El Ayuntamiento de Almeida, condenado por filtrar el DNI, el teléfono y el domicilio del novio de Ayuso a los medios

La Agencia Española de Protección de Datos (AEPD) ha declarado al Ayuntamiento de Madrid responsable de la filtración a varios medios de comunicación datos personales de Alberto González Amador, pareja de la presidenta de la Comunidad de Madrid, Isabel Díaz Ayuso.

Según la resolución del expediente, firmada por el presidente de la AEPD, Lorenzo Cotino Hueso, el consistorio que dirige José Luis Martínez-Almeida ha vulnerado tres artículos del Reglamento General de Protección de Datos al permitir que el nombre completo, el DNI, la dirección postal, el número de teléfono, el correo electrónico personal y el contenido íntegro de los expedientes urbanísticos de la vivienda de González Amador en el barrio de Chamberí llegaran a manos de periodistas.

La resolución, adelantada por eldiario.es y consultada por OKDIARIO, ordena al Ayuntamiento adoptar una serie de medidas correctoras en un plazo máximo de seis meses desde que sea firme y ejecutiva.

Entre ellas, la anonimización de todos los datos personales contenidos en su aplicación pública de consulta urbanística, la documentación de los procedimientos de alta y baja de usuarios con acceso a bases de datos sensibles y la revisión periódica de los permisos de acceso a sus sistemas internos.

Al tratarse de una administración pública, la sanción no lleva aparejada multa económica. En el caso de empresas privadas, el Reglamento europeo contempla penalizaciones de hasta 20 millones de euros. Para el Ayuntamiento, la resolución adopta la forma de apercibimiento formal con obligación de subsanar las deficiencias.

Datos personales filtrados

La información que llegó a los medios tenía una amplitud pasmosa. Según recoge la resolución de la AEPD, González Amador denunció que entre los datos difundidos figuraban su «nombre completo, DNI, dirección postal, número de teléfono y dirección de correo personal», así como «la existencia, el contenido íntegro y todos los detalles de los expedientes urbanísticos vinculados a su vivienda habitual» y «toda la información relativa a dicha vivienda habitual: distribución de la misma, superficie, ubicación de las entradas y salidas al exterior o referencia catastral». También se filtraron datos económicos, como el presupuesto y el coste de la reforma.

La AEPD ha determinado a lo largo de 56 páginas que esa información llegó a los periodistas por dos vías distintas. La primera, una aplicación de acceso público para la consulta de licencias y expedientes urbanísticos, «abierta a consulta por cualquier persona, sea interesado o no en el procedimiento, para conocer las licencias urbanísticas y declaraciones responsables que se hayan tramitado en cualquier domicilio del municipio de Madrid, sin ningún tipo de restricción».

La segunda, una herramienta de gestión interna «de uso exclusivo para el personal municipal autorizado», a la que accedió de forma indebida una persona que conservaba permisos de acceso vinculados a un cargo que ya no ostentaba.

Sobre esta segunda vía, la resolución acredita que el día en que varios medios publicaron información procedente de la aplicación interna se produjeron hasta 13 accesos indebidos a los expedientes de González Amador entre las 08:18 horas y las 15:13 horas.

Una usuaria concreta había realizado hasta 56 de los 122 accesos totales registrados al expediente, «en horarios y días de la semana no habituales, empleando permisos de acceso derivados de su condición previa» en el distrito donde se ubica la vivienda «y que no se le habían retirado».

El Ayuntamiento intentó eludir su responsabilidad alegando que no tenía «constancia de la existencia de una violación de seguridad de los datos personales en relación con los sistemas de información gestionados por IAM», la empresa informática municipal.

La AEPD no ha aceptado ese argumento y ha declarado probadas tres infracciones: del artículo que exige garantizar la integridad y confidencialidad de los datos; del artículo sobre seguridad del tratamiento; y del artículo relativo a la privacidad desde el diseño.

Advertencias ignoradas

Lo que agrava especialmente la posición del Ayuntamiento es que sus propios servicios internos habían alertado del problema en reiteradas ocasiones. Mediante informes emitidos el 29 de abril de 2020, el 15 de marzo de 2021 y el 15 de abril de 2024, la Oficina de Protección de Datos del propio consistorio había advertido de que la aplicación pública incumplía la normativa y había concluido taxativamente que contenía «un volumen de información elevado que no cumple con la normativa de protección de datos» y que constituía «una brecha de seguridad que afecta a un número indefinido de personas».

Un informe de auditoría fechado en noviembre de 2015, casi una década antes de los hechos, ya había detectado que «las bajas de usuarios no se encuentran actualizadas» y recomendado elaborar un procedimiento de control de accesos. Ninguna de esas alertas fue atendida a tiempo.

La reclamación ante la AEPD fue presentada por González Amador el 11 de junio de 2024. El procedimiento sancionador formal arrancó el 12 de diciembre de ese mismo año, y la propuesta de resolución se formuló el 29 de agosto de 2025. El Ayuntamiento presentó alegaciones en las que reconocía que los plazos para implementar las medidas correctoras eran «material y técnicamente imposibles», si bien la AEPD adaptó finalmente los plazos a la complejidad técnica del proceso.

El piso de Chamberí, adquirido por González Amador en julio de 2022 por 850.000 euros —350.000 de entrada y 500.000 mediante hipoteca—, se ha convertido en terreno fértil para una sucesión de litigios que el empresario ha resuelto, hasta ahora, a su favor: primero un juzgado contencioso-administrativo avaló en abril de 2025 la legalidad de las obras; ahora la AEPD condena al Ayuntamiento por cómo gestionó la información de esas mismas obras. El consistorio, que tenía en su mano los datos, no supo guardarlos.