Gönüllü Ödemeyle Güneş Enerjisi Şirketi Hakkındaki Sürecin Sona Ermesi

1/36

 Expediente N.º: EXP202305278

RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 19 de noviembre de 2024, la Directora de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador a EDP SOLAR
ESPAÑA, S.A. (en adelante, la parte reclamada), mediante el Acuerdo que se
transcribe:

<<
Expediente N.º: EXP202305278

ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR...................................1
HECHOS....................................................................................................................... 1
PRIMERO: Contenido de la reclamación y documentación que adjunta el reclamante
................................................................................................................................... 1
SEGUNDO: Traslado de la reclamación.....................................................................5
TERCERO: Admisión a trámite.................................................................................19
CUARTO: Actuaciones previas de investigación......................................................19
QUINTO: Consulta datos de la empresa EDP SOLAR ESPAÑA, S.A......................21
FUNDAMENTOS DE DERECHO.................................................................................21
I Competencia.......................................................................................................21
II Obligación incumplida........................................................................................21
III Tipificación de la conducta infractora................................................................27
IV Propuesta de sanción.......................................................................................28
V Adopción de medidas........................................................................................31
SE ACUERDA:............................................................................................................. 32

ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/36

De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes

HECHOS

PRIMERO: Contenido de la reclamación y documentación que adjunta el reclamante

A.A.A. (en adelante, A.A.A.) con fecha 3/03/2023, interpuso reclamación ante la
Agencia Española de Protección de Datos. Los motivos en que se basa son los
siguientes:

El 22/02/2023, recibió un correo electrónico del dominio @ECODES.org, en el que se
le anexaban a él y “al menos 99 personas diferentes, incluido yo” … un archivo adjunto
en formato PDF que contenía, entre otros, los siguientes datos personales:

-“nombre, apellidos, DNI, número de teléfono móvil, dirección de correo electrónico,
dirección postal, localidad, código postal; de al menos 99 personas diferentes, incluido
yo mismo.”

Aporta:

- en DOCUMENTO 1, copia de un correo electrónico recibido el 22/02/2023, en
“***[email protected]” con el título: “notificación comercializadora-Pabellón siglo
XXI”, “Cco”, solo la dirección del reclamante, “como participante en Actur Barrio Solar”.

El literal informa sobre la conexión de las instalaciones fotovoltaicas, autoconsumo de
energía solar, y :

“Como parte del proceso, el viernes pasado, la empresa distribuidora ha dado aviso a
todas las comercializadoras de los participantes de Barrio Solar de que tienen que
habilitar el autoconsumo en sus contratos domésticos. Por eso es probable que hayáis
recibido alguna comunicación de vuestra comercializadora de luz, ya sea por teléfono
o correo electrónico, pidiéndoos una serie de información sobre la instalación de
autoconsumo a la que estáis inscritos.

La documentación que tenéis que enviarles cada uno de vosotros y que os
adjuntamos en este correo electrónico es la siguiente:

-Contrato de Coeficientes de Reparto (PDF)
-Archivo TXT (bloc de notas “

(se ven los dos documentos ANEXOS en el correo electrónico, uno en formato .txt, el
otro con una numeración seguida del nombre: “(...)_Listado poderes.pdf”, aunque el
reclamante no los aporta en abierto para ver su contenido, por tanto, estos no se
visualizan). En la parte inferior del correo figura el logo de EDP SOLAR.

Aporta también el reclamante como parte del DOC 1:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/36

-un correo electrónico enviado por el reclamante a ECODES.org, del mismo
22/02/2023, 19:16. en el que le inquiere, porque ha mandado “todos los datos
personales de las personas participantes del proyecto Barrio Solar, en el anexo del
correo electrónico, no solo los míos”.

-un correo electrónico de ECODES.org al reclamante, de 23/02/2023, 9:52, del literal:

“Los documentos que os hemos enviado y los contenidos de los mismos son los que
exige el proceso de activación del autoconsumo colectivo de una instalación
fotovoltaica comunitaria.

El documento de reparto sigue un modelo regulado y debe incluir los datos de los
participantes y la firma. En este caso, EDP actúa en representación de los
participantes, y en estos casos se exige que junto al documento de reparto se incluya
la aceptación de esta representación de todos ellos, documento que nos ha remitido
EDP para su anexión.”

-otro correo electrónico del reclamante a ECODES.org, de 24/02/2023 a las 18;37,
solicitando se le informe del responsable del tratamiento de sus datos.

-correo electrónico de ECODES.org al reclamante, de 27/02/2023, con copia a
[email protected], en el que, en respuesta a su solicitud, le informa que “el
responsable del tratamiento en el proyecto Actur Barrio Solar que es a quien debe
dirigir su solicitud es EDP SOLAR ESPAÑA SA”, (en lo sucesivo EDP) indicando su
dirección y los datos de contacto de su DPD. Añadiendo que “el encargado de
tratamiento es Fundación Ecología y Desarrollo, ECODES”, junto a sus datos de
contacto del DPD.

-correo electrónico del reclamante de 28/02/2023 a EDP, indicando que desde la
dirección de ECODES, se le envió un correo electrónico en el que “a todos los
destinatarios se les remitía un fichero en el que se pueden leer siguientes datos
personales: nombre, apellidos, DNI, número de teléfono móvil, dirección de correo
electrónico, dirección postal, localidad, código postal”, y ejerce su derecho de acceso.

-en el archivo adjunto de la reclamación (…), copia de correo electrónico de EDP al
reclamante, de 2/03/2023: que da respuesta a la solicitud del reclamante, indicándose
entre otros:

“EDP está tratando datos personales referentes a su persona, que fueron facilitados
originariamente por ECODES, a quién manifestó su interés para formar parte del
proyecto Barrio Solar y que, posteriormente, fueron completados por usted para la
formalización del contrato de participación en el mismo.

Los datos objeto de tratamiento son los siguientes:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/36

Datos identificativos: Nombre y Apellidos, Dirección, CIF,
Datos de contacto: Teléfono, Correo
Datos del punto de suministro: Dirección, Número, Piso, Escalera, Letra, Código
Postal, Población, Municipio, País, CUPS
Datos del Producto contratado: Número de cuotas de participación, Forma de Pago,
Datos de Facturación: IBAN
Documentos compartidos: Factura y DNI.

Sus datos son tratados con la finalidad de gestionar, mantener, desarrollar,
cumplimentar y controlar la contratación y funcionamiento del servicio “Barrio Solar”,
así como para proporcionarles servicios complementarios relacionados con
instalaciones solares, servicios complementarios de revisión, asistencia técnica o
mantenimiento.

Adicionalmente, conforme a lo específicamente solicitado, se exponen a continuación
los concretos tratamientos de datos realizados en el marco de la contratación
realizada por su parte en el marco del proyecto “Barrio Solar”:

El proceso la participación de los consumidores en el autoconsumo colectivo se
establece en el Real Decreto 244/2019, de 5/04, por el que se regulan las condiciones
administrativas, técnicas y económicas del autoconsumo de energía eléctrica, para
cuya concreción se publicó la Guía “IDAE 021: Guía Profesional de Tramitación del
Autoconsumo” del Instituto para la Diversificación y Ahorro de la Energía, dependiente
del Ministerio para la Transición Ecológica.

En cumplimiento de las obligaciones recogidas en esta normativa y siguiendo las
indicaciones de la Guía, se procedió, como conoce, a:

-la firma de un mandato a favor de EDP para poder llevar a cabo los trámites
correspondientes ante las empresas distribuidoras y comercializadoras eléctricas, así
como

- la gestión de la aceptación por todos los consumidores interesados del
correspondiente acuerdo en el que se recogen los criterios de reparto del
autoconsumo

Tanto por usted como por el resto de los consumidores firmaron el mandato mediante
un sistema de firma electrónica provisto por un prestador de servicios de confianza
cualificado, cuyo funcionamiento se regula en el reglamento e-IDAS: Reglamento (UE)
n ° 910/2014 del Parlamento Europeo y del Consejo, de 23/07/2014, relativo a la
identificación electrónica y los servicios de confianza para las transacciones
electrónicas en el mercado interior. Este sistema, generó un justificante electrónico de
las firmas efectuadas.

Posteriormente, se procedió, por parte del mandatario de EDP, a la firma del acuerdo
de reparto general en nombre de todos los consumidores que le habían apoderado al
efecto, entre los que se encuentra usted. Para que dicho acuerdo sea válido, es
necesario que en el mismo consten los mandatos firmados por los consumidores. En
este caso, como el apoderamiento se hizo por medios digitales, en lugar de una firma
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/36

física se aporta el justificante de la firma digital, que contiene la información a la que
usted hace referencia en su consulta, de ahí que consten en el acuerdo.

Finalmente, el acuerdo se puso a disposición de todos los consumidores participantes,
para que tengan constancia del acuerdo suscrito en su nombre, como parte del
mismo. Al tratarse de un contrato digital, el mismo ha de entregarse con su contenido
íntegro, puesto que cualquier alteración implicaría que la copia digital entregada se
detectase como manipulada, por lo que no serviría para justificar el acuerdo suscrito.

Por lo tanto, como se ha expuesto, el intercambio de información realizado se ajusta a
las exigencias normativas para la creación de la comunidad de autoconsumo
energético.

No obstante, le indicamos que, ante su petición, se ha procedió a tramitar una
cuestión ante la Agencia Española de Protección de Datos para que aclare todos los
puntos del proceso regulados en la norma e interpretados en la guía del IDAE.

Complementariamente a lo previamente informado, le indicamos que, durante la
vigencia del contrato, sus datos podrán ser comunicados a las siguientes entidades:

La empresa distribuidora correspondiente, produciéndose con la misma un
intercambio de información permanente para la adecuada prestación del servicio.

Organismos y Administraciones Públicas que por ley corresponda.

Bancos y entidades financieras para el cobro de los servicios prestados.

Otras empresas del grupo empresarial, únicamente para fines administrativos internos
y la gestión de los productos y servicios contratados”.

SEGUNDO: Traslado de la reclamación

De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección
de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el
27/04/2023, se dio traslado de dicha reclamación a FUNDACIÓN ECOLOGÍA Y
DESARROLLO, ECODES, y a EDP SOLAR ESPAÑA SA para que procediesen remitir
a esta Agencia la siguiente información, con el fin de conocer las circunstancias del
caso concreto y admitir o no a trámite la reclamación:

1. DESCRIPCIÓN DETALLADA Y CRONOLÓGICA DE LOS HECHOS OCURRIDOS.

1.1 Con fecha 24/05/2023, se recibe respuesta de FUNDACIÓN ECOLOGÍA Y
DESARROLLO, ECODES (ECODES en lo sucesivo) que comienza indicando que es
una organización independiente sin ánimo de lucro que desde 1992 trabaja por el
desarrollo sostenible y respetuoso con el medio ambiente.

El proyecto “Barrio Solar” es una iniciativa de autoconsumo colectivo pionera, donde
100 vecinos pueden aprovechar la energía solar generada en la cubierta de un edificio
municipal de su zona, mediante el abono de una cuota mensual y sin necesidad de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/36

instalar nada en sus viviendas. Es lo que técnicamente se denomina un proyecto de
autoconsumo colectivo de energía solar.

Para ponerlo en marcha se firmó un Convenio entre EDP ENERGÍA SAU, una
empresa española perteneciente al grupo EDP España, dedicada a la producción de
energía eléctrica, el Ayuntamiento de Zaragoza y ECODES. Este Convenio contiene
un anexo relativo al tratamiento de datos personales en el que se establece que EDP
es el responsable del tratamiento de los datos y ECODES es el encargado de
tratamiento.

Manifiesta que se dispuso un formulario de contacto en su web, para que los
interesados en formar parte de dicho proyecto introdujeran su correo electrónico y/o su
teléfono. Los datos contenidos en este formulario llegan a una única cuenta de correo
de ECODES.org, administrada por ECODES, cuenta a la que solo acceden dos
personas de ECODES, siendo su finalidad, elaborar el listado de participantes y
potenciales reservas de interesados en el proyecto.

“En el caso de que el solicitante de información a través del correo mencionado quiera
finalmente participar en la iniciativa, ECODES cede los datos de contacto, el correo
electrónico y teléfono a EDP, empresa encargada del proyecto, quién contacta con
ellos e inicia el proceso de formalización del contrato de participación para lo que se”
(se corta).

Y sigue: “Para la formalización de la participación los interesados acaban
proporcionando directamente a EDP sus datos personales, bien vía web, bien
telefónicamente (incluyendo domicilio, CUPS y número de cuenta entre otros).”

En un punto del proceso, EDP solicita a ECODES que, siguiendo el proceso
establecido en el citado Real Decreto 244/2019 de 5/04, por el que se regulan las
condiciones administrativas, técnicas y económicas del autoconsumo colectivo de
energía eléctrica, reenvíe un correo electrónico a los 100 participantes.

ECODES lo hace, siguiendo las directrices recibidas de EDP. Envía un correo
electrónico con copia oculta a todos los participantes.

Adjunta en formato Excel, el contenido del relato sucedido con el reclamante y las
comunicaciones recibidas y emitidas, con la fecha de realización de las acciones
llevadas a cabo.

1.2 Con fecha 26/05/2023, se recibe respuesta de EDP en lo sucesivo, que indica que
en el marco de la creación de una “comunidad” de consumidores asociados para el
autoconsumo colectivo de energía, al amparo de la regulación contenida en Real
Decreto 244/2019, de 5/04, se procedió a la creación de dicha comunidad,
aglutinando, a tal efecto, a los consumidores interesados en participar en la misma,
ascendiendo a un total de 99 consumidores, inclusive el ahora reclamante.

“Para llevar a cabo, de conformidad con la normativa vigente, la tramitación del alta de
la comunidad ante las empresas distribuidoras y comercializadoras de energía se
procedió: a:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/36

-la firma de un mandato a favor de EDP para poder llevar a cabo los trámites
correspondientes ante las empresas distribuidoras y comercializadoras eléctricas,
atendiendo a la habilitación expresa prevista en el Anexo del Real Decreto
anteriormente referido para poder realizar el proceso, así como,

-la gestión de la firma por todos los participantes del correspondiente acuerdo
en el que se recogen los criterios de reparto del autoconsumo, de conformidad con lo
dispuesto en el artículo 4.3 de la citada norma, así como.

Este proceso se realizó de forma digital, remitiendo a los consumidores implicados
una copia del acuerdo a través del sistema de firma electrónica facilitado por EDP a
estos efectos, para que, una vez validado, manifestasen su conformidad,
respondiendo afirmativamente a su participación en la comunidad en los términos
comunicados. Adicionalmente, se remite un contrato de mandato para que apoderen a
EDP para que ésta firme en su nombre el acuerdo de reparto y realice las gestiones
necesarias para la finalización de la contratación ante las empresas distribuidoras y
comercializadoras de energía. De este modo, el sistema electrónico empleado para
llevar a cabo el proceso de aceptación electrónica del mandato permite a los usuarios
comunicar su aceptación, garantizando que ha sido efectivamente manifestada por el
usuario, que previamente ha sido identificado por parte de EDP como consumidor
participante de la comunidad de autoconsumo, el momento exacto en el que se realiza
el proceso de aceptación, así como la integridad del documento efectivamente
firmado.”

Informa EDP que para el proceso de aceptación electrónica del mandato cuentan con
“un proveedor de servicios de tercero de confianza en el ámbito de los Sellos de
tiempo cualificados, de conformidad con la legislación nacional aplicable en España en
referencia al Reglamento eIDAS (Reglamento (UE) n ° 910/2014 del Parlamento
Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y
los servicios de confianza para las transacciones electrónicas en el mercado interior y
por la que se deroga la Directiva 1999/93/CE y que el proceso implica el tratamiento
de los datos de contacto referido para generar las evidencias correspondientes, de
conformidad con lo establecido en el artículo 3 del Reglamento eIDAS, y en relación a
lo dispuesto en el artículo 42 del mismo texto legal, a fin de poder acreditar la
información oportuna para dar cumplimiento al servicio de sellado de tiempo
cualificado y permitir generar una evidencia de la aceptación de los acuerdos y
mandatos conforme al citado Reglamento eIDAS. Es decir, los datos de contacto son
los que, en última instancia, vinculan al participante con la aceptación de los términos
del contrato y el mandato, siendo imprescindibles para poder comprobar este hecho,
así como para justificar que la copia le ha sido debidamente entregada, tal como exige
la normativa en materia de consumo (se adjunta como documento nº1 Informe sobre
la contratación vía SMS y correo electrónico en el servicio del proveedor).

Una vez finalizada la gestión de las firmas individuales de los mandatos, se genera el
acuerdo de reparto general aceptado por los consumidores participantes con todos los
CUPS y porcentaje de participación de cada consumidor de la comunidad (para lo que
se adjuntan todos los mandatos de representación de los participantes) y se firma por
el mandatario de EDP para su remisión a las entidades distribuidoras y
comercializadoras correspondientes y se pone a disposición de todos los

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/36

consumidores participantes de la comunidad, para que tengan constancia del acuerdo
suscrito en su nombre.

Concretamente, dichos documentos han sido elaborados con el contenido dispuesto
en la Guía “IDAE 021: Guía Profesional de Tramitación del Autoconsumo” del Instituto
para la Diversificación y Ahorro de la Energía, dependiente del Ministerio para la
Transición Ecológica, en concreto el modelo 5.

Al dar cumplimiento a estos últimos trámites, en el documento final puesto a
disposición de los consumidores participantes se puede incluir alguna información de
contacto de estos, derivada del medio empleado para la firma de los mandatos, por
cuanto que, como se ha indicado, la firma de estos documentos se realiza por medios
electrónicos cuya evidencia digital incluye esta información.

Dado que EDP actúa como mandatario de los consumidores, y no en nombre propio,
ha de poner a disposición de estos el contenido del acuerdo, por ser cada uno de ellos
parte en el mismo. Del mismo modo, puesto que el acuerdo se firma digitalmente,
cualquier manipulación o modificación de su contenido (para eliminar información
personal de la firma) implicaría que la copia entregada no sirviese al consumidor como
evidencia integra del contenido del contrato, por cuanto no cumpliría con el requisito
de integridad al haber sido, efectivamente, modificado”.

Como respuesta especifica a la cronología y descripción de los hechos, EDP
manifestó que el reclamante suscribió el 5/07/2021 un CONTRATO DE SERVICIOS
DE AUTOCONSUMO COLECTIVO Y EFICIENCIA ENERGÉTICA CON EDP, aporta
DOCUMENTO 2.

En la misma fecha, el reclamante otorgó poder especial a EDP para que efectuase, en
su nombre y representación, determinados actos en el marco de la contratación del
Proyecto “Barrio Solar”, aporta DOCUMENTO 3

Del DOCUMENTO 2, destaca entre otros:

 Englobado por un primer documento que es la “confirmación del contrato EDP” en
el que interviene el tercero prestador de servicios de confianza, documento
electrónico. Figura como envió para la aceptación por SMS el, CONTRATO SOLAR
EDP, figurando entre los datos del envío, el número de teléfono móvil y el correo
electrónico del reclamante que coincide con el que el aporta en su reclamación donde
se envió el fichero adjunto objeto de la reclamación. También se contiene su nombre y
apellidos completo, documento generado el 5/07/2021.

En el apartado “seguimiento de la solicitud”, se visiona la cronología de la confirmación
del contrato con mensajes SMS, figurando el primer envío el 2/07/2021, “Contrato
Solar EDP: (...)”, para que “respondiera con un SI a este mensaje para confirmar
contratación” con confirmación de 5/07/2021.

 Le sigue el documento: “CONTRATO DE SERVICIOS CON EDP” que es una hoja
“que contiene quizás precumplimentado con letra de ordenador, nombre y apellidos, la
dirección del cliente, el NIF, el número de teléfono, la dirección del punto de suministro

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/36

y el CUP electricidad y los datos IBAN para cargo en cuenta”. Le sigue el apartado:
“condiciones específicas del contrato”.

-Una segunda hoja que no contiene logo alguno, ni firma, que (carece de
numero de página también) contiene, la siguiente información sobre los datos
personales:

“Los datos personales serán tratados por EDP Solar España SA en calidad de
responsable del tratamiento para el mantenimiento, desarrollo, cumplimiento y gestión
del relación contractual, prevención del fraude, realización de perfiles basados en
información facilitada por el cliente y/o derivada de la prestación del servicio por parte
de EDP, así como envío de comunicaciones comerciales como las relativas a
productos y servicios relacionados con instalaciones solares y el consumo de energía
y que podrán ser personalizadas en base a su perfil del cliente, y según se informa en
las condiciones generales, pudiendo oponerse en cualquier momento al envío de
comunicaciones comerciales. Así mismo este contrato mantendrá la finalidad de que el
cliente reciba información y pueda participar en las actividades asociadas al Barrio
Solar: talleres y realización de encuestas en relación con la participación en dicho
proyecto, seguimiento de los consumos de energía y envío de consejos sobre
consumos de electricidad y aprovechamiento de la energía solar producida.

 Le sigue el clausulado informativo de las “condiciones generales del servicio EDP
Barrio Solar”, con las siguientes características:

Consta un apartado 8: “Protección de Datos de carácter personal”, del que destaca:

8.1 Finalidades, para la formalización del contrato
8.2 categorías de datos personales,
8.3 Comunicaciones y destinatarios de los datos
8.4 derechos.

-Relata el detalle cronológico indicando que en la citada fecha el reclamante otorgó
poder a favor de EDP para que efectuase en su nombre y representación
determinados actos en el marco de la contratación del proyecto. Aportan copia de
documento 3 “poder de representación y confirmación de firma”, que es un documento
de tercero de confianza en el que figura mensaje SMS, de “poder representación EDP
SOLAR”, enviado por SMS al teléfono destinatario del reclamante, para que responda
con un Si al SMS para confirmar, figurando detalles en otra dirección, enviado el
5/07/2021, y con respuesta del mismo día (si). Se acompaña otro documento titulado
“poder de representación”, de 3/07/2021, en el que se comprende:

1. Todas las gestiones necesarias para la inscripción, modificación y/o baja de la
instalación solar en la que participa el Cliente (en adelante la Instalación) en los
Registros Administrativos de Autoconsumo y, en su caso, de Instalaciones de
Producción de Energía Eléctrica.

2. Firma, en nombre del Cliente, del Acuerdo de Reparto de la energía generada por la
Instalación, previa determinación del coeficiente que corresponde al Cliente en función
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/36

de la capacidad de la Instalación, del número de consumidores asociados que la
compartan y de lo que se haya acordado en el contrato firmado entre el Cliente y EDP.

3. Firma, en nombre del Cliente, de las modificaciones del Acuerdo de Reparto que
sean precisas.

4. Realización de las comunicaciones que resulten necesarias en relación con el
Acuerdo de Reparto a la empresa distribuidora y a la comercializadora con la que el
Cliente tenga contratado el suministro.

5. Cualquier otra comunicación con la distribuidora, la comercializadora, las
Comunidades Autónomas o cualquier organismo competente que resulte necesaria
para tramitar o confirmar el alta, modificación o baja del autoconsumo por parte del
Cliente, así como cualquier comunicación en relación con el Acuerdo de Reparto.

En particular, EDP SOLAR ESPAÑA, S.A. queda habilitada para solicitar a la
distribuidora y/o a la comercializadora del Cliente confirmación de la fecha en la que
se haya activado el autoconsumo al Cliente, así como la de su eventual baja o
modificaciones, así como para conocer en cada momento el estado de tramitación de
los procesos asociados al autoconsumo por parte de dichas empresas.”

Declara EDP que dichos documentos han sido elaborados con el contenido dispuesto
en la Guía IDAE 021, “Guía Profesional de Tramitación del Autoconsumo” del
INSTITUTO PARA LA DIVERSIFICACIÓN Y AHORRO DE LA ENERGÍA, dependiente
del Ministerio para la Transición Ecológica, en concreto el modelo 5.

-Pasa a relatar a continuación que con fecha 27/02/2023, recibió escrito del
reclamante, que figura en el anexo 1 de la reclamación de este.

Con fecha 28/02/2023 se recibió ejercicio del derecho de acceso del reclamante que
fue atendido el 2/03/2023, figurando también en el ANEXO 1 del reclamante.

También aporta documento 5, en el que según EDP titula “correo electrónico enviado
por el reclamante a EDP el 3/03/2023”, con el literal:

“adjunto envío mail en el que indicaba expresamente en el momento de la contratación
que no consentía el tratamiento de mis datos personales a otras empresas o terceros
que no fuesen los estrictamente necesarios para la relación contractual
Me reitero en mi solicitud y le ruego que limite el tratamiento y cesión de mis datos
personales a los fines estrictamente necesarios para la relación contractual”

Según manifiesta EDP, se trata de que ”El ahora Reclamante traslada contestación a
EDP SOLAR dando por buenas las explicaciones facilitadas en relación con el
tratamiento de sus datos en el correo electrónico de 2/03/2023, así como, reiterando
que sus datos se traten estrictamente para aquellas finalidades necesarias para
cumplir con la relación contractual.“

-Manifiesta EDP que el 28/02/2023, a raíz del correo electrónico recibido, EDP
presentó consulta a la AEPD a fin de aclarar si compartir determinados datos
personales con el resto de miembros de la comunidad para dar cumplimiento íntegro al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/36

proceso regulado en el Real Decreto 244/2019, de 5/04, por el que se regulan las
condiciones administrativas, técnicas y económicas del autoconsumo de energía
eléctrica y la Guía IDAE 021: Guía Profesional de Tramitación del Autoconsumo,
podría tener un impacto negativo para los interesados desde el prisma de la privacidad
y protección de sus datos personales. Se aporta copia de la Consulta planteada a la
AEPD como documento nº4.

En esta consulta que aporta, existe un probable error en la fecha del escrito, que
indica 27/02/2022.

Se destaca de la consulta, entre otros puntos necesarios para relacionar la consulta y
sus términos, con la eventual respuesta, lo siguiente que se expone, según el orden
dado en la consulta:

 En el marco de la creación de una comunidad de consumidores
asociados para el autoconsumo colectivo de energía, se procedió a la
creación de la misma, siendo 99 consumidores interesados
participantes, citando el RD 244/2019 de 5/04.

 Todos los participantes firmaron un mandato a favor de EDP para llevar
a cabo los trámites correspondientes ante las empresas distribuidoras y
comercializadoras eléctricas, atendiendo a la habilitación expresa
prevista en el Anexo del Real Decreto anteriormente referido para poder
realizar el proceso (no menciona a cuál de los anexos se refiere)
precisando que “se incluye modelo de contrato y modelo de poder de
representación “, desconociendo exactamente que documentos fueron
enviados.

 Manifiesta que, “adicionalmente se remite un contrato de mandato para
que apoderen a EDP para que esta firme en su nombre el acuerdo de
reparto y realice las gestiones necesarias para la finalización de la
contratación ante las empresas distribuidoras y comercializadoras de
energía.”

 “una vez finalizada la gestión de las firmas individuales de los mandatos
se genera el acuerdo de reparto general aceptado por los consumidores
participantes con todos los CUPS y porcentaje de participación de cada
consumidor de la comunidad (para lo que se adjuntan todos los
mandatos de representación de los participantes) y se firma por el
mandatario de EDP para su remisión a las entidades distribuidoras y
comercializadoras correspondientes y se pone a disposición de todos
los consumidores participantes de la comunidad para que tengan
constancia del acuerdo suscrito en su nombre

Concretamente dichos documentos han sido elaborados con el
contenido dispuesto en la guía IDAE 021 guía profesional de tramitación
del autoconsumo, modelo 5.

Se accede a dicha guía y en los modelos de acuerdos sobre criterios de
reparto se indica que en aplicación del RD 244/2019, de 5/04, los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/36

siguientes consumidores acordamos asociarnos a la instalación de
autoconsumo colectivo de energía eléctrica con las siguientes
características, figurando un listado a completar con los datos del
consumidor asociado-titular del suministro – en los que deben consignar
NIF, CUPS, y coeficiente de reparto.

Manifiesta la reclamada, que: “Al dar cumplimiento a estos últimos
trámites se detectó que el documento final puesto a disposición de los
consumidores participantes puede incluir alguna información de
contacto de estos, derivada del medio empleado para la firma de los
mandatos, por cuanto que como se ha indicado, la firma de estos
documentos se realiza por medios electrónicos cuya evidencia digital
incluye esta información (se adjunta modelo de confirmación de poder
de representación).

Ha de señalarse el punto 13 de la guía IDAE, requiere que este acuerdo
sea firmado por todos debiendo ser remitido por cada consumidor a la
compañía distribuidora, o bien directamente o a través de su
comercializadora. Si para la realización del autoconsumo colectivo se
hubiese optado por formar una Comunidad de energías renovables esta
podría ejercer la representación de los consumidores asociados en
todos estos trámites siempre que los consumidores asociados lo
autoricen adecuadamente.”

Dado que EDP debe actuar como mandatario de los consumidores, y no
en nombre propio, ha de poner a disposición de estos el contenido del
acuerdo, por ser cada uno de ellos parte en el mismo.

Del mismo modo, puesto que el acuerdo se firma digitalmente, cualquier
manipulación de su contenido para eliminar información personal de la
firma implicaría que la copia entregada no sirviese al consumidor como
evidencia integra del contenido del contrato, por cuanto no cumpliría
con el requisito de integridad, al haber sido efectivamente modificada

- se viene a plantear a la AEPD si considera que el procedimiento
requerido por parte del Real Decreto 244/2019 y la guía del IDAE es
un procedimiento que pueda ser conforme con la normativa de
protección de datos personales, en tanto todos los miembros de la
comunidad, firmantes de la documentación, podrán tener acceso a
determinados datos personales de los otros consumidores, en tanto
son todos ellos parte de un mismo contrato, atendiendo así al literal de
lo requerido por el Real Decreto de referencia y en su caso la Guía del
IDAE referenciada, todo ello tomando en consideración que hasta la
fecha, no han sido constituidas este tipo de comunidades de
consumidores en España, siendo la que se ha planteado a EDP de las
primeras existentes a nivel nacional, así como que el plazo legal
establecido para poder remitir a la comercializadora energética de los
consumidores la documentación marcada por parte del Real Decreto
es un plazo muy breve de tiempo, 10 días naturales.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/36

Concretamente la principal preocupación que se plantea a EDP no es
otra que, en caso de dar cumplimiento íntegro al literal requerido por
parte del Real Decreto y en su caso por parte de la Guía del IDAE,
conlleva necesariamente, que todos los miembros de la comunidad
conozcan, determinados datos personales del resto de miembros de la
comunidad, algo que si bien desde el punto de vista de la normativa
energética parece razonable y justificado en Derecho, parece que
podría tener un impacto negativo para los consumidores desde el
prisma de la privacidad y protección de sus datos personales”

Manifiesta EDP, que con fecha 14/03/2023, se recibió respuesta de la AEPD, indicando
EDP que “en este sentido, referenciar que la AEPD no se opuso o no refiere que el
proceso detallado y llevado a cabo por EDP fuese contrario a lo dispuesto en la
normativa de protección de datos.” Aporta DOCUMENTO 6, en el que se ve la fecha
de respuesta de 14/03/2023, y de la que conviene destacar entre otros aspectos:

 En general repasa las bases de legitimación y remite a la norma
sectorial, pudiendo existir la del 6.1.c) del RGPD, y si fuese esta, no se
precisaría el consentimiento de los afectados.

 Añade el respeto de los principios del RGPD, resaltando el de
minimización del artículo 5.1.c) del RGPD y del principio de la
responsabilidad proactiva.

Finaliza indicando que “Esta respuesta constituye una actividad meramente
informativa de la AEPD; no tiene efectos vinculantes, no modifica la situación jurídica
del solicitante y no constituye un acto recurrible.”

1. ESPECIFICACIÓN DETALLADA DE LAS CAUSAS QUE HAN HECHO POSIBLE
EL INCIDENTE.

 ECODES manifestó que se ha seguido el procedimiento establecido en el RD
244/2019 de 5/04 y la guía de autoconsumo IDAE, en los que se establece el
documento de reparto, con un formato preestablecido necesario para poder dar de alta
y tramitar el autoconsumo colectivo. Manifiesta que los únicos datos personales
tratados y, que no se mencionan expresamente en el citado Real Decreto, son el e-
mail y el teléfono; pero ha sido necesario recogerlos por parte de EDP para poder
llevar a cabo la representación vía firma electrónica (procedimiento que sí estaba
previsto en la documentación anteriormente referida).

 EDP manifestó que en ningún caso los hechos detallados pueden considerarse
como un incidente en materia de Protección de Datos, en base a que la compartición
de determinados datos con el resto de los miembros de la comunidad se ajusta a las
exigencias normativas en materia energética, así como en la normativa de Protección
de Datos.

Los datos personales del reclamante se trataron en el marco de la contratación que
éste realizó en el proyecto denominado “Barrio Solar”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/36

“De acuerdo con las condiciones que establece el RD 244/2019 de 5/04 y la Guía
IDAE, se procedió a la gestión de la aceptación por todos los consumidores
interesados del correspondiente acuerdo en el que se recogen los criterios de reparto
de autoconsumo, así como la firma de un mandato a favor de EDP para llevar a cabo
los trámites ante las empresas distribuidoras y comercializadoras eléctricas”.

Tanto el reclamante como el resto de los consumidores firmaron el mandato mediante
un sistema de firma electrónica provisto por un prestador de servicios de confianza
cualificado.

Posteriormente, EDP como mandatario, procedió a la firma del acuerdo de reparto
general en nombre de los consumidores que le habían apoderado a tal efecto. Para
que dicho acuerdo resulte válido es necesario que en el mismo consten los mandatos
firmados por los consumidores. En este caso, como el apoderamiento se realiza por
medios digitales, en lugar de una firma física se aporta el justificante de la firma digital,
que contiene información del resto de participantes, de ahí que consten en el acuerdo.

Finalmente, el acuerdo se puso a disposición de todos los consumidores participantes,
para que tengan constancia del acuerdo suscrito en su nombre, como parte del
mismo. Al tratarse de un contrato digital, el mismo ha de entregarse con su contenido
íntegro, puesto que cualquier alteración implicaría que la copia digital entregada se
detectase como manipulada, por lo que no serviría para justificar el acuerdo suscrito.
Por lo tanto, como se ha expuesto, el intercambio de información realizado se ajusta a
las exigencias normativas para la creación de la comunidad de autoconsumo
energético. Asimismo, y, de conformidad con la respuesta a la consultada planteada a
la AEPD los puntos del proceso regulados en la norma e interpretados en la guía IDAE
son plenamente compatibles con la normativa de protección de datos”.

1. NÚMERO DE PERSONAS AFECTADAS POR LA VIOLACIÓN DE LA
SEGURIDAD DE LOS DATOS PERSONALES.

 ECODES indica que “100 personas han visto comunicados sus datos personales a
los otros 99 participantes en el proyecto”.

 EDP manifestó que “no se ha producido un incidente o violación de seguridad que
afecte los derechos y libertades de los interesados y, por ende, no existen personas
afectadas. No obstante, lo anterior, y a efectos meramente informativos, debemos
aclarar que el número total de consumidores participantes en el proyecto “Barrio
Solar”, entre los que se incluye al ahora reclamante, asciende a 99 consumidores, si
bien, el intercambio de determinados datos con el resto de los participantes es lícito y
se ajusta a las exigencias de la normativa sectorial, así como a la normativa de
protección de datos.”

4. CATEGORÍA DE LOS DATOS PERSONALES INVOLUCRADOS.

 ECODES indica que “los datos revelados han sido de categoría general: nombre,
apellidos, DNI, número de teléfono móvil, dirección de correo electrónico, dirección
postal, localidad, CUPS y código postal”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/36

 EDP manifestó que: “no se detectan datos personales involucrados, habida cuenta,
que, como se ha puesto de manifiesto, el intercambio de datos personales se llevó a
cabo en estricto cumplimiento del Real Decreto 244/2019, de 5/04, así como la Guía
IDAE, por tanto, no podemos considerar que existan personas involucradas afectadas
y, en consecuencia, categorías de datos personales involucrados ya que no se ha
manifestado la existencia de un incidente de seguridad.” No obstante, indica que los
únicos datos que se intercambiaron en el marco del proceso de firma por los
participantes de la comunidad son:

Copartícipes - Datos de Identificación, Datos de Contacto Personal, Condiciones
Comerciales y Contractuales.

5. POSIBLES CONSECUENCIAS PARA LAS PERSONAS AFECTADA.

 ECODES manifestó que las consecuencias, aunque con escasa probabilidad de
ocurrencia, pueden ser las siguientes:

Pérdida de control sobre sus datos personales, daños reputacionales y, en menor
medida (por estar circunscrito a cien vecinos del barrio), ser víctima de campañas de
phising/spamming.”

 EDP manifestó que no se detectan consecuencias en personas afectadas, puesto
que no se ha materializado ningún incidente de seguridad. “El intercambio de
información se realizó en todo momento con una base de legitimación plenamente
lícita y en cumplimiento de la normativa en materia energética que resulta de
aplicación al Responsable del Tratamiento, máxime cuando dicho proceso fue puesto
de manifiesto a la AEPD y esta no se opuso o planteó objeción al mismo.”

6. DESCRIPCIÓN DETALLADA DE LAS ACCIONES TOMADAS PARA SOLUCIONAR
EL INCIDENTE Y MINIMIZAR SU IMPACTO SOBRE LAS PERSONAS AFECTADAS.

 ECODES responde que “las acciones que se tomaron fueron las medidas
previstas en la implantación del Sistema General de Protección de Datos, de manera
previa a la reclamación; a saber:

-contestación inmediata y diligente al afectado;

-puesta en conocimiento del responsable del tratamiento de manera inmediata, al
tener conocimiento de la situación,

-traslado al afectado de su contestación,

-seguimiento telefónico y vía e-mail en ambas direcciones (hacia el afectado y hacia el
responsable del tratamiento).

-Por parte del responsable del Tratamiento se presentó a fecha 02/03/2023 una
cuestión ante la Agencia Española de Protección de Datos para que aclarase que
todos los puntos del proceso regulados en la norma e interpretados en la guía del
IDAE son plenamente compatibles con la normativa de protección de datos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/36

-Propuesta de ECODES de mejorar el procedimiento consistente en que EDP,
haciendo uso de su poder de representación, enviase directamente a las
comercializadoras el documento de reparto.

Dicha propuesta fue aceptada por Endesa e Iberdrola como procedimiento válido para
sus clientes participantes, pero se desconoce si el resto de comercializadoras lo
adoptarán, al no ser el procedimiento establecido por el RD 244/2019.”

 EDP manifestó que “no ha existido un incidente de seguridad que requiera
acciones que minimicen el impacto sobre las posibles personas afectadas, por parte
de EDP SOLAR y, tal y como se ha indicado en la descripción cronológica de los
hechos, en cumplimiento del principio de responsabilidad proactiva, y tras recibir los
correos electrónicos del ahora reclamante planteó consulta previa a la AEPD con el fin
de corroborar y verificar si, efectivamente, el proceso llevado a cabo conforme a la
normativa en materia energética era acorde con la normativa de protección de datos”.

También reitera EDP que “atendiendo a la respuesta facilitada por la AEPD, podemos
interpretar que el proceso era lícito y se ajustaba a la normativa de protección de
datos”, citando partes de la respuesta, sobre base de legitimación y principios de
tratamiento.

7. MEDIDAS DE SEGURIDAD DE LOS TRATAMIENTOS DE DATOS PERSONALES
ADOPTADAS CON ANTERIORIDAD AL INCIDENTE, ASÍ COMO LA
DOCUMENTACIÓN ACREDITATIVA DEL ANÁLISIS DE RIESGOS QUE HA
CONLLEVADO LA IMPLANTACIÓN DE DICHAS MEDIDAS DE SEGURIDAD Y, EN
SU CASO, COPIA DE LAS EVALUACIONES DE IMPACTO DE LOS TRATAMIENTOS
DONDE SE HA PRODUCIDO LA VIOLACIÓN DE SEGURIDAD DE LOS DATOS
PERSONALES.

 ECODES respondió que “Al inicio del proyecto, se identificó a ECODES en esta
fase como Encargado del Tratamiento de los datos personales y se llevaron a cabo las
medidas de seguridad pertinentes para garantizar la adecuación del tratamiento a la
legalidad.

Los únicos activos de ECODES implicados en este proyecto son una cuenta de e-mail
creada ad hoc y un archivo de Excel operados únicamente por dos personas
(compartido en Google Drive solo por ellos), siguiendo las directrices de seguridad de
ECODES.

El tratamiento de los datos personales que han originado la reclamación ha sido
deliberado, siguiendo las directrices del Real Decreto 244/2019; a juicio de ECODES
no ha existido ninguna brecha de seguridad, ya que en ningún momento ha habido
una divulgación de datos no intencionada.

El correo electrónico se envió con copia oculta a todos ellos. En lo que respecta a
ECODES, se actuó diligentemente”.

 EDP manifestó que adoptó medidas de seguridad, enunciando diversas como
elaboración de un RAT, DOCUMENTO 7, que describen como “gestión del proceso de
contratación de las ventas realizadas de instalaciones y servicios de EDP Solar”, con
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/36

la finalidad “gestión de la contratación de las instalaciones y servicios de EDP Solar”, y
con base licitud de tratamiento “ejecución del contrato”. En “comunicaciones de datos,
figura entre otras, “entidades comercializadoras y distribuidoras eléctricas”, y
“copartícipes-ejecución del contrato-“ y análisis de riesgos en DOCUMENTO 8,
indicando que “Conforme al nivel de riesgo detectado se determinan las medidas de
seguridad mínimas aplicables”, entre las que cabe citar:

-la relacionada con el personal con acceso a datos, la suscripción de compromiso
escrito de confidencialidad, conocimiento de reglas y procedimientos que deben ser
adoptadas, disponen de procedimiento de control de acceso a los datos, de copias de
respaldo, de archivo de soportes y dispositivos para su almacenamiento, inventario y
control de entrada y salida de documentos y soportes, definición e implantación de un
procedimiento de anonimización de los datos personales en los casos que sea
técnicamente posible.

El documento 8 de “análisis de riesgos del tratamiento”, aportado, es una tabla Excel
con dos columnas de las que se limita a responder No a todas las cuestiones, como:

Tratamiento automatizado
A gran escala de categorías especiales
Observación sistemática a gran escala de una zona de acceso público
Evaluación de perfiles
Decisiones automatizadas
Observación sistemática de los interesados
Datos sensibles muy o muy personales
Tratamiento de datos a gran escala
Interconexión de datos big data
Datos relativos a interesados vulnerables
Uso de tecnologías innovadoras
Tratamiento inevitable/restricción del ejercicio de derechos

8. Copia del Registro de Actividad de los tratamientos donde se ha producido el
incidente.

 ECODES adjunta el RAT de “Grupo de ficheros: Barrio Solar”,

Descripción: “control de participantes y reservas del proyecto de autoconsumo solar
comunitario Barrio Solar”.

Finalidad y usos: Tramitar la inclusión de participantes/reservas en el proyecto de
autoconsumo”.

Legitimación: consentimiento del interesado

Conservación: Se conservarán durante el tiempo estipulado para determinar las
posibles responsabilidades que se pudieran derivar de dicha finalidad, tras la
finalización del proyecto”.

Origen de los datos: El propio interesado

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/36

Destinatarios de cesiones de datos: EDP

Responsable de seguridad, figurando una persona,

Ejercicio de derecho, “Fundación Ecología y Desarrollo, y figura la dirección, teléfono”,
mismos datos que el pie del correo electrónico remitido al reclamante.

Campos de información: CIF/NIF, CUPS, consumo energético, nombre y apellidos,
dirección postal electrónica, firma manual o digitalizada, teléfono.

Después en ficheros, señala la existencia de dos:

- [email protected]: descrito cuenta de correo electrónico
dedicada a recibir las solicitudes de interesados en el proyecto Barrio Solar,

“campos de información” : Nombre y apellidos, Dirección (postal/electrónica), Teléfono,
figurando “supervisor” una persona física.

“BARRIO SOLAR”: descrito como “contacto de participantes y reservas del proyecto
“Barrio Solar”, “campos de información”: “consumo energético, pertenencia o no a
Zaragoza vivienda, CUPS, CIF, NIF, firma manual o digitalizada, nombre y apellidos,
dirección postal- electrónica teléfono”, figurando “supervisor” una persona física.

 EDP manifestó que aporta copia del RAT en documento 7.

9. SI LA VIOLACIÓN DE SEGURIDAD HA SIDO COMUNICADA A LAS PERSONAS
AFECTADAS, INDIQUE EL CANAL UTILIZADO, FECHA DE LA COMUNICACIÓN Y
DETALLE DEL MENSAJE ENVIADO. EN CASO NEGATIVO, INDICAR LOS MOTIVOS

 ECODES respondió que:” al no entender que haya habido una violación de
seguridad, no se inició el proceso de comunicación a los interesados ni a la AEPD,
según el procedimiento de Incidentes y brechas de seguridad establecido en el
Sistema de Gestión de Protección de Datos.

No obstante, tal y como se describe en la relación de hechos, se actuó con diligencia y
proactividad al comunicárselo al responsable.

“Sí que se envió un correo a todos los participantes advirtiendo de que no lo
respondieran, que esperasen nuevas instrucciones”.

 EDP manifestó que al no existir violación de seguridad que afecte a los
interesados, no ha sido necesario realizar comunicación alguna.

10. INDIQUE SI LA VIOLACIÓN DE SEGURIDAD HA SIDO NOTIFICADA A ESTA
AUTORIDAD DE CONTROL. En caso contrario, indique los motivos por los que la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/36

violación de seguridad no ha sido notificada a esta Autoridad de Control antes del
transcurso de 72 horas desde que se haya tenido constancia de ella. Puede obtener
información sobre la gestión y notificación de brechas de seguridad en el siguiente
enlace de la Agencia: https://www.aepd.es/sites/default/files/2019- 09/guia-brechas-
seguridad.pdf

 ECODES indica que “No ha sido notificada, ya que no entendíamos que fuera una
violación de seguridad, sino la comunicación de datos según el procedimiento
necesario para la participación en el proyecto “Barrio Solar” de autoconsumo colectivo,
establecidas por el Real Decreto 244/2019”

 EDP manifestó que no se produjo brecha de seguridad y no ha sido necesario la
notificación a la autoridad de control, “planteando en un ejercicio de transparencia con
la AEPD y en cumplimiento del principio de responsabilidad proactiva, se efectuó
consulta a la AEPD” en la que se detallaba de manera pormenorizada el proceso
llevado a cabo en cumplimiento de la normativa en materia energética a fin de
confirmar si éste resultaba acorde con la normativa de protección de datos.

Reitera que la generación de un acuerdo de reparto general aceptado por todos los
consumidores participantes en el que se detallan los CUPS y el porcentaje de
participación de cada consumidor, estimando que EDP actuó como mandatario de los
consumidores, no en nombre propio, “ha de poner a disposición de los consumidores
participantes el contenido íntegro del acuerdo, si bien al cumplir con este trámite de
puesta a disposición, se detectó que el documento final incluía cierta información de
contacto del resto de consumidores”.

Reitera que “el acuerdo se firma digitalmente, cualquier manipulación o modificación
de su contenido (para eliminar información personal de la firma) implicaría que la copia
entregada no sirviese al consumidor como evidencia integra del contenido del
contrato, por tanto, no cumpliría con el requisito de integridad al haber sido
modificado. Además, por parte de EDP se ha realizado una consulta al prestador de
servicios de confianza cualificado respecto a si todos los datos incluidos en los
justificantes de firma de los mandatos resultan imprescindibles, confirmando que los
datos correspondientes al número de teléfono y el correo electrónico, son parte
imprescindible para demostrar lo ocurrido en la comunicación e identificar al firmante”.

11. MEDIDAS QUE PIENSA ADOPTAR PARA QUE NO SE VUELVA A PRODUCIR UN
INCIDENTE SIMILAR EN EL FUTURO.

 ECODES indica que: “Por parte del Responsable del Tratamiento se presentó a
fecha 02/03/2023 una cuestión ante la Agencia Española de Protección de Datos para
que aclare que todos los puntos del proceso regulados en la norma e interpretados en
la guía del IDAE son plenamente compatibles con la normativa de protección de datos.

Se queda a la espera para comunicárselo a todos los participantes en el proyecto y
modificar el procedimiento en futuras convocatorias.”

 EDP manifestó que “con el fin de maximizar los estándares de cumplimiento en
materia de privacidad, ha decidido que, a partir de ahora, la copia del acuerdo se
enviará al resto de participantes sin incluir el justificante de firma de los mandatos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/36

evitando así que el teléfono y la dirección de correo electrónico pueda visualizarse por
el resto de los participantes. No obstante, lo anterior y, en el caso de que uno o varios
de los participantes soliciten la copia íntegra del acuerdo se deberán facilitar los
justificantes de firma de los mandatos, si bien, y, en todo caso, dicho intercambio de
información sería acorde con lo dispuesto en la normativa en materia energética, así
como, con el criterio de la AEPD, máxime cuando en la respuesta a la consulta
planteada no se manifiesta oposición o se refiere objeción en relación con la licitud en
el proceso llevado a cabo.”

12. CUALQUIER OTRA QUE CONSIDERE RELEVANTE.

 ECODES indicó que “se ha limitado a actuar según el mandato establecido en el
pliego de condiciones del Real Decreto 244/2019, las directrices y formularios
propuestos por IDAE y siguiendo las directrices del Responsable del Tratamiento,
EDP.”

TERCERO: Admisión a trámite

Con fecha 3/06/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a
trámite la reclamación presentada por la parte reclamante.

CUARTO: Actuaciones previas de investigación

La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación AI/00239/2023, para el esclarecimiento de los
hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control
en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:

Con fecha 15/11/2023, se solicita AL RECLAMANTE que aporte copia del documento
que se le adjuntaba en el correo electrónico que motiva su reclamación, sobre el que
se trasladó la reclamación a las dos entidades supra, denominado: “(...)_Listado
poderes.pdf”, mencionado en la página 4 del documento adjunto “01_Mail.pdf” incluido
en la entrada REGAGE(...).

El envío fue entregado el mismo día y el mismo día remite a la AEPD respuesta,
tratándose del:

- El anexo contienen 319 páginas en pdf.

En primer lugar. figura el “ACUERDO DE REPARTO DE ENERGÍA DE
AUTOCONSUMO COLECTIVO INSTALACIONES CON EXCEDENTES NO
ACOGIDAS A COMPENSACIÓN”, fechado el 3/10/2022. En él, se contiene la
introducción, que señala: “En aplicación del Real decreto 244/2019 de 5/04, los
siguientes consumidores acordamos asociarnos a la instalación de autoconsumo

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/36

colectivo de energía eléctrica”, código de autoconsumo CAU: (...). Contiene un listado
tipo excel con CINCO campos.

El primero con una relación de 99 NIF, (CINCO de ellos son de personas jurídicas) el
siguiente con los correspondientes CUPS (código único de punto de suministro), le
sigue el campo: UTM con dos series de numeración distinta para cada persona, le
sigue la ref. Catastral, y el último, el coeficiente de reparto.

A pie de la última página figura: “le rogamos reciban esta comunicación y procedan a
realizar los trámites necesarios”, constando una persona que firma en “nombre y
representación de los consumidores asociados antes indicados según poderes de
representación QUE SE ANEXAN AL PRESENTE DOCUMENTO”.

-Le sigue en el mismo archivo pdf sobre cada uno de los 99 que forman la asociación,
el documento “confirmación poder de representación” “para confirmar la contratación”
que en su día envió y generó BTP ONETEC SL (tercero de confianza) de cada
consumidor asociado, (petición de respuesta de confirmación) que refleja para la firma
los datos del número de teléfono y el correo electrónico del consumidor asociado
destinatario que otorgan el poder. Generalmente en las fechas de junio, julio 2021.

-Le sigue el documento que complementa al anterior, “poder de representación” a
EDP, en el que además se comprenden los nombres y apellidos, su NIF y su
domicilio para, entre otras:

- las gestiones necesarias para la inscripción modificación o baja de instalación
solar en la que participa el cliente, y para,

-la firma, en nombre del Cliente, del Acuerdo de Reparto de la energía
generada por la Instalación, previa determinación del coeficiente que corresponde al
Cliente en función de la capacidad de la Instalación, del número de consumidores
asociados que la compartan y de lo que se haya acordado en el contrato firmado entre
el Cliente y EDP.

-“Realización de las comunicaciones que resulten necesarias en relación con el
Acuerdo de Reparto a la empresa distribuidora y a la comercializadora con la que el
Cliente tenga contratado el suministro.”

Por fechas, el apoderamiento más antiguo lleva firma de 21/06/2021

El contrato de apoderamiento del reclamante figura incorporado, entre todos los
enviados y también figura en el listado de los 99 NIF.

QUINTO: Consulta datos de la empresa EDP SOLAR ESPAÑA, S.A.

De acuerdo con el informe recogido de la herramienta AXESOR, la entidad EDP
SOLAR ESPAÑA, S.A. forma parte del grupo económico VERBUND GREEN POWER
GMBH, tamaño UE: Corporate

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/36

En información financiera en el año 2022 figuran (…) euros, como cifra de negocios,
en tipo de empresa: filial de grupo, 60 empleados, tamaño mediano, empresa matriz
global VERBUND GREEN POWER GMBH con más de mil empleados
FUNDAMENTOS DE DERECHO

I Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los
derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver
este procedimiento la Directora de la Agencia Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II Obligación incumplida

En el RGPD, se define en su artículo 4.1), 2) y 7:

“1)“datos personales”: toda información sobre una persona física identificada o
identificable (“el interesado”); se considerará persona física identificable toda persona
cuya identidad pueda determinarse, directa o indirectamente, en particular mediante
un identificador, como por ejemplo un nombre, un número de identificación, datos de
localización, un identificador en línea o uno o varios elementos propios de la identidad
física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;

“2)“tratamiento”: cualquier operación o conjunto de operaciones realizadas sobre datos
personales o conjuntos de datos personales, ya sea por procedimientos
automatizados o no, como la recogida, registro, organización, estructuración,
conservación, adaptación o modificación, extracción, consulta, utilización,
comunicación por transmisión, difusión o cualquier otra forma de habilitación de
acceso, cotejo o interconexión, limitación, supresión o destrucción;”

(…)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/36

7) “responsable del tratamiento” o “responsable”: la persona física o jurídica, autoridad
pública, servicio u otro organismo que, solo o junto con otros, determine los fines y
medios del tratamiento; si el Derecho de la Unión o de los Estados miembros
determina los fines y medios del tratamiento, el responsable del tratamiento o los
criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión
o de los Estados miembros”

Se dirime en este expediente a efectos de protección de datos de carácter personal, el
contenido del ANEXO enviado en el correo el 22/02/2023 por cuenta de la reclamada,
EDP, a los participantes en un proceso de autoconsumo eléctrico con objeto de
habilitar el autoconsumo en sus contratos domésticos, una vez suscrito el acuerdo de
reparto entre los partícipes que firmó EDP en nombre y por mandato de cada uno de
los partícipes en el proyecto. Para llevar a cabo la incorporación a cada partícipe en
sus contratos individuales de suministro de luz, y completar un trámite, EDP envió el e
mail a todos los partícipes, dándoles por común un anexo que es el objeto de la
reclamación.

El motivo del envió del email con el archivo adjunto, era según el literal del correo, que
probablemente las comercializadoras se pondrían en contacto con ellos, y se mandó a
los 99 partícipes en el proceso, la mayoría personas físicas, (excepto CINCO, que son
entidades jurídicas) en un archivo adjunto un pdf (319 páginas) con la documentación
y los datos que cada participante teóricamente debía proporcionar a su
comercializadora.

El responsable del tratamiento determina los fines y medios del tratamiento; esto es, el
porqué y el cómo del tratamiento. Debe decidir tanto sobre los fines como sobre los
medios.

La condición de responsable del tratamiento de datos personales de EDP, se cumple
porque los partícipes en el proyecto de autoconsumo, tras aceptarlo cada uno,
entablan con EDP con la que suscriben los contratos, una la relación contractual con la
finalidad de gestionar, mantener, desarrollar, cumplimentar y controlar la contratación y
funcionamiento del servicio “Barrio Solar”, incluyendo el apoderamiento a EDP por los
partícipes para que firme en su nombre el acuerdo de reparto y realice las gestiones
necesarias para la finalización de la contratación entre las empresas distribuidoras y
comercializadoras de energía. También EDP consta que decidió los medios, en
primera instancia con un tercero de confianza para garantizar la participación en la
comunidad de autoconsumo, y un mandato para que apoderen a EDP para que EDP
firme en su nombre el acuerdo de reparto, así como enviar los correos electrónicos a
los partícipes del proyecto de autoconsumo, como medios de tratar sus datos, y su
contenido específico. En el curso de esa relación, EDP trató los datos del reclamante y
otros partícipes (94 personas físicas, CINCO eran personas jurídicas) definiendo los
fines, como la manera de obtener el resultado o alcanzar el objetivo, y el cómo
alcanzará ese objetivo, reuniendo su condición de responsable del tratamiento

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/36

El asunto es que, en ese archivo adjunto al correo, dirigido a todos los partícipes,
titulado, (...)_Listado poderes.pdf, se contenían datos de todos los partícipes, que se
relacionaban con el documento denominado: “contrato de reparto”. Del mismo cabe
destacar, en síntesis, las siguientes características:
-documento de “ACUERDO DE REPARTO DE ENERGÍA DE AUTOCONSUMO
COLECTIVO INSTALACIONES CON EXCEDENTES NO ACOGIDAS A
COMPENSACIÓN”, fechado el 3/10/2022
Consiste en tabla tipo Excel, conteniendo los datos de todos los consumidores
partícipes en la instalación de autoconsumo, de 99 personas (CINCO de ellas
personas jurídicas), con: NIF, código CUPS (código único de punto de suministro),
UTM, referencia catastral de cada vivienda y el coeficiente de reparto.
-Le sigue en la misma hoja del archivo pdf de 319 páginas, copia de los documentos
“confirmación poder de representación” realizado por un tercero de confianza, en el
que se pueden ver de las 99 personas partícipes en el proyecto, (CINCO de ellas
personas jurídicas) el número de teléfono, y correo electrónico, junto con Copia de
los documentos poder de representación de 99 personas (CINCO de ellas personas
jurídicas) con los datos de nombre y apellidos y el NIF, y la dirección postal a favor
de EDP, para entre otros actos, firme en su nombre, el “acuerdo de reparto de la
energía generada por la instalación” y “Realización de las comunicaciones que
resulten necesarias en relación con el Acuerdo de Reparto a la empresa distribuidora y
a la comercializadora con la que el Cliente tenga contratado el suministro”. Esto es, se
remite el correo electrónico para que los partícipes realicen un acto, si bien en los
servicios que incluían en los contratos, figura que fuera EDP la que comunicaría tal
acuerdo de reparto a las comercializadoras, para lo cual ostentaba la representación.
También figuraba en el RAT que se comunican datos, entre otras, a (…)”.
Conviene señalar que todo tratamiento de datos personales debe ser conforme, por
una parte, con los principios relativos al tratamiento de datos enunciados en
el artículo 5 del RGPD y, por otra, con alguno de los principios relativos a la licitud del
tratamiento enumerados en el artículo 6 de dicho Reglamento (véase, en este sentido,
la sentencia de 16/01/2019, Deutsche Post, C-496/17, EU:C:2019:26, apartado 57 y
jurisprudencia citada). Además, cualquiera que sea la base jurídica legitimadora del
tratamiento, todo responsable del tratamiento, y el reclamado EDP lo es, ha de
respetar los principios del tratamiento recogidos en el artículo 5 del RGPD.
Destacaremos el artículo 5.1.c) del RGPD, establece que:

“1. Los datos personales serán

c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los
que son tratados (“minimización de datos”);”

Artículo que se relaciona con el considerando 39 del RGPD, que señala sobre los
tratamientos de datos, que “…los fines específicos del tratamiento de los datos
personales deben ser explícitos y legítimos, y deben determinarse en el momento de
su recogida. Los datos personales deben ser adecuados, pertinentes y limitados a lo
necesario para los fines para los que sean tratados. Ello requiere, en particular,
garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos
personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse
razonablemente por otros medios”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/36

Asimismo, relacionado con la base jurídica la que EDP fía el tratamiento de datos, el
artículo 6.1.b) del RGPD, que indica que “el tratamiento solo será licito si se cumple al
menos una de las siguientes condiciones “el tratamiento es necesario para la
ejecución de un contrato en el que el interesado es parte…”.

El artículo 5.1.c del RGPD refleja el principio de proporcionalidad (véase la sentencia
de 11/12/2019, Asociaţia de Propietario bloc M5A-ScaraA, C-708/18, EU:C:2019:1064,
apartado 48), en el sentido de que, caso de que existieran alternativas para cumplir la
misma finalidad pretendida por el reclamado, se ha de optar por la menos invasiva.

El principio de proporcionalidad se ha de atender desde el momento en que con el uso
de datos personales se restringen los derechos y libertades, como sería el de
protección de datos, al tratar esos datos.

Sobre las características comunes de las condiciones administrativas, técnicas
económicas del autoconsumo de energía eléctrica, el Real Decreto 244/2019 regula
las mismas, y las modalidades de autoconsumo de energía eléctrica se definen en el
artículo 9 de la Ley 24/2013 de 26/12, del Sector Eléctrico.

Uno de los pasos, casi al final del proceso de los tramites de instalación de
autoconsumo relaciona el acuerdo de reparto de los consumidores asociados al
autoconsumo, con la distribuidora/comercializadora de la energía eléctrica
(generalmente, con la que cada persona titular tenga concertado el servicio.

El citado Real Decreto 244/2019, establece en el Anexo I, el formato del fichero que
debe utilizarse para comunicar a la empresa distribuidora los coeficientes de reparto.
En principio Estos “Acuerdos de reparto” firmados por todos los participantes, deberán
ser remitidos de forma individual por cada consumidor a la compañía distribuidora,
bien directamente o a través de su comercializadora. Si para la realización del
autoconsumo colectivo se hubiese optado por formar una comunidad de energías
renovables, ésta podría ejercer la representación de los consumidores asociados en
todos estos trámites. Cualquier otro agente debidamente autorizado puede ser
representante, actuando como un gestor de autoconsumo.

En el ANEXO 1 del citado Real Decreto, se indica que “Las energías y potencias a
efectos de facturación y de liquidación definidos en el artículo 3 del presente Real
Decreto se calcularan de acuerdo con lo establecido a continuación:

1 “coeficientes y requisitos de los coeficientes de reparto””.

Para cada consumidor y participante del autoconsumo colectivo, este coeficiente
tomará los valores que figuren en un acuerdo firmado por todos los consumidores
participantes del autoconsumo colectivo y notificado a la empresa distribuidora como
encargada de lectura de los consumos
En nombre del fichero txt
CAU
CUPS
coeficiente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/36

El modelo 5 de la Guía IDAE (Instituto de Diversificación, guía profesional de
tramitación del autoconsumo edición v.5.1, enero 2023 contiene un modelo de acuerdo
de reparto de energía de autoconsumo colectivo, instalaciones con excedentes no
acogidas a compensación”, en una hoja excel con los datos del consumidor-titular
del suministro, el NIF, CUPS y coeficiente de reparto, que es el documento que
se ha de firmar.

Sin embargo, EDP remitió otros documentos ajenos al acuerdo de reparto, en los que
se contenían: número de teléfono, e mail, dirección postal del titular, UTM y
referencia catastral, que exceden del documento de reparto y se contenían en
documentos diferentes relacionados con el poder de representación a EDP para
gestionar en nombre de cada cliente entre otros, la firma del acuerdo de reparto
La Guía describe los pasos necesarios para la tramitación de instalaciones de
generación eléctrica en autoconsumo.

La Guía establece en su página 12, que: “Para la realización del autoconsumo
colectivo podrá constituirse una comunidad de energías renovables siempre que se
cumpla con los requisitos necesarios y podrá actuar como representante de los
consumidores asociados cuando éstos le otorguen las correspondientes
autorizaciones. Sin embargo, puede realizarse un autoconsumo colectivo sin constituir
una comunidad de energías renovables, simplemente mediante acuerdo entre los
consumidores.

Cualquier otro agente debidamente autorizado puede ser también el representante,
actuando como un gestor de autoconsumo.”

La guía IDAE define la diferencia entre “empresa comercializadora”, que son las que
realizan la venta de energía a los consumidores a través de los contratos de suministro
que se firman con ellos, y la “empresas distribuidoras”, son las propietarias de la red
de distribución de energía eléctrica que prestan el servicio de distribución y son
responsables de su gestión, operación y mantenimiento. Son responsables de
analizar, y en su caso, aceptar o denegar las solicitudes de acceso y conexión”.“ Son
también responsables de proporcionar a las empresas comercializadoras, los datos
necesarios para que se pueda realizar la facturación, y liquidación de la energía y de
los peajes, cargos y cuantías que procedan”.

Según la Guía IDAE, los acuerdos de reparto han de ser remitidos por cada
consumidor a la compañía distribuidora, directamente o a través de su
comercializadora. (Todos los consumidores deben enviar el mismo acuerdo firmado)
para la realización del autoconsumo colectivo si se hubiere optado por formar una
comunidad de energías renovables, esta podrá ejercer la representación de los
consumidores asociados en todos estos trámites. Cualquier otro agente debidamente
autorizado puede ser representante, actuando como gestor de autoconsumo”
(apartado 13 Acuerdo de reparto y contrato de compensación de excedentes).

La página 132 de la citada Guía “autoconsumo colectivo CON excedentes no acogido
a compensación” reitera que “es necesario que los intervinientes firmen un acuerdo
con los criterios de reparto de la energía generadas. Este acuerdo deberá ser firmado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/36

por todos los consumidores asociados y remitido de forma individual por cada
consumidor asociado a la compañía distribuidora-directamente o a través de su
comercializadora-En el fichero que han de remitir los consumidores “en un fichero
texto plano de extensión “txt” que contendrá el valor de los coeficientes de los
consumidores que participan en el autoconsumo”, conteniendo los campos:

Código de autoconsumo, CUPS, hora, coeficiente

En este caso concreto, el reclamante pone de manifiesto que se le envía un correo
electrónico el 22/02/2023. ECODES y EDP reconocen se envió por orden de esta
última, conteniendo un archivo que EDP traslada para su remisión a los participantes
del proyecto del autoconsumo (99 personas), (CINCO de ellas personas jurídicas) con
dos anexos. Uno de los anexos adjuntos, en pdf “(...) (que responde al código de
autoconsumo CAU) Listado poderes.pdf, acredita que contiene los COEFICIENTES
DE REPARTO, con datos personales más allá del CONTENIDO MÍNIMO que
determina la norma sectorial aplicable, porque se le manda también a cada socio
participante los poderes de representación con datos que no tienen relación alguna
con el citado documento de coeficientes de reparto

Analizado el contexto del envío del correo citado de 22/02/2023 en el que se cursa el
archivo pdf adjunto con los datos que son objeto de reclamación ante el avance en el
proceso del suministro de autoconsumo, indicaba que podría ser que las
comercializadoras de la luz pidieran a los participantes, “una serie de información
sobre la instalación de autoconsumo a la que estáis inscritos”, y se instruía que “La
documentación que tenéis que enviarles cada uno de vosotros y que os adjuntamos
en este email es la siguiente: Contrato de Coeficientes de Reparto (PDF).”

Así, pues, el contexto en el que se envía el correo electrónico y el archivo adjunto en el
caso concreto no tiene nada que ver con la reiterada tesis de EDP de que el acuerdo
de reparto es enviado por transparencia y no se puede quitar ningún elemento, porque
en ese caso tampoco precisaría de la remisión de los poderes de cada asociado con
sus datos o los datos del contrato suscrito.

Se ha de diferenciar el acuerdo de reparto suscrito, para el que la reclamada
ostentaba el poder de los asociados, de los documentos que le sirven de base e
instrumento para lograr aquel acuerdo de reparto. Subsidiariamente, el contenido que
a ese acuerdo de reparto le dio EDP, introduciendo datos de los partícipes que no
figuran ni en el Real Decreto que regula la materia, ni en la Guía IADE. Finalmente, la
puesta a disposición en un anexo enviado a los partícipes por e mail, conteniendo esa
información referida a personas partícipes que se sale de la legitimación para la que
proporcionaron los datos los partícipes a EDP, enmarcada en la finalidad de la
prestación del servicio, para la que tales datos no se limitan a lo necesario.

Ni el consentimiento de cada usuario al alta en el proyecto otorgado mediante un
tercero de confianza, con los datos que se contenían (NIF, correo electrónico, número
de teléfono) formaría parte de dicho acuerdo de reparto, tanto por la naturaleza del
documento y sus fines y su nula relación con el acuerdo de reparto, siendo mero
instrumento para su posterior consecución.

Lo mismo cabe decir del otorgamiento general de poderes para las diversas
actividades que conforman el proyecto de autoconsumo a EDP, que también se
acompañan en el adjunto enviado por correo electrónico. Se contenía aquí la dirección
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/36

de los consumidores partícipes que puede no ser la de la sede del suministro, y su
NIF.

Así pues, el fin del caso que nos ocupa según el literal del correo enviado no responde
a ese motivo sino al de enviar a la comercializadora el acuerdo de reparto que
contiene los coeficientes de reparto. Se concluye pues que el principio de minimización
de datos se ha quebrado el remitir el anexo por correo electrónico que contenía parte
de datos no adecuados, pertinentes, y excesivos para los necesario en relación con
los fines para lo que son tratados.

En este caso concreto se observa en un primer aspecto interno del tratamiento de
datos que:

- Cada consumidor asociado otorgaba poder al reclamado, EDP para, no solo
firmar en nombre de cada cliente el acuerdo de reparto, sino también, entre otras: -cita
literal del documento “poder de representación” a EDP- para la “realización de las
comunicaciones que resulten necesarias en relación con el acuerdo de reparto a la
empresa distribuidora y a la comercializadora con la que el cliente tenga contratado el
suministro”, por lo que no resulta entendible que se remita a cada consumidor
asociado todos los datos referidos en el archivo adjunto, ya que le hubiera
correspondido a EDP SOLAR ESPAÑA, S.A., la remisión a cada distribuidor de la
citada documentación, no a cada usuario.

-Aquí se analiza, no lo que se pondría en conocimiento de la
Comercializadora/distribuidora, sino lo que se puso en conocimiento de los asociados
al proyecto de autoconsumo “Barrio Solar”, y su necesidad y proporcionalidad. Para
reconocer que el acuerdo de reparto firmado por todos los consumidores asociados
identifica a los titulares, al menos para la distribuidora/comercializadora debería
contener el citado acuerdo de reparto también el nombre y apellidos como necesario
valor identificativo mínimo.

-Los datos: NIF, referencia catastral, dirección de cada partícipe, número de
teléfono y correo electrónico son innecesarios ponerlos en conocimiento de todos los
participantes en el proceso de autoconsumo.

Examinadas las circunstancias y finalidad el envío se conviene que no era necesario ni
pertinente y que EDP SOLAR ESPAÑA, S.A., se ha excedido con el contenido de
datos personales que se incluían en el archivo adjunto objeto de la reclamación,
difundiéndose todos los datos entre todos los componentes del citado autoconsumo.

Se considera pues que EDP SOLAR ESPAÑA ha podido infringir el artículo 5.1.c) del
RGPD.

III Tipificación de la conducta infractora

De conformidad con las evidencias de que se disponen, se considera que el
reclamado ha tratado datos que eran excesivos al no ser necesarios, adecuados ni
proporcionales para la finalidad perseguida y pretendida.

Los hechos conocidos son constitutivos de una infracción, imputable al reclamado, del
artículo 5.1.c) del RGPD, con el alcance expresado en los Fundamentos de Derecho
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/36

anteriores, lo que, de confirmarse, podría suponer la comisión de la infracción
tipificada en el artículo 83.5, a) del RGPD, que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone que:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;”

A este respecto, la LOPDGDD, en su artículo 71 establece que: “Constituyen
infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del
artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la
presente ley orgánica”.

A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica:

“Artículo 72. Infracciones consideradas muy graves.

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679.

IV Propuesta de sanción

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“Cada autoridad de control garantizará que la imposición de las multas administrativas
con arreglo al presente artículo por las infracciones del presente Reglamento
indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas,
proporcionadas y disuasorias.”

“Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/36

b) la intencionalidad o negligencia en la infracción;

c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;

d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;

e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;

a) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;

e) las categorías de los datos de carácter personal afectados por la infracción;

a) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;

b) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;

c) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y

d) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”

Respecto al apartado k) del artículo 83.2 del RGPD, la LOPDGDD, artículo 76,
“Sanciones y medidas correctivas”, dispone:

“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.

b) La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales.

c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de
la infracción.

e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.

f) La afectación a los derechos de los menores.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/36

g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.

h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”

El RGPD, artículo 83.1, advierte que en la imposición de las multas administrativas por
infracción del RGPD, la Autoridad de Control garantizará que sean en cada caso
“efectivas, proporcionadas y disuasorias”. Estos criterios que presiden la
determinación del importe de la sanción de multa obligan a tomar en consideración
todas las circunstancias. n este caso, se estiman concurrentes las siguientes
circunstancias:

- Artículo 83.2.a) del RGPD:

“Naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate, así como el
número de interesados afectados y el nivel de los daños y perjuicios que hayan
sufrido”

La Agencia considera que la naturaleza de la infracción acarrea una pérdida de
disposición y control sobre los datos personales a los participantes en el proyecto de
autoconsumo eléctrico. Los datos tratados en la operación de tratamiento de envío del
archivo indebidamente fueron: la referencia catastral, el código UTM, el número de
teléfono, el e mail, la dirección de los titulares, que supone una circunstancia que
afectaba a 99 usuarios (CINCO de ellas personas jurídicas).

- Artículo 83.2.b) del RGPD.

Intencionalidad o negligencia en la infracción:

El Tribunal Supremo en sentencia de 23/10/2010 -recurso nº. 1.067/2006-, señala
que, "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe
considerarse en orden a la asunción de la correspondiente carga, que ordinariamente
los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte
de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia
de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que
era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación
frente a un comportamiento típicamente antijurídico la invocación de la ausencia de
culpa".

No puede hablarse de sanción administrativa sin la existencia del elemento subjetivo
de la culpabilidad. La conducta de EDP SOLAR ESPAÑA, S.A., no sería sancionable
si no concurriera dolo o culpa. En la conducta de EDP que actuaba como mandataria
de un amplio número de personas concertando por un lado bilateralmente los
contratos de servicio con los asociados al autoconsumo, y, por otro lado, gestionaba el
documento común de reparto, que era el que tenía que presentar a la
comercializadora. Era claro que, como mandataria, no podía ignorar que los
documentos de los contratos y mandato, el del reclamante de 5/07/2021, previos al
documento de acuerdo del reparto, fechado el 3/10/2022 contenían componentes y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/36

sus fines eran totalmente distintos. Los primeros, surgidos de la relación bilateral
asociado con EDP SOLAR ESPAÑA, S.A., y de mandato, mientras que el acuerdo de
reparto debía contener un número limitado de datos de todo el colectivo de usuarios
del autoconsumo asociados al mismo proyecto, entre los que no se hallaban los
contenidos en los documentos de mandado y contrato. Hecho que parece claro . El
hecho de consultar a la AEPD si se estaba realizando el tratamiento correctamente,
obviaba que, en el correo dirigido a 99 personas, (CINCO de ellas personas jurídicas),
se contenía un archivo adjunto que no guardaba la proporcionalidad y necesidad en el
tratamiento de tales datos. EDP SOLAR ESPAÑA, S.A., ha mantenido durante todo el
traslado de la reclamación y en actuaciones previas de investigación, que su actuación
se ajustaba al modelo establecido en el Real Decreto y en la Guía IDAE conforme se
determinaba en el modelo y anexo, cuando obviamente se ha de reconocer desde el
principio que se han tratado más datos y se han comunicado a los asociados del
autoconsumo... Por ello, si bien la Agencia considera que no hubo intencionalidad por
parte de EDP SOLAR ESPAÑA, S.A., sí que existe falta de diligencia en esta
conducta, no velando por el cumplimiento de la protección de datos que le incumbía

Con su efecto disuasorio, las multas administrativas contribuyen a reforzar la
protección de las personas físicas en lo que respecta al tratamiento de datos
personales y constituyen, por ende, un elemento clave para garantizar el respeto de
los derechos de dichas personas, de conformidad con la finalidad del citado
Reglamento de asegurar un elevado nivel de protección de esas personas en lo que
respecta al tratamiento de los datos personales, que conducen a determinar que, la
multa a imponer es de 70.000 euros, sin perjuicio de lo que resulte de la instrucción del
procedimiento.

V Adopción de medidas

De confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”. La imposición de esta medida es compatible con la sanción
consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución sancionadora podrá ser considerado como una
infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como
infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un
ulterior procedimiento administrativo sancionador.

En relación con la medida, deberá ajustar el tratamiento de datos cuando comunique a
los partícipes a los datos estrictamente necesarios. Por tanto, se impondría esta
medida en el plazo de 30 días desde la notificación de la resolución dictada.

Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia
Española de Protección de Datos,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/36

SE ACUERDA:

PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a EDP SOLAR ESPAÑA,
S.A., con NIF A74466178, por la presunta infracción del artículo 5.1 c) del RGPD, de
conformidad con el artículo 83.5.a) del RGPD, y calificada como muy grave a efectos
de prescripción en el artículo 721.a) de la LOPDGDD.

SEGUNDO: NOMBRAR como instructor a B.B.B. y, como secretario, a C.C.C.,
indicando que podrán ser recusados, en su caso, conforme a lo establecido en los
artículos 23 y 24 de la Ley 40/2015, de 1/10, de Régimen Jurídico del Sector Público
(LRJSP).

TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la
reclamación interpuesta por la parte reclamante y su documentación, así como los
documentos obtenidos y generados por la Subdirección General de Inspección de
Datos en las actuaciones previas al inicio del presente procedimiento sancionador.

CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1/10, del
Procedimiento Administrativo Común de las Administraciones Públicas, (en lo
sucesivo, LPACAP), la sanción que pudiera corresponder sería de 70.000 euros, sin
perjuicio de lo que resulte de la instrucción.

QUINTO: NOTIFICAR el presente acuerdo a EDP SOLAR ESPAÑA, S.A., con NIF
A74466178, otorgándole un plazo de audiencia de diez días hábiles para que formule
las alegaciones y presente las pruebas que considere convenientes. En su escrito de
alegaciones deberá facilitar su NIF y el número de expediente que figura en el
encabezamiento de este documento.

Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la LPACAP.

De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta
reducción, la sanción quedaría establecida en 56.000 euros, resolviéndose el
procedimiento con la imposición de esta sanción.

Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en 56.000 euros, y su pago implicará la terminación
del procedimiento, sin perjuicio de la imposición de las medidas correspondientes.

La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/36

alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 42.000 euros.

En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.

En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente 56.000 euros, o 42.000 euros, deberá hacerlo efectivo
mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000
(BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de
Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el
concepto el número de referencia del procedimiento que figura en el encabezamiento
de este documento y la causa de reducción del importe a la que se acoge.

Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.

El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el
artículo 64 de la LOPDGDD.

En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo
sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma
electrónica, a través de la Dirección Electrónica Habilitada Única (dehu.redsara.es), y
que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por
efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede
identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso
de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no
impedirá que la notificación sea considerada plenamente válida.

Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.

935-30102023
Mar España Martí
Directora de la Agencia Española de Protección de Datos

>>

SEGUNDO: En fecha 5 de diciembre de 2024, la parte reclamada ha procedido al
pago de la sanción en la cuantía de 42000 euros haciendo uso de las dos reducciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/36

previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el
reconocimiento de la responsabilidad.

TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a
la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción y el reconocimiento de responsabilidad en relación con
los hechos a los que se refiere el Acuerdo de Inicio y su calificación jurídica.

CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de
confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.

Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de
las medidas incluidas en el Acuerdo de inicio.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Presidencia de la Agencia Española de
Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Terminación del procedimiento

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:

“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/36

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”

De acuerdo con lo señalado,
la Presidencia de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: DECLARAR la terminación del procedimiento EXP202305278, de
conformidad con lo establecido en el artículo 85 de la LPACAP.

SEGUNDO: ORDENAR a EDP SOLAR ESPAÑA, S.A. para que en el plazo de 30
días desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la
adopción de las medidas que se describen en los fundamentos de derecho del
Acuerdo de inicio transcrito en la presente resolución.

TERCERO: NOTIFICAR la presente resolución a EDP SOLAR ESPAÑA, S.A..

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

1259-101224
Olga Pérez Sanjuán
La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2
LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es