1/9 Expediente nº.: EXP202408837 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por el AYUNTAMIENTO DE MADRID (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 19 de noviembre de 2025, y en base a los siguientes HECHOS PRIMERO: Con fecha 19 de noviembre de 2025, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202408837, en virtud de la cual se resolvía PRIMERO: DECLARAR que el AYUNTAMIENTO DE MADRID, con NIF P2807900B, ha infringido lo dispuesto en los siguientes preceptos del RGPD: - El artículo 5.1.f), infracción tipificada en el artículo 83.5.
- a)del RGPD El artículo 32, infracción tipificada artículo 83.4.
- a)del RGPD El artículo 25, infracción tipificada artículo 83.4.
- a)del RGPD. SEGUNDO: ORDENAR al AYUNTAMIENTO DE MADRID, con NIF P2807900B, que en virtud del artículo 58.2.
- d)del RGPD y del art. 77 de la LOPDGDD, en el plazo máximo de seis meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las siguientes medidas: Que se ha procedido a la anonimización de todos los datos de carácter personal contenidos en la aplicación ***APLICACIÓN.1, abierta al público. Que los procedimientos de alta y baja de los usuarios de las aplicaciones que contienen datos de carácter personal queden debidamente documentados, garantizándose la trazabilidad de los procedimientos y la conservación de histórico de permisos. La adopción de procedimientos para la revisión periódica de los usuarios de aplicaciones que contengan datos de carácter personal que no sólo tengan en cuenta la referencia del último acceso, sino también cambios en el organigrama de personal del Ayuntamiento o en los miembros de la Corporación Municipal. La adopción de medidas que garanticen que los usuarios de aplicaciones que contengan datos de carácter personal tengan acceso a los entornos estrictamente necesarios para el desempeño de sus funciones. En el caso de las medidas cuyo cumplimiento, según lo señalado en el escrito de alegaciones a la propuesta de resolución, sea imprescindible la automatización de los procesos, esta circunstancia deberá señalarse y justificarse expresamente. De igual forma, deberá informarse cada seis meses a esta AEPD acerca del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/9 estado de implantación de dichos procesos automatizados y el calendario previsto para su finalización. Dicha resolución, que fue notificada a la parte recurrente en fecha 24 de noviembre de 2025, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado procedimiento sancionador, quedó constancia de los siguientes: PRIMERO: El Ayuntamiento de Madrid cuenta con dos aplicaciones que contienen información sobre los expedientes de naturaleza urbanística tramitados o en tramitación: el sistema denominado (…). SEGUNDO: ***APLICACIÓN.1, que permite una consulta general centralizada de expedientes, contiene información sobre las licencias urbanísticas y declaraciones responsables que se hayan tramitado en cualquier domicilio del municipio de Madrid y, a su vez, se divide en: ***ACCESO.1: permite la consulta libre por cualquier persona, sin existir restricciones al acceso ***ACCESO.2, para usuarios de ***APLICACIÓN.2 (también denominado (…)) y ***ACCESO.3, para el acceso por parte de concejales del Ayuntamiento de Madrid. TECERO: ***APLICACIÓN.2 (…), es una aplicación interna de gestión de expedientes de uso exclusivo para el personal municipal autorizado, que debe contar con un usuario interno asignado. El perfil de acceso de los usuarios puede ser de consulta o de gestión. La autorización de acceso a ***APLICACIÓN.2 conlleva la asignación a un entorno de trabajo y una dependencia por lo que el usuario autorizado tiene limitado el acceso para la consulta o gestión definido por el entorno y la dependencia. En la mayoría de los entornos, la consulta de los expedientes puede hacerse a todos los expedientes del entorno autorizado con independencia de la dependencia en la que esté autorizado; es decir, el usuario puede consultar los expedientes de otras dependencias de su entorno, aunque sólo podrá gestionarlos si el expediente está en su dependencia CUARTO: La documentación contenida en dichos aplicativos contiene datos personales tales como nombre y apellidos de los interesados en los procedimientos, DNI, dirección afectada por la actuación urbanística e información económica como los presupuestos de dichas actuaciones urbanísticas o sobre el pago de los impuestos y tasas que sean de aplicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/9 QUINTO: Entre el ***FECHA.1, diversos medios de comunicación publicaron información relacionada con actuaciones urbanísticas- contenidas en los expedientes urbanísticos tramitados al efecto- llevadas a cabo en la vivienda propiedad del reclamante. En dichas informaciones publicadas, se contenía, además de su nombre y apellidos, características de la vivienda- incluida información relativa a su localización- presupuesto de la reforma acometida, así como situación por la que iba transcurriendo los expedientes urbanísticos en tramitación. SEXTO: Las publicaciones realizadas entre el ***FECHA.2 se referían a información accesible a través de ***ACCESO.1. En concreto, dicha información, relativa al expediente (...) en el que el reclamante tiene la condición de interesado, se contenían en dos documentos: RESOLUCIÓN DECLARACIÓN RESPONSABLE_(…). RESOLUCIÓN DECLARACIÓN RESPONSABLE_(…). Esta información estuvo accesible hasta el día (…), fecha en que el Ayuntamiento de Madrid desconectó la posibilidad de acceso general a la aplicación. Los accesos a través de ***ACCESO.2 y ***ACCESO.3, permanecieron operativos a sus usuarios. SÉPTIMO: Con fecha ***FECHA.3 se incorporó el fichero “(…)” al expediente urbanístico antes mencionado, en el que el reclamante ostentaba la condición de interesado. Esta información sólo estuvo disponible en ***APLICACIÓN.2, en ningún momento lo estuvo en ***ACCESO.3 o ***APLICACIÓN.1. La información referida a dicho documento fue publicada en los medios de comunicación el (…) si bien dicha información fue firmada oficialmente al día siguiente de la publicación, esto es, el (…). OCTAVO: Desde el 1 de marzo de 2018, la gestión de usuarios de ***APLICACIÓN.2 fue asumida por la Subdirección General de Administración Electrónica (altas, bajas y modificaciones) de la parte reclamada. La gestión de accesos a ***APLICACIÓN.1 ((…)) se realiza a través del sistema de información (…). Dicho sistema permite la provisión de roles y la asignación de permisos con base en las peticiones recibidas. ***APLICACIÓN.2 dispone de un sistema específico de autorizaciones con limitación de los roles (entornos y tipos de acceso) de cada usuario y (…) se utiliza para la autenticación de acceso. La autenticación de los usuarios se realiza a través de unas credenciales corporativas (cuenta de acceso más contraseña) y un segundo factor de autenticación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/9 Existen registros de actividad de las actividades de los usuarios, y que permite identificar en cada momento a la persona que actúa. La información de estos registros de actividad se retiene durante el período que se defina. Una cuenta con acceso a un expediente en ***APLICACIÓN.2 puede consultar todos los documentos asociados a dicho expediente. NOVENO: Las altas, bajas y modificaciones se tramitan desde previa petición, por un formulario de la intranet, AYRE, que debe incluir los siguientes datos: •Datos de la persona responsable de la solicitud: nombre, apellidos y correo electrónico. •Datos de la persona responsable de la dependencia: nombre, apellidos y correo electrónico. • Datos de la persona objeto de la petición: nombre, apellidos, usuario de AYRE, puesto Distrito/Área de Gobierno/Organismo autónomo, Dirección General/Departamento y correo electrónico. • Datos del entorno y dependencia para la que solicitan el acceso y el perfil (consulta o gestión). Al tramitar la petición se realizan varias comprobaciones: •Si el usuario ya está autorizado en ***APLICACIÓN.2 para un entorno o dependencia diferente y, si procede, darle de baja en el anterior. • Que el entorno y dependencia corresponde con el puesto de trabajo que ocupa ya que la autorización de acceso a los entornos en ***APLICACIÓN.2 debe estar relacionada con el puesto de trabajo desempeñado. Para acceder en ***APLICACIÓN.2 a entornos diferentes al puesto de trabajo, debe incluir en la solicitud la autorización del responsable del entorno. Tras realizar el alta, se remite correo al solicitante y al responsable de la dependencia. DÉCIMO: Las bajas de los usuarios han de ser comunicadas por las dependencias responsables mediante correo dirigido a ***EMAIL.1 indicando nombre y apellidos y código de ayre”. En el momento en que se produjeron los hechos objeto de la reclamación, en los registros de acceso al sistema de información ***APLICACIÓN.2 no queda registro del momento en el que se realizan las bajas de autorización de acceso. DÉCIMO PRIMERO: En lo que respecta a los controles de acceso a ***APLICACIÓN.2, en el momento en que se produjeron los hechos y hasta el ***FECHA.4, los controles periódicos para detectar accesos indebidos se realizaban controlando la fecha del último acceso y considerando que, quien no hubiera accedido en ese año, ya no estaba ocupando un puesto con necesidad de acceso al Sistema de Información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/9 DÉCIMO SEGUNDO: Desde el ***FECHA.5 se produjeron 122 accesos a la orden de legalización incorporada al expediente urbanístico (…), en el que el reclamante ostenta la condición de interesado. De esos accesos, 56 de ellos (46%) fueron realizados por una misma persona. El acceso fue realizado gracias a permisos de acceso concedidos en atención a una responsabilidad previa de (…) que no se mantenía en el momento de constatarse dichos accesos. Dichos permisos se concedieron respecto de los entornos (…)-***JUNTA.1 (sin dependencia asociada) y (…) _LICENCIAS MUNICIPALES (dependencia Distrito ***DISTRITO.1). No consta en la parte reclamada solicitud de alta en ***APLICACIÓN.2 de dicho usuario ni solicitud de baja cuando cesó en sus responsabilidades de gobierno en el distrito donde se encuentra la vivienda afectada por los expedientes urbanísticos de los que el reclamante es interesado. Con fecha ***FECHA.4, esos permisos le fueron retirados. DÉCIMO TERCERO: Con fecha 10 de octubre de 2019 se elaboró el documento denominado “Sistema de Consulta de Expedientes de Licencias para Ciudadanos en el que se determinó la información a mostrar en cada uno de los diferentes bloques que componen la consulta de expedientes en ***APLICACIÓN.1. DÉCIMO CUARTO: Mediante informes emitidos en diferentes fechas- 29 de abril de 2020, 15 de marzo de 2021 y 15 de abril de 2024-, la Oficina Protección de Datos de la parte reclamada advirtió sobre publicación de datos personales en abierto a través de ***APLICACIÓN.1. En concreto, dicha Oficina indicó que, para proceder a la publicación de los expedientes de licencias, declaraciones responsables, certificados de conformidad y planos debe tenerse muy en cuenta la No publicación de datos personales, así como que habría que anonimizar todos los datos que puedan hacer que una persona física sea identificada o identificable. En el informe de ***FECHA.6 - anterior, por lo tanto, a la presentación de la reclamación indicada en el antecedente primero- se concluye lo siguiente: La conclusión principal es que la aplicación ***APLICACIÓN.1 contiene un volumen de información elevado que no cumple con la normativa de protección de datos y, además, se considera que estamos ante una brecha de seguridad que afecta a un número indefinido de personas y que constituye un riesgo para los derechos y las libertades de las personas físicas. Por ello, se hacen las siguientes recomendaciones:
- a)Proceder a eliminar de ***APLICACIÓN.1 todos los documentos y planos que contengan datos personales.
- b)En el caso de mantener esa documentación, realizar la anonimización de esta, de modo que se impida la identificación de las personas afectadas.
- c)En tanto en cuanto se realicen una de las dos recomendaciones, debería cerrarse el acceso a la aplicación ***APLICACIÓN.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/9 TERCERO: La parte recurrente ha presentado en fecha 23 de diciembre de 2025, en esta Agencia Española de Protección de Datos, recurso de reposición, que, según indica expresamente la parte recurrente, se limita a la medida correctiva de anonimización total impuesta sobre la documentación publicable en ***APLICACIÓN.1, por entender que la misma resulta contraria a la propia motivación de la resolución y al marco normativo aplicable en materia de transparencia y urbanismo, que exige la publicación con disociación de los datos personales no pertinentes, no la anonimización íntegra de los documentos. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Contestación a las alegaciones presentadas Como se ha indicado, la parte recurrente limita su recurso de reposición a la medida correctiva relacionada con la anonimización de los datos personales objeto de publicación en la aplicación ***APLICACIÓN.1. Al respecto, recuerda la normativa de transparencia que es de aplicación- a nivel estatal, autonómico y local- así como que el deber de la Administración de suministrar información urbanística se encuentra reforzado en el ámbito urbanístico por la legislación sectorial en la materia, vinculado a la acción pública en materia de urbanismo. A su juicio, la difusión de información urbanística que pueda alcanzar a datos personales sería lícita a través de una aplicación como es la de ***APLICACIÓN.1 a salvo de que sobre cada tipo de dato en concreto debe valorarse si la comunicación del dato es necesaria para que la difusión de la información urbanística cumpla su finalidad. Si el dato no fuera relevante es cuando debería seudonimizarse. Indica las referencias que se hace en la resolución al respecto, en la que no se imponen una anonimización absoluta de toda información con dato personal, sino la supresión o disociación de los datos no necesarios para la finalidad legítima de transparencia urbanística. Con base en lo anterior, el recurso pone el foco en la literalidad de la parte resolutiva que establece la obligación al Ayuntamiento de proceder a “la anonimización de todos los datos de carácter personal contenidos en la aplicación”. Literalidad que, alega, supondría una incongruencia entre la motivación contenida en la resolución recurrida y la parte resolutiva de la misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/9 En respuesta al recurso presentado, esta AEPD quiere recordar la fundamentación recogida en la resolución recurrida de la que se reproduce lo más relevante en el caso que nos ocupa: A la luz de estos criterios y según se ha adelantado, la publicidad de información urbanística exigida por la legislación aplicable debe garantizarse, e incluso procedería establecer sistemas o plataformas para la difusión activa de información o la facilitación de acceso a la misma por la ciudadanía, pero aplicando en todo caso medidas que eviten la publicación y, por lo tanto, el acceso, a datos personales que no sean necesarios y adecuados para cumplir la finalidad de transparencia, facilitación del control y la dación de cuentas. En estos casos se contaría con la base de legitimación en razón de la legislación de transparencia aludida, pero tal legitimación no alcanzará cuando se difunda o permita el acceso a información y datos personales que no guarden una relación directa con el control ciudadano de la legalidad urbanística. Este enfoque asegura un equilibrio entre el mandato de máxima transparencia que impulsa la normativa urbanística y de transparencia y las exigencias del RGPD y la LOPDGDD, protegiendo simultáneamente el interés público y los derechos de las personas afectadas. Y ello, en coherencia con la jurisprudencia expuesta, que exige que toda medida de publicidad que afecte a datos personales se limite a lo necesario para alcanzar un objetivo legítimo.(…) Por ello, cabe entender que el tratamiento de datos personales consistente en la publicación, en abierto y sin restricciones, de datos que incluyen no sólo nombre y apellidos, sino número de DNI o localización de la vivienda habitual —una información que, además de poder afectar a la seguridad del interesado, podría desvelar información sobre su capacidad económica o financiera— no encuentra su base de licitud en el artículo 6.1
- c)o
- e)del RGPD. Sentado lo anterior, y con independencia de que las medidas correctivas indicadas en la resolución son una plasmación de la argumentación contenida en la misma, esta AEPD comparte que la redacción literal de la medida puede dar lugar a confusión en cuanto al alcance de la misma. Por lo tanto, se considera que ha de estimarse el presente recurso de reposición y proceder a la modificación de la resolución recurrida, en el siguiente sentido: - En el Fundamento de Derecho XIII- medidas correctivas-, tercer apartado, ha de decir: En este caso concreto, se requiere al AYUNTAMIENTO DE MADRID para que, en el plazo máximo de seis meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, acredite ante esta Agencia la adopción de las siguientes medidas: - Que, de acuerdo con los fundamentos de la presente resolución en cuanto al alcance de las obligaciones de transparencia en materia urbanística, se ha procedido a la anonimización de los datos de carácter personal contenidos en la aplicación ***APLICACIÓN.1, abierta al público, que no sean necesarios y adecuados para cumplir la finalidad de transparencia, facilitación del control y la dación de cuentas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/9 El resto del apartado seguirá en la redacción contenida en la resolución que se recurre. - El apartado segundo de la parte dispositiva (página 59) ha de decir: SEGUNDO: ORDENAR al AYUNTAMIENTO DE MADRID, con NIF P2807900B, que en virtud del artículo 58.2.
- d)del RGPD y del art. 77 de la LOPDGDD, en el plazo máximo de seis meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las siguientes medidas: - Que, de acuerdo con los fundamentos de la presente resolución en cuanto al alcance de las obligaciones de transparencia en materia urbanística, se ha procedido a la anonimización de los datos de carácter personal contenidos en la aplicación ***APLICACIÓN.1, abierta al público, que no sean necesarios y adecuados para cumplir la finalidad de transparencia, facilitación del control y la dación de cuentas. El resto del apartado seguirá en la redacción contenida en la resolución que se recurre. III Obligación de dictar resolución expresa De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. No obstante, a pesar de que haya transcurrido el plazo legalmente establecido para resolver, la Administración mantiene la obligación de dictar resolución expresa y de notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, incluidos los recursos administrativos que se hayan podido interponer, según dispone el artículo 21.1 de la citada LPACAP. En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio, según dispone el artículo 24.3 de la misma ley. Por tanto, aunque no se resuelva el recurso en plazo, procede emitir la resolución expresa que lo finalice. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR el recurso de reposición interpuesto por AYUNTAMIENTO DE MADRID contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 19 de noviembre de 2025, en el expediente EXP202408837. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/9 SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE MADRID. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 180-071125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es