1/56 Expediente N.º: EXP202408837 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 11 de junio de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a AYUNTAMIENTO DE MADRID con NIF P2807900B (en adelante, Ayuntamiento o parte reclamada). A través de la mencionada reclamación, los hechos que se pone en conocimiento de esta autoridad son los siguientes: La parte reclamante, actuando mediante representante, denuncia que el Ayuntamiento reclamado ha revelado, transmitido y difundido a terceros datos personales que le conciernen. Concretamente, la reclamación señala que se ha revelado el nombre completo, DNI, dirección postal, número de teléfono y dirección de correo personal del reclamante; la existencia, el contenido íntegro y todos los detalles de los expedientes urbanísticos vinculados a su vivienda habitual, así como toda la información relativa a dicha vivienda habitual- distribución de la misma, superficie, ubicación de las entradas y salidas al exterior o referencia catastral - y datos económico-financierospresupuesto y coste de la obra, importes a pagar en concepto de impuestos y tasas, etc.-del reclamante. La reclamación también destaca la revelación, transmisión y difusión a terceros (medios de comunicación) de los soportes físicos y digitales que contendrían esos datos personales y expresarían toda la anterior información, esto es: - Expedientes urbanísticos vinculados a la vivienda habitual del reclamante Declaraciones responsables presentadas por el reclamante ante el Ayuntamiento, Presupuestos por los trabajos de reforma, Autoliquidaciones de impuestos y liquidaciones del pago de tasas, Memoria descriptiva de los trabajos de acondicionamiento realizados en la vivienda. Planos de situación y del estado actual de la vivienda. Informes técnicos de la vivienda. Resoluciones dictadas en el marco de los expedientes urbanísticos difundidos Junto a la reclamación se aporta la siguiente documentación: - Documento
(122)en ***APLICACIÓN.2 al expediente analizado, de los mismos, 56, es decir un 46%, se realizan por parte de C.C.C., en horarios y días de la semana no habituales, empleando permisos de acceso derivados de su condición previa de (…) ***DISTRITO.1 y que no se le habían retirado. Dichos permisos fueron retirados efectivamente el ***FECHA.12.. Se analiza la tabla proporcionada con el detalle de los 122 accesos en ***APLICACIÓN.2, destacando que todos los usuarios que acceden a los expedientes afectados, entre (…) y el (…), parecen tener una vinculación con el entorno ***DISTRITO.1 (...), a excepción de C.C.C., que dispone del rol (…). De otro lado, se realiza diligencia de la información publicada en el BOAM con el nombramiento de (…). El informe continúa con las siguientes afirmaciones: Aunque en los registros de acceso al sistema de información ***APLICACIÓN.2 no queda traza del momento en el que se realizan las bajas de autorización de acceso, con fecha ***FECHA.12 se ha retirado el acceso para los registros responsabilidad del ***DISTRITO.1 a (…) - C.C.C.. IAM no tiene constancia de que se hayan producido accesos ilegítimos a los sistemas de información responsabilidad de IAM empleados para la gestión de esta actividad de tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/56 Se están realizando (…). Este proceso automatizado, se irá mejorando progresivamente y tomará en consideración las conclusiones del análisis de documentos, datos personales e intereses públicos concernidos - transparencia, normativa urbanística, administrativa, etc. El documento ‘ORDEN DE LEGALIZACIÓN DE OBRAS’ aludido en la denuncia, no ha estado disponible en ningún momento a través de (…). La fecha de firma de la última versión del documento es el (…). Una versión preliminar del documento fue eliminada durante la tramitación en ***APLICACIÓN.2 el (…) y sustituida por la última versión. El informe incluye una captura de pantalla con el Registro de Actividades de Tratamiento mostrando la información de la actividad afectada por el incidente (Gestión Urbanística del ***DISTRITO.1). El informe también incluye una tabla que muestra el detalle de todos los documentos que existían vinculados a cada uno de los dos expedientes afectados, con una columna que indica si eran o no visibles por cada una de los aplicativos anteriormente mencionados. Esta tabla muestra que en la aplicación ***APLICACIÓN.1 solo estuvo disponible el documento “RESOLUCIÓN DECLARACIÓN RESPONSABLE” del expediente ***EXPEDIENTE.1, visible hasta el momento que se desconectó este aplicativo, en fecha ***FECHA.11. El informe IAM continúa con las siguientes afirmaciones de relevancia: En relación con las solicitudes de acceso a ***APLICACIÓN.2, el perfil de acceso de los usuarios puede ser de consulta o de gestión. La autorización de acceso a ***APLICACIÓN.2 conlleva, además la asignación a un entorno de trabajo y una dependencia de forma que el usuario autorizado tiene limitado el acceso para la consulta o gestión definido por el entorno y la dependencia; por ejemplo, un usuario autorizado al entorno del Distrito de Centro no puede acceder desde ***APLICACIÓN.2 al entorno de otro distrito. Además, en el caso de perfil de gestión, sólo puede gestionar los expedientes asignados a la dependencia a la que se le ha autorizado. En la mayoría de los entornos, la consulta de los expedientes puede hacerse a todos los expedientes del entorno autorizado con independencia de la dependencia en la que esté autorizado; es decir, el usuario puede consultar los expedientes de otras dependencias de su entorno, aunque sólo podrá gestionarlos si el expediente está en su dependencia. Las altas, bajas y modificaciones se tramitan desde previa petición, por un (…) que debe incluir los siguientes datos: • (…). • (…). • (…). • (…). Al tramitar la petición se realizan varias comprobaciones: • (…). • (…). Tras realizar el alta, se remite correo al solicitante y al responsable de la dependencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/56 Al acceder al formulario de solicitud de alta se recuerda: (…)”. Para mayor seguridad con cierta periodicidad se realizan barridos de usuarios dados de alta para darlos de baja. “En relación con el proceso de autorización a ***ACCESO.1, las solicitudes de alta en este sistema se dirigen por correo electrónico a ***EMAIL.1. Esta petición debe realizarse enviando correo electrónico desde la cuenta genérica de la dependencia responsable (SGT/Coordinación/Gerencia). La petición debe incluir una motivación específica relacionada con las funciones concretas a desempeñar e indicando el tipo de expedientes que deben ser objeto de consulta. Al comunicar el alta, informamos que, por motivos de seguridad y protección de datos, el uso de esta aplicación debe estar debidamente justificado e indicamos que, en caso de cambio de puesto, deben comunicarlo para tramitar la baja en esta funcionalidad. El correo electrónico que se remite al solicitante y al responsable de la dependencia una vez que se autoriza es: “Se ha procedido a dar autorización para la consulta general de expedientes a NOMBRE APELLIDO1 APELLIDO2. Le informamos que esta consulta permite el acceso a los procedimientos tramitados por los distintos servicios del Ayuntamiento de Madrid (áreas de gobierno, distritos y organismos autónomos). Por motivos de seguridad y protección de datos, es preciso que su uso esté debidamente justificado. En el caso de cambio de puesto o finalidad de la relación contractual, deberán comunicarlo a este servicio para tramitar la baja en esta funcionalidad.” Cuando se hace una petición de alta sin reunir los requisitos, enviamos un correo informativo con el siguiente contenido: “La consulta general de expedientes permite el acceso a los procedimientos tramitados por distintos servicios del Ayuntamiento de Madrid (áreas de gobierno, distritos y organismos autónomos) en diversas aplicaciones (entre ellas ***APLICACIÓN.2). Por motivos de seguridad y protección de datos personales, el acceso a la Consulta General de Expedientes debe ser muy restrictivo y la solicitud de alta de nuevos usuarios debe incluir una motivación específica relacionada con las funciones concretas a desempeñar e indicando el tipo de expedientes que deben ser objeto de consulta. No siendo válido con una solicitud cuya justificación sea ‘para el ejercicio de sus funciones’. Esta petición debe realizarse enviando correo electrónico desde la cuenta genérica de la dependencia responsable (SGT/Coordinación/Gerencia).” En relación con el deber de confidencialidad y tratamiento de datos personales afirman: “Están reguladas con carácter general en la Resolución (…), en su condición de (…) por la que se aprueba la Instrucción 1/2019 por la que se establecen las funciones y obligaciones que con carácter general afectan al personal del Ayuntamiento de Madrid (BOAM número 8398 de 17/05/2019)”. Teniendo en cuenta la información anterior, se realiza requerimiento de información dirigido al Ayuntamiento de Madrid, en fecha 18 de octubre de 2024, al objeto de: - Solicitar nuevamente acreditación de los Análisis de Riesgos para los derechos y libertades de las actividades afectadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/56 - - Investigar los procedimientos implantados para la gestión de brechas de seguridad. Investigar la solicitud de alta en ***APLICACIÓN.2 y ***APLICACIÓN.1 de la persona que realizó los accesos indebidos. Investigar el puesto de trabajo que ocupaba y la adecuación de permisos y roles que tenía asignado en estos aplicativos. Investigar motivo por el que no se había tramitado la baja, en su caso. Investigar los documentos a los que (…) llegó a acceder a través de ***APLICACIÓN.2, el ***FECHA.9. Investigar con más detalle el procedimiento implantado para gestionar los usuarios en ***APLICACIÓN.2, así como las medidas desplegadas para ponerlo en conocimiento de las personas afectadas. Investigar (…), así como el motivo por el que no se detectó el usuario (…) en estos barridos. Investigar el estado de implementación de la medida implantada en (…). En fecha 4 de noviembre de 2024 y registros de entrada REGAGE24e00083797595 y REGAGE24e00083797755, se recibe respuesta a requerimiento anterior por parte de Ayuntamiento de Madrid, de su análisis se extrae la siguiente información relevante: - Aportan documento con título “ANÁLISIS DE RIESGOS DE LOS DERECHOS Y LIBERTADES DE LA ACTIVIDAD DE TRATAMIENTO DE DATOS AFECTADA POR LA BRECHA DE SEGURIDAD EXAMINADA EN EL EXPEDIENTE 202408837 DE LA AEPD”, sin fecha de creación ni firma. Incluye apartado con el título “Identificación de los Riesgos” en el que se identifican (únicamente) tres riesgos: “Confidencialidad”, “Integridad” y “Disponibilidad”. El documento también incluye la siguiente afirmación: “Se han puesto en marcha, desde la verificación de la posible filtración de datos, dos actuaciones dirigidas a su corrección los días (…) ante la información publicada. (…)”. - En respuesta a nuestra solicitud para que acrediten el procedimiento implantado para gestionar las brechas de seguridad, afirman: “El procedimiento para la atención de brechas de seguridad está disponible en el espacio de la Oficina de Protección de Datos de la intranet corporativa del Ayuntamiento de Madrid. Instrucción 1/2021 por la que se establecen criterios para el registro, gestión y notificación de las brechas de seguridad que afecten a los datos de carácter personal en el Ayuntamiento de Madrid”. - En respuesta para que se acredite la solicitud de Alta para el acceso en ***APLICACIÓN.2 de (…) C.C.C., se proporciona la siguiente afirmación en el informe redactado por IAM: “No consta en los archivos de la Subdirección General de Administración Electrónica la documentación de solicitud de alta en ***APLICACIÓN.2 de ***PUESTO.1. Esta Subdirección, asumió la gestión de usuarios de ***APLICACIÓN.2 (altas, bajas y modificaciones) el 1 de marzo de 2018”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/56 “El ***FECHA.12, cuando se detectó el acceso a estos expedientes y se dio de baja el permiso en ***APLICACIÓN.2, se comprobó que C.C.C. se encontraba dada de alta en ***APLICACIÓN.2 en los entornos (…) (sin dependencia asociada) y (…)”. - En relación con la solicitud de Alta de acceso en la aplicación ***ACCESO.1, se afirma: “La Subdirección General de Relaciones con el Pleno remitió correo electrónico con fecha 16/10/2019, solicitando el alta en la (…). Con esa misma fecha, la Subdirección General de Administración Digital tramitó el permiso para C.C.C. para el acceso a ***ACCESO.3, consulta general específica para (…) del Ayuntamiento de Madrid”. Se acredita captura de pantalla de los correos intercambiados. - En relación con el puesto de trabajo que ocupaba (…) en fechas comprendidas entre (…) de 2024, por parte de IAM se afirma: “Corresponde a la Subdirección General de Relaciones con el Pleno informar sobre los cargos que ocupaba esta persona. En cuanto a los entornos y dependencias a las que debía tener acceso en ***APLICACIÓN.2, se informa que, (…).” - En relación con los documentos del expediente a los que pudo acceder (…) en ***APLICACIÓN.2, se afirma: “IAM no dispone del detalle de los accesos realizados a los documentos que forman parte de un expediente. Una cuenta con acceso a un expediente en el Sistema de Información ***APLICACIÓN.2 puede consultar todos los documentos asociados a dicho expediente.” - En relación con los procedimientos para gestionar los usuarios de ***APLICACIÓN.2, aportan captura de pantalla que acredita el formulario del intranet utilizado para realizar las solicitudes de nuevas Altas, que según manifiestan, son posteriormente tramitadas por la Subdirección General de Administración Electrónica, realizándose las siguientes comprobaciones: “(…)”. En relación con la tramitación de las bajas de usuarios en ***APLICACIÓN.2, afirman: “Para comunicar las bajas en ***APLICACIÓN.2, al comienzo de este mismo formulario ya se indica que las dependencias responsables deberán comunicar las bajas en ***APLICACIÓN.2 a través de un correo dirigido a ***EMAIL.1 indicando nombre y apellidos y código de ayre”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/56 “A raíz del caso que ha tenido lugar, IAM ha incorporado modificaciones en la administración de autorizaciones para tener trazabilidad de las bajas que se produzcan en adelante. (…)”. - En relación con el motivo por el que no se detectó el usuario de (…) en los (…), afirman: “Con fecha ***FECHA.12, al detectar los accesos inadecuados, de acuerdo con IAM y con el objetivo de evitar nuevos accesos, la Subdirección General de Administración Digital tramitó la baja del permiso de acceso al Sistema de Información ***APLICACIÓN.2 de C.C.C.. Hasta esa fecha, (…). - En relación con las medidas correctoras implantadas para (…) (aplicación de acceso público para cualquier persona), se afirma: 1) (…). 2) (…). 3) (…). 4) (…). - En respuesta para que acrediten los documentos que existían publicados en ***APLICACIÓN.1 para cada uno de los expedientes afectados, se afirma: “Solamente existían dos documentos publicados hasta esa fecha. Ambos eran accesibles desde el Sistema de Información ***APLICACIÓN.1 y ambos pertenecían al expediente ***EXPEDIENTE.1: -RESOLUCIÓN DECLARACIÓN RESPONSABLE_09_12_2022. -RESOLUCIÓN DECLARACIÓN RESPONSABLE_26_10_2022.” Se acredita captura de pantalla de documentos anteriores - Adjuntan un nuevo informe redactado por la Coordinación del ***DISTRITO.1 incluyendo información sobre varios puntos solicitados en nuestro requerimiento, en concreto destacan las siguientes afirmaciones: “Sin perjuicio de lo indicado por parte de IAM en su informe adjunto, procede informar que revisados los archivos existentes en el ***DISTRITO.1 en los años 2018 y 2019 en que la persona indicada fue (…), no se ha localizado solicitud remitida a IAM de alta en ***APLICACIÓN.2. Indicar que en esas fechas las solicitudes de acceso se remitían a través de un correo electrónico adjuntando un formulario a una dirección específica de IAM (IAMPeticiones) desde donde se tramitaban.” “Consultados los archivos del ***DISTRITO.1 no consta petición de baja de la aplicación ***APLICACIÓN.2 realizada en 2019 (…), lo cual es coherente dado que no se tenía conocimiento de su alta al no haberse tramitado desde el Distrito.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/56 “En relación a los datos filtrados los días (…), se refieren a pasos del trámite del expediente de disciplina urbanística tramitado sin que se conozcan publicaciones con datos personales”. QUINTO: Con fecha 12 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 5.1.
- f)y del artículo 32 del RGPD, tipificadas en el artículo 83.5.
- a)y artículo 83.4.a), también del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, con fecha de entrada el 2 de enero de 2025, la parte reclamada presentó alegaciones mediante la remisión de tres informes diferenciados: 1. Alegaciones del ***DISTRITO.1 (coordinación del distrito) En cuanto la posible vulneración del artículo 5.1
- f)alegan que ***APLICACIÓN.1 es una aplicación dependiente de la Agencia de Actividades escapando al ámbito competencial y de control del distrito así como que no consta la solicitud de alta de C.C.C. en ***APLICACIÓN.2 o en el entorno del ***DISTRITO.1, lo que en aquel momento se realizaba a través de la remisión de un formulario a una dirección de correo (***EMAIL.1), ni tampoco ninguna solicitud de baja, lo cual es coherente dado que no se tenía, ni se podía tener conocimiento que la citada persona pudiera contar con esos accesos al no haberse tramitado alta alguna desde el Distrito. No obstante, desde el ***DISTRITO.1 se ha remitido solicitud de actuación por parte de la Inspección de Servicios que ha iniciado expediente de información reservada. 1. Alegaciones del centro de ciberseguridad del Ayuntamiento de Madrid (…) La determinación de la tipología de la información publicada en el sistema de información ***APLICACIÓN.1 no es competencia de IAM y la información personal pertinente publicada es conforme al marco normativo aprobado en el Ayuntamiento de Madrid. ***APLICACIÓN.1 ha funcionado conforme a estos requisitos, sin que haya constancia de mal funcionamiento o abuso de la aplicación. Como resultado de la reclamación presentada y con el objetivo de mejora en el cumplimiento de las obligaciones requeridas, se han realizado o están en proceso las siguientes actuaciones para la aplicación de medidas correctoras por parte de IAM: C/ Jorge Juan, 6 28001 – Madrid Proceso de anonimización del contenido completo de los expedientes en ***APLICACIÓN.1 con el objetivo de un restablecimiento temprano del servicio con las garantías debidas. Por limitaciones técnicas no es posible aplicar el proceso de forma exclusiva para los datos no pertinentes en tiempo y forma. Expurgación automatizada de los datos personales no pertinentes de forma progresiva cuando se haya concluido el proceso anterior. Modificación de ***APLICACIÓN.1 para la retirada de los datos personales no pertinentes con carácter previo a la publicación de los documentos. Proceso de anonimización del contenido completo de los documentos publicados hasta el ***FECHA.11. Por limitaciones técnicas no es www.aepd.es sedeaepd.gob.es 16/56 posible aplicar el proceso de forma exclusiva para los datos no pertinentes en tiempo y forma. Hasta el momento se han procesado más de 118.000 documentos. Restablecimiento de ***APLICACIÓN.1 cuando se haya procesado un volumen de documentos anonimizados suficiente para recuperar su utilidad pública. IAM no se considera competente para decidir sobre la pertinencia de la publicación de determinados datos personales a efectos de cumplimiento de las obligaciones del Ayuntamiento de Madrid en sus diferentes ámbitos regulatorios (…) En lo relativo a la asignación de perfiles para el acceso a sistemas internos señalan lo siguiente: Las altas y modificaciones de acceso en el sistema de información ***APLICACIÓN.2 se tramitan por la Subdirección General de Administración Digital previa petición comunicada. Esta Subdirección asumió la gestión de usuarios de ***APLICACIÓN.2 (altas, bajas y modificaciones) el 1 de marzo de 2018. (…) En el proceso de solicitud de acceso a ***APLICACIÓN.2, la persona solicitante acepta las responsabilidades derivadas del tratamiento de los datos personales (se aporta captura de pantalla en la que se muestra la información relativa al tratamiento de datos personales ofrecida) (…) Los requisitos funcionales de ***APLICACIÓN.2 conllevan que el control de acceso y su trazabilidad se realicen a nivel de expediente. IAM considera que este es el nivel de control adecuado una vez que los datos personales no pertinentes hayan sido anonimizados, lo que ocurrirá cuando finalicen los trabajos en curso. El sistema de información ***APLICACIÓN.2 ha funcionado conforme a estos requisitos, ejecutando las altas y bajas autorizadas por sus responsables, sin que haya constancia de mal funcionamiento o abuso de la aplicación, pero no dispone de registros históricos de las actividades realizadas. Se han realizado las modificaciones oportunas en los procesos de administración de autorizaciones de acceso a ***APLICACIÓN.2 para disponer de la trazabilidad tanto de las altas como de las bajas realizadas. Estas modificaciones se implantaron en producción el 22 de octubre de 2024. En el apartado denominado Seguridad del tratamiento, el informe señala lo siguiente: El control de acceso a la información del sistema de información ***APLICACIÓN.2 está definido conforme a las necesidades identificadas por la DIRECCIÓN GENERAL DE GESTIÓN URBANÍSTICA. El sistema de información ***APLICACIÓN.2 ha funcionado conforme a estos requisitos, sin que haya constancia de mal funcionamiento o abuso de la aplicación. IAM no se considera competente para decidir sobre la necesidad de acceso a cada expediente por parte del personal municipal. 1. Informe de la Agencia de Actividades (Gerencia) En fecha 10 de octubre de 2019, y dentro de los trabajos de definición funcional de la personalización de la Consulta General de Expedientes para acceso por los Ciudadanos desde la Sede Municipal, se elaboró un documento denominado “Sistema de Consulta de Expedientes de Licencias para Ciudadanos”. En este documento, la Agencia de Actividades junto con la S.G. de Administración Electrónica e IAM, determinó la información a mostrar en cada uno de los diferentes bloques que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/56 componen la consulta de expedientes. (…) se definieron de forma precisa los documentos a mostrar en la aplicación cuya publicación resultaba relevante y pertinente a los efectos del cumplimiento por parte del Ayuntamiento de Madrid de sus obligaciones de publicidad y transparencia en materia urbanística. De esta forma se determinó que con carácter general únicamente se mostrarían los siguientes documentos que forman parte del expediente: - Licencia Urbanística (volante). - Licencia de Funcionamiento (volante). - Planos. - Certificado de Conformidad. Los datos contenidos en dichos documentos, son los obtenidos dentro de la solicitud presentada por los interesados para la iniciación de un procedimiento de concesión de licencia o declaración responsable y su tratamiento por tanto tiene la base legítima al ser necesarios para el cumplimiento de una obligación legal aplicable al responsable del tratamiento y ser necesarios para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento (artículo 6.
- c)y
- e)del RGPD, en relación con el artículo 5.1.c),
- d)y
- f)y 62 del Real Decreto Legislativo 7/2015, de 30 de octubre, por el que se aprueba el texto refundido de la Ley de Suelo y Rehabilitación Urbana. Asimismo, recuerdan que Las normas sobre transparencia y buen gobierno pretenden dotar a la actividad administrativa de un control y un escrutinio por parte de ciudadanía que permitan neutralizar todo riesgo de uso desviado de potestades públicas. Esto implica garantizar la transparencia en los procesos de toma de decisiones y facilitar la evaluación de si las actuaciones administrativas fueron correctas y orientadas hacia los objetivos de la acción urbanística, o si, por el contrario, perseguían fines desviados. Como cualquier otro derecho fundamental, el derecho a la protección de datos no es absoluto y puede ceder ante razones de interés público. En este sentido, se permite que terceros con un interés legítimo accedan a ciertos datos personales, siempre que dichos datos sean relevantes y con ello se contribuya a la necesaria transparencia para ejercer la acción pública en defensa de la legalidad urbanística. En este marco, el artículo 25 del mencionado Real Decreto Legislativo 7/2015 determinaría que el responsable de los procedimientos administrativos debe permitir el acceso a los datos de los expedientes, limitado exclusivamente a un tratamiento necesario y proporcional en una sociedad democrática orientado a controlar el carácter regular o irregular de una determinada operación urbanística. Asimismo, el ejercicio de la acción pública contemplada en el artículo 62 del mismo texto legal implica el acceso a datos personales de terceros afectados, cuando estos estén incluidos en los documentos de los expedientes controvertidos, para salvaguardar la correcta función pública urbanística y permitir a los ciudadanos denunciar posibles favoritismos o actos de corrupción. Este reconocimiento de la acción pública en materia urbanística hace que se pueda reconocer un interés legítimo y directo a cualquier ciudadano por el mero hecho de que pretenda ejercer un control de la legalidad. No en vano, la Sentencia de la Sala de lo Contencioso del Tribunal Superior de Justicia de Madrid de 27 de enero de 2004, reafirma esta posibilidad al determinar: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/56 «… si la totalidad de los ciudadanos pueden verificar el cumplimiento de la legalidad urbanística, deben tener acceso a la totalidad de los acuerdos dictados en esta materia entre los que se encuentran los expedientes de licencia de obras para acondicionamiento de locales. En definitiva, el ejercicio de la acción pública precisa el conocimiento de las actuaciones […]». Por otra parte, el artículo 15 de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, establece un límite a la divulgación de datos personales. Sin embargo, este límite debe interpretarse de forma restrictiva, ya que se refiere específicamente a información sensible relacionada con ideología, afiliación sindical, religión, origen racial, salud, vida sexual y antecedentes penales. Estos datos no tienen relevancia en el ámbito urbanístico y son ajenos a los datos contenidos en los documentos obrantes en el "Sistema de Consulta de Expedientes de Licencias para Ciudadanos". De acuerdo con esto, se consideró que el acceso a estos datos contenidos en los expedientes urbanísticos vinculados a los inmuebles en que se realizan obras o se desarrollan actividades; esto es, expedientes de declaraciones responsables o de licencias presentadas ante el Ayuntamiento, con la identificación del emplazamiento del inmueble objeto de la actuación urbanística; la descripción técnica de esta, el solicitante, etc., constituían una información urbanística pública pertinente y necesaria en cuanto antecedentes urbanísticos relevantes para ulteriores actuaciones en la misma ubicación y el eventual ejercicio de la acción pública urbanística en el marco de las obligaciones de transparencia de esta Administración. SÉPTIMO: Con fecha 12 de marzo de 2025 se acordó la práctica de las siguientes pruebas: - Requerir al Ayuntamiento de Madrid copia de cualquier informe elaborado por o comunicación mantenida con la Oficina de Protección de Datos del Ayuntamiento de Madrid en relación con la publicación en abierto, en ***APLICACIÓN.1, de los datos de carácter personal de los expedientes contenidos en la documentación almacenada en dicha aplicación. - Cualquier otro informe o comunicación elaborado por la Oficina de Protección de Datos del Ayuntamiento de Madrid con relación a la gestión de los datos personales de carácter personal contenidos en los aplicativos ***APLICACIÓN.1 y ***APLICACIÓN.2. OCTAVO: El 27 de marzo de 2025 tuvo entrada respuesta a la prueba practicada en la que la parte reclamada. NOVENO: Con fecha 29 de agosto de 2025 se formuló propuesta de resolución, en el siguiente sentido Que por la Presidencia de la Agencia Española de Protección de Datos se declare que el AYUNTAMIENTO DE MADRID, con NIF P2807900B, ha infringido lo dispuesto en los siguientes artículos del RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/56 - artículo 5.1.f), infracción tipificada en el artículo 83.5.
- a)del RGPD artículo 5.1 f), infracción tipificada en el artículo 83.5.
- a)del RGPD artículo 32, infracción tipificada en el artículo 83.4.
- a)del RGPD artículo 25 infracción tipificada en el artículo 83.4.
- a)del RGPD Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a AYUNTAMIENTO DE MADRID, con NIF P2807900B, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo máximo de tres meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, acredite ante esta Agencia la adopción de las siguientes medidas: - - - Que se ha procedido a la anonimización de todos los datos de carácter personal contenidos en la aplicación ***APLICACIÓN.1, abierta al público. Que los procedimientos de alta y baja de los usuarios de las aplicaciones que contienen datos de carácter personal queden debidamente documentados, garantizándose la trazabilidad de los procedimientos y la conservación de histórico de permisos. La adopción de procedimientos para la revisión periódica de los usuarios de aplicaciones que contengan datos de carácter personal que no sólo tengan en cuenta la referencia del último acceso, sino también cambios en el organigrama de personal del Ayuntamiento o en los miembros de la Corporación Municipal. La adopción de medidas que garanticen que los usuarios de aplicaciones que contengan datos de carácter personal tengan acceso a los entornos estrictamente necesarios para el desempeño de sus funciones. DÉCIMO: Notificada la propuesta de resolución conforme a lo dispuesto en la LPACAP, con fecha 16 de septiembre de 2025 tiene entrada escrito de alegaciones- del IAM- en el que, en síntesis, se describen las acciones en curso para adecuarse a las medidas correctivas indicadas en la propuesta de resolución, pero se concluye que los plazos indicados en la misma son material y técnicamente imposibles. En apoyo de lo señalado, informan de lo siguiente: (…)En relación a la implantación de herramientas que faciliten la revisión periódica de los permisos en aplicaciones con datos de carácter personal, que no sólo tengan en cuenta la referencia del último acceso, sino también cambios en el organigrama de personal del Ayuntamiento o en los miembros de la Corporación Municipal, IAM ha trasladado en enero de 2025 esta responsabilidad, junto con toda la gestión de identidades corporativa, a la SG Centro de Ciberseguridad Ayuntamiento de Madrid, reforzando este proyecto con una importante dedicación en recursos humanos y económicos (más de un 1.000.000€ anualmente), para la evolución del gobierno de las identidades del Ayuntamiento, que entre otras prestaciones, automatizará los procesos de asignación de permisos en las aplicaciones corporativas, incluyendo aquellos vinculados a las modificaciones en el organigrama del personal municipal. Los plazos mínimos exigidos en la normativa de contratación pública condicionan las fechas de desarrollo de dicho proyecto y, dado que el volumen de identidades y sistemas implicados es muy elevado, se estima que la planificación de implantación de las automatizaciones se extienda durante varios años. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/56 Indican que, debido al volumen, la naturaleza de las herramientas municipales y la participación de múltiples responsables y gestores, no se podrá garantizar la adecuación de todos los permisos en todas las aplicaciones en todo momento El escrito de alegaciones informa también sobre el estado de las acciones que el IAM está realizando para contribuir al cumplimiento de las medidas correctivas propuestas Medida 1: Anonimización de los datos de ***APLICACIÓN.1: (…) se ha ejecutado un proceso intensivo para anonimizar completamente los más de 250.000 expedientes disponibles en ***APLICACIÓN.1, que comprendían casi 700.000 documentos, lo que supone una cobertura superior al 99%. Está previsto que la publicación de estos documentos se realice en octubre de 2025, no antes de que se hayan anonimizado el 100%.(…) Gracias a los desarrollos e infraestructuras implementadas, los nuevos documentos generados en la tramitación se anonimizan y publican de forma dinámica. Afirman que se seguirá trabajando para avanzar en el nivel de información y transparencia deseado, salvaguardando los datos personales en su medida proporcional. Medida 2: Documentación de los procedimientos de alta y baja de usuarios en las aplicaciones; trazabilidad y conservación de histórico de los permisos. (…) Con relación a (…) se ha hecho una actualización tecnológica, desarrollando una nueva versión en ANGULAR que se instaló en noviembre de 2024, sustituyendo a la versión anterior que se había quedado obsoleta. Entre las mejoras incluidas en esta nueva versión, se incluye la utilización de la gestión de autorizaciones corporativa de SEGAE (Sistema de gestión, autenticación, autorización, seguridad y auditoría de permisos en aplicaciones municipales) para la administración de las autorizaciones de los diferentes roles contemplados en la aplicación. Señalan que a las aplicaciones corporativas del Ayuntamiento se les está dotando de trazabilidad para almacenar un histórico de las modificaciones de acceso. Así, por ejemplo, actualmente la aplicación ***APLICACIÓN.2 dispone de trazabilidad en base de datos tanto de las altas como de las bajas realizadas, y se puede hacer una extracción de listados con trazabilidad de permisos durante un periodo determinado. Medida 3: procedimientos para la revisión periódica de los usuarios de aplicaciones que tengan en cuenta los cambios en el organigrama de personal del Ayuntamiento o en los miembros de la Corporación Municipal. La responsabilidad de mantener actualizada la lista de permisos de acceso a la información en una aplicación corporativa corresponde a quién sea responsable de la unidad competente. Con carácter general IAM pone a disposición de estas unidades una serie de herramientas que facilitan estos procedimientos de revisión, integrados con el sistema único de identificación corporativa, permitiendo obtener listados ad hoc que liguen las listas de permisos de acceso activos a las aplicaciones corporativas, con el organigrama municipal. (…) IAM está inmerso en la ejecución de un ambicioso proyecto para la gestión global de las identidades corporativas usando integración automática con eventos de gestión de personal en las distintas unidades de Recursos Humanos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/56 Medida 4: garantizar que los usuarios de aplicaciones tengan acceso a los entornos estrictamente necesarios para el desempeño de sus funciones: La responsabilidad de definir los entornos de acceso a la información en una aplicación corporativa corresponde a quién sea responsable de la unidad competente. Con carácter general todas las aplicaciones de IAM están diseñadas para soportar una autenticación de acceso basada en roles y grupos, y se realizan auditorías para comprobar la eficacia de dichos controles. De este modo, las aplicaciones permiten definir y gestionar entornos, en función de lo solicitado por las unidades responsables. Así, por ejemplo, la aplicación ***APLICACIÓN.2 permite tener entornos asociados a distritos que hacen, por ejemplo, que una persona con permisos de acceso a la información del distrito de Chamartín sólo pueda acceder a los expedientes asociados a dicho distrito. El proyecto de gestión global de las identidades corporativas, actualmente en desarrollo por IAM y ya referido anteriormente, contemplará entre sus funcionalidades, la gestión de acceso a los entornos necesarios … De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El Ayuntamiento de Madrid cuenta con dos aplicaciones que contienen información sobre los expedientes de naturaleza urbanística tramitados o en tramitación: el sistema denominado (…). SEGUNDO: ***APLICACIÓN.1, que permite una consulta general centralizada de expedientes, contiene información sobre las licencias urbanísticas y declaraciones responsables que se hayan tramitado en cualquier domicilio del municipio de Madrid y, a su vez, se divide en: ***APLICACIÓN.1: permite la consulta libre por cualquier persona, sin existir restricciones al acceso ***ACCESO.2, para usuarios de ***APLICACIÓN.2 (también denominado interno) y ***ACCESO.3, para el acceso por parte de (…) del Ayuntamiento de Madrid. TERCERO: ***APLICACIÓN.2 (Gestión y tramitación de expedientes administrativos), es una aplicación interna de gestión de expedientes de uso exclusivo para el personal municipal autorizado, que debe contar con un usuario interno asignado. El perfil de acceso de los usuarios puede ser de consulta o de gestión. La autorización de acceso a ***APLICACIÓN.2 conlleva la asignación a un entorno de trabajo y una dependencia por lo que el usuario autorizado tiene limitado el acceso para la consulta o gestión definido por el entorno y la dependencia. En la mayoría de los entornos, la consulta de los expedientes puede hacerse a todos los expedientes del entorno autorizado con independencia de la dependencia en la que esté autorizado; es decir, el usuario puede consultar los expedientes de otras dependencias de su entorno, aunque sólo podrá gestionarlos si el expediente está en su dependencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/56 CUARTO: La documentación contenida en dichos aplicativos contiene datos personales tales como nombre y apellidos de los interesados en los procedimientos, DNI, dirección afectada por la actuación urbanística e información económica como los presupuestos de dichas actuaciones urbanísticas o sobre el pago de los impuestos y tasas que sean de aplicación. QUINTO: Entre el (…) y el (…), diversos medios de comunicación publicaron información relacionada con actuaciones urbanísticas- contenidas en los expedientes urbanísticos tramitados al efecto- llevadas a cabo en la vivienda propiedad del reclamante. En dichas informaciones publicadas, se contenía, además de su nombre y apellidos, características de la vivienda- incluida información relativa a su localizaciónpresupuesto de la reforma acometida, así como situación por la que iba transcurriendo los expedientes urbanísticos en tramitación. SEXTO: Las publicaciones realizadas entre el (…) y el (…) se referían a información accesible a través de ***APLICACIÓN.1. En concreto, dicha información, relativa al expediente ***EXPEDIENTE.1 en el que el reclamante tiene la condición de interesado, se contenían en dos documentos: RESOLUCIÓN DECLARACIÓN RESPONSABLE_09_12_2022. RESOLUCIÓN DECLARACIÓN RESPONSABLE_26_10_2022. Esta información estuvo accesible hasta el día (…) de 2024, fecha en que el Ayuntamiento de Madrid desconectó la posibilidad de acceso general a la aplicación. Los accesos a través de ***ACCESO.2 y ***ACCESO.3, permanecieron operativos a sus usuarios. SÉPTIMO: Con fecha (…) 2024 se incorporó el fichero “orden de legalización” al expediente urbanístico antes mencionado, en el que el reclamante ostentaba la condición de interesado. Esta información sólo estuvo disponible en ***APLICACIÓN.2, en ningún momento lo estuvo en ***ACCESO.3 o en ***APLICACIÓN.1. La información referida a dicho documento fue publicada en los medios de comunicación el ***FECHA.9 si bien dicha información fue firmada oficialmente al día siguiente de la publicación, esto es, el ***FECHA.10. OCTAVO: Desde el 1 de marzo de 2018, la gestión de usuarios de ***APLICACIÓN.2 fue asumida por la Subdirección General de Administración Electrónica (altas, bajas y modificaciones) de la parte reclamada. La gestión de accesos a ***APLICACIÓN.1 (…) se realiza a través del sistema de información SEGAE (Sistema de Gestión de permisos). Dicho sistema permite la provisión de roles y la asignación de permisos con base en las peticiones recibidas. ***APLICACIÓN.2 dispone de un sistema específico de autorizaciones con limitación de los roles (entornos y tipos de acceso) de cada usuario y SEGAE se utiliza para la autenticación de acceso. La autenticación de los usuarios se realiza a través de unas credenciales corporativas (cuenta de acceso más contraseña) y un segundo factor de autenticación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/56 Existen registros de actividad de las actividades de los usuarios, y que permite identificar en cada momento a la persona que actúa. La información de estos registros de actividad se retiene durante el período que se defina. Una cuenta con acceso a un expediente en ***APLICACIÓN.2 puede consultar todos los documentos asociados a dicho expediente. NOVENO: Las altas, bajas y modificaciones se tramitan desde previa petición, por un formulario de la intranet, AYRE, que debe incluir los siguientes datos: •Datos de la persona responsable de la solicitud: nombre, apellidos y correo electrónico. •Datos de la persona responsable de la dependencia: nombre, apellidos y correo electrónico. • Datos de la persona objeto de la petición: nombre, apellidos, usuario de AYRE, puesto Distrito/Área de Gobierno/Organismo autónomo, Dirección General/Departamento y correo electrónico. • Datos del entorno y dependencia para la que solicitan el acceso y el perfil (consulta o gestión). Al tramitar la petición se realizan varias comprobaciones: •Si el usuario ya está autorizado en ***APLICACIÓN.2 para un entorno o dependencia diferente y, si procede, darle de baja en el anterior. • Que el entorno y dependencia corresponde con el puesto de trabajo que ocupa ya que la autorización de acceso a los entornos en ***APLICACIÓN.2 debe estar relacionada con el puesto de trabajo desempeñado. Para acceder en ***APLICACIÓN.2 a entornos diferentes al puesto de trabajo, debe incluir en la solicitud la autorización del responsable del entorno. Tras realizar el alta, se remite correo al solicitante y al responsable de la dependencia. DÉCIMO: Las bajas de los usuarios han de ser comunicadas por las dependencias responsables mediante correo dirigido a ***EMAIL.2 indicando nombre y apellidos y código de ayre”. En el momento en que se produjeron los hechos objeto de la reclamación, en los registros de acceso al sistema de información ***APLICACIÓN.2 no queda registro del momento en el que se realizan las bajas de autorización de acceso. DÉCIMO PRIMERO: En lo que respecta a los controles de acceso a ***APLICACIÓN.2, en el momento en que se produjeron los hechos y hasta el ***FECHA.12 de 2024, los controles periódicos para detectar accesos indebidos se realizaban controlando la fecha del último acceso y considerando que, quien no hubiera accedido en ese año, ya no estaba ocupando un puesto con necesidad de acceso al Sistema de Información. DÉCIMO SEGUNDO: Desde (…) se produjeron 122 accesos a la orden de legalización incorporada al expediente urbanístico ***EXPEDIENTE.2, en el que el reclamante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/56 ostenta la condición de interesado. De esos accesos, 56 de ellos (46%) fueron realizados por una misma persona. El acceso fue realizado gracias a permisos de acceso concedidos en atención a una responsabilidad previa de la usuaria que no se mantenía en el momento de constatarse dichos accesos. Dichos permisos se concedieron respecto de los entornos (…)-***JUNTA.1 (sin dependencia asociada) y (…) (dependencia ***DISTRITO.1). No consta en la parte reclamada solicitud de alta en ***APLICACIÓN.2 de dicho usuario ni solicitud de baja cuando cesó en sus responsabilidades de gobierno en el distrito donde se encuentra la vivienda afectada por los expedientes urbanísticos de los que el reclamante es interesado. Con fecha ***FECHA.12, esos permisos le fueron retirados. DÉCIMO TERCERO: Con fecha 10 de octubre de 2019 se elaboró el documento denominado “Sistema de Consulta de Expedientes de Licencias para Ciudadanos en el que se determinó la información a mostrar en cada uno de los diferentes bloques que componen la consulta de expedientes en ***APLICACIÓN.1. DÉCIMO CUARTO: Mediante informes emitidos en diferentes fechas- 29 de abril de 2020, 15 de marzo de 2021 y 15 de abril de 2024-, la Oficina Protección de Datos de la parte reclamada advirtió sobre publicación de datos personales en abierto a través de ***APLICACIÓN.1. En concreto, dicha Oficina indicó que para proceder a la publicación de los expedientes de licencias, declaraciones responsables, certificados de conformidad y planos debe tenerse muy en cuenta la No publicación de datos personales así como que habría que anonimizar todos los datos que puedan hacer que una persona física sea identificada o identificable. En el informe de 15 de abril de 2024 - anterior, por lo tanto, a la presentación de la reclamación indicada en el antecedente primero- se concluye lo siguiente: La conclusión principal es que la aplicación ***APLICACIÓN.1 contiene un volumen de información elevado que no cumple con la normativa de protección de datos y además, se considera que estamos ante una brecha de seguridad que afecta a un número indefinido de personas y que constituye un riesgo para los derechos y las libertades de las personas físicas. Por ello, se hacen las siguientes recomendaciones:
- a)Proceder a eliminar de ***APLICACIÓN.1 todos los documentos y planos que contengan datos personales.
- b)En el caso de mantener esa documentación, realizar la anonimización de esta, de modo que se impida la identificación de las personas afectadas.
- c)En tanto en cuanto se realicen una de las dos recomendaciones, debería cerrarse el acceso a la aplicación ***APLICACIÓN.1. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/56 De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que Ayuntamiento realiza, entre otros tratamientos, la recogida, registro, conservación, modificación, consulta y utilización, de datos personales de personas físicas. En este caso, y en relación con los datos personales del reclamante, consta el tratamiento de, entre otros, su nombre y apellidos, DNI, número de teléfono, dirección de correo electrónico, datos sobre su vivienda habitual- incluyendo su ubicación y referencia catastral- y datos de carácter económico- incluidos los importes destinados a las obras a realizar en su vivienda o el pago de los impuestos y tasas que son de aplicación-. El Ayuntamiento realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Contestación a las alegaciones al acuerdo de inicio Como ha quedado señalado en los antecedentes, las alegaciones al acuerdo de inicio presentadas por la parte reclamada consisten en tres informes, emitidos por tres entidades diferenciadas (coordinación del ***DISTRITO.1, Centro de Ciberseguridad del Ayuntamiento de Madrid y la Agencia de actividades) en la que se plantean cuestiones que no todas cabe calificar como alegaciones. Asimismo, en general vienen referidas a la publicación en abierto, en ***APLICACIÓN.1 de datos de carácter personal, siendo residuales las alegaciones referidas a las otras infracciones imputadas en el acuerdo de inicio. En primer lugar, la coordinación del ***DISTRITO.1 se limita a indicar que no consta la solicitud de alta de C.C.C. en ***APLICACIÓN.2 o en el entorno del ***DISTRITO.1, lo que en aquel momento se realizaba a través de la remisión de un formulario a una dirección de correo (***EMAIL.1), ni tampoco ninguna solicitud de baja, lo cual es coherente dado que no se tenía, ni se podía tener conocimiento que la citada persona pudiera contar con esos accesos al no haberse tramitado alta alguna desde el Distrito. A este respecto, cabe señalar que, tal y como ha quedado reflejado en los hechos probados de la presente resolución, efectivamente ha quedado acreditado que la parte reclamada no tiene constancia de la solicitud de alta o baja de la usuaria a la que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/56 ha identificado como autora de diversos accesos a información contenida en ***APLICACIÓN.2. Y ello a pesar de que, tal y como ha quedado acreditado, (…) tenía permisos concedidos respecto de los entornos (…)-***JUNTA.1 (sin dependencia asociada) y (…) (dependencia ***DISTRITO.1). Unos permisos asociados a sus anteriores responsabilidades de gobierno en la Corporación Municipal y que desaparecieron en (…), varios años antes de los hechos que han motivado el inicio del presente procedimiento sancionador. Por su parte, el Centro de Ciberseguridad del Ayuntamiento de Madrid informa de las medidas adoptadas respecto de ***APLICACIÓN.1 y, en concreto, las siguientes: Proceso de anonimización del contenido completo de los expedientes en ***APLICACIÓN.1 con el objetivo de un restablecimiento temprano del servicio con las garantías debidas. Por limitaciones técnicas no es posible aplicar el proceso de forma exclusiva para los datos no permitentes en tiempo y forma. Expurgación automatizada de los datos personales no pertinentes de forma progresiva cuando se haya concluido el proceso anterior. Modificación de ***APLICACIÓN.1 para la retirada de los datos personales no pertinentes con carácter previo a la publicación de los documentos. Proceso de anonimización del contenido completo de los documentos publicados hasta el ***FECHA.11. Por limitaciones técnicas no es posible aplicar el proceso de forma exclusiva para los datos no permitentes en tiempo y forma. Hasta el momento se han procesado más de 118.000 documentos. Restablecimiento de ***APLICACIÓN.1 cuando se haya procesado un volumen de documentos anonimizados suficiente para recuperar su utilidad pública. Del contenido de estos argumentos, se infiere que todos ellos se corresponden con la vertiente pública de ***APLICACIÓN.1, esto es, del denominado ***APLICACIÓN.1 y se relacionan con las actuaciones tendentes a anonimizar la información personal contenida en la documentación accesible a través del mismo, iniciadas tras el cierre del acceso público a ***APLICACIÓN.1 el ***FECHA.11. Una anonimización que, por otro lado, venía señalando como necesaria la Oficina de Protección de Datos desde abril de 2020. La información proporcionada en alegaciones al acuerdo de inicio del presente procedimiento sancionador no hace sino confirmar, por lo tanto, la falta de diligencia de la parte reclamada en dar cumplimiento a las observaciones realizadas por la unidad especializada en protección de datos de carácter personal. Una unidad que, recordemos, concluye de forma tajante en informe fechado el 15 de abril de 2024 que ***APLICACIÓN.1 contiene un volumen de información elevado que no cumple con la normativa de protección de datos En lo que respecta a ***APLICACIÓN.2, el informe señala de nuevo cómo se articulan las altas y bajas de usuarios del sistema e informa de que Se han realizado las modificaciones oportunas en los procesos de administración de autorizaciones de acceso a ***APLICACIÓN.2 para disponer de la trazabilidad tanto de las altas como de las bajas realizadas. Estas modificaciones se implantaron en producción el 22 de octubre de 2024. Salvo la fecha de dichas modificaciones, claramente posteriores a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/56 los hechos que dieron lugar a la reclamación que inició el presente procedimiento sancionador, no se aporta información adicional sobre las modificaciones que dicen haber sido acometidas. Por su parte, la Agencia de Actividades (Gerencia) informa de la elaboración, con fecha 10 de octubre de 2019, del documento “Sistema de Consulta de Expedientes de Licencias para Ciudadanos”, en el que se determinó la información a mostrar en cada uno de los diferentes bloques que componen la consulta de expedientes. Dicha documentación contiene los datos personales incluidos en las solicitudes presentadas por los ciudadanos y entiende que su tratamiento se basa en la obligación legal que corresponde al responsable del tratamiento así como el ser datos necesarios para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento (artículo 6.
- c)y
- e)del RGPD, en relación con el artículo 5.1.c),
- d)y
- f)y 62 del Real Decreto Legislativo 7/2015, de 30 de octubre, por el que se aprueba el texto refundido de la Ley de Suelo y Rehabilitación Urbana. En su informe, la Agencia de Actividades continúa destacando los preceptos que, a su juicio, constituyen la base de licitud del tratamiento de datos realizado y concluye que constituían una información urbanística pública pertinente y necesaria en cuanto antecedentes urbanísticos relevantes para ulteriores actuaciones en la misma ubicación y el eventual ejercicio de la acción pública urbanística en el marco de las obligaciones de transparencia de esta Administración. A este respecto, cabe señalar que, según consta en el expediente por ser aportada por la propia reclamada en fase de prueba, son varias las ocasiones en que desde la Oficina de Protección de Datos de la parte reclamada se había advertido de que toda información que permitiera identificar a una persona física tiene la consideración de dato personal a los efectos de la normativa de protección de datos personales y que, en consecuencia, habría que anonimizar todos los datos que puedan hacer que una persona física sea identificada o identificable. No puede hablarse, por lo tanto, de dato personal pertinente o no pertinente, distinción que hace la parte reclamada en sus alegaciones porque, desde el punto de vista de la normativa de protección de datos, todo dato personal es pertinente en aras a garantizar su protección y evitar su acceso por terceros sin base de legitimación. Por otro lado, es destacable que el documento al que se refiere la Agencia de Actividades, de 19 de octubre de 2019, sobre el “Sistema de Consulta de Expedientes de Licencias para Ciudadanos”, y en el que parece que se definió la documentación que debía contener ***APLICACIÓN.1 en su vertiente de acceso público, fuera previo a la consulta realizada a la Oficina de Protección de Datos, fechada el 8 de abril de 2020 y con respuesta el 29 del mismo mes. En dicho informe de respuesta de la Oficina de Protección de Datos ya se advertía, claramente, de lo siguiente: para proceder a la publicación de los expedientes de licencias, declaraciones responsables, certificados de conformidad y planos debe tenerse muy en cuenta la No publicación de datos personales, y que por lo tanto, habría que anonimizar todos los datos que puedan hacer que una persona física sea identificada o identificable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/56 No cabe aceptar, por lo tanto, como argumento, la definición de la información objeto de la publicación realizada en un documento previo a la propia consulta a la Oficina de Protección de Datos respecto de las implicaciones que la publicación en abierto de datos personales pudiera tener; máxime cuando la respuesta a dicha consulta señalaba clara y expresamente que, de acuerdo con la normativa en materia de protección de datos, no cabría publicar datos personales. Asimismo, tal y como se ha señalado, las alegaciones al acuerdo de inicio del presente procedimiento sancionador inciden en la habilitación normativa de la publicación en abierto de datos relacionados con expedientes en materia urbanística tramitados por la parte reclamada. El artículo 5 del Real Decreto Legislativo 7/2015, de 30 de octubre, por el que se aprueba el Texto Refundido de la Ley de Suelo y Rehabilitación Urbana (TRLSRU) reconoce a los ciudadanos el derecho a
- c)Acceder a la información de que dispongan las Administraciones Públicas sobre la ordenación del territorio, la ordenación urbanística y su evaluación ambiental, así como obtener copia o certificación de las disposiciones o actos administrativos adoptados, en los términos dispuestos por su legislación reguladora.
- d)Ser informados por la Administración competente, de forma completa, por escrito y en plazo razonable, del régimen y las condiciones urbanísticas aplicables a una finca determinada, en los términos dispuestos por su legislación reguladora.
- f)Ejercer la acción pública para hacer respetar las determinaciones de la ordenación territorial y urbanística, así como las decisiones resultantes de los procedimientos de evaluación ambiental de los instrumentos que las contienen y de los proyectos para su ejecución, en los términos dispuestos por su legislación reguladora Estos derechos se complementan con el reconocimiento de
- i)la Publicidad y eficacia en la gestión pública urbanística- Artículo 25.1: Todos los instrumentos de ordenación territorial y de ordenación y ejecución urbanísticas, incluidos los de distribución de beneficios y cargas, así como los convenios que con dicho objeto vayan a ser suscritos por la Administración competente, deben ser sometidos al trámite de información pública en los términos y por el plazo que establezca la legislación en la materia, que nunca podrá ser inferior al mínimo exigido en la legislación sobre procedimiento administrativo común, y deben publicarse en la forma y con el contenido que determinen las leyes.(…)
- ii)la acción pública en materia urbanística -art. 62. 1. Será pública la acción para exigir ante los órganos administrativos y los Tribunales ContenciosoAdministrativos la observancia de la legislación y demás instrumentos de ordenación territorial y urbanística. 2. Si dicha acción está motivada por la ejecución de obras que se consideren ilegales, podrá ejercitarse durante la ejecución de las mismas y hasta el transcurso de los plazos establecidos para la adopción de las medidas de protección de la legalidad urbanística. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/56 El derecho de acceso a la información urbanística, reconocido en el TRLSRU y vinculado a la acción pública urbanística, debe interpretarse conforme al principio de transparencia máxima, derivado de los principios constitucionales de publicidad de la actuación administrativa, participación ciudadana y control democrático. Este principio, reforzado por la normativa de transparencia, resulta especialmente relevante en el ámbito urbanístico por su incidencia sobre el territorio, la sostenibilidad y los intereses colectivos, impulsando de forma prioritaria la publicidad activa de la información pública. La legislación urbanística, tanto estatal como autonómica, fomenta un acceso amplio a la información relativa a la planificación, gestión y ejecución de actuaciones urbanísticas, en coherencia con los mandatos del artículo 105.
- b)de la Constitución, la Ley 19/2013, de 9 de diciembre, y la normativa autonómica aplicable. Ello puede traducirse en la obligación de habilitar sistemas y plataformas que permitan a la ciudadanía acceder de forma directa a la información urbanística, reforzando el control social sobre las decisiones que afectan al uso del suelo y al interés general. Ahora bien, esta obligación de transparencia no es ilimitada y debe armonizarse con el derecho fundamental a la protección de datos personales del artículo 18.4 de la Constitución, regulado por el RGPD y la LOPDGDD. El propio RGPD contempla esta conciliación: su artículo 86 permite la comunicación de datos personales contenidos en documentos oficiales para compatibilizar el acceso público con la protección de datos: “los datos personales de documentos oficiales en posesión de alguna autoridad pública […] podrán ser comunicados […] a fin de conciliar el acceso del público a documentos oficiales con el derecho a la protección de los datos personales en virtud del presente Reglamento”. Esta conexión se recoge expresamente en la disposición adicional segunda de la LOPDGDD, que remite a los artículos 5.3 y 15 de la Ley 19/2013: “la publicidad activa y el acceso a la información pública […] se someterán, cuando la información contenga datos personales, a lo dispuesto en los artículos 5.3 y 15 de la Ley 19/2013, en el Reglamento (UE) 2016/679 y en la presente ley orgánica”. En este punto, cabe recordar que el artículo 5.3 de la Ley 19/2013 recuerda que el derecho de acceso está sujeto a los límites del artículo 14 y, de forma especial, al regulado en el artículo 15, que contiene diversas reglas específicas que son las que rigen por el principio de especialidad por cuanto a la armonización del derecho de protección de datos y la difusión de información pública. Esto hay que tenerlo muy presente al objeto de identificar la base de legitimación legal necesaria para el tratamiento de datos de carácter personal consistente en la difusión y comunicación de datos a los efectos de transparencia, en su caso también en el ámbito concreto urbanístico. Sin embargo, dichos preceptos no habilitan la publicación indiscriminada de cualquier dato personal, sino únicamente de aquellos realmente necesarios para la finalidad de transparencia y fiscalización. Así, en determinados supuestos resulta especialmente evidente que la comunicación de ciertos datos personales no es necesaria para satisfacer los objetivos de transparencia en la actuación pública urbanística. Ello ocurre, por ejemplo, cuando la información difundida incluye el domicilio de la persona que figura como interesada en un expediente urbanístico y dicho domicilio no guarda relación con el inmueble objeto de la actuación. En estos casos, la publicación de tales datos no aporta valor alguno al control ciudadano o a la rendición de cuentas y, en cambio, supone un riesgo injustificado para la protección de datos, por lo que debe C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/56 evitarse o procederse a su disociación. Por ello, incluso cuando la difusión de datos personales cuente con cobertura legal en las normas de transparencia o en la normativa urbanística, el tratamiento debe ajustarse a los principios del artículo 5 RGPD, en particular a los de minimización, necesidad y proporcionalidad. Ello implica que los datos sean adecuados, pertinentes y limitados a lo estrictamente necesario para la finalidad legítima de control o fiscalización, adoptando medidas de seudonimización o anonimización siempre que sea posible. En definitiva, si bien la legislación urbanística promueve una transparencia amplia en la planificación, gestión y ejecución de actuaciones urbanísticas, esta no es ilimitada y debe ejercerse de forma que solo se comuniquen los datos estrictamente relevantes para dicho fin. En esta línea, la jurisprudencia del Tribunal de Justicia de la Unión Europea ha establecido criterios que deben tenerse en cuenta. Así, en la sentencia de 22 de noviembre de 2022, asuntos acumulados C-37/20 y C-601/20, el Tribunal recuerda que «la puesta a disposición de un tercero de datos de carácter personal constituye una injerencia en los derechos fundamentales consagrados en los artículos 7 y 8 de la Carta, cualquiera que sea la utilización posterior de la información» (apartado 39). Además, destaca que cuando la información es accesible a un número potencialmente ilimitado de personas, como ocurre con su publicación en Internet, la injerencia puede considerarse grave (apartados 41 a 44). El Tribunal añade que «las excepciones a la protección de los datos personales y las limitaciones de esta última operan dentro del marco de lo estrictamente necesario» y que debe optarse por «la menos onerosa» entre las medidas igualmente idóneas para alcanzar el objetivo legítimo, ponderando cuidadosamente el interés general y los derechos afectados (apartado 64). También exige que la normativa aplicable establezca «reglas claras y precisas» y garantías suficientes frente a abusos, especialmente cuando los datos puedan revelar información sensible (apartado 65). Del mismo modo, la sentencia de 4 de octubre de 2024, asunto C-200/23, confirma que incluso cuando el tratamiento de datos se efectúe «con ocasión de una misión realizada en interés público», es necesario que «responda efectivamente al objetivo de interés general perseguido, sin ir más allá de lo necesario para alcanzar dicho objetivo» (apartado 110). Este requisito no se cumple «cuando el objetivo de interés general perseguido puede alcanzarse razonablemente de manera tan eficaz por otros medios menos atentatorios» respecto de los derechos reconocidos en los artículos 7 y 8 de la Carta (apartado 111). A la luz de estos criterios y según se ha adelantado, la publicidad de información urbanística exigida por la legislación aplicable debe garantizarse, e incluso procedería establecer sistemas o plataformas para la difusión activa de información o la facilitación de acceso a la misma por la ciudadanía, pero aplicando en todo caso medidas que eviten la publicación y, por lo tanto, el acceso, a datos personales que no sean necesarios y adecuados para cumplir la finalidad de transparencia, facilitación del control y la dación de cuentas. En estos casos se contaría con la base de legitimación en razón de la legislación de transparencia aludida, pero tal legitimación no alcanzará cuando se difunda o permita el acceso a información y datos personales que no guarden una relación directa con el control ciudadano de la legalidad urbanística. Este enfoque asegura un equilibrio entre el mandato de máxima transparencia que impulsa la normativa urbanística y de transparencia y las exigencias del RGPD y la LOPDGDD, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/56 protegiendo simultáneamente el interés público y los derechos de las personas afectadas. Y ello, en coherencia con la jurisprudencia expuesta, que exige que toda medida de publicidad que afecte a datos personales se limite a lo necesario para alcanzar un objetivo legítimo. En esta línea, procede traer a colación el informe de la Oficina de Protección de Datos de fecha 19 de abril de 2024, que afirma que: La aplicación ***APLICACIÓN.1 no parece que cumpla con ninguna de las bases de legitimación mencionadas, por lo que se puede deducir que el responsable de esta está incurriendo en las infracciones muy graves recogidas en el artículo 83 apartado 5, letra
- a)del RGPD, y artículo 72 apartado 1
- b)de la LOPDYGDD. Por otra parte, tampoco se han establecido las medidas técnicas y organizativas apropiadas, como la seudonimización o la anonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados, tal y como establece el artículo 24, por lo que también el responsable está incurriendo en las infracciones graves recogidas en el artículo 83 apartado 4 letra a), y en el artículo 73
- d)de la LOPDYGDD. Por ello, cabe entender que el tratamiento de datos personales consistente en la publicación, en abierto y sin restricciones, de datos que incluyen no sólo nombre y apellidos, sino número de DNI o localización de la vivienda habitual —una información que, además de poder afectar a la seguridad del interesado, podría desvelar información sobre su capacidad económica o financiera— no encuentra su base de licitud en el artículo 6.1
- c)o
- e)del RGPD. Como conclusión, han de desestimarse las alegaciones aducidas. IV Contestación a las alegaciones a la propuesta de resolución Tal y como se ha indicado en el antecedente correspondiente, el AYUNTAMIENTOmás en concreto, Informática del Ayuntamiento de Madrid, IAM- ha presentado escrito de alegaciones a la propuesta de resolución en el que, sin entrar a valorar la calificación jurídica de los hechos objeto del presente procedimiento sancionador ni, por lo tanto, realizar alegaciones a la valoración de los mismos hecha por esta AEPD, informan de las medidas adoptadas para cumplir las medidas correctivas señaladas en la propuesta de resolución dictada. Como elemento central de su escrito cabe destacar la afirmación realizada en el sentido de que los plazos indicados en la propuesta de resolución para implementar las medidas correctivas son material y técnicamente imposibles. Al respecto, y dando la bienvenida a las actuaciones desarrolladas con carácter previo incluso a que el presente procedimiento sancionador finalice con resolución firme y ejecutiva, cabe en un primer momento recordar que la parte reclamada es el AYUNTAMIENTO, y no una concreta unidad, departamento o servicio integrante del mismo. Se considera relevante realizar esta afirmación para señalar que deben ser todas las unidades, departamentos o servicios del AYUNTAMIENTO los que, cada uno dentro de su ámbito competencial y en atención a las funciones que tengan asignadas, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/56 adopten las medidas destinadas a las medidas que adoptadas en la presente resolución. Lo anterior es especialmente relevante por cuanto en el escrito de alegacionesrecordemos, del IAM- se señalan las dificultades de dicho departamento- con relación al tiempo necesario para la implementación de proyectos tecnológicos- para cumplir las medidas recogidas en la propuesta de resolución dictada. Resulta significativo que las alegaciones se centren en una automatización de procesos para el cumplimiento de la medida 3- procedimientos para la revisión periódica de los usuarios de aplicaciones que tengan en cuenta los cambios en el organigrama de personal del Ayuntamiento o en los miembros de la Corporación Municipal- y de la medida 4 garantizar que los usuarios de aplicaciones tengan acceso a los entornos estrictamente necesarios para el desempeño de sus funciones- en las que el IAM se refiere al responsable de la unidad competente de, respectivamente, mantener actualizada la lista de permisos de acceso a la información en una aplicación corporativa y de definir los entornos de acceso a la información en una aplicación corporativa. Esta circunstancia implica que podamos afirmar que las medidas señaladas por esta AEPD pueden, a nuestro juicio y sin que se haya alegado lo contrario, ser adoptadas por los responsables a los que se refiere el IAM y que no se ven compelidos por los plazos vinculados al desarrollo de proyectos tecnológicos. Ello, sin perjuicio, como decimos, de dar la bienvenida a procesos más automatizados que se acometan con una finalización más dilatada en el tiempo. No obstante, atendiendo a la complejidad que se presume en la tarea, esta AEDP está de acuerdo en adaptar el plazo inicialmente señalado para el cumplimiento de las medidas. V Obligación incumplida. Integridad y confidencialidad. Publicación de datos personales en sistemas de acceso público Cabe comenzar señalando que la letra
- f)del artículo 5.1 del RGPD dispone lo siguiente: "1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." En este sentido, los responsables han de garantizar la integridad y confidencialidad de los datos personales objeto de tratamiento a través de medidas técnicas y organizativas de todo tipo. El cumplimiento de dicho precepto se constataría, por lo tanto, mediante
- i)la adopción y cumplimiento de medidas técnicas y organizativas de todo tipo cuyo objetivo sea garantizar la confidencialidad y la integridad de los datos personales objeto de tratamiento
- ii)la ausencia de situaciones de pérdida de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/56 confidencialidad o integridad de los datos personales tratados. Su incumplimiento, por el contrario, devendría de la ausencia de medidas o incumplimiento de las adoptadas y de una pérdida de confidencialidad de los datos objeto de tratamiento. En el caso que nos ocupa, y tal y como ha quedado reflejado en los antecedentes de hecho, diversos medios de comunicación publicaron noticias durante un período de tiempo que media entre el (…) y (…) que revelan información de carácter personal del reclamante, vinculada a los expedientes urbanísticos que se estaban tramitando por la parte reclamada, relacionados con unas obras de acondicionamiento llevadas a cabo en la que el reclamante identifica como su vivienda habitual. Cabe destacar que alguna de estas noticias, y más en concreto la aportada por el reclamante con la denominación Documento nº 6, llega incluso a apuntar las fuentes de información de la noticia al señalar expresamente que (…) Los dos requerimientos aparecen en la base de datos pública ***APLICACIÓN.1 (…) pero quedaba la duda de si A.A.A. había continuado o no con las obras sin un nuevo permiso. La realidad es que sí continuaron, según la información que ha recabado este periódico. (…) Por un lado, A.A.A. no pidió una nueva autorización, como atestiguan tres portales municipales consultados. Primero, ***APLICACIÓN.1, de consulta pública. Segundo, el visor urbanístico Geoportal, también de consulta pública. Y tercero, otro de uso exclusivo interno y con información exhaustiva sobre cada vivienda, el (…) (***APLICACIÓN.2). En ninguno aparece una autorización para continuar los trabajos. (…) A pesar de las dos órdenes de cese, en ***APLICACIÓN.2 no figura ningún expediente de sanción. (el subrayado es de esta AEPD) Por otro lado, el Ayuntamiento, en respuesta a las actuaciones de traslado, además de identificar los expedientes a los que vienen referidos las mencionadas publicaciones, confirma que su contenido consta en las aplicaciones (…) (en adelante ***APLICACIÓN.1) y (…) (en adelante ***APLICACIÓN.2). Y continúa reconociendo que Las resoluciones administrativas objeto de publicación entre las fechas ***FECHA.4 a ***FECHA.8 se obtuvieron a través del acceso a la aplicación ***APLICACIÓN.1; mientras que el acceso a las resoluciones administrativas objeto de publicación a partir del día ***FECHA.9 se llevó a cabo a través de la aplicación ***APLICACIÓN.2. Así las cosas, toda vez que la propia parte reclamada realiza una diferenciación en el marco temporal de las publicaciones al objeto de establecer el origen de la información en ellas contenida, procede hacer lo mismo en cuanto a la argumentación contenida en esta resolución. En lo relativo a las informaciones contenidas en las publicaciones aparecidas entre el ***FECHA.4 y el ***FECHA.8, procedentes de ***APLICACIÓN.1, como el propio Ayuntamiento reconoce, cabe comenzar indicando que las características de dicha aplicación, según el propio Ayuntamiento informa, son las siguientes (el subrayado es de la AEPD): ***APLICACIÓN.1 es una aplicación telemática dependiente de la Agencia de Actividades cuyo objeto es la publicación de información urbanística relevante. Está abierta a consulta por cualquier persona, sea interesado o no en el procedimiento, para conocer las licencias urbanísticas y declaraciones responsables que se hayan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/56 tramitado en cualquier domicilio del municipio de Madrid, sin ningún tipo de restricción. (…) En la documentación obrante en los expedientes publicados en ***APLICACIÓN.1 obran datos relativos a los interesados en los expedientes administrativos, como consecuencia de la documentación que estos remitían al Ayuntamiento en el seno de la tramitación de aquellos y que, posteriormente, eran objeto de publicación en la aplicación. La publicación de información urbanística en la aplicación ***APLICACIÓN.1 se encuentra avalada tanto por la normativa en materia de transparencia y publicidad activa y buen gobierno (en adelante LTAIBG), la Ley 10/2019, de 10 de abril, de Transparencia y de Participación de la Comunidad de Madrid (en adelante LTPCM) y la Ordenanza de Transparencia de la Ciudad de Madrid, de 27 de julio de 2016 (en adelante OTCM); como por la normativa urbanística, integrada por el Real Decreto Legislativo 7/2015, de 30 de octubre, por el que se aprueba el texto refundido de la Ley de Suelo y Rehabilitación Urbana (en adelante TRLSyRU). Señalado lo anterior, puede observarse que la parte reclamada reconoce que
- i)la información contenida en ***APLICACIÓN.1 es accesible en abierto, sin ningún tipo de restricción y con fundamento en la normativa en materia de transparencia y acceso a la información pública que consideran es de aplicación
- ii)la misma contiene datos relativos a los interesados en los expedientes administrativos, como consecuencia de la documentación que estos remitían al Ayuntamiento en el seno de la tramitación de aquellos y que, posteriormente, eran objeto de publicación en la aplicación. Con relación a ello, en el marco de las actuaciones de investigación realizadas, consta en el expediente diligencia de la Ordenanza de Transparencia de la Ciudad de Madrid (OTCM), de 27 de julio de 2016, en la que destaca el siguiente texto en relación con las obligaciones de publicidad activa de la información urbanística por parte del Ayuntamiento: “Artículo 15. Información urbanística. El Ayuntamiento de Madrid y, en su caso, los sujetos comprendidos en el artículo 2.1 que corresponda, así como las entidades que ejerzan potestades administrativas relacionadas con el urbanismo publicarán, como mínimo, la siguiente información urbanística:
- f)La relación de licencias urbanísticas otorgadas y, en su caso, de las declaraciones responsables y comunicaciones previas, indicando el emplazamiento y un extracto de su contenido, previa disociación de datos personales en el caso de que no sea pertinente su publicación.
- g)Las comunicaciones en las que se indica a los interesados que su actuación urbanística es conforme a Derecho, en el contexto de las declaraciones responsables y comunicaciones previas, previa disociación de datos personales en el caso de que no sea pertinente su publicación.
- h)Las autorizaciones administrativas que permitan el ejercicio de actuaciones urbanísticas sujetas a licencia, declaración responsable o comunicación previa, en suelo de dominio público, previa disociación de datos personales en el caso de que no sea pertinente su publicación. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/56 ñ) La relación de licencias de obras en vía pública correspondientes a canalizaciones, previa disociación de datos personales en el caso de que no sea pertinente su publicación. La información se actualizará mensualmente.
- p)La relación de autorizaciones administrativas que permitan la ocupación de vías y espacios de dominio público municipal para la ejecución de obras urgentes o de excepcional interés público, promovidas por otras Administraciones Públicas. La información se actualizará mensualmente (…) Y ello sin perjuicio de que la propia Ley 10/2019, de 10 de abril, de Transparencia y de Participación de la Comunidad de Madrid ya indica en su Preámbulo Por otra parte, se prevén los límites de la información que debe ser objeto de publicación y la protección de los datos personales de categoría especial, estableciendo, por una parte, que a dicha información le serán de aplicación los límites al derecho de acceso a la información pública previstos en la normativa de la Unión Europea y en la legislación básica del Estado y, especialmente, el derivado de la protección de datos de carácter personal; y, por otra, que en los casos en que la información que debe hacerse pública contuviera datos especialmente protegidos, la publicación sólo se llevará a efecto previa anonimización de los mismos. (El subrayado es de la AEPD). Por lo tanto, la publicación de la información relativa a los interesados en expedientes urbanísticos tramitados por el Ayuntamiento, en abierto y sin la previa disociación de los datos personales que en ellos se contiene supondría, en lo que a esta AEPD atañe, una quiebra en la confidencialidad debida en el tratamiento de los datos personales contenidos en dichos expedientes urbanísticos debido a la falta de adopción de medidas de disociación de la información de carácter personal. Unas medidas que, por otro lado, además de en cumplimiento de la normativa en materia de protección de datos personales, debieran haberse adoptado para cumplir la normativa en materia de transparencia y acceso a la información pública antes señalada. Por su interés por su conexión con los hechos objeto del presente procedimiento sancionador, y al tratarse de un organismo de control precisamente en materia de transparencia y acceso a la información pública, señalemos el pronunciamiento de la Comisión de Garantía del Derecho de Acceso a la Información Pública de Cataluña, en su Resolución no 46, de fecha 21/1/2021, que razona en estos términos: «(…) no existe ningún impedimento legal para permitir el acceso telemático a los expedientes —y de hecho, puede ser un sistema conveniente para los principios de eficacia y eficiencia de los recursos públicos, en la medida en que libera de carga de trabajo a los servicios municipales, y adecuado a los objetivos de implantación de la administración electrónica—, pero hay que tomar las medidas organizativas necesarias para garantizar el respeto a los límites legales establecidos, lo que puede ser incompatible con un acceso telemático y autónomo si el Ayuntamiento no incorpora al tratamiento previo de los datos personales que se contienen en los expedientes técnicas de disociación que garanticen la anonimización o si el gestor documental no está organizado y compartimentado, separando de los expedientes aquellos datos que puedan tener un impacto en la intimidad personal o familiar (por ejemplo, los expedientes de subvenciones a personas físicas por razón de vulnerabilidad social, los expedientes relativos a la prestación de servicios sociales o de dependencia, los expedientes relativos a menores o los expedientes sancionadores C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/56 a personas físicas cuando la conducta infractora se haya producido en el ámbito de su intimidad o afecte a su derecho al honor), de los que no (expedientes de contratación de obras, de prestación de servicios públicos o de subvenciones a entidades culturales o deportivas, por ejemplo)». Así, y sin negar que el cumplimiento de las obligaciones de transparencia que atañen a los organismos públicos- en este caso, referido a la actuación en materia urbanística- pueda realizarse a través de plataformas que habiliten al acceso directo a la información, dichas herramientas han de conjugarse con el derecho a la protección de datos de carácter personal y no permitir el acceso a datos personales por terceros no autorizados. En este punto, cabe traer a colación el resultado de la práctica de prueba realizada durante la instrucción del presente procedimiento, destinada a conocer la tramitación dada, desde el punto de vista de la protección de datos de carácter personal, a la publicación en abierto de datos personales contenidos en los expedientes de naturaleza urbanística. Consta en el expediente, por ser aportado por la parte reclamada, solicitud contenida en correo electrónico de 8 de abril de 2020 (11:16 horas) de informe sobre la conformidad con la normativa sobre protección de datos de la documentación asociada al proyecto “Consulta de Expedientes de Licencias para el Ciudadano” a la que se dio respuesta mediante correo electrónico de 29 de abril de 2020 (10:46 hrs) en el que se indica que para proceder a la publicación de los expedientes de licencias, declaraciones responsables, certificados de conformidad y planos debe tenerse muy en cuenta la No publicación de datos personales y se concluye que habría que anonimizar todos los datos que puedan hacer que una persona física sea identificada o identificable. Dicha respuesta estaba firmada por ***PUESTO.2, Dirección General de Transparencia. Área de Gobierno de la Vicealcaldía. Aporta también la parte reclamada en respuesta al trámite de prueba, remisión el 10 de marzo de 2021 (15:06 hrs) de queja presentada por un particular relativa a la disponibilidad (descarga y visualización) de cierta documentación de carácter personal (datos personales del aparejador/a, datos de sus clientes, firmas, teléfonos y direcciones) en la plataforma WEB municipal ***APLICACIÓN.1 (consulta de licencias y expedientes urbanísticos), con motivo de la consulta de algunos expedientes de actividad como residencial y que cuestiona la adecuación de la citada plataforma a las exigencias de protección de datos de carácter personal y la protección de los derechos de propiedad intelectual. Una queja a la que se dio respuesta mediante correo electrónico de 15 de marzo de 2021 (13:45 hrs) que se pronunciaba en los términos que el indicado con anterioridad y fechado el 29 de abril de 2020. Constan también comunicaciones internas entre diversas unidades de la parte reclamada en las que, a raíz de una solicitud de ejercicio de derechos de protección de datos se plantea la existencia de una posible brecha de seguridad. En la comunicación remitida el 30 de marzo de 2022 (10:36) por ***PUESTO.3, en la que se plantea dicha posibilidad, se menciona expresamente que la Agencia Española de Protección de Datos ha informado repetidamente de que el nombre y apellidos no debe publicarse C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/56 conjuntamente con el DNI completo, que es lo que pone de manifiesto la interesada. (…) Por nuestra parte hemos realizado diversas consultas a través de ***APLICACIÓN.1 y hemos comprobado que, además de no aparecer la leyenda informativa sobre protección de datos en ningún sitio y publicarse el DNI de interesados, nos parece que se está publicando en la pestaña de “Documentos” relativos a expedientes tanto antiguos como recientes, lo que podría ser una información excesiva que se encuentra al alcance de cualquier persona que, por otra parte, puede consultar sin motivar las razones de la consulta. (…) En caso de inexistencia de legislación que obligue a la publicación o consentimiento de las personas interesadas, podría tratarse de una brecha de seguridad a comunicar a la Agencia Española de Protección de Datos en un plazo de 72 h desde la fecha de detección. Como continuación a lo anterior, consta formulario sobre brecha de seguridad en el que, en lo que a este expediente respecta, se informa de lo siguiente: *Actividad(
- es)de tratamiento implicadas GESTIÓN URBANISTICA DISTRITOS- 21 DISTRITOS DECLARACIONES RESPONSABLES Y LICENCIAS DE ACTIVIDADOOAA AGENCIA DE ACTIVIDADES TRAMITACIÓN LICENCIAS URBANÍSTICASDIRECCIÓN GENERAL DE LA EDIFICACIÓN Número aproximado de personas físicas sobre las que recoge, almacena o trata datos personales de otra forma; referido exclusivamente al tratamiento sobre el que se ha producido la brecha de datos personales: 94.000. El origen del incidente ha sido: Interno: Personal o sistemas bajo el control del responsable del tratamiento ¿Qué puede haber ocurrido? Publicación no intencionada / autorizada Como consecuencia del incidente, se ha visto afectada la: CONFIDENCIALIDAD: Personas u organizaciones que no están autorizadas, o no tienen un propósito legítimo para acceder a los datos, han podido acceder y/o extraerlos Resumen de la brecha Publicación en herramienta informática municipal de documentos de licencia de vivienda tramitadas por distintos órganos municipales donde aparecen datos de documentos nacionales de identidad sin la debida protección, además de fotografías de la vivienda. Se han adoptado medidas inmediatas para resolver la brecha de seguridad. Se indica como fecha de detección de la brecha el 30/03/2022, como fecha de resolución el 01/04/2022 y, entre las acciones tomadas tras el incidente, figura la anonimización. En documento de la gerencia de la Agencia de Actividades denominado información adicional sobre la brecha notificada con fecha 01/04/2022 y firmado el 11/04/2022, destaca lo siguiente: (…) La información que pone a disposición ***APLICACIÓN.1 procede de 23 unidades administrativas (21 distritos; Dirección General de la Edificación y Agencia de Actividades). Esta circunstancia representa una gran C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/56 dificultad para el responsable de la gestión de ***APLICACIÓN.1 a la hora de asegurar un control efectivo de la información en cuanto a su anonimización o desagregación de los datos protegidos para evitar que éstos puedan aparecer en dichos documentos pertenecientes a personas físicas. (…) Por otra parte, dado el plazo de 72 horas para notificar la brecha y debido a la alarma que surgió ante el ejercicio del derecho antes señalado, se indicó que sólo se ha visto afectada una persona. Sin embargo, tras realizar diversas consultas a través de ***APLICACIÓN.1 se han podido comprobar otros casos en los que también se muestra el DNI completo asociado a nombre y apellidos, siendo prácticamente imposible determinar el número de personas afectadas pues sería necesario consultar documento a documento de los aproximadamente 100.000 publicados. Únicamente se ha solucionado el caso detectado por el derecho ejercido, quedando pendiente de resolver otras situaciones similares pendientes de detectar. Con carácter adicional, toda vez que en la aportación de información intervienen diversos órganos administrativos, tal y como se ha indicado, se va a realizar una comunicación formal a los distintos responsables de estas unidades al objeto de eliminar o anonimizar de forma inmediata la documentación que se ponen a disposición a través de ***APLICACIÓN.1. El subrayado es de esta AEPD. Consta igualmente documento firmado el 15 de abril de 2024 por ***PUESTO.3 de la parte reclamada denominado consulta de expedientes licencias por los ciudadanos a través de la aplicación ***APLICACIÓN.1. En el apartado antecedentes del mencionado informe, además de señalar algunas de las comunicaciones indicadas en apartados precedentes de resolución, se indica lo siguiente: Posteriormente, en marzo de 2022, con motivo de un ejercicio de un derecho de supresión de una ciudadana, la Oficina de Protección de Datos detectó que en la aplicación ***APLICACIÓN.1 del Ayuntamiento de Madrid se publica información relativa a licencias de obras y licencias de actividad de todos los ciudadanos que las hayan solicitado, y que incluyen documentos con datos personales como nombre y apellidos, teléfono, correo electrónico, DNI completo, relacionado con un domicilio, así como, de los promotores particulares y de los planos detallados de viviendas familiares, con todos los accesos y pormenores, y que por lo tanto, no se habían tenido en cuenta las recomendaciones de la Oficina de Protección de datos (el subrayado es de esta AEPD) Y procede a señalarse a continuación: Por mucha acción pública que se venga reconociendo en sede de urbanismo, en no pocas ocasiones el acceso a un expediente de licencia de obras no podrá por menos que desvelar aspectos muy relevantes de la privacidad de las personas, sobre todo si esas obras son las del domicilio constitucionalmente protegido; o si resulta imposible contrastar su adecuación a los requerimientos de seguridad técnica, urbanística o medioambiental sin penetrar a la vez en los dominios de la información industrial de carácter confidencial (…) La aplicación ***APLICACIÓN.1 está abierta a consulta por cualquier persona, sea interesado o no en el procedimiento, para conocer las licencias de urbanísticas y declaraciones responsables que se hayan tramitado en cualquier domicilio del municipio de Madrid, sin ningún tipo de restricción. En esta aplicación informática, no solo se da información de las licencias otorgadas o denegadas, sino que también, se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/56 incluyen los documentos de solicitud de licencia o declaración responsable, la resolución correspondiente y los planos, en los que se contienen datos personales de los solicitantes, como son nombres, apellidos, el domicilio, teléfono, correo electrónico, DNI, así como los datos de arquitectos y aparejadores, con nombres, apellidos, número de colegiado y firma. Todos estos datos hacen que las personas sean identificadas. (…) Tras mencionar las bases de licitud del tratamiento señaladas en el artículo 6 RGPD se concluye que La aplicación ***APLICACIÓN.1 no parece que cumpla con ninguna de las bases de legitimación mencionadas, por lo que se puede deducir que el responsable de esta está incurriendo en las infracciones muy graves recogidas en el artículo 83 apartado 5, letra
- a)del RGPD, y artículo 72 apartado 1
- b)de la LOPDYGDD. Y determina que La conclusión principal es que la aplicación ***APLICACIÓN.1 contiene un volumen de información elevado que no cumple con la normativa de protección de datos y además, se considera que estamos ante una brecha de seguridad que afecta a un número indefinido de personas y que constituye un riesgo para los derechos y las libertades de las personas físicas. Por ello, se hacen las siguientes recomendaciones:
- a)Proceder a eliminar de ***APLICACIÓN.1 todos los documentos y planos que contengan datos personales.
- b)En el caso de mantener esa documentación, realizar la anonimización de esta, de modo que se impida la identificación de las personas afectadas.
- c)En tanto en cuanto se realicen una de las dos recomendaciones, debería cerrarse el acceso a la aplicación ***APLICACIÓN.1. Con fecha 22 de abril de 2024 se insta por el (…), asumiendo las conclusiones del informe antes mencionado, que se pongan en marcha de manera urgente las medidas que eliminen la actual afectación a los derechos en materia de protección de datos. En definitiva, de lo anterior cabe concluir que el AYUNTAMIENTO fue advertido en diversas ocasiones que la publicación en abierto de datos personales incluidos en los documentos que se incluían en los expedientes urbanísticos publicados en ***APLICACIÓN.1 suponía una vulneración de la normativa de protección de datos. Una vulneración que referida no sólo a los datos personales de aquellos interesados que presentaron solicitudes de supresión de sus datos personales sino de todos los interesados de expedientes que hubiesen sido volcados en la aplicación. En este punto, cabe recordar el alcance que el RGPD otorga a la figura del Delegado de Protección de datos. Así, en su artículo 38 señala lo siguiente: 1. El responsable y el encargado del tratamiento garantizarán que el delegado de protección de datos participe de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales. 2. El responsable y el encargado del tratamiento respaldarán al delegado de protección de datos en el desempeño de las funciones mencionadas en el artículo 39, facilitando los recursos necesarios para el desempeño de dichas funciones y el acceso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/56 a los datos personales y a las operaciones de tratamiento, y para el mantenimiento de sus conocimientos especializados. 3. El responsable y el encargado del tratamiento garantizarán que el delegado de protección de datos no reciba ninguna instrucción en lo que respecta al desempeño de dichas funciones. No será destituido ni sancionado por el responsable o el encargado por desempeñar sus funciones. El delegado de protección de datos rendirá cuentas directamente al más alto nivel jerárquico del responsable o encargado. 4. Los interesados podrán ponerse en contacto con el delegado de protección de datos por lo que respecta a todas