Las sanciones de protección de datos en energía no se explican únicamente por las llamadas comerciales o los cambios de suministrador. La seguridad de los accesos, la exactitud de los contratos, las respuestas a los afectados y el uso de proveedores internacionales también pueden generar incumplimientos. Para prevenirlos conviene seguir el recorrido del dato desde la captación hasta el cierre del suministro.
Esta guía analiza un expediente oficial de Endesa y las decisiones operativas que una comercializadora debe revisar en 2026. No ofrece un ranking ni sumas acumuladas de multas por compañía: mezclar propuestas, resoluciones, pagos y recursos produciría una comparación engañosa. Las reglas específicas de electricidad tampoco deben trasladarse automáticamente al gas, al agua o a cualquier servicio denominado «utility».
Endesa: qué contiene realmente el expediente de 6,1 millones
La resolución PS/00002/2023, recogida en la memoria de la AEPD de 2023, impuso a ENDESA ENERGÍA, S. A. U., sanciones que sumaban 6.100.000 euros. El asunto aborda accesos indebidos, seguridad, notificación de una brecha, información a afectados y transferencias internacionales. No corresponde a una multa de seis millones en 2020 por cambios de comercializadora sin consentimiento.
El desglose de la parte dispositiva es de 2,5 millones por el artículo 5.1.f del RGPD, 1,5 millones por el artículo 32, 800.000 euros por el artículo 33, otros 800.000 por el artículo 34 y 500.000 por el artículo 44. La memoria describe anuncios que ofrecían credenciales de acceso y deficiencias posteriores de reacción. Cada importe debe asociarse a la obligación concreta, no a una etiqueta general de «marketing».
La cifra identifica las sanciones de esa resolución administrativa, consultada el 29 de septiembre de 2026. No acredita un acumulado de treinta y cinco expedientes ni una posición en un ranking, y aquí no se afirma un resultado judicial firme. Para conocer una evolución posterior habría que comprobar el recurso y su decisión; la existencia del documento en la web no elimina esa necesidad.
La lección operativa es que un problema puede extenderse a varias obligaciones: impedir accesos indebidos, detectar lo ocurrido, notificarlo correctamente y explicar sus consecuencias. Que todas nazcan de un mismo incidente no significa que tengan los mismos hechos, plazos o destinatarios. El seguimiento de resoluciones de 2026 ayuda a distinguir estos elementos al comparar actuaciones de distintos años.
Contratación: demostrar quién solicitó el cambio
La contratación de un suministro puede requerir datos identificativos, del punto de suministro, de contacto y de pago. El artículo 6.1.b del RGPD ampara el tratamiento necesario para un contrato con el interesado o las medidas precontractuales solicitadas por este. No permite presumir que cualquier persona que entrega una factura está autorizada para contratar en nombre del titular.
Es importante distinguir la aceptación contractual del consentimiento como base de protección de datos. Una operación puede necesitar un acuerdo válido del consumidor sin que todo tratamiento deba apoyarse en el consentimiento del artículo 6.1.a. La empresa debe poder acreditar la solicitud, la representación cuando exista y la necesidad de los datos tratados para cada finalidad.
Una comprobación útil revisa la coherencia entre identidad, dirección, punto de suministro y canal de contratación. Ante discrepancias relevantes, conviene detener la activación y verificar la operación por un canal adecuado. No existe una regla general del RGPD que imponga siempre dos factores concretos, como SMS más grabación de voz, pero sí la obligación de adoptar medidas apropiadas al riesgo y poder justificar la elección.
En un supuesto hipotético, un comercial obtiene una fotografía de una factura durante una visita. Esa imagen puede facilitar una oferta solicitada, pero no acredita por sí sola la voluntad del titular de cambiar de compañía. Tampoco justifica conservar indefinidamente datos de pago o información ajena a la comparación. La organización debe diferenciar presupuesto, solicitud, validación y contratación efectiva.
Redes comerciales y responsabilidades reales
El contrato con una agencia debe corresponder a lo que esta hace. Si trata datos por cuenta de la comercializadora bajo sus instrucciones, procede el régimen de encargado del artículo 28. Si capta contactos para fines propios y decide su explotación, pueden existir funciones de responsable; una misma empresa puede tener roles distintos según la operación. No debe decidirse el reparto únicamente por quién factura la comisión.
Cuando hay un encargado, el contrato escrito u otro acto jurídico vinculante de la Unión o de un Estado miembro debe cubrir instrucciones, confidencialidad, seguridad, asistencia y subcontratación, con las garantías exigidas. La comercializadora necesita información suficiente para seleccionar y supervisar el servicio. Una cláusula que haga responsable de todo al agente no libera al responsable de sus propias obligaciones.
La supervisión puede apoyarse en muestras proporcionadas de altas, reclamaciones y cancelaciones, ajustadas al riesgo. Es una recomendación organizativa, no una frecuencia mensual universal impuesta por el RGPD. Si aparecen identidades incongruentes o llamadas tras una oposición, la revisión debe alcanzar la causa: origen de los contactos, incentivos, permisos, guiones y sincronización de exclusiones.
Los patrones de contratación externa permiten comparaciones útiles con las sanciones en telecomunicaciones, siempre que se mantenga la diferencia de normativa sectorial. Una práctica aceptable en otro mercado no prueba que cumpla las reglas vigentes para comercialización eléctrica.
Llamadas comerciales: la novedad eléctrica de 2026
El Real Decreto 88/2026 aprobó el nuevo Reglamento general de suministro, comercialización y agregación de energía eléctrica. Su artículo 13.y contiene una regla específica para comunicaciones publicitarias o de contratación por teléfono a consumidores personas físicas. Ese artículo surte efectos desde el 12 de junio de 2026, conforme al aplazamiento de cuatro meses establecido en la disposición final novena.
El precepto restringe las llamadas no solicitadas, contempla la petición expresa, inequívoca e informada del consumidor para una finalidad específica o la llamada iniciada por este, y mantiene expresamente la referencia al interés legítimo de la Circular 1/2023 de la AEPD. Por ello no debe resumirse como una prohibición absoluta sin excepciones ni como una autorización general para llamar a cualquier cliente de la comercializadora.
La Circular 1/2023 exige examinar la relación previa, la obtención lícita del contacto, la similitud de servicios y las expectativas del interesado, entre otras condiciones. Las llamadas automáticas sin intervención humana tienen el régimen de consentimiento previo del artículo 66.1.a de la Ley General de Telecomunicaciones. El análisis debe empezar por el tipo real de llamada y por quién la realiza.
El reglamento eléctrico exige grabar las llamadas, cualquiera que sea su origen, incorporando la información facilitada y la oferta precontractual. La empresa debe organizar custodia, acceso y recuperación de esas grabaciones, con información y seguridad apropiadas. La grabación sirve para acreditar el contenido, pero no convierte una contratación no solicitada o una identidad equivocada en una operación legítima.
La consulta de sistemas de exclusión publicitaria se rige por el artículo 23 de la LOPDGDD, con su excepción cuando el interesado ha consentido recibir la comunicación de quien la realiza. Las bajas directas siguen siendo relevantes aunque una lista externa no esté actualizada. Una oposición inequívoca durante la llamada debe atenderse inmediatamente conforme al criterio de la circular, evitando que otro agente vuelva a utilizar el mismo contacto.
Datos de consumo: necesidad, granularidad y nuevos usos
Las lecturas vinculadas a un titular o domicilio identificable son datos personales. Según su frecuencia y combinación con otras fuentes, pueden permitir inferencias sobre ocupación y hábitos, pero no debe afirmarse que todo contador identifica exactamente cada actividad doméstica. La evaluación debe considerar qué datos se recogen realmente, su granularidad y quién puede acceder a ellos.
Facturar, resolver una discrepancia y elaborar ofertas personalizadas no son necesariamente la misma finalidad. La empresa debe justificar los datos y la base de cada operación e informar de los usos relevantes. Una obligación de recoger lecturas para el suministro no concede por sí sola libertad para reutilizarlas en cualquier perfil comercial o comunicarlas a otra sociedad.
La minimización puede influir en la frecuencia de lectura disponible para cada equipo, en la agregación y en la conservación. Un servicio de atención al cliente puede necesitar determinadas lecturas para resolver una factura sin acceder a toda la serie detallada durante años. Mantener distintos niveles de acceso permite ajustar el uso a la tarea sin impedir la prestación del servicio.
No todo perfil exige automáticamente una evaluación de impacto. Esta es obligatoria cuando el tratamiento sea susceptible de entrañar alto riesgo conforme al artículo 35, atendiendo a sus características y a los supuestos y listas aplicables. La evaluación debe hacerse antes del tratamiento y analizar, entre otros elementos, escala, seguimiento, personas vulnerables y consecuencias de las decisiones.
El artículo 22 tiene además un umbral propio: decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o similares significativamente relevantes. Una clasificación comercial no debe equipararse sin análisis a una decisión automática que impida contratar. Si existe intervención humana, debe evaluarse si es efectiva y puede cambiar el resultado, no solo si aparece un empleado al final del proceso.
Bono social y vulnerabilidad: acceso limitado a la finalidad
Los expedientes asociados a situaciones de vulnerabilidad pueden contener datos económicos, familiares y, en ciertos casos, de salud o discapacidad. La falta de ingresos o un dato bancario no son por sí solos categorías especiales del artículo 9. Cuando sí se trate una categoría especial, hará falta identificar tanto la base del artículo 6 como la excepción del artículo 9 y la habilitación legal pertinente.
La oficina comercial debe conocer qué comprobaciones exige la normativa aplicable y evitar pedir documentos completos cuando baste una acreditación menos intrusiva permitida por ella. No corresponde trasladar automáticamente toda la información a una base de segmentación publicitaria. La finalidad de acreditar una condición protegida no debe transformarse en una señal comercial disponible para cualquiera.
Es recomendable separar permisos de tramitación, atención y revisión, registrar accesos y limitar las exportaciones. Si se comparte documentación con un proveedor, debe precisarse su papel y la información necesaria. Las dificultades de confidencialidad se parecen a las de otras actividades que manejan circunstancias personales, como las compañías de seguros, aunque las habilitaciones sectoriales sean diferentes.
Derechos y errores que afectan al suministro
Una solicitud de acceso a los datos puede referirse a contratos, grabaciones, procedencia de contactos o destinatarios. La empresa debe localizar la información en sus sistemas y en los servicios que actúan por su cuenta, protegiendo derechos de terceros. Pedir al cliente que vuelva a recorrer todos los departamentos no es un mecanismo adecuado de gestión del derecho.
El plazo general es un mes desde la recepción, no treinta días naturales. Puede ampliarse otros dos meses por la complejidad o el número de solicitudes, informando de la prórroga y sus razones dentro del primer mes. Si no se actúa, también deben comunicarse los motivos y las vías de reclamación y recurso en ese plazo. Las reglas específicas del sector para obtener determinados documentos deben analizarse por separado.
La rectificación de una identidad mezclada o un dato de contacto erróneo puede requerir revisar sus efectos en contratos, facturación y comunicaciones a destinatarios. No basta con corregir la pantalla que ve el agente si el error continúa en otros sistemas. Conviene documentar la corrección y las comunicaciones procedentes conforme al artículo 19, con sus excepciones legales.
La supresión no elimina obligaciones de conservación válidas ni la necesidad de defender reclamaciones dentro de las condiciones del artículo 17.3. Sin embargo, esas finalidades requieren selección, acceso limitado y plazos justificados. Mantener una factura exigida legalmente no autoriza a seguir usando el teléfono para publicidad después de una oposición.
Brechas: varios análisis, plazos y destinatarios
Un acceso indebido puede afectar a confidencialidad, integridad o disponibilidad de datos personales. Debe investigarse qué personas y sistemas están expuestos y contener la situación sin destruir pruebas necesarias. El expediente Endesa muestra por qué la detección de credenciales comprometidas exige decisiones sobre permisos, controles y alcance real, además de una comunicación institucional.
El artículo 33 del RGPD exige notificar a la autoridad competente sin dilación indebida y, cuando sea posible, dentro de setenta y dos horas desde que se tenga constancia, salvo que sea improbable el riesgo para los derechos y libertades. Si se supera ese plazo, deben explicarse los motivos. Toda brecha de datos personales se documenta, incluso cuando la conclusión razonada sea que no procede notificar.
La comunicación a las personas del artículo 34 es distinta: depende del alto riesgo y de las condiciones y excepciones del precepto. Un procedimiento de gestión de brechas debe permitir tomar ambas decisiones y actualizar la información a medida que avance la investigación. No es necesario conocer cada detalle técnico para empezar a cumplir los deberes de comunicación que ya resulten exigibles.
Las obligaciones de ciberseguridad sectorial deben determinarse según la entidad, su actividad y su ámbito normativo. No toda empresa relacionada con energía está sujeta automáticamente a idénticas comunicaciones al CCN o a todos los requisitos del Esquema Nacional de Seguridad. Cuando exista una relación con sistemas del sector público, habrá que comprobar el alcance correspondiente, además de las obligaciones propias de protección de datos.
Convertir los antecedentes en controles verificables
Una revisión útil conecta cada riesgo con una evidencia: solicitud válida del cambio, trazabilidad de una llamada, permisos de acceso, corrección propagada, decisión de conservación o evaluación de una brecha. Los antecedentes recogidos en el seguimiento de sanciones de 2025 pueden orientar preguntas, pero no sustituyen la comprobación de los procesos actuales ni prueban que una empresa cometerá la misma infracción.
La prioridad depende de los fallos observados y de sus consecuencias. Si se repiten altas discutidas, debe revisarse la contratación; si aparecen credenciales compartidas, hay que intervenir sobre accesos y supervisión; si se pierden solicitudes, debe corregirse su circuito. La formación y las revisiones periódicas ayudan cuando responden a esos problemas, sin inventar frecuencias legales universales ni prometer que una plantilla evitará cualquier sanción.