Madrid, 7 de febrero de 2022.–La Secretaria General Técnica, Iría Álvarez Besteiro.
De una parte, la Tesorería General de la Seguridad Social, representada por su titular, don Andrés Harto Martínez, Director General de la Tesorería General de la Seguridad Social, nombrado mediante Real Decreto 132/2020, de 21 de enero, (BOE de 22 de enero), actuando en virtud de lo establecido en el artículo 48.2 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público y artículos 1 y 3 del Real Decreto 1314/1984, de 20 de junio, por el que se regula la estructura y competencias de la Tesorería General de la Seguridad Social.
Y de otra parte, la Administración de la Comunidad Autónoma de Andalucía, representada por la persona titular de la Consejería de Empleo, Formación y Trabajo Autónomo, doña Rocío Moya Eguren, nombrada por Decreto del Presidente 4/2019, de 21 de enero, por el que se designan los Consejeros y las Consejeras de la Junta de Andalucía (BOJA núm.14, de 22 de enero de 2019), en uso de las atribuciones que le confiere el artículo 9.2 Y 26.2.i) de la Ley 9/2007, de 22 de octubre, de la Administración de la Junta de Andalucía, y facultada para este acto por Acuerdo de Consejo de Gobierno de fecha 27 de julio de 2021.
Las partes se reconocen con capacidad suficiente para suscribir el presente convenio y a tal efecto
1. La Tesorería General de la Seguridad Social es un Servicio Común de la Seguridad Social con personalidad jurídica propia en el que, por aplicación de los principios de solidaridad financiera y caja única, se unifican todos los recursos financieros, tanto por operaciones presupuestarias como extrapresupuestarias, teniendo a su cargo la custodia de los fondos, valores y créditos y las atenciones generales y de los servicios de recaudación de derechos y pagos de las obligaciones del sistema de la Seguridad Social.
El Real Decreto 1314/84, de 20 de junio, por el que se regula la estructura y competencias de la Tesorería General de la Seguridad Social (en adelante TGSS), atribuye en su artículo 1.a) las competencias en materia de inscripción de empresas y la afiliación, altas y bajas de los trabajadores, materia regulada posteriormente por el artículo 3 del Reglamento General sobre inscripción de empresas y afiliación, altas y bajas de los trabajadores en la Seguridad Social, aprobado por el Real Decreto 84/1996, de 26 de enero. A tales efectos, en virtud de lo establecido en el artículo 52 del citado Reglamento, corresponde a la TGSS el mantenimiento de un registro de trabajadores con la correspondiente identificación por cada Régimen del Sistema de la Seguridad Social, así como los beneficiarios y demás personas sujetas a la obligación de cotizar. Asimismo, el citado Real Decreto 1314/1984 en su artículo 1.b) atribuye a la TGSS las competencias en materia de gestión y control de la cotización y de la recaudación de las cuotas y demás recursos de financiación del sistema de la Seguridad Social. Materias reguladas posteriormente en el Reglamento General de Recaudación de la Seguridad Social, aprobado por el Real Decreto 1415/2004, de 11 de junio y en el Real Decreto 2064/1995 de 22 de diciembre, por el que se aprueba el Reglamento General sobre Cotización y Liquidación de otros derechos de la Seguridad Social.
2. El marco competencial de las instituciones que integran la Administración de la Comunidad Autónoma de Andalucía viene establecido en su Estatuto de Autonomía, aprobado por la Ley Orgánica 2/2007, de 19 de marzo, de reforma del Estatuto de Autonomía para Andalucía.
La Administración de la Comunidad Autónoma de Andalucía, a través de sus Consejerías y Organismos dependientes de la Junta de Andalucía, tiene atribuidas competencias relacionadas con las materias objeto de este convenio y, entre ellas las siguientes:
– La ejecución de la legislación laboral, la política de seguridad y salud laboral y las competencias en materia de economía social.
– El fomento de la inserción profesional, la orientación laboral e intermediación en el mercado de trabajo, la gestión de las políticas activas de empleo, la formación profesional ocupacional y continua y el fomento del empleo.
– El fomento empresarial y el apoyo a la creación de empresas.
– La gestión de las prestaciones establecidas en el Real Decreto Legislativo 1/2013, de 29 de noviembre, por el que se aprueba el Texto Refundido de la Ley General de derechos de las personas con discapacidad y de su inclusión y reguladas por el Real Decreto 383/1984, de 1 de febrero; y pensiones asistenciales reguladas por la Ley 45/1960, de 21 de julio.
– El reconocimiento de la situación de dependencia y de la gestión de las prestaciones y servicios que se establecen en la Ley 39/2006, de 14 de diciembre, de Promoción de la Autonomía Personal y Atención a las personas en situación de dependencia;
– El reconocimiento de la renta garantizada de ciudadanía.
– La contratación y concesión de subvenciones en el ámbito de sus competencias.
– Concesión de ayudas asistenciales, de carácter social, sociolaboral o profesional.
– La administración y gestión de la asistencia sanitaria de la Seguridad Social, transferida a la Comunidad Autónoma de Andalucía por Real Decreto 400/1984, de 22 de febrero, sobre traspaso de competencias a la Comunidad Autónoma de funciones y servicios del Instituto Nacional de la Salud.
– El reconocimiento de la asistencia jurídica gratuita establecido en la Ley 1/1996, de 10 de enero, de Asistencia Jurídica Gratuita.
– Instrucción del procedimiento de declaración de utilidad pública de las asociaciones y su inscripción en el Registro de Asociaciones declaradas de utilidad pública, Ley Orgánica 1/2002, de 22 de marzo, reguladora del Derecho de Asociación y en el Real Decreto 1740/2003, de 19 de diciembre, sobre procedimientos relativos a asociaciones de utilidad pública.
En el marco de colaboración mutua que debe presidir las relaciones entre las Administraciones Públicas, los representantes de ambas partes consideran que sería muy beneficioso para el cumplimiento de sus fines el disponer de mecanismos estables de intercambio de información y de colaboración que incluso permitieran a los usuarios de cada lado, acceder de forma transparente, sencilla e inmediata a la información afectada por el presente convenio, que esté alojada en el sistema de información de cada una de las partes.
Se trata de una cesión de información y de una colaboración cuyo amparo se encuentra en la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, que establece en su artículo 3.1k) que los principios que deben presidir las relaciones entre las Administraciones Públicas son los de cooperación, colaboración y coordinación. No debe obviarse además que, conforme al artículo 3 de la citada Ley, las Administraciones Públicas sirven con objetividad los intereses generales y deberán respetar en su actuación y relaciones los principios de servicio efectivo, simplicidad, claridad y proximidad a los ciudadanos y de racionalización y agilidad en los procedimientos administrativos y en las actividades materiales de gestión. Además las Administraciones Públicas se relacionarán entre sí a través de medios electrónicos que aseguren la interoperabilidad y seguridad de los sistemas y soluciones adoptadas por cada una de ellas, garantizarán la protección de los datos de carácter personal y facilitarán preferentemente la prestación conjunta de servicios a los interesados.
Asimismo, y de acuerdo con la letra c) del número 1 del artículo 141 de la Ley 40/2015, de 1 de octubre, en aplicación del deber de colaboración de las Administraciones Públicas se desprende la obligación de «facilitar a las otras Administraciones la información que precisen sobre la actividad que desarrollen en el ejercicio de sus propias competencias».
No obstante, el suministro de información efectuado en el ámbito de aplicación de este convenio deberá respetar el derecho al honor y a la intimidad personal y familiar de los ciudadanos que prescribe el artículo 18 de la Constitución Española, en los términos de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que adapta el ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos.
Por otra parte, el artículo 40.4 del texto refundido de la Ley General de la Seguridad Social, aprobado por el Real Decreto Legislativo 8/2015, de 30 de octubre, establece que los funcionarios públicos, incluidos los profesionales oficiales, están obligados a colaborar con la Administración de la Seguridad Social suministrando toda clase de información de que dispongan, siempre que sea necesaria para el cumplimiento de las funciones de la Administración de la Seguridad Social, especialmente respecto de la liquidación, control de la cotización y la recaudación de recursos de la Seguridad Social y demás conceptos de recaudación conjunta.
A este respecto, y de conformidad con lo dispuesto en el artículo 77.1 del mencionado texto refundido, los datos, informes o antecedentes obtenidos por la Administración de la Seguridad Social en el ejercicio de sus funciones tienen carácter reservado y solo podrán utilizarse para los fines encomendados a las distintas entidades gestoras, servicios comunes y órganos que integran la Administración de la Seguridad Social, sin que puedan ser cedidos o comunicados a terceros, salvo que la cesión o comunicación tenga por objeto, entre otros:
«d) La colaboración con cualesquiera otras administraciones públicas para la lucha contra el fraude en la obtención o percepción de ayudas o subvenciones a cargo de fondos públicos, incluidos los de la Unión Europea, para la obtención o percepción de prestaciones incompatibles en los distintos regímenes del sistema de la Seguridad Social y, en general, para el ejercicio de las funciones encomendadas legal o reglamentariamente a las mismas para las que los datos obtenidos por la Administración de la Seguridad Social resulten relevantes.»
Respecto al consentimiento en la cesión de datos el artículo 40.6 señala: «La cesión de aquellos datos de carácter personal que se deba efectuar a la Administración de la Seguridad Social conforme a lo dispuesto en este artículo o, en general, en cumplimiento del deber de colaborar con la Administración de la Seguridad Social para el desempeño de cualquiera de sus funciones, especialmente respecto de la efectiva liquidación, control de la cotización, recaudación de los recursos de la Seguridad Social y de los conceptos de recaudación conjunta con las cuotas de la Seguridad Social, no requerirá el consentimiento del afectado».
Razones de eficacia en la gestión de las competencias atribuidas a los entes signatarios justifican el establecimiento de un sistema de intercambio de información que permita una agilización en la disposición de la información y una disminución de los costes.
Dicho sistema se regula a través del presente convenio, dado que el intercambio se producirá sobre los datos de un elevado número de interesados o afectados por los mismos y habrá de verificarse de una forma periódica y, en algunos casos, incluso continuada en el tiempo, siendo preciso establecer en determinados supuestos que el acceso a la información se produzca a través de las conexiones directas a las bases de datos correspondientes. Con este objetivo, se aprovechan, en la medida en que lo permite la normativa vigente y de acuerdo con los requisitos establecidos por el Esquema Nacional de Interoperabilidad (ENI), regulado por el Real Decreto 4/2010, de 8 de enero, las posibilidades que en este campo ofrecen las más modernas tecnologías.
Conforme al artículo 28 de la Ley Orgánica 3/2018, de 5 de diciembre, los responsables y encargados, teniendo en cuenta los elementos enumerados en los artículos 24 y 25 del Reglamento (UE) 2016/679, determinarán las medidas técnicas y organizativas apropiadas que deben aplicar a fin de garantizar y acreditar que el tratamiento es conforme con el citado Reglamento, con la presente Ley Orgánica, sus normas de desarrollo y la legislación sectorial aplicable. En particular, valorarán si procede la realización de la evaluación de impacto en la protección de datos y la consulta previa a que se refiere la Sección 3 del Capítulo IV del citado Reglamento. Para la adopción de las medidas a que se refiere el apartado anterior los responsables y encargados del tratamiento tendrán en cuenta, en particular, los mayores riesgos que puedan producirse en los supuestos que relaciona el apartado 2 del artículo 28 de la citada Ley Orgánica.
A este respecto, el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, vigente en tanto no contradiga, se oponga, o resulte incompatible con lo dispuesto en el Reglamento (UE) 2016/679 y en la actual Ley Orgánica, contiene las normas básicas de seguridad que han de cumplir todos los ficheros que contengan datos de carácter personal, a fin de garantizar la integridad y confidencialidad de la información, preservando el derecho al honor y a la intimidad de los ciudadanos, y el Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 3/2010, de 8 de enero, determina los principios y requisitos de la política de seguridad en la utilización de medios electrónicos que permita la adecuada protección de la información. Además, se determinan las dimensiones de seguridad y sus niveles, la categoría de los sistemas, las medidas de seguridad adecuadas y la auditoría periódica de la seguridad.
La Orden de 17 de enero de 1996, sobre control de accesos al sistema informático de la Seguridad Social, junto con las Circulares núm. 2-030, de 12 de junio de 1996, y 2-027 de 27 de septiembre de 1999 regulan el control y seguimiento de accesos a los ficheros automatizados de la Tesorería General de la Seguridad Social.
En consecuencia, siendo jurídicamente procedente la regulación de un sistema estable de intercambio de información que, en su caso, incluso permita el acceso directo a las bases de datos de la otra parte a través de las pertinentes conexiones informáticas y, persuadidas de la importancia de una correcta utilización de dicha información que garantice en todo caso su secreto y el derecho a la intimidad de los ciudadanos, ambas partes acuerdan celebrar el presente convenio de Colaboración que se regirá por las siguientes
El presente convenio tiene por objeto establecer un marco general de colaboración entre la Tesorería General de la Seguridad Social y la Administración de la Comunidad Autónoma de Andalucía, en cuanto a las condiciones y procedimientos por los que se debe regir el intercambio recíproco de información y el recíproco acceso a las bases de datos, preservando en todo caso los derechos de las personas a que se refiere la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
La TGSS facilitará a la Administración de la Comunidad Autónoma de Andalucía el acceso a los datos provenientes de los ficheros y bases de datos en materia de inscripción de empresas, afiliación, cotización y recaudación conforme lo estipulado en la cláusula tercera.
La Administración de la Comunidad Autónoma de Andalucía facilitará a la TGSS información en aquellas materias que para el ejercicio de sus competencias ésta precise y, en particular, la que sea determinante para autorizar la inscripción de empresas y la inclusión de trabajadores en el campo de aplicación del Sistema de la Seguridad Social, para el ejercicio de sus competencia en el proceso recaudatorio gestionado por la TGSS y en materia de lucha contra el fraude en el ámbito de la Seguridad Social.
La cesión de información procedente de la TGSS tendrá como finalidad, al amparo de lo dispuesto en el artículo 77.1.d. del texto refundido de la Ley General de la Seguridad Social, aprobado por el Real Decreto Legislativo 8/ 2015, de 30 de octubre, la colaboración con la Administración de la Comunidad Autónoma para la lucha contra el fraude en la obtención o percepción de ayudas o subvenciones a cargo de fondos públicos, incluidos los de la Unión Europea, para la obtención o percepción de prestaciones incompatibles en los distintos regímenes del sistema de la Seguridad Social y, en general, para el ejercicio de las funciones que tiene encomendadas legal o reglamentariamente para las que los datos obtenidos por la Administración de la Seguridad Social resulten relevantes.
La cesión de información procedente de la Administración de la Comunidad Autónoma de Andalucía, al amparo de lo dispuesto en el artículo 40.4 y 6 del referido texto Refundido de la Ley General de la Seguridad Social, tendrá como finalidad exclusiva la colaboración con la TGSS siempre que sea necesaria para el cumplimiento de las funciones de la Administración de la Seguridad Social, principalmente respecto de la liquidación, control de la cotización y la recaudación de los recursos de la Seguridad Social y demás conceptos de recaudación conjunta, así como particularmente en el ámbito de la lucha contra el fraude en la cotización y recaudación de las cuotas de la Seguridad Social.
3.1 Acceso a los datos de la TGSS. La cesión de la información contenida en los ficheros y bases de datos en materia de inscripción de empresas, afiliación, cotización y recaudación competencia de la TGSS tiene como finalidad exclusiva el desarrollo de las concretas funciones sobre las competencias a las que se refiere el último párrafo del expositivo primero.
La TGSS dará acceso a las transacciones, servicios web o ficheros de datos necesarios para el ejercicio de las competencias enumeradas en el párrafo anterior, siempre que técnicamente sea viable. Dichas transacciones, servicios web o ficheros de datos se concretarán por la Comisión Mixta de Control y Seguimiento a la que se refiere la cláusula decimocuarta, siendo esta la competente para asignar, modificar o suprimir con posterioridad cualquiera de ellas.
3.2 Acceso a los datos de la Comunidad Autónoma de Andalucía. La Administración de la Comunidad Autónoma de Andalucía facilitará a la TGSS información en aquellas materias que para el ejercicio de sus competencias ésta precise, siempre que técnicamente sea viable y, en particular, la que sea determinante para autorizar la inscripción de empresas, la inclusión de trabajadores en el campo de aplicación del Sistema de la Seguridad Social, el proceso recaudatorio gestionado por la TGSS y en materia de lucha contra el fraude a la Seguridad Social.
La información que facilite la Comunidad Autónoma de Andalucía a la TGSS se acordará en el seno de la Comisión Mixta de Control y Seguimiento tal, y como se recoge en la cláusula decimocuarta, siendo esta la competente para proponer la asignación, modificación o supresión con posterioridad de cualquier información.
3.3 Normas de Interoperabilidad entre los sistemas de información de ambas Administraciones. Ambas Administraciones, en lo que respecta a la forma y características de la autorización, asignación, funcionamiento y demás condiciones de acceso a los sistemas de información, se deberán ajustar a lo que se establece en el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica (ENS), regulado por el Real Decreto 3/2010, de 8 de enero y en la Orden Ministerial de 17 de enero de 1996 (BOE de 25 de enero de 1996) y al Esquema Nacional de Interoperabilidad en el ámbito de la Administración Electrónica, aprobado mediante Real Decreto 4/2010, de 8 de enero (BOE de 29 de enero de 2010).
La información objeto de este convenio se facilitará mediante una doble fórmula: Acceso directo a las bases de datos o intercambio recíproco de información.
4.1 Debido a la frecuencia e intensidad con la que son necesarios los intercambios de información para el cumplimiento de las finalidades indicadas en este convenio, se permitirá, con sujeción a las reglas que se detallan en el mismo, el acceso recíproco tanto a las bases de datos de la Tesorería General de la Seguridad Social como a las de la Administración de la Comunidad Autónoma. En ningún caso podrá autorizarse el acceso a la información afectada para finalidades distintas de las citadas.
La cesión de información procedente de las bases de datos de la Administración de la Comunidad Autónoma de Andalucía tiene como finalidad exclusiva el desarrollo de las concretas funciones atribuidas a la TGSS, que justifican su cesión.
En el supuesto de que una ley especial exigiese expresamente el consentimiento del interesado para acceder a los datos personales obrantes en los ficheros de la TGSS, la Comunidad Autónoma de Andalucía deberá recabar dicha autorización haciendo uso de los anexos II y/o III del convenio.
En el caso que proceda, la Administración cesionaria conservará a disposición del cedente las autorizaciones expresas emitidas por los propietarios de los datos personales cedidos, con el fin de que se pueda en todo momento demostrar que se consintió la cesión.
4.2 Intercambio de archivos, cuya estructura y formato se determinará entre las dos Administraciones convenientes, en los que aparezca el NIF de las personas o empresas de las que se solicita información, que la Administración titular del archivo deberá remitir cumplimentado con los datos solicitados, en el plazo de diez días desde la recepción del fichero.
4.3 Creación de un acceso directo a las bases de datos de la Administración de la Comunidad Autónoma objeto de este convenio, por el que el personal funcionario de la TGSS que se determine podrá tener acceso telemático para la consulta on line de los expedientes que se consideren necesario.
4.4 Las partes se comprometen a tratar los datos personales a los que puedan tener acceso con la finalidad indicada en el presente convenio y a no utilizarlos para fines distintos de los previstos en el mismo y a no difundirlos ni cederlos a terceros, en cumplimiento de lo establecido en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, en su normativa de desarrollo así como en la normativa específica aplicable a los datos, informes o antecedentes obtenidos por Ia Administración de la Seguridad Social (artículo 40 del texto refundido de la Ley General de la Seguridad Social aprobado por Real Decreto Legislativo 8/2015, de 30 de octubre).
4.5 Con carácter previo a la interconexión informática es imprescindible la adopción de las siguientes medidas:
4.5.1 Los responsables técnicos de ambas Administraciones habilitarán los mecanismos telemáticos necesarios para que los accesos y autorizaciones correspondientes a los usuarios de ambas administraciones se adecuen integrándose en los sistemas de administración y confidencialidad de cada una de ellas.
4.5.2 Los órganos competentes de ambas Administraciones autorizarán la interconexión informática.
4.5.3 Autorizada la conexión se procederá por los órganos técnicos a la interoperabilidad de los sistemas de información que, en el caso de la Tesorería General de la Seguridad Social, se realizará por la Gerencia de Informática de la Seguridad Social y, en el caso de la Administración de la Comunidad Autónoma, se realizará por la Agencia Digital de Andalucía.
4.5.4 El responsable de la información o responsable del tratamiento, en su caso, en la TGSS o en cada Consejería u Organismo dependiente de la Administración de la Comunidad Autónoma de Andalucía, asumirá directamente, respecto de sus usuarios, el alta, la autorización de accesos y su permanente actualización y adecuación, con independencia de la supervisión que pueda efectuarse por el organismo responsable del fichero objeto de cesión.
La Administración cesionaria será responsable de la utilización que sus usuarios realicen de los ficheros, en especial, de la proporcionalidad, adecuación y pertinencia de los datos a los que accedan.
El intercambio de datos se realizará con mecanismos que garanticen la seguridad de las transmisiones, en particular cuidando de la confidencialidad e integridad de la información y evitando cualquier riesgo para el resto de los sistemas de información de cada organización. Estos mecanismos serán técnicamente definidos y acordados por los órganos directivos u organismos con competencias en materia informática de cada Organismo y serán ratificadas por ambas partes en el seno de la Comisión Mixta de Control y Seguimiento.
5.1 Control por parte de la TGSS. Para el acceso a las bases de datos de la TGSS, ambas Administraciones deberán ajustarse a lo estipulado en los siguientes puntos:
5.1.1 La TGSS realizará la autorización inicial de acceso a las transacciones del Fichero General de Afiliación y demás información a que se refiere el presente convenio.
5.1.2 Además del cumplimiento de las medidas de seguridad del Anexo II del Esquema Nacional de Seguridad, la configuración del acceso objeto del presente convenio habrá de cumplir los siguientes principios establecidos en el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica.
– Confidencialidad, de manera que se asegure que la información está disponible solamente para aquellos usuarios que estén debidamente autorizados para acceder a la misma y que se utiliza exclusivamente por aquéllos para sus cometidos concretos de gestión en la forma, tiempo y condiciones determinados en la autorización respectiva.
– Integridad, garantizando que únicamente los usuarios autorizados, y en la forma y con los límites de la autorización, pueden crear, utilizar, modificar o suprimir información.
– Disponibilidad, de forma que los usuarios autorizados tengan acceso a la información en la forma y cuando lo requieran para los exclusivos cometidos de la gestión encomendada.
– Trazabilidad, de forma que las actuaciones realizadas por los usuarios autorizados pueden ser imputadas exclusivamente a la entidad a la que están adscritos.
– Autenticidad, garantizando que los usuarios autorizados son quienes dicen ser, al tiempo que se garantiza la fuente de la que proceden los datos.
5.1.3 La administración del sistema de información se basará en la asignación de perfiles de autorización a los distintos usuarios de acuerdo con las funciones desempeñadas por los mismos. En este sentido, la TGSS asignará un perfil de «usuario-autorizador» con nivel 4 en cada una de las Consejerías y Organismos dependientes de la Junta de Andalucía con competencias en las materias objeto del presente convenio, a las que se ceden transacciones, y este a su vez dará de alta tantos códigos de usuario como sean necesarios para la realización de las funciones de gestión encomendadas.
Una vez que el presente convenio sea eficaz, la Administración de la Comunidad Autónoma de Andalucía comunicará a la TGSS el nombre completo, DNI, dirección de correo electrónico y teléfono de las personas que asuman el perfil de usuario-autorizador. Igual obligación existirá cuando se produzca un cambio en dichas personas.
A los efectos del presente punto se denomina «usuario» a la persona autorizada para acceder al sistema informático, pero sin facultad para dar de alta en SILCON a otros usuarios ni transferir autorización alguna. Estos serán identificados con el nivel U.
El usuario autorizador dado de alta realizará la asignación de perfiles, entendiéndose como tal la anotación en SILCON de las transacciones a las que puede acceder un determinado usuario autorizado por razón de su puesto de trabajo.
5.1.4 El usuario administrador-autorizador y, subsidiariamente, la Administración de la Comunidad Autónoma es responsable de la asignación de perfiles de autorización a los usuarios, que deben corresponderse con las necesidades de gestión y vigilará la correcta utilización de las autorizaciones concedidas.
5.1.5 Todos los usuarios autorizados a acceder a los sistemas de información de la TGSS deberán quedar identificados y autentificados, de forma que en todo momento pueda conocerse el usuario y los motivos por los que se accedió a la correspondiente información contenida en el sistema. Para ello, en el momento de autorizar a un usuario, se cumplimentarán todos los campos exigidos tales como, características del puesto de trabajo e información complementaria, número de teléfono, etc.
5.1.6 Cada usuario tendrá un único código de acceso y será responsable de los accesos que se realicen con su código y contraseña personal.
5.1.7 Cuando algún usuario, ya sea autorizador o autorizado, pase a desempeñar un nuevo puesto de trabajo en distinta unidad de gestión o cause baja en el trabajo de forma voluntaria, o sea objeto de suspensión de empleo, se procederá a la baja del código de usuario. Por otra parte, se establecerán controles en cuanto al tiempo de inactividad de los usuarios que pasarán a la situación de cancelados una vez transcurridos seis meses sin acceder al Fichero General de Afiliación. También se dispondrá de la posibilidad de establecer fechas de caducidad de acceso al sistema por parte de usuarios y limitaciones en el horario de conexión.
5.2 Control por parte de la Comunidad Autónoma de Andalucía. El acceso a los sistemas de información de la Administración de la Comunidad Autónoma de Andalucía se realizará en similares términos a los establecidos anteriormente, de acuerdo con el protocolo que se determine de común acuerdo por las partes en el seno de la Comisión Mixta de Control y Seguimiento.
Todos los usuarios identificados, así como sus responsables en la Administración de la Comunidad Autónoma de Andalucía y en la TGSS, deben tener el conocimiento de que la copia de programas y/o uso de datos de carácter personal en tareas impropias son operaciones ilegales que pueden dar lugar a responsabilidades administrativas y, en concreto, las establecidas en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, así como a responsabilidades de cualquier otra naturaleza, incluso penales, razón por la cual cuando, por cualquier medio, se tengan indicios de la utilización de datos, antecedentes, registros o informes con finalidad distinta a la propia gestión asignada al usuario, o su difusión indebida, infringiendo así el deber de secreto profesional, se pondrán dichos hechos en conocimiento del interlocutor de la TGSS o de la Comunidad Autónoma de Andalucía definidos a estos efectos, al objeto de procurar la adopción de las medidas pertinentes entre ambas partes.
En el caso de los accesos al Fichero General de Afiliación, y a fin de dar a conocer estas responsabilidades, en todas las altas de usuarios realizadas se deberá cumplimentar un documento firmado mediante certificado digital en el que se especificarán los compromisos adoptados por el usuario, en los términos que se indican en esta cláusula y en el anexo I que se adjunta a este convenio. Dicho documento quedará en poder del autorizador de nivel 4, si bien podrá ser remitido a la TGSS.
Se procederá en similares términos a los establecidos anteriormente en el caso de los accesos a los sistemas de información de la Administración de la Comunidad Autónoma de Andalucía.
La documentación en poder de cada Administración relativa a los controles de acceso al sistema informático de la otra, deberán conservarse por un periodo de tiempo no inferior a cuatro años.
El control y seguridad de los datos de carácter personal suministrados se regirá por lo dispuesto en el Reglamento General de Protección de Datos (Reglamento UE 2016/679), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, y el Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 3/2010, de 8 de enero.
Las autoridades, funcionarios y todo el personal que tenga relación directa o indirecta con la prestación de los servicios previstos en este convenio, guardarán secreto profesional sobre todas las informaciones, documentos y asuntos a los que tengan acceso o de los que tengan conocimiento durante la misma. Estarán obligados a no hacer públicos o enajenar cuantos datos conozcan, incluso después de finalizar el plazo de vigencia de este convenio.
Asimismo, las autoridades, funcionarios y todo el personal que tenga relación directa o indirecta con la prestación de los servicios previstos en este convenio, previamente a la autorización de acceso deberán manifestar por escrito que conocen y se comprometen a cumplir sus obligaciones con la confidencialidad de los datos personales a los que tuvieran acceso con motivo de la aplicación de este convenio.
La violación de esta obligación implicará incurrir en las responsabilidades penales, administrativas y civiles que resulten procedentes, así como el sometimiento al ejercicio de las competencias que corresponden a la Agencia de Protección de Datos.
La Administración de la Comunidad Autónoma de Andalucía y la TGSS deberán garantizar:
– Que tienen implantados los procedimientos que permitan gestionar el ciclo de vida de sus usuarios o componentes autorizados a acceder a los servicios de cesiones de datos del órgano cedente (altas, bajas o modificaciones de autorizaciones).
– Que podrán facilitar una lista actualizada de las personas o componentes autorizados para realizar peticiones de datos en caso de ser solicitada por el órgano cedente.
– Que comunicarán cualquier variación relacionada con las personas autorizadas.
Ambas Administraciones deben garantizar que informarán adecuadamente a todas las personas para las que solicite la autorización de acceso a los sistemas de información, al menos de las siguientes circunstancias:
1. Las responsabilidades que asumen.
2. La finalidad concreta de la autorización.
3. Que la Administración cedente de datos almacena rastros de cada una de las peticiones realizadas.
4. Que en cualquier momento se podrá solicitar la justificación de peticiones de datos realizadas, de acuerdo con los requisitos legales y la finalidad para la que se autorizó la cesión de datos.
5. Las medidas de seguridad que deberán tener en cuenta para garantizar la seguridad de la información.
Dichos empleados, previamente a la autorización de acceso, deberán manifestar por escrito que conocen y se comprometen a cumplir sus obligaciones con la confidencialidad de los datos personales a los que tuvieran acceso con motivo de la aplicación de este convenio, conforme al modelo que figura en anexo I.
La información cedida por ambas partes en aplicación de lo prevenido en el presente convenio solo podrá tener por destinatarios a los órganos de la Tesorería General de la Seguridad Social y de la Administración de la Comunidad Autónoma de Andalucía que tengan atribuidas las funciones que justifican la cesión, recogidas, por aplicación de la normativa vigente, en el propio convenio, sin que en ningún caso puedan ser destinatarios organismos, órganos o entes que realicen funciones distintas.
La Administración de la Comunidad Autónoma de Andalucía y la TGSS aceptan y asumen por el presente documento que la cesión de datos se produce a los fines exclusivos que se especifican en este convenio, por lo que cualquier otro uso que se haga de dichos datos constituirá un incumplimiento de lo previsto en el mismo que facultará a cualquiera de las partes para exigir las responsabilidades oportunas.
La Administración cesionaria será responsable frente a la cedente con motivo de las reclamaciones que esta reciba del propietario de los datos personales. La Administración cedente podrá repetir contra cesionaria por cualquier indemnización que deba satisfacer derivada de dicho incumplimiento.
El suministro de información amparado por este convenio no tendrá otros efectos que los derivados del objeto y la finalidad para la que los datos fueron suministrados. En consecuencia, no originará derechos ni expectativas de derechos en favor de los interesados o afectados por la información suministrada, ni interrumpirá la prescripción de los derechos u obligaciones a que puedan referirse los procedimientos para los que se obtuvo aquélla. De igual modo, la información suministrada no afectará a lo que pudiera resultar de las actuaciones de comprobación o investigación o de la ulterior modificación de los datos suministrados.
La Administración de la Comunidad Autónoma de Andalucía y la Tesorería General de la Seguridad Social aceptan someterse a todas las actuaciones de control y supervisión que se relacionan a continuación al objeto de verificar la adecuada obtención y utilización de la información cedida y de las condiciones normativas o convencionales que resultan de aplicación.
9.1 Por parte de la TGSS. A través de los sistemas y medios informáticos de auditoría que facilite la TGSS como Administración cedente, la Administración de la Comunidad Autónoma de Andalucía, deberá realizar las actividades de control que garantice la debida custodia y adecuada utilización de los datos recibidos y cualquier otra actividad encaminada a garantizar la correcta forma y justificación del acceso a los ficheros o bases en que aquéllos figuren incluidos.
Para llevar a efecto lo señalado en el párrafo anterior, la TGSS se compromete a proporcionar la asistencia necesaria (tanto teórica como técnica) a los responsables que se designen por la Administración cesionaria.
La Administración de la Comunidad Autónoma de Andalucía se compromete a que cada acceso quede justificado con la causa o expediente que lo hubiera motivado.
Las partes implicadas en el proceso de auditoría son las siguientes:
9.1.1 Auditor Delegado de la Administración de la Comunidad Autónoma. Sus funciones y competencias son:
– Será el interlocutor único con la TGSS, en el ámbito de sus competencias, en temas relacionados con auditorias y resolución de incidencias.
– Podrá efectuar la auditoría trimestral a los usuarios autorizados de cualquier Consejería u Organismo dependiente de la Junta de Andalucía, únicamente en el caso de ausencia o enfermedad del auditor de la Consejería u Organismo correspondiente. Por ello, tendrá acceso mediante consultas a las transacciones de los Ficheros de la TGSS recogidas en el presente convenio.
– Recibir, sistematizar y analizar los datos facilitados en los informes de auditoría elaborados en cada Consejería u Organismo dependiente de la Junta de Andalucía por sus auditores para el posterior envío del Resumen Trimestral Unificado del total de usuarios auditados.
– Tendrá como mínimo un nivel 26 de complemento de destino, salvo petición justificada de la Administración de la Comunidad Autónoma que solicitará la excepción de nivel y que deberá ser aprobada por la Unidad Nacional de Auditorías de la TGSS.
– Se le asignará en SILCON un perfil de usuario Auditor Delegado, dándosele de alta a estos efectos por la TGSS en el Departamento correspondiente. Las altas, bajas o sustituciones que se produzcan en las personas designadas como Auditor Delegado de la Administración de la Comunidad Autónoma de Andalucía deberán ser comunicadas a la mayor brevedad posible al Auditor Delegado Provincial en Sevilla de la TGSS quien lo pondrá en conocimiento de la Unidad Nacional de Auditorías.
La Unidad Nacional de Auditorías de la TGSS, previa solicitud de la Administración de la Comunidad Autónoma de Andalucía podrá autorizar al Auditor Delegado de la Administración de la Comunidad Autónoma como auditor suplente en alguna de las Consejerías u Organismos dependientes de la Junta de Andalucía, en los supuestos de vacante, ausencia o enfermedad del auditor.
– El perfil de usuario Auditor no comporta el cargo de usuario-administrador, a pesar de que ambos usuarios tengan en SILCON un nivel 4. Ello es debido a que la tarea de auditoría no es informática sino de justificación documental de los accesos.
En ningún caso podrán coincidir en la misma persona los cargos de usuario-administrador SILCON y Auditor Delegado.
9.1.2 Auditores de la Administración de la Comunidad Autónoma de Andalucía. Habrá un Auditor en cada una de las Consejerías y Organismos dependiente de la Junta de Andalucía con competencias en las materias objeto del presente convenio, con autorización a las consultas de los Ficheros de la TGSS.
Sus funciones y competencias son:
– Efectuar la auditoria trimestral a los usuarios autorizados en su Consejería u Organismo.
– Elaborar el informe de auditoría correspondiente a su Consejería u Organismo sobre la auditoría practicada para el posterior envío al Auditor Delegado de la Comunidad Autónoma de Andalucía.
– Tendrán como mínimo un nivel 26 de complemento de destino, salvo petición justificada de la Comunidad Autónoma de Andalucía que solicitará la excepción de nivel y que deberá ser aprobada por la Unidad Nacional de Auditorías de la TGSS.
– Se les asignará en SILCON un perfil de usuario auditor, dándoseles de alta a estos efectos por la TGSS en el Departamento correspondiente. Las altas, bajas o sustituciones que se produzcan en las personas designadas como Auditor deberán ser comunicadas a la mayor brevedad posible al Auditor Delegado de la Administración Comunidad Autónoma de Andalucía quien lo pondrá en conocimiento del Auditor Delegado Provincial en Sevilla de la TGSS.
– El perfil de usuario auditor no comporta el cargo de usuario- administrador, a pesar de que ambos usuarios tengan en SILCON un nivel 4. Ello es debido a que la tarea de auditoría no es informática sino de justificación documental de los accesos.
En ningún caso podrán coincidir en la misma persona los cargos de usuario-administrador SILCON y Auditor.
9.1.3 Auditor Delegado Provincial en Sevilla de la TGSS. El puesto de Auditor Delegado de la TGSS recaerá en el responsable de auditorías de la Dirección Provincial Sevilla de la TGSS.
Tendrá las siguientes funciones:
– Realizar las auditorias de los accesos del Auditor Delegado de la Administración de la Comunidad Autónoma de Andalucía.
– Recibir, sistematizar y analizar los datos facilitados en el informe trimestral de auditoría elaborado por el Auditor Delegado de la Administración de la Comunidad Autónoma de Andalucía.
– Asignar/desasignar una Consejería u Organismo dependiente de la Administración de la Junta de Andalucía al Auditor Delegado.
– Informar y resolver dudas e incidencias al Auditor Delegado de la Administración de la Comunidad Autónoma de Andalucía.
– Comunicar el resultado de las auditorías e incidencias a la Unidad Nacional de Auditorías de la TGSS.
9.1.4 Unidad Nacional de Auditorías de la TGSS. Serán funciones de la Unidad Nacional de Auditorías las siguientes:
– Velar por la adecuada transmisión de instrucciones y contribuir a la aclaración de dudas sobre accesos indebidos, con el fin de que las auditorias se lleven a efecto por las unidades competentes, con unos criterios unificados.
– Formular propuestas y recomendaciones en materias relacionadas con la adecuación de los accesos a los ficheros informáticos y bases de datos gestionados por la TGSS, en particular de:
• Propuesta de modificación de contenidos de las transacciones, si por razón de los mismos pudiera concurrir alguna situación de riesgo en la protección de datos personales.
• Control específico de las autorizaciones de los usuarios, pudiendo comportar su suspensión o retirada definitiva cuando se advierta un uso inadecuado de las mismas.
– Administrar las transacciones SILCON específicamente referidas al sistema de auditorías, así como las diseñadas para la creación, mantenimiento y cese de auditores, activación y desactivación de perfiles y seguimiento de rastros de los accesos. A tal fin la Unidad Nacional de Auditorias elaborará las solicitudes y propuestas necesarias a la Gerencia de Informática de la Seguridad Social.
– Realizar auditorías específicas de accesos indebidos al Sistema de Confidencialidad cuando se produzcan denuncias por los titulares de los datos a los que se ha accedido, cualquiera que sea su lugar de presentación y tramitar de forma centralizada todas las denuncias y comunicaciones que tengan entrada sobre cualquier forma de vulneración de protección de datos o accesos indebidos a los ficheros a cargo de la TGSS.
– Coordinar y preparar la información que requiera la Dirección General de la TGSS para su relación institucional centralizada con la Agencia Española de Protección de Datos. A este fin, deberá ser remitido a la Unidad Nacional de Auditorias cualquier escrito o solicitud que se reciba de dicha Agencia.
El procedimiento concreto de auditoría se pondrá en conocimiento de la Administración de la Comunidad Autónoma de Andalucía por parte de la Dirección Provincial en Sevilla de la TGSS antes del inicio de la auditoría trimestral que proceda, la cual explicará dicho proceso y solicitará los datos personales del auditor delegado.
– Asignación/Desasignación de un Departamento al Auditor Delegado del Organismo externo.
Una vez que el presente convenio sea eficaz las partes se comunicarán los datos de las personas que realizarán las funciones de auditoría. Igual obligación existirá cuando se produzca un cambio en dichas personas.
9.2 Por parte de la Comunidad Autónoma de Andalucía. En términos recíprocos, la Administración de la Comunidad Autónoma de Andalucía podrá realizar auditorías de los accesos realizados a sus sistemas de información a través de los sistemas y medios informáticos que determine y apruebe la Comisión Mixta de Control y Seguimiento.
Se realizarán todos los controles, informes y auditorías periódicas que estime necesarias para velar por el adecuado cumplimiento de la normativa vigente a los fines establecidos en el presente convenio, así como para verificar la eficacia de las medidas de seguridad relacionadas con los accesos realizados por parte de los usuarios autorizados de la TGSS, los registros de dichos accesos, los listados e informes elaborados.
Si como consecuencia de las actuaciones de control o auditoría o por causa de denuncia o comunicación, se detectase cualquier tipo de irregularidad relacionada con la utilización de datos, antecedentes, registros o informes con finalidad distinta a la propia gestión de la Administración cesionaria, se abrirán de inmediato diligencias en orden al completo esclarecimiento y, en su caso, a la exigencia de responsabilidades con traslado, si procede, a la autoridad de control en materia de protección de datos y a la autoridad judicial correspondiente.
10.1 Sin perjuicio de lo anterior, ambas partes, se reservan, con respecto a los datos de su competencia, la facultad de:
a) Controlar, supervisar y/o auditar los accesos o la utilización que se dé a los datos recibidos, para lo cual podrán llevarse a efecto cualesquiera otros controles accesorios o complementarios por la Unidad Nacional de Auditorías de la TGSS y análoga de la Comunidad Autónoma de Andalucía.
b) Solicitar, en cualquier momento, las aclaraciones o la información complementaria que se estime precisa o conveniente por una de las partes sobre la corrección de los accesos, la custodia o la utilización de la información cedida.
c) Suspender las autorizaciones y desactivar los perfiles de aquellos usuarios que hubieren realizado accesos de riesgo, entendiendo por tales todos aquellos en los que no quede acreditada su correspondencia con los fines para los que hubieran sido utilizados.
10.2 Ambas partes aceptan someterse a todas las actuaciones de control y supervisión que puedan acordarse por la Unidad Nacional de Auditorías de la TGSS y análoga de la Administración de la Comunidad Autónoma de Andalucía, al objeto de verificar la adecuada obtención y utilización de la información cedida y de las condiciones normativas o convencionales que resultan de aplicación.
Si como consecuencia de las actuaciones de control o auditoría o por causa de denuncia o comunicación, se detectase cualquier tipo de irregularidad relacionada con la utilización de datos, antecedentes, registros o informes con finalidad distinta a la propia gestión del órgano cesionario, se abrirán de inmediato diligencias en orden al completo esclarecimiento y, en su caso, a la exigencia de responsabilidades con traslado, si procede, a la autoridad judicial correspondiente.
10.3 Ambas Administraciones designarán una persona como interlocutor único en las relaciones y comunicaciones.
Ambas Administraciones se reservan la facultad de revisar en cualquier momento posterior a que el presente convenio sea eficaz, las formas de acceso a los datos protegidos ya sea a través de acceso directo a ficheros, soporte físico o conexión telemática o electrónica, y la limitación de las mismas por razones técnicas, por modificación de los contenidos de los ficheros a raíz de mejoras introducidas en los mismos, por falta de uso de las transacciones o por otras razones que pudieran suponer alteración de las condiciones pactadas en este convenio.
En lo referente al suministro de información regulado en este convenio, la Administración titular de los datos podrá acordar la suspensión unilateral o la limitación de los accesos cuando advierta incumplimientos