Мэрия Мадрида признана виновной в утечке личных данных партнера Исабель Диас Аюсо

Испанское агентство по защите данных (AEPD) возложило на мэрию Мадрида ответственность за передачу представителям СМИ персональных данных Альберто Гонсалеса Амадора, партнера президента сообщества Мадрид Исабель Диас Аюсо.

Согласно официальному решению ведомства, администрация под руководством Хосе Луиса Мартинеса-Алмейды нарушила три статьи Общего регламента по защите данных (GDPR). В результате халатности в распоряжении журналистов оказались полное имя, номер удостоверения личности (DNI), домашний адрес, номер телефона, личная электронная почта и полная документация по градостроительным делам, связанным с жильем Гонсалеса Амадора в районе Чамбери.

Решение AEPD обязывает столичную мэрию внедрить ряд исправительных мер в течение ближайших шести месяцев. В частности, администрация должна обеспечить анонимизацию всех личных данных в публичных сервисах градостроительных справок, документировать процедуры предоставления и отзыва доступа к базам данных, а также проводить регулярный аудит разрешений в своих внутренних системах.

Поскольку виновником признана государственная администрация, штрафные санкции не предусматривают денежных выплат. В случае с частными компаниями подобные нарушения могут караться штрафами до 20 миллионов евро. Для мэрии же вердикт вынесен в форме официального предупреждения с обязательством устранить выявленные недостатки.

Масштаб утечки информации

Объем данных, попавших в прессу, оказался беспрецедентным. Помимо базовых контактов, были раскрыты мельчайшие подробности планировки квартиры: распределение комнат, площадь, расположение входов и выходов, кадастровые данные, а также экономические показатели — бюджет и стоимость проведенного в жилье ремонта.

Следствие установило, что утечка произошла по двум каналам. Первым стало общедоступное приложение для проверки лицензий, которое позволяло любому желающему без ограничений просматривать документы по любому адресу города. Вторым каналом стал инструмент внутреннего управления, предназначенный исключительно для муниципальных сотрудников. К нему незаконно получил доступ человек, чьи полномочия уже истекли, но доступ к системе аннулирован не был.

Проверка показала, что в день публикации материалов в СМИ во внутреннюю систему было совершено 13 несанкционированных входов для изучения дела Гонсалеса Амадора. Одна из пользовательниц заходила в систему 56 раз в нерабочее время, используя старые доступы, которые не были вовремя закрыты муниципальными службами.

Игнорирование предупреждений

Ситуация усугубляется тем, что внутренние службы безопасности самой мэрии неоднократно предупреждали о рисках. Соответствующие отчеты подавались в 2020, 2021 и 2024 годах. В них указывалось, что публичное приложение нарушает закон о защите данных и представляет собой «брешь в безопасности, затрагивающую неопределенный круг лиц». Более того, аудит еще 2015 года рекомендовал навести порядок в процедурах отзыва прав доступа у увольняющихся сотрудников, однако эти рекомендации были проигнорированы.

На данный момент это решение стало очередным юридическим успехом предпринимателя в череде споров, связанных с его недвижимостью. Ранее суд подтвердил законность строительных работ в его квартире, а теперь надзорный орган официально осудил мэрию за неспособность сохранить конфиденциальность его данных.