La Agencia Española de Protección de Datos (AEPD) ha declarado al Ayuntamiento de Madrid responsable de la filtración a varios medios de comunicación datos personales de Alberto González Amador, pareja de la presidenta de la Comunidad de Madrid, Isabel Díaz Ayuso.

Según la resolución del expediente, firmada por el presidente de la AEPD, Lorenzo Cotino Hueso, el consistorio que dirige José Luis Martínez-Almeida ha vulnerado tres artículos del Reglamento General de Protección de Datos al permitir que el nombre completo, el DNI, la dirección postal, el número de teléfono, el correo electrónico personal y el contenido íntegro de los expedientes urbanísticos de la vivienda de González Amador en el barrio de Chamberí llegaran a manos de periodistas.

La resolución, adelantada por eldiario.es y consultada por OKDIARIO, ordena al Ayuntamiento adoptar una serie de medidas correctoras en un plazo máximo de seis meses desde que sea firme y ejecutiva.

Entre ellas, la anonimización de todos los datos personales contenidos en su aplicación pública de consulta urbanística, la documentación de los procedimientos de alta y baja de usuarios con acceso a bases de datos sensibles y la revisión periódica de los permisos de acceso a sus sistemas internos.

Al tratarse de una administración pública, la sanción no lleva aparejada multa económica.

En el caso de empresas privadas, el Reglamento europeo contempla penalizaciones de hasta 20 millones de euros. Para el Ayuntamiento, la resolución adopta la forma de apercibimiento formal con obligación de subsanar las deficiencias.

La información que llegó a los medios tenía una amplitud pasmosa.

Según recoge la resolución de la AEPD, González Amador denunció que entre los datos difundidos figuraban su «nombre completo, DNI, dirección postal, número de teléfono y dirección de correo personal», así como «la existencia, el contenido íntegro y todos los detalles de los expedientes urbanísticos vinculados a su vivienda habitual» y «toda la información relativa a dicha vivienda habitual: distribución de la misma, superficie, ubicación de las entradas y salidas al exterior o referencia catastral». También se filtraron datos económicos, como el presupuesto y el coste de la reforma.

La AEPD ha determinado a lo largo de 56 páginas que esa información llegó a los periodistas por dos vías distintas. La primera, una aplicación de acceso público para la consulta de licencias y expedientes urbanísticos, «abierta a consulta por cualquier persona, sea interesado o no en el procedimiento, para conocer las licencias urbanísticas y declaraciones responsables que se hayan tramitado en cualquier domicilio del municipio de Madrid, sin ningún tipo de restricción».

La segunda, una herramienta de gestión interna «de uso exclusivo para el personal municipal autorizado», a la que accedió de forma indebida una persona que conservaba permisos de acceso vinculados a un cargo que ya no ostentaba.

Sobre esta segunda vía, la resolución acredita que el día en que varios medios publicaron información procedente de la aplicación interna se produjeron hasta 13 accesos indebidos a los expedientes de González Amador entre las 08:18 horas y las 15:13 horas.

Una usuaria concreta había realizado hasta 56 de los 122 accesos totales registrados al expediente, «en horarios y días de la semana no habituales, empleando permisos de acceso derivados de su condición previa» en el distrito donde se ubica la vivienda «y que no se le habían retirado».

El Ayuntamiento intentó eludir su responsabilidad alegando que no tenía «constancia de la existencia de una violación de seguridad de los datos personales en relación con los sistemas de información gestionados por IAM», la empresa informática municipal.

La AEPD no ha aceptado ese argumento y ha declarado probadas tres infracciones: del artículo que exige garantizar la integridad y confidencialidad de los datos; del artículo sobre seguridad del tratamiento; y del artículo relativo a la privacidad desde el diseño.