El Ayuntamiento de Madrid, sancionado por la Agencia de Protección de Datos por la filtración sobre el piso de la pareja de Ayuso
La Agencia Española de Protección de Datos (AEPD) ha sancionado al Ayuntamiento de Madrid por la “revelación, transmisión y difusión” en medios de comunicación de los datos personales de Alberto González Amador, novio de Isabel Díaz Ayuso. Esos datos que saltaron a la opinión pública estaban incluidos en los expedientes que se le abrieron en 2022 para analizar la posible ilegalidad de las obras que llevó a cabo en el domicilio de Chamberí en el que convive con la presidenta de la Comunidad de Madrid.
Este es el segundo litigio que el comisionista y empresario gana al consistorio dirigido por José Luis Martínez-Almeida en relación a esa vivienda. En abril de 2025 trascendió que un juzgado de lo Contencioso-Administrativo de Madrid falló a favor de González Amador al entender que la reforma integral que realizó sí se encontraba amparada por una declaración responsable que fue debidamente presentada.
La batalla administrativa entre el novio de Ayuso y el Ayuntamiento tiene su origen en julio de 2022, cuando el empresario adquirió la vivienda por 850.000 euros. La entrada fue de 350.000 euros (cantidad cercana a la que presuntamente esquilmó al erario público), y el resto del dinero, 500.000 euros, lo aportó mediante una hipoteca. Ya con las llaves en la mano, arrancaron las reformas que derivaron en la apertura de esos expedientes municipales. Y es que esas obras fueron de todo menos pacíficas para los vecinos: al restaurante ubicado en el bajo llegaron aguas fecales, las empresas de cristalería ocuparon la vía pública y hubo derribo de tabiques.
En mayo de 2024 trascendió a la prensa que el Ayuntamiento estudiaba la legalidad de esas obras, y fue justo un mes después cuando González Amador decidió poner una reclamación ante la AEPD contra el consistorio madrileño. Una acción que apoyó su pareja, Díaz Ayuso: “Un ciudadano tiene derecho a defenderse si una institución revela datos personales ante la administración que sea”.
Tras meses de diligencias y de alegaciones por parte del equipo de Almeida, el asunto se ha resuelto con una sanción para el Ayuntamiento de Madrid por la vulneración de hasta tres artículos del Reglamento General de Protección de Datos. Pero esa sanción, al ir contra una administración pública, se queda solo en una suerte de apercibimiento para que se subsanen los agujeros de su sistema de protección de datos. Y eso que la norma recoge que las multas —que van dirigidas fundamentalmente a empresas— pueden ascender a 20 millones de euros.
Se da la coincidencia de que la AEPD dictó esta sanción un día antes (19 de noviembre de 2025) de que se hiciera pública la sentencia del Tribunal Supremo que condenaba al ex fiscal general del Estado Álvaro García Ortiz por un delito de revelación de secretos. Esa causa del Alto Tribunal nacía también en González Amador y su fraude a las arcas públicas. La Fiscalía le pide tres años y 9 meses de cárcel por dos delitos de fraude fiscal, equivalentes a 350.951 euros, y otro de falsificación de documentos.
La resolución de la AEPD, que ha podido consultar en fuentes abiertas elDiario.es a través del portal de la agencia, explica que el novio de Ayuso denunció que entre los datos que acabaron en poder de los medios estaba su nombre completo, su DNI, su dirección postal, su número de teléfono, la dirección de correo personal, y el contenido íntegro de los expedientes urbanísticos vinculados a su vivienda habitual. También lamentaba que terceros pudieron ver datos de la vivienda, como su distribución, la superficie, la ubicación de las entradas y salidas al exterior o datos como el presupuesto y coste de la obra. Explicaba en su denuncia que los datos difundidos en los medios “únicamente eran conocidos por el Ayuntamiento como organismo responsable de la tramitación del expediente urbanístico”.
Las dos aplicaciones
La Agencia, siguiendo el protocolo administrativo por el que se rige, trasladó la denuncia al Ayuntamiento, que respondió un mes después indicando que, tras estudiar el asunto, detectaban doce noticias que hacían mención o incluían literales de dos expedientes administrativos relativos a la vivienda en cuestión. Y que esa información había sido obtenida a través de dos aplicaciones distintas del consistorio.
La primera de esas aplicaciones, que en la resolución anonimizada aparece como 'Aplicación 1', es una herramienta de acceso público que sirve para consultar licencias y expedientes urbanísticos y que depende de la Agencia de Actividades. Y la segunda de ellas, la 'Aplicación 2', es de uso exclusivo del personal municipal autorizado. Con estas primeras pesquisas, el Ayuntamiento bloqueó la aplicación de acceso telemático público.
Tras esto, y a requerimiento de la Agencia, el consistorio indicó que no se podía calificar el incidente como “brecha de seguridad” porque no tenían constancia de la existencia de una violación de seguridad de los datos personales o accesos ilegítimos en relación con los sistemas de información gestionados por la IAM, Informática del Ayuntamiento de Madrid. Y sobre las medidas que se iban a adoptar, el Ayuntamiento explicó que ya había llevado a cabo una “desconexión temporal” de la aplicación pública para trabajar en la anonimización de datos sensibles y que se capó el acceso a la persona que había consultado en decenas de ocasiones la aplicación interna.
Con todos los datos sobre la mesa, los inspectores asignados por la Agencia iniciaron un largo procedimiento de meses que cristalizó en diciembre de 2024 con el arranque del procedimiento sancionador. Tras diversas alegaciones de los organismos municipales afectados, en agosto de 2025 la AEPD entendió que el Ayuntamiento había infringido el reglamento europeo de protección de datos y conminaba a Martínez Almeida a anonimizar todos los datos de carácter personal contenidos en la aplicación pública; a documentar las altas y las bajas de los usuarios que tenían acceso a bases de datos sensibles; y a la revisión periódica de los permisos de acceso a las bases internas.
En la resolución, la AEPD explica que si bien el derecho de acceso a la información urbanística “debe interpretarse conforme al principio de transparencia máxima”, esta “no es ilimitada y debe armonizarse con el derecho fundamental a la protección de datos personales”. Por eso, recuerda que no es permisible “la publicación indiscriminada de cualquier dato personal, sino únicamente aquellos realmente necesarios para la finalidad de (…) fiscalización”.
La Agencia concluye su resolución dándole seis meses al Ayuntamiento para que implemente todas las medidas que le exige, incluida la anonimización de datos personales en la aplicación que es de acceso público. El Ayuntamiento, en diciembre de 2025, recurrió la decisión de la AEPD, pero solo para matizar que la aplicación de acceso público no debía ser anonimizada totalmente porque esto sería contrario “al marco normativo aplicable en materia de transparencia y urbanismo”. Y la Agencia aclaró que se debían disociar solo los datos personales no pertinentes.
Mientras, la pareja Ayuso-Amador continúa disfrutando no solo del piso reformado sino también del ático de lujo del mismo edificio, adquirido por 950.000 euros por una sociedad denominada Babia Capital SL, que es administrada por el fiscalista de González Amador, Javier Gómez Fidalgo. El propio empresario declaró en una comparecencia judicial que Fidalgo se lo alquilaba por 5.000 euros al mes con derecho a compra, que finalmente ejecutó en noviembre del año pasado.