En una frase. Endesa (6,1 M EUR), Iberdrola (2,5 M EUR) y Naturgy lideran las sanciones AEPD del sector energético español, principalmente por contrataciones agresivas, scoring opaco y deficiencias en atención a derechos del consumidor.
Puntos clave
- Endesa: 6,1 M EUR acumulados en 35 expedientes desde 2018.
- Iberdrola: 4,2 M EUR acumulados, sanción mayor 2,5 M EUR en 2025.
- Naturgy: 2,8 M EUR. Repsol y TotalEnergies con expedientes en curso.
- Sector responsable del 15% del importe sancionador AEPD en 2025.
- Práctica de “captación cazadores”: comerciales externos puerta a puerta.
1. Por qué el sector energético acumula sanciones
La liberalización del mercado eléctrico generó una guerra comercial entre comercializadoras que se trasladó a prácticas agresivas de captación: comerciales puerta a puerta, llamadas masivas, contratos firmados con datos parciales o suplantación de identidad. La AEPD ha sancionado de forma sistemática estas prácticas desde 2019.
2. Endesa: el caso paradigmático
Procedimiento PS/00037/2020 sancionó a Endesa con 6 M EUR por dos infracciones: 5 M EUR por base jurídica inadecuada en el cambio de comercializadora sin consentimiento válido y 1 M EUR por información insuficiente. Procedimientos posteriores en 2022, 2023 y 2025 confirman el patrón. Total acumulado: 6,1 M EUR.
3. Iberdrola: contratación y datos de consumo
Iberdrola acumula 4,2 M EUR en sanciones. Caso de 2025: 2,5 M EUR por información insuficiente sobre tratamiento de datos de consumo procedentes del contador inteligente para análisis comercial. La AEPD recordó que los datos de consumo horario son datos personales conforme al art. 4.1 RGPD y requieren base jurídica específica.
4. Tabla comparativa de las energéticas
| Comercializadora | Acumulado (EUR) | Expedientes | Sanción mayor |
|---|---|---|---|
| Endesa | 6.100.000 | 35 | 6.000.000 (2020) |
| Iberdrola | 4.200.000 | 28 | 2.500.000 (2025) |
| Naturgy | 2.800.000 | 22 | 1.500.000 (2023) |
| Repsol | 850.000 | 9 | 350.000 (2024) |
| TotalEnergies | 620.000 | 7 | 220.000 (2024) |
| Holaluz | 240.000 | 5 | 100.000 (2023) |
5. Cambio de comercializadora sin consentimiento
Práctica más sancionada del sector. Comerciales externos que firman cambios con datos del recibo de la luz sin contacto real con el titular. La AEPD considera infracción muy grave del art. 6 RGPD con sanciones agravadas por reincidencia. Importes típicos: 100.000-500.000 EUR por procedimiento. Bono Social Eléctrico afectado en muchos casos.
6. Contador inteligente: datos masivos
El contador inteligente genera datos horarios de consumo. Estos datos son personales y permiten perfiles detallados de hábitos del hogar. Su tratamiento exige:
- Información específica al cliente (art. 13 RGPD).
- Base jurídica adecuada (consentimiento, contrato o interés legítimo bien fundado).
- Conservación limitada al plazo necesario.
- EIPD obligatoria cuando se use para perfiles automatizados.
7. Comunicaciones comerciales no consentidas
Llamadas comerciales tras alta como cliente sin opción de oposición previa. La Ley General de Telecomunicaciones (art. 66) y el RGPD exigen base jurídica específica para marketing, un patrón que comparte el sector de las sanciones AEPD a telecomunicaciones. Inscripción del cliente en la Lista Robinson obliga a la comercializadora a verificarla antes de toda campaña.
8. Bono social y datos sensibles
El bono social eléctrico exige tratamiento de datos sobre situación económica, familiar y de discapacidad. Son categorías especiales o datos asimilables. La AEPD ha sancionado a varias comercializadoras por gestión deficiente: acceso no controlado, documentación insuficiente, conservación más allá del plazo regulatorio.
9. Atención a derechos: tiempos y trazabilidad
Las energéticas reciben miles de solicitudes ARCO. La AEPD exige respuesta en 30 días naturales (art. 12 RGPD) con posible prórroga motivada de 60 días adicionales. Las plantillas genéricas que niegan derechos sin análisis individualizado son sancionables.
10. Brechas de seguridad en utilities
El sector energético es infraestructura crítica conforme a la Directiva NIS2. Las brechas requieren notificación a la AEPD (art. 33 RGPD), al CCN-CERT y al regulador sectorial. Procedimiento típico tras incidente: identificación, contención, notificación 72h, comunicación a afectados, análisis forense, medidas correctivas y revisión ENS.
11. Cómo prevenir sanciones en utilities
- Auditoría mensual a la red de captación externa con muestreo de contratos.
- Doble verificación: SMS + voz grabada antes de activar cambio de comercializadora.
- Política específica sobre datos de consumo horario.
- Procedimiento ARCO con respuesta en 30 días y trazabilidad completa.
- Formación trimestral a comerciales en RGPD básico.
12. La responsabilidad de la comercializadora por su red de captación
El punto jurídico decisivo del sector es la responsabilidad del art. 4.7 RGPD: la comercializadora responde de los tratamientos aunque los ejecute una red externa de comerciales puerta a puerta o un call center subcontratado. La estrategia de externalizar la captación para diluir responsabilidad no funciona ante la AEPD. Si un comercial firma un cambio de suministro con los datos del recibo sin contacto real con el titular, la infracción se imputa a la comercializadora que se benefició del alta, no solo al comercial que la ejecutó. Por eso la AEPD exige a las energéticas un control efectivo sobre su cadena de captación: contratos de encargado con cláusulas de auditoría, formación acreditada, muestreo periódico de contratos y mecanismos de detección de altas fraudulentas. La delegación de la ejecución no delega la responsabilidad.
13. Datos de consumo horario: el nuevo campo de batalla
El despliegue masivo de contadores inteligentes ha convertido el dato de consumo horario en el activo más sensible y más codiciado del sector. Cada curva de consumo revela cuándo el hogar está vacío, cuántas personas lo habitan, qué electrodomésticos usa y a qué horas —un perfil conductual detallado. La AEPD ha recordado de forma reiterada que estos datos son personales conforme al art. 4.1 RGPD y que su uso para fines distintos de la facturación (segmentación comercial, venta cruzada, cesión a terceros) exige base jurídica propia e información específica. Cuando el tratamiento alimenta perfiles automatizados, la evaluación de impacto es obligatoria antes del despliegue, y la ausencia de EIPD es en sí misma una infracción independiente del resultado.
14. Atención al derecho de oposición y Lista Robinson
El derecho de oposición del art. 21 RGPD es el que más fricción genera en el sector. El consumidor que ha rechazado recibir comunicaciones comerciales debe dejar de recibirlas de forma efectiva e inmediata, y la comercializadora debe verificar la Lista Robinson antes de cada campaña de prospección. Las plantillas automáticas que “acusan recibo” del ejercicio del derecho pero no lo materializan en los sistemas son una fuente constante de sanción, porque el interesado sigue recibiendo llamadas semanas después. La trazabilidad completa —quién se opuso, cuándo, y prueba de que la oposición se propagó a todos los sistemas de marketing— es la única defensa válida. Las energéticas comparten aquí patrón de riesgo con las compañías de seguros, igualmente expuestas a la contratación agresiva y al perfilado del cliente.
FAQ
¿Cuál es la sanción más alta a una energética en España?
Endesa con 6 M EUR en 2020 por cambios de comercializadora sin consentimiento.
¿Pueden cambiarme de compañía sin mi permiso?
No. El cambio de comercializadora requiere consentimiento del titular del punto de suministro. Si ocurre, denuncie a la AEPD y reclame el restablecimiento.
¿Los datos del contador inteligente son datos personales?
Sí. Permiten identificar al consumidor y perfilar hábitos. Su tratamiento exige base jurídica específica conforme al art. 6 RGPD.
¿Cómo solicito que dejen de llamarme?
Ejerza el derecho de oposición (art. 21 RGPD) por escrito y, si la actividad continúa, denuncie a la AEPD. Inscríbase en la Lista Robinson.
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial