Resolución de 16 de noviembre de 2023, de la Dirección del Servicio de Planificación y Relaciones Institucionales de la Agencia Estatal de Administración Tributaria, por la que se publica el Convenio con la Universidad Politécnica de Madrid, en materia de suministro de información para finalidades no tributarias

Primera Objeto del convenio

1. El presente convenio tiene por objeto establecer un marco general de colaboración sobre las condiciones y procedimientos por los que se debe regir la cesión de información de la Agencia Estatal de Administración Tributaria (en adelante, Agencia Tributaria) a la Universidad Politécnica de Madrid, en los supuestos en los que, como excepción al carácter reservado de los datos tributarios, conforme al ordenamiento jurídico, sea procedente dicha cesión, preservando en todo caso los derechos de las personas a las que se refiera la misma.

2. El presente convenio se entiende sin perjuicio del intercambio de información que pueda tener lugar entre la Agencia Tributaria y la Universidad Politécnica de Madrid, según el ordenamiento jurídico, en supuestos distintos de los previstos por el convenio; en particular, por lo que se refiere a la prevención y lucha contra el delito fiscal y contra el fraude en la obtención o percepción de ayudas o subvenciones a cargo de fondos públicos o de la Unión Europea cuya gestión tiene atribuida la Universidad Politécnica de Madrid, según lo dispuesto en los artículos 94 y 95.1.d) de la LGT.

Segunda Finalidad de la cesión de información

La cesión de información procedente de la Agencia Tributaria tendrá como finalidad exclusiva la colaboración con la Universidad Politécnica de Madrid en el desarrollo de las funciones que ésta tenga atribuidas cuando, para su ejercicio, la normativa reguladora exija la aportación de una certificación expedida por la Agencia Tributaria o la presentación, en original, copia o certificación, de las declaraciones tributarias de los interesados o de cualquier otra comunicación emitida por la Agencia Tributaria, en particular, en el caso de no obligados a declarar. En estos supuestos, la información que debe constar en tales documentos se solicitará directamente de la Agencia Tributaria, siempre que resulte de interés para el ejercicio de tales funciones y se refiera a un elevado número de interesados o afectados.

Tercera Autorización de los interesados sobre la información suministrada

La cesión de información tributaria deberá contar con la previa autorización expresa de los interesados, según lo establecido en el artículo 95.1.k) LGT, en los términos y con las garantías que se establecen en el artículo 2.4 de la Orden de 18 de noviembre de 1999 y en la normativa en materia de protección de datos y seguridad de la información.

Cuarta Destinatarios de la información suministrada

La información cedida por la Agencia Tributaria sólo podrá tener como destinatarios a los órganos de la Universidad Politécnica de Madrid que tengan atribuidas las funciones que justifican la cesión, incluidos los órganos de fiscalización, que se recogen en el anexo a este convenio. En ningún caso podrán ser destinatarios órganos, organismos o entes que realicen funciones distintas de las descritas en la cláusula segunda de este convenio.

Todo ello, sin perjuicio de la estricta afectación de la información remitida por la Agencia Tributaria a los fines que la justifican y para los que se solicita. En cualquier caso, el destinatario no podrá ceder a terceros la información remitida por la Agencia Tributaria.

Quinta Principios y reglas de aplicación al suministro de información contemplado en este convenio

El suministro de información que efectúe la Agencia Tributaria en el marco del presente convenio se regirá por las reglas y principios establecidos en el artículo 6 de la Orden del Ministerio de Economía y Hacienda de 18 de noviembre de 1999.

Sexta Naturaleza de los datos suministrados

Los datos suministrados por la Agencia Tributaria son los declarados por los contribuyentes y demás obligados a suministrar información, sin que, con carácter general, hayan sido sometidos a actividad alguna de verificación previa a su automatización. No obstante, cuando los citados datos hubieran sido comprobados por la Administración tributaria, se facilitarán los datos comprobados.

Tanto la Agencia Tributaria como la Universidad Politécnica de Madrid podrán solicitar recíprocamente especificaciones o aclaraciones sobre la naturaleza y contenido de los datos objeto de suministro.

Séptima Cesión de información

1. Para el cumplimiento de las finalidades descritas en la cláusula segunda, se establecen los suministros de información que se recogen en el anexo al presente convenio.

2. El respeto a los principios de eficiencia y minimización de costes que deben regir la aplicación del presente convenio obliga al tratamiento telemático de las solicitudes efectuadas por la Universidad Politécnica de Madrid. A tal fin, la Agencia Tributaria determinará la aplicación que permita dicha cesión. Una vez establecida y sin perjuicio de su posterior modificación, las peticiones deberán ajustarse a ella.

El tipo de información que se remitirá se comprende en el anexo que se adjunta al presente convenio, que ha sido definido de modo que se permita el tratamiento telemático de las solicitudes efectuadas y teniendo en cuenta la normativa aplicable al procedimiento, así como que el suministro se refiere a un elevado número de interesados o afectados, lo que justifica el acceso directo por parte de la Universidad.

Puesto que la cesión de información se realiza en el marco normativo del artículo 95.1.k) LGT, estas peticiones deberán hacer constar que los interesados han autorizado expresamente el suministro de datos, sin que se haya producido su revocación, y que se han tenido en cuenta las demás circunstancias previstas en el artículo 2.4 de la Orden de 18 de noviembre de 1999 respecto de dicha autorización.

3. Tanto en la Agencia Tributaria como en la Universidad Politécnica de Madrid existirá un órgano al que cualquiera de las partes podrá dirigirse para resolver los aspectos o incidencias técnicas que surjan en la aplicación del presente convenio. Un representante de dicho órgano será, a su vez, miembro de la Comisión Mixta de Coordinación y Seguimiento a la que se refiere la cláusula decimotercera.

En concreto, en la Agencia Tributaria, dicho órgano será la Dependencia Regional de Informática Tributaria de la Delegación Especial de Madrid, mientras que en la Universidad Politécnica de Madrid esas funciones serán ejercidas por el Área de Atención al Alumno.

Octava Control y seguridad de los datos suministrados

1. El control y seguridad de los datos suministrados se regirá por lo dispuesto en el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, y en la Política de Seguridad de la Información de la Agencia Tributaria.

2. Se establecen los siguientes controles sobre los accesos, la custodia y la utilización de la información suministrada al amparo de este convenio:

• a) Control interno por parte del ente cesionario de la información:
  • – Realizará controles sobre la custodia y utilización que de los datos recibidos realicen las autoridades, funcionarios o resto del personal dependiente, informando a la Comisión Mixta de Coordinación y Seguimiento de los resultados obtenidos en dicho seguimiento.
  • – Contará con una política de seguridad de la información, un análisis y gestión de riesgos y una asignación explícita de responsabilidades en materia de seguridad adecuadas, y deberá aplicar dichos mecanismos de seguridad a la información suministrada por la Agencia Tributaria.
  • – Impedirá el acceso a la información suministrada por parte de personal no autorizado, estableciendo la trazabilidad de los accesos a la información suministrada y desarrollando auditorías del acceso a los datos con criterios aleatorios y de riesgo.
  • – Adoptará medidas específicas que eviten el riesgo de que la información pueda ser utilizada, incluso inadvertidamente, para otros propósitos, o por personal en el que concurra algún conflicto de intereses, así como medidas que aseguren el cumplimiento de las condiciones que sustentan cada una de las cesiones.
• b) Control por la titular de la información cedida.
  • – La Agencia Tributaria aplicará los controles ordinarios derivados de su sistema de gestión de la seguridad de la información. En particular, las cesiones de información realizadas quedarán registradas en el sistema de control de accesos de la Agencia Tributaria.
  • – El Servicio de Auditoría Interna de la Agencia Tributaria podrá acordar otras actuaciones de comprobación al objeto de verificar la adecuada obtención y utilización de la información cedida y de las condiciones normativas o convencionales que resulten de aplicación.

3. El cesionario deberá evitar que los funcionarios de la Universidad Politécnica de Madrid autorizados a realizar consultas a datos tributarios realicen accesos que no se ajusten a la finalidad de este convenio, accesos a datos propios o a datos en los que pueda existir algún tipo de conflicto de interés.

4. Las partes se comprometen a colaborar en la investigación y resolución de las incidencias de seguridad. En particular, en el caso de detectarse un riesgo inminente o una incidencia de seguridad que afecte significativamente a los intercambios de información, las partes podrán interrumpir temporalmente los suministros dando aviso a la contraparte y comunicándolo de inmediato a la Comisión Mixta de Coordinación y Seguimiento del convenio.

5. El cesionario deberá garantizar que todos los usuarios autorizados para realizar consultas a datos tributarios reciben acciones formativas y de concienciación en relación con los requisitos para poder hacer uso de estas consultas, y de buenas prácticas de seguridad para que estas consultas se realicen en unas condiciones adecuadas, evitando posibles incidencias de seguridad.

Novena Protección de datos

1. Los datos personales que se recogen en el presente convenio, y los que se deriven de su ejecución, serán incorporados a las actividades de tratamiento responsabilidad de las partes firmantes, y serán tratados únicamente a los efectos de llevar a buen fin el convenio. Ambas partes se comprometen a tratar dichos datos conforme a lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, en el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, y demás normativa de desarrollo.

2. Los datos tratados en este convenio tienen la categorización de información tributaria.

3. La legitimación del tratamiento será el consentimiento de los interesados, conforme a lo dispuesto en la cláusula tercera.

4. Los titulares de los datos podrán ejercer sus derechos de acceso, rectificación, supresión, limitación y oposición a su tratamiento, cuando proceda, en la dirección correspondiente a sus respectivas sedes en cada momento:

• a) En el caso de la Agencia Tributaria:

  https://sede.agenciatributaria.gob.es/Sede/procedimientoini/FZ08.shtml

• b) En el caso de la Universidad Politécnica de Madrid:

  https://sede.upm.es/proteccion-datos

5. En la Agencia Tributaria el Responsable del Tratamiento a efectos del Reglamento General de Protección de Datos es la persona titular de la Dirección General.

En la Universidad Politécnica de Madrid el Responsable del Tratamiento a efectos del Reglamento General de Protección de Datos es la propia Universidad Politécnica de Madrid, como persona jurídica con CIF Q-2818015-F.

En todo caso, la responsabilidad derivada del tratamiento de la información y de los datos personales asociados a ella se determinará de conformidad con lo dispuesto en el Reglamento General de Protección de Datos, en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, y en las demás normas del ordenamiento jurídico que resulten de aplicación.

Décima Obligación de sigilo

1. Cuantas autoridades, funcionarios y resto del personal tengan conocimiento de los datos o información suministrados en virtud de este convenio estarán obligados al más estricto y completo sigilo respecto de ellos. La violación de esta obligación implicará incurrir en las responsabilidades penales, administrativas y civiles que resulten procedentes, así como el sometimiento al ejercicio de las competencias que corresponden a la Agencia Española de Protección de Datos.

2. El expediente administrativo para conocer de las posibles responsabilidades de cualquier índole que se pudieran derivar de la indebida utilización de la información suministrada en ejecución de este convenio deberá ser iniciado y concluido, así como exigido, en su caso, por la administración o universidad a la que pertenezca la autoridad, funcionario u otro tipo de personal responsable de dicha utilización indebida.

3. El acuerdo de confidencialidad continuará vigente incluso después de la extinción de este convenio, sea cual sea la causa de dicha extinción.

Undécima Archivo de las actuaciones

La documentación obrante en cada entidad relativa a los controles efectuados sobre la custodia y utilización de los datos cedidos deberá conservarse por un periodo de tiempo no inferior a tres años. En especial, la Universidad Politécnica de Madrid deberá conservar la autorización expresa de los interesados.

Duodécima Efectos de los datos suministrados

De conformidad con lo previsto en el artículo 9 de la Orden de 18 de noviembre de 1999, en la medida en la que la Universidad Politécnica de Madrid pueda disponer de la información de carácter tributario que precise para el desarrollo de sus funciones mediante los cauces previstos en el presente convenio, no se exigirá a los interesados que aporten individualmente certificaciones expedidas por la Agencia Tributaria, ni la presentación, en original, copia o certificación de sus declaraciones tributarias o de cualquier otra comunicación emitida por la Agencia Tributaria en el caso de los no obligados a declarar.

El suministro de información amparado por este convenio no tendrá otros efectos que los derivados del objeto y de la finalidad para los que los datos fueron suministrados. En consecuencia, no originará derechos ni expectativas de derechos a favor de los interesados o afectados por la información suministrada, ni interrumpirá la prescripción de los derechos u obligaciones a que puedan referirse los procedimientos para los que se obtuvo aquella. De igual modo, la información suministrada no afectará a lo que pudiera resultar de las actuaciones de comprobación o investigación o de la ulterior modificación de los datos suministrados.

Decimotercera Organización para la ejecución del convenio. Solución de conflictos

Con el fin de coordinar las actividades necesarias para la ejecución del presente Convenio, así como para llevar a cabo su supervisión, seguimiento y control, se creará una Comisión Mixta de Coordinación y Seguimiento compuesta por tres representantes nombrados por el titular de la Delegación Especial de la Agencia Tributaria de Madrid y otros tres nombrados por el titular del cargo de Rector de la Universidad Politécnica de Madrid.

En calidad de asesores, con derecho a voz pero sin voto, podrán incorporarse cualesquiera otros funcionarios que se considere necesario.

Las decisiones se adoptarán por acuerdo de las dos partes representadas.

La comisión se reunirá a instancia de cualquiera de las partes para examinar los resultados e incidencias de la colaboración realizada.

Las controversias que puedan surgir en la interpretación y cumplimiento del presente convenio serán resueltas por la Comisión Mixta de Coordinación y Seguimiento.

La Comisión Mixta de Coordinación y Seguimiento se regirá en cuanto a su funcionamiento y régimen jurídico respecto a lo no establecido expresamente en la presente cláusula, por lo dispuesto en la sección 3.ª del capítulo II del título preliminar de la LRJSP.

Decimocuarta Plazo de vigencia

1. El presente convenio tendrá una vigencia de cuatro años, a contar desde su inscripción en el Registro Electrónico Estatal de Órganos e Instrumentos de Cooperación, de acuerdo con lo establecido en el artículo 48.8 de la LRJSP. Asimismo, será publicado en el plazo de diez días hábiles desde su formalización en el «Boletín Oficial del Estado», pudiendo acordar los firmantes, antes del vencimiento del plazo, una prórroga expresa por un período de hasta cuatro años.

2. La Agencia Tributaria podrá acordar la suspensión unilateral o la limitación del suministro de la información cuando advierta incumplimientos de la obligación de sigilo por parte de las autoridades, funcionarios o resto del personal del ente cesionario, anomalías o irregularidades en los accesos o en el régimen de control o incumplimientos de los principios y reglas que deben presidir el suministro de información, según lo previsto en este convenio.

3. Asimismo, la Universidad Politécnica de Madrid podrá acordar la suspensión unilateral o la limitación de las solicitudes de información cuando advierta incumplimientos de la entidad cedente en la aplicación de los principios y reglas que deben presidir el suministro de información, según lo previsto en este convenio.

Decimoquinta Extinción y resolución del convenio

El presente convenio se extinguirá por el cumplimiento de las actuaciones que constituyen su objeto o por incurrir en causa de resolución.

De conformidad con lo establecido en el artículo 51 de la LRJSP, son causas de resolución del convenio, las siguientes:

• a) El transcurso del plazo de vigencia del convenio sin haberse acordado expresamente su prórroga.
• b) El acuerdo unánime de todos los firmantes.
• c) El incumplimiento grave y acreditado de las obligaciones y compromisos asumidos por parte de alguno de los firmantes. Cualquiera de las partes podrá notificar a la parte incumplidora un requerimiento para que cumpla en un determinado plazo con las obligaciones o compromisos que se consideran incumplidos. Este requerimiento será comunicado a la Comisión de Coordinación y Seguimiento prevista en la cláusula decimotercera. Si trascurrido el plazo indicado en el requerimiento persistiera el incumplimiento, la parte que lo dirigió notificará a la otra parte firmante la concurrencia de la causa de resolución y se entenderá resuelto el convenio.
• d) La decisión judicial declaratoria de la nulidad del convenio.
• e) Cualquier otra causa distinta de las anteriores prevista en otras leyes.

Asimismo, será causa de resolución del convenio la denuncia expresa de cualquiera de las partes, que surtirá efecto transcurridos dos meses desde que se comunique fehacientemente a la otra parte, sin perjuicio de la facultad de suspensión prevista en la cláusula anterior.

Decimosexta Consecuencias aplicables en caso de incumplimiento

La parte incumplidora no tendrá que indemnizar económicamente a la otra parte por incumplimiento de las obligaciones del convenio o por su extinción, sin perjuicio de su responsabilidad frente a terceros. No obstante, el incumplimiento de las obligaciones y compromisos asumidos por parte de alguno de los firmantes podrá dar lugar a la resolución del presente convenio, de acuerdo a lo establecido en la cláusula decimoquinta.

Decimoséptima Financiación

Como consecuencia del cumplimiento y desarrollo de los compromisos adquiridos en el presente convenio, no se asumen obligaciones ni compromisos económicos de naturaleza ordinaria ni extraordinaria por ninguna de las partes.

Decimoctava Régimen de modificación

Para la modificación del presente convenio se estará a lo dispuesto en el artículo 49.g) de la LRJSP.

Decimonovena Naturaleza administrativa y jurisdicción competente

El presente Convenio tiene naturaleza administrativa y se rige por lo dispuesto en la LRJSP. Las partes se comprometen a colaborar en todo lo que les sea de aplicación para la efectiva adecuación del presente convenio a los trámites previstos en dicha ley, en especial, lo relativo al artículo 50 sobre trámites preceptivos para la suscripción de convenios y sus efectos.

Por otro lado, y sin perjuicio de lo establecido en la cláusula decimotercera, las controversias no resueltas por la Comisión Mixta de Coordinación y Seguimiento, que se pudieran suscitar durante la vigencia del mismo, serán sometidas a la Jurisdicción Contencioso-administrativa, de conformidad con la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa.