4.5.3. Seguridad de la Información. Control de accesos

La Agencia Tributaria tiene establecida una Política de Seguridad de la Información aprobada por Resolución de la Presidencia de la Agencia Tributaria, de 8 de noviembre de 2012. La Política de Seguridad de la Información es el instrumento en que se apoya la Agencia Tributaria para alcanzar sus objetivos utilizando de forma segura los sistemas de información y las comunicaciones.

La Agencia Tributaria ha realizado en 2017 la adaptación al Real Decreto 951/2015, que modifica el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica, y ha puesto en marcha la adecuación de sus sistemas de información al Reglamento General Europeo de Protección de Datos (Reglamento (UE) 2016/679), de aplicación a partir del 25 de mayo de 2018.

En el marco establecido por la Política de Seguridad de la Información, la Agencia Tributaria cuenta con mecanismos de protección y seguridad de la información, entre los que destacan la gestión de usuarios y autorizaciones y el control de accesos cuya finalidad es eminentemente preventiva.

El sistema de control, impulsado y supervisado por el Servicio de Auditoría Interna, se basa en el registro de los accesos. Cada vez que un usuario accede al sistema de información corporativo para una consulta o para una actividad de gestión, debe declarar el motivo del acceso. Cualquier acceso a información tributaria de carácter personal queda registrado junto con un conjunto de datos técnicos y administrativos que permiten conocer su contexto y facilitar su posterior control.

Se seleccionan y auditan los accesos de mayor riesgo, conforme al análisis de riesgo y a las pautas de la Comisión de Seguridad y Control de Informática Tributaria. Si el controlador considera que se trata de un acceso indebido grave o muy grave, puede iniciarse, en su caso, un expediente disciplinario. Actualmente, los usuarios con algún acceso disconforme han descendido a uno por cada 395 usuarios auditados. Una vez renovada en 2015 la plataforma de tratamiento de los accesos auditados, se ha implantado en 2017 un nuevo proceso de selección de accesos con criterios aleatorios y de riesgo que sustituye al anterior.

En 2017 se ha requerido justificación de algún acceso al 81,97 por ciento del total de usuarios de la Agencia Tributaria. Como consecuencia de este control de accesos, se han incoado 22 expedientes disciplinarios.

Por último, las cesiones de información de la Agencia Tributaria a organismos públicos, amparadas por el artículo 95 de la LGT, disponen de medidas de seguridad y control equivalentes a las anteriores.