Enerji Sözleşmesinde Yanlış Müşteri ve Hesap Bilgileri

1/31

 Expediente N.º: EXP202308085 (PS/00232/2024)

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 05/05/2023
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra ENDESA ENERGIA, S.A.U. con NIF A81948077 (en
adelante, ENDESA ENERGÍA/la parte reclamada). Los motivos en que basa la
reclamación son los siguientes:

La parte reclamante manifiesta que, en marzo de 2022, la parte reclamada realizó el
cambio de titularidad de su contrato con Naturgy, así como del número de cuenta sin
su consentimiento; señala que un tercero solicitó el cambio de compañía y la parte
reclamada lo realizó en su domicilio. Afirma haber presentado reclamación ante la
Consejería de Industria de la Xunta de Galicia que finalizo mediante resolución
declarando el error por la parte reclamada.

Junto con la reclamación se aporta:

- Contrato de Endesa a nombre del tercero, B.B.B., con domicilio en la calle
***DIRECCIÓN.1.
- Mensaje de texto de la baja del contrato sin consentimiento de la parte reclamante.
- Resolución de la Xunta de Galicia por suspensión indebida del suministro eléctrico.

SEGUNDO: De acuerdo con el mecanismo previo a la admisión a trámite de las
reclamaciones que se formulan ante la AEPD, previsto en el artículo 65.4 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en lo sucesivo, LOPDGDD), el 14/06/2023 se dio traslado de
dicha reclamación a la parte reclamada, para que procediese a su análisis e informase
a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse
a los requisitos previstos en la normativa de protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 15/06/2023 como consta en el
acuse de recibo que obra en el expediente.

TERCERO: Con fecha 28/07/2023 tras analizarse la documentación que obraba en el
expediente, se dictó resolución por la Directora de la Agencia Española de Protección
de Datos, acordando la no admisión a trámite de la reclamación. La resolución fue

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

2/31

notificada a la parte recurrente, en fecha 29/07/2023, según consta acreditado en el
expediente.

CUARTO: Con fecha 09/08/2023 la parte reclamante interpuso recurso potestativo de
reposición a través del Registro Electrónico de la AEPD, contra la resolución recaída,
mostrando su disconformidad con la resolución impugnada, solicitando la admisión a
trámite de la reclamación inicial presentada.

Con fecha 27/10/2023 se remitió el recurso interpuesto a la parte reclamada en el
marco de lo establecido en el artículo 118.1 de la LPACAP a los efectos de que
formulase las alegaciones y presentase los documentos y justificantes que estimase
procedentes, lo que llevó a cabo mediante escrito de respuesta de fecha 23/11/2023.

QUINTO: Con fecha 18/12/2023 la Directora de la AEPD dicto resolución estimando el
recurso de reposición interpuesto por la parte reclamante contra la resolución dictada
en fecha 28/07/2023, y, se admitía a trámite la reclamación formulada de acuerdo con
lo establecido en el artículo 65 de la LOPDGDD.

SEXTO: La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:

En fecha 15/01/2024 se solicitó a la parte reclamada para que informase sobre las
causas del error en el proceso de contratación que motivó la incidencia producida;
actuaciones realizadas y medidas adoptadas.

En respuesta al requerimiento la parte reclamada ha informado que en relación con las
causas del error en el proceso de contratación que motivó la baja del punto de
suministro ubicado en la dirección ***DIRECCIÓN.2. CUP GAS: ***GAS.1, CUP LUZ:
***LUZ.1, los representantes de la parte reclamada manifiestan que, según figura en
sus sistemas internos, con fecha 08/03/2022, fueron registradas sendas solicitudes de
contratación relativas al suministro de electricidad y de gas para el punto de suministro
sito en la calle ***DIRECCIÓN.1, a nombre de B.B.B., a través de un punto de venta
presencial de la compañía.

Dichas solicitudes fueron gestionadas por un agente del proveedor de la compañía
“Salesland, S.L.” que se encarga de, entre otros, prestar servicios de venta y
tramitación de contrataciones de sus productos y servicios.

El error que cometió el agente que atendió la solicitud de B.B.B. y procedió a la
gestión de la contratación, fue insertar en el sistema la dirección del punto de
suministro de la interesada tal y como aparecía en su D.N.I., es decir, indicando la vía,
número, piso, letra y municipio. Al no especificarse en el sistema el portal de la
dirección del punto de suministro, se produjo un error de asociación de la solicitud de
alta de B.B.B., con el punto de suministro del que era titular la parte reclamante – cuya
dirección coincidía en cuanto a la vía, número, piso, letra y municipio, salvo el portal.
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

3/31

Este error de asociación provocó que, cuando B.B.B. procedió a la firma del contrato
de suministro de gas y electricidad el día 05/03/2022 – contrato en el que se reflejaba
tanto la dirección del punto de suministro, como los CUPS, concretamente el CUPS de
electricidad ***LUZ.1 y el CUPS de gas ***GAS.1 – se iniciara el proceso de cambio
de titularidad y de compañía comercializadora, de acuerdo con lo dispuesto en la
normativa aplicable sectorial.

Con fecha 29/03/2022, B.B.B., titular de los contratos de suministro de electricidad y
de gas asociados al CUPS de electricidad ***LUZ.1 y al CUPS de gas ***GAS.1,
solicitó la cancelación de dichos contratos y la baja de los suministros, a través del
canal de Atención al Cliente telefónico. Como consecuencia de esa petición de baja, la
vivienda del reclamante quedó temporalmente sin suministro.

En el momento en que B.B.B. solicitó la cancelación de los contratos y la baja de los
suministros, la parte reclamada no había recibido ninguna reclamación acerca del error
en la identificación del punto de suministro, por lo que se limitó a atender la solicitud de
baja de quien figuraba como titular de los contratos de suministro del punto de
suministro con CUPS de electricidad ***LUZ.1 y CUPS de gas ***GAS.1.

En relación con las actuaciones realizadas por la parte reclamada para solucionar el
incidente los representantes de la entidad manifiestan que la entidad no fue
conocedora del incidente que provocó el cambio de titularidad y de compañía
comercializadora de los contratos de suministro de luz y gas de la vivienda de la parte
reclamante, hasta después de que la que era la titular de dichos contratos, B.B.B.,
solicitara la cancelación de estos y la baja de los suministros, con fecha 29/03/2022,
sin que B.B.B. hiciera mención alguna del error en el proceso de contratación – lo cual
hubiera permitido proceder a la reposición de los suministros con la anterior compañía
comercializadora, evitando así el fin del suministro.

Desde el 11/05/2022, cuando la entidad tuvo conocimiento del incidente a través del
escrito remitido por la Consejería de Industria de la Xunta de Galicia en el que
trasladaba la reclamación interpuesta por la parte reclamante, hasta el 05/07/2023, en
que la entidad envió una última comunicación a la parte reclamante (que no obtuvo
respuesta) detallando las cantidades y conceptos sobre los que estaría en disposición
de llegar a un acuerdo compensatorio, la Unidad Territorial de Reclamaciones de
Endesa Energía (en adelante “UTR”) ha intentado en repetidas ocasiones contactar
(tanto telefónicamente, como por carta) con la parte reclamante, con el fin de ofrecer
una compensación económica por los perjuicios ocasionados como consecuencia de
la incidencia que tuvo lugar, puesto que, dado que los suministros ya habían sido
repuestos, no era necesaria ninguna actuación adicional en ese sentido.

En relación con las medidas adoptadas para evitar la repetición de este tipo de errores
en el futuro, los representantes de la entidad manifiestan que con el objeto de prevenir
que puedan producirse incidencias similares y con motivo de la Decisión Jurídica
Vinculante DJV/DE/005/22 de la Comisión Nacional de los Mercados y la
Competencia, se ha introducido una medida de refuerzo en la identificación del punto
de suministro en el proceso de contratación, consistente en que, antes de proceder a
la firma del contrato, se muestre en el dispositivo de firma, específicamente y con
claridad, el trinomio “titular del punto de suministro, dirección del punto de suministro y
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

4/31

CUPS” para que el solicitante del alta del contrato de suministro pueda confirmar esos
datos antes de validar la contratación, con el objeto de que se pueda identificar de
manera evidente si hay discrepancias en los datos.

En relación con las instrucciones se facilitaron en la fecha de la contratación al agente
comercial para verificar que la persona que contrata tiene relación con el punto de
suministro, los representantes de la entidad manifiestan:

 Que la solicitud de contratación objeto de análisis fue gestionada desde un
punto de venta (“stand”) de la entidad en una gran superficie (en adelante, “Canal
Stand”).

Este canal de venta cuenta con un procedimiento específico para aquellas
contrataciones que impliquen un cambio de titularidad en el contrato de acceso. Dicho
procedimiento contempla las distintas casuísticas que pueden darse en caso de
cambio de titular, así como los documentos admitidos como “justo título” que deberá
aportar el solicitante a cuyo nombre pasará el contrato de suministro y que serán
imprescindibles para poder tramitar la contratación.

Aportan copia del Procedimiento de Cambio de titular para el Canal Stand. Además de
lo anterior, los cambios de titularidad propuestos conllevan un control de calidad
adicional que supone la realización de una llamada de verificación con el fin de
detectar posibles irregularidades en la contratación.

 El motivo de la incidencia que provocó el cambio de titularidad y de
comercializadora de los contratos de suministro de gas y de electricidad de los que era
titular la parte reclamante, tiene su origen en la actuación de un agente del Canal
Stand que, al atender la solicitud de contratación de un tercero que, aparentemente no
implicaba un cambio de titularidad en los contratos de acceso, no especificó en el
sistema de contratación la letra del portal de la dirección del punto de suministro –
puesto que así, sin el aclarador del portal, figuraba en el D.N.I. del solicitante – dando
lugar a un error de asociación de dicha solicitud con el punto de suministro
correspondiente a la vivienda de la parte reclamante, cuya dirección coincidía en
cuanto a la vía, número, piso, letra y municipio, salvo el portal. Por tanto, no se aplicó
correctamente el Procedimiento de Cambio de titular para el Canal Stand.

A requerimiento de la Agencia aportan copia del DNI de B.B.B. que se facilitó en el
momento de la contratación, dicho documento refleja la misma dirección que se
incluyó en el contrato y no incluye el aclarador del portal

Aportan copia del contrato firmado por B.B.B..

Con relación a si consta en la entidad que hubiera habido una cesión de los datos
personales del reclamante a B.B.B.. los representantes de la entidad indican que no
se ha producido cesión alguna de los datos personales de la parte reclamante a
B.B.B..

Además, según aparece reflejado en los sistemas de la parte reclamada cuando se
registraron las reclamaciones de la parte reclamante, se envió un acuse de recibo a la
dirección de correo electrónico de B.B.B., quien figuraba como titular del punto de
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

5/31

suministro. Concretamente, con fecha 25/04 y 29/05/2023 respectivamente, se envió
un acuse de recibo de las reclamaciones interpuestas y, con fecha 05/06/2023, se
envió un aviso de llamada, a la dirección de correo electrónico de B.B.B.. Ahora bien,
dichas comunicaciones no recogían información relativa a la reclamación interpuesta,
ni datos identificativos o de contacto de la parte reclamante.

En las plantillas aportadas para el correo electrónico que se envía en los casos de
acuse de recibo y de aviso de llamada no recoge datos relativos a la reclamación, ni
identificativos o de contacto del reclamante.

Finalmente, según comunica la Unidad Territorial de Reclamaciones de la parte
reclamada todas las comunicaciones relacionadas con la reclamación interpuesta por
la parte reclamante se dirigieron a la dirección de correo electrónico indicada por este
último: ***EMAIL.1.

Con relación a si se puede contratar sin ser el titular del servicio y motivo por el que no
se detectó el error en la distribuidora, los representantes de la entidad indican la Ley
24/2013, de 26 de diciembre, del sector eléctrico (en adelante, “Ley del Sector
Eléctrico”) promueve “[…] la mejora de la posición del consumidor en cuanto a
información disponible y facilitación de los procesos de cambio de suministrador entre
otros”. Esta ley establece pues el derecho del consumidor a cambiar de empresa
comercializadora conforme a lo establecido en las directivas europeas del mercado
interior de electricidad. Y para ello, la normativa establece el proceso general de
comunicación que debe llevarse a cabo entre la nueva comercializadora o
comercializadora entrante, la distribuidora y la comercializadora existente o
comercializadora saliente, cuando se produce una contratación con cambio de
comercializadora.

Dicho cambio implica el intercambio de cierta información para ejecutar el alta de un
nuevo contrato de suministro energético con la comercializadora entrante y la baja del
contrato existente con la comercializadora saliente, a través de un agente que
centraliza la información intercambiada y ejecuta el cambio, que es la distribuidora.

El procedimiento que se sigue en este tipo de contrataciones es el siguiente:

1) Una vez el nuevo cliente contrata con la entidad el suministro energético en un
punto de suministro en el que estaba siendo prestado el servicio por otra
comercializadora (es decir, no se trata de un alta nueva), la entidad (en este caso la
comercializadora entrante) remite una solicitud de cambio de comercializadora a la
empresa distribuidora de la zona a cuya red está conectado el punto de suministro de
que se trate.
2) La distribuidora recibe la comunicación de la entidad (la comercializadora
entrante) y analiza y acepta o rechaza la petición de contratación. Los criterios para
aceptar o rechazar la contratación están tasados por la Resolución de la CNMC de
17/12/2019 – se trata de comprobaciones formales de determinada información.
3) En caso de que la distribuidora rechace la solicitud, por no cumplirse alguna de
las especificaciones definidas en la Resolución de la CNMC de 17 de diciembre de
2019, se comunica tal hecho y su motivo a Endesa Energía (esto es, a la
comercializadora entrante de quien la distribuidora ha recibido la solicitud de cambio)

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

6/31

para que subsane el error en su solicitud, puesto que, tal como señalamos, se trata de
defectos formales.
4) En caso de aceptar la solicitud, la distribuidora remite una comunicación a la
comercializadora saliente, indicándole que se ha producido un cambio de
comercializadora, para que la comercializadora saliente proceda a la baja del servicio
en ese punto de suministro.
5) En caso de aceptar la solicitud, la distribuidora informa igualmente a la entidad
(la comercializadora entrante) de la aceptación para que ésta proceda con la
activación efectiva del contrato.

La normativa aplicable busca facilitar la contratación por parte de los interesados, sin
obstaculizar el cambio de titularidad, sobre todo en aquellos supuestos cotidianos,
tales como cambio de residencia o vivienda, o fallecimientos de anteriores titulares,
entre otros. De este modo nada impide que se lleve a cabo el alta de un suministro con
una nueva compañía comercializadora, por una persona diferente al titular original del
contrato.

SÉPTIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
ENDESA ENERGIA, S.A.U. es una filial del grupo ENDESA, constituida en el año
1998, y con un volumen de negocios de 20.003.408.000 € en el año 2022.

OCTAVO: Con fecha 17/07/2024, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador al reclamado por la presunta infracción
por la presunta infracción del artículo 5.1.d) del RGPD, tipificada en el artículo 83.5.a)
del RGPD.

NOVENO: Notificado el acuerdo de inicio el reclamado solicito el 23/07/2024
ampliación del plazo para contestar y copia del expediente; ampliación que fue
concedida y copia que le fue trasladada el 24/07/2024.

La parte reclamada presentó escrito de alegaciones el 06/08/2024 en las que señala,
además de hacer un resumen de lo acontecido hasta la fecha lo siguiente: referencia a
los antecedentes sobre el procedimiento de referencia; información relevante a los
efectos del procedimiento; falta de antijuridicidad de la conducta de mi representada
como consecuencia de las anomalías detectadas en la numeración de las fincas
afectadas.

- A este respecto insiste la parte reclamada en que el agente que realizó el contrato
con la Sra. B.B.B. lo hizo tomando como correcta la dirección que figura en el DNI.
Además, asegura que en este caso se da la circunstancia especial de que existen dos
edificios con un mismo número de policía que se diferencia solamente por una letra,
esto es: “B.B.B. vive en el inmueble señala la parte reclamada, (…) y el Sr. A.A.A.
vive en el edificio de (…). Por tanto, ambos ocupan el piso (...) de sus respectivas
comunidades”. Esta particularidad puede llevar a la comisión de errores en diferentes
ámbitos.

Manifiesta que “el error que dio lugar a la asociación de los contratos de suministro de
electricidad y gas de la vivienda del Sr. A.A.A. a una tercera persona, parece
resultado de diversas inexactitudes y confusiones respecto a los números de policía
asignados a dos edificios contiguos en una vía pública en la que se ha realizado un
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

7/31

cambio de numeración” y que “existe confusión y falta de alineamiento entre
documentos y registros oficiales, como se aprecia en el DNI de B.B.B., que,
seguramente, dispone de escrituras de propiedad, recibos de IBI y facturas con la
numeración antigua de su vivienda ((…))”

- Ausencia de proporcionalidad de la cantidad relativa a infracción imputada.
Subsidiariamente, y para el supuesto de que no se atienda la petición principal, sobre
la procedencia de que se aplique una reducción de la sanción inicialmente propuesta”.

DÉCIMO: Con fecha 02/09/2024, el instructor del procedimiento acordó la apertura de
un período de práctica de pruebas, acordándose las siguientes:

- Dar por reproducidos a efectos probatorios las reclamaciones interpuestas por los
reclamantes y su documentación, los documentos obtenidos y generados durante las
actuaciones previas de investigación anteriormente mencionadas, que forman parte
del expediente.

- Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio
presentadas por el reclamado y la documentación que acompaña.

UNDÉCIMO: Con fecha 14 de marzo de 2025, el órgano instructor del procedimiento
sancionador formuló propuesta de resolución, en la que propone que por la
Presidencia de la AEPD se sancione a ENDESA ENERGÍA, S.A., con NIF A81948077,
por la infracción del artículo 5.1.d) del RGPD, tipificada en el artículo 83.5.a) del
RGPD, con una multa de 200.000 € (doscientos mil euros).

Esta propuesta de resolución, que se notificó a la parte reclamada conforme a las
normas establecidas en la LPACAP, fue recogida en fecha 17 de marzo de 2025, como
consta en el acuse de recibo que obra en el expediente.

DUODÉCIMO: Con fecha 3 de abril de 2025, se recibe en esta Agencia, en tiempo y
forma, escrito de la parte reclamada en el que aduce alegaciones a la propuesta de
resolución en el que, en síntesis, se viene a ratificar los argumentos de las alegaciones
al acuerdo de inicio y se formulan las siguientes alegaciones:

- La responsabilidad es atribuible a la contratante del suministro, que no advirtió
del error de la dirección que constaba en su DNI, y que ENDESA ENERGÍA
actuó con diligencia al actuar según la dirección en el DNI.
- La parte reclamante no evitó el tratamiento de sus datos pese al aviso por SMS
del cambio de compañía.
- El error tiene como origen el domicilio existente en registros públicos (Catastro,
Padrón…), siendo la dirección de ambos inmuebles, el de la contratante y el de
la parte reclamante, especialmente confusa.
- Se invoca la figura del “error invencible”.
- Los datos fueron facilitados por la contratante del suministro y confirmados por
ella antes de la firma del contrato.
- El importe de la sanción es desproporcionado, y solicita la aplicación de
circunstancias atenuantes.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

8/31

De las actuaciones practicadas en el presente procedimiento, han quedado
acreditados los siguientes,

HECHOS PROBADOS

1. D. A.A.A. (parte reclamante) contaba con un contrato de suministro de servicios
energéticos desde el ***FECHA.1, siendo titular de los códigos universales del punto
de suministro (CUPS) ***LUZ.1 (electricidad) y ***GAS.1 (gas) correspondientes a la
dirección de suministro Rúa ***DIRECCIÓN.2.
.
2. El 05/03/2022 Dña. B.B.B. con domicilio en la Rúa ***DIRECCIÓN.1 suscribe un
contrato de energía (gas y electricidad) con ENDESA ENERGIA, S.A.U (la parte
reclamada) a través de un punto de venta presencial de la compañía.

3. Durante el proceso de contratación de Dña. B.B.B., la parte reclamada vinculó
erróneamente los CUPS ***LUZ.1 y ***GAS.1 de los que era titular la parte reclamante
a Dña. B.B.B. y solicitó la modificación de la entidad comercializadora a la empresa
distribuidora de los servicios.

4. Los CUPS ***LUZ.1 (electricidad) y ***GAS.1 (gas), titularidad de la parte
reclamante, estuvieron contratados por Dña. B.B.B. entre el 10/03/2022 hasta el
30/03/2022 (electricidad) y entre el 10/03/2022 hasta el 01/04/2022 (gas).

5. El 29/03/2022 Dña. B.B.B. solicita la baja de los suministros y cancelación de los
contratos de electricidad y gas por ella suscritos con la parte reclamada asociados
erróneamente a los CUPS ***LUZ.1 y ***GAS.1.

6. En tanto que titular de los CUPS ***LUZ.1 y ***GAS.1, a consecuencia de la
rescisión del contrato entre Dña. B.B.B. y la parte reclamada, la parte reclamante
sufrió un corte de suministro de gas y electricidad durante los días 30 y 31 de marzo
de 2022 en su vivienda ubicada en ***DIRECCIÓN.2.

7. Respecto al mencionado corte de suministro de gas y electricidad sufrido por la
parte reclamante, el 3 de junio de 2022 la Jefatura Territorial de Pontevedra en el
marco de las competencias atribuidas en virtud del Real Decreto 1955/2000, de 1 de
diciembre, dicta resolución por la que determina que se produjo una ejecución
indebida de corte de suministro que “obedece sustancialmente a los errores”
cometidos por la parte reclamada.

8. El 29/03/2023 la parte reclamada dirigió una carta a la parte reclamante en la que
reconocía que “debido a un error en el proceso de contratación, un tercero contrató los
cups ***LUZ.1 y ***GAS.1 cuya titularidad le correspondía a usted”.

FUNDAMENTOS DE DERECHO

I
Competencia

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

9/31

De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de
control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD,
es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia
Española de Protección de Datos.

II
Procedimiento

Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”

El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el
artículo 64 de la LOPDGDD.

III
Cuestiones Previas

El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.

El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto
de operaciones realizadas sobre datos personales o conjuntos de datos personales,
ya sea por procedimientos automatizados o no, como la recogida, registro,
organización, estructuración, conservación, adaptación o modificación, extracción,
consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”

El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable»
como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que,
solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la
Unión o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros”.

Se debe partir de la base de que el CUPS es un identificador único asignado a cada
punto de suministro de electricidad y gas, que permite identificar de manera precisa el
suministro asociado a una vivienda o negocio. En consecuencia, es un dato personal
en los términos definidos por el artículo 4.1 del RGPD.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

10/31

En el presente caso, consta un tratamiento de datos personales en los términos
previstos en el artículo 4.2 del RGPD por parte de la parte reclamada en las diferentes
actividades de contratación del suministro de gas y electricidad asociados a un
domicilio.

La parte reclamada realiza esta actividad en su condición de responsable del
tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud
del artículo 4.7 del RGPD.

IV
Contestación a las alegaciones al Acuerdo de Inicio y a la Propuesta de Resolución

- Contestación a las alegaciones formuladas a la Propuesta de resolución.

“PREVIA.- Antecedentes sobre el procedimiento de referencia. “

En esta alegación, ENDESA ENERGÍA hace su propio resumen de los antecedentes
del caso, y de los diversos trámites de este procedimiento.

Sobre esta alegación cabe realizar las siguientes precisiones:

1. Si bien esta Agencia inicialmente no admitió a trámite la reclamación, considerando
que no había indicios de infracción en los hechos objeto de reclamación, ante la
interposición de un recurso de reposición por la parte reclamante, y previo trámite de
audiencia a ENDESA ENERGÍA, esta Agencia resolvió admitir a trámite la reclamación
inicialmente inadmitida, al evidenciarse indicios de inexactitud en el tratamiento de
datos personales, manifestado en un cambio erróneo de titularidad de los CUPS
correspondientes a la parte reclamante, lo que, posteriormente, dio lugar a la apertura
del presente procedimiento ante una presunta infracción del principio de exactitud de
datos (art. 5.1.d RGPD).

2. La notificación remitida a ENDESA ENERGÍA el 15 de junio de 2023 por esta
Agencia, se corresponde con el traslado de la reclamación previsto en el artículo 65.4
de la LOPDGDD, a efectos de valorar la posible inadmisión de la reclamación en el
caso de que el responsable haya adoptado medidas para el cumplimiento de la
normativa aplicable. Sin embargo, el requerimiento de información de 15 de enero de
2024 tiene lugar en el marco de las actuaciones previas de investigación, previstas en
el artículo 67 de la LOPDGDD, a fin de lograr una mejor determinación de los hechos y
las circunstancias que justifican la tramitación del procedimiento toda vez que la
resolución del recurso de reposición de fecha 18 de diciembre de 2023, admitió a
trámite la reclamación contra ENDESA ENERGÍA.

Por tanto, resulta adecuado que se haya incoado el procedimiento sancionador y que
continúe su tramitación para determinar la existencia de una eventual infracción del
artículo 5.1.d) del RGPD.

Por todo lo expuesto, la presente alegación debe ser desestimada.

“PRIMERO.- Información relevante a los efectos del procedimiento que aquí nos
ocupa.”
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

11/31

ENDESA ENERGÍA intenta eludir su responsabilidad en el error de contratación que
supuso el cambio de titularidad de los CUPS de la parte reclamante y de
comercializadora del suministro de gas y electricidad de la parte reclamante alegando
que el origen del error se encuentra en (…) de la parte reclamante quien, en el
proceso de contratación, aportó una dirección incorrecta, la de la parte reclamante.
ENDESA ENERGÍA asegura que el agente simplemente trasladó esa dirección del DNI
al contrato sin advertir error alguno. En este sentido, ENDESA ENERGÍA argumenta
que (...) de la parte reclamante incurrió en una omisión, al no advertir que la dirección
de su DNI no coincidía con la de su residencia real. Y que ella revisó y firmó el contrato
sin hacer observación alguna.

ENDESA ENERGÍA invoca la Ley de Seguridad Ciudadana para argumentar que el
DNI es un documento suficiente para acreditar identidad y los datos de su titular, por lo
que actuó diligentemente al basarse en él.

Por otra parte, la parte reclamante fue informado por SMS del cambio de compañía y
esperó varios días sin actuar, lo cual, según ENDESA ENERGÍA contribuyó a que el
error no se corrigiera antes. De este modo, ENDESA ENERGÍA sostiene que solo tuvo
conocimiento de lo ocurrido al recibir la reclamación del afectado.

Por último, ENDESA ENERGÍA atribuye la responsabilidad al sistema público (DNI,
Padrón, Catastro) y de (...) de la parte reclamante (la contratante), que no actualizó su
documentación, por lo que considera que no se le puede imputar el incumplimiento del
principio de exactitud del artículo 5.1.d del RGPD.

En respuesta a estas alegaciones, en primer lugar, debe señalarse que el uso
exclusivo del DNI por parte de la contratante no exime a ENDESA ENERGÍA del deber
de diligencia. Aunque el artículo 8.1 de la Ley Orgánica 4/2015 reconoce valor
probatorio al DNI, eso no exime a una empresa de comprobar que los datos del
contrato coinciden con el punto de suministro que se pretende contratar. En los
contratos de suministros energéticos la dirección postal no es suficiente para identificar
el punto de suministro; siendo determinante el CUPS, que debe validarse frente a los
sistemas de la distribuidora. No hay constancia de que ENDESA ENERGÍA validara
esta información antes de cursar la orden de cambio del suministro.

Además, el principio de exactitud del artículo 5.1.d) del RGPD impone al responsable
evitar errores. ENDESA ENERGÍA, como responsable del tratamiento, debe adoptar
medidas razonables para garantizar que los datos tratados son exactos y están
actualizados. En este caso, se produjo un tratamiento erróneo de los datos de la parte
reclamante, produciendo el cambio de compañía eléctrica que no había sido solicitado,
lo cual demuestra una deficiente verificación por parte de ENDESA ENERGÍA de los
datos personales de quien realmente contrató con ella el suministro de electricidad, sin
que el error en el DNI justifique que se activara un contrato con CUPS ajeno al
contratante, especialmente sin validar con la distribuidora que el solicitante era el
titular legítimo del punto de suministro.

El RGPD establece que la responsabilidad del tratamiento es del responsable, y
ENDESA ENERGÍA no puede escudarse en que los errores provienen del documento
oficial, de la administración pública o del comportamiento de terceros como la
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

12/31

contratante. Tampoco el hecho de que la parte reclamante no actuara con mayor
rapidez no afecta a la ilicitud del tratamiento. ENDESA ENERGÍA no puede
condicionar su cumplimiento normativo a que el afectado descubra y corrija sus
errores, debió verificar que el CUPS correspondía realmente al del contratante. De
haberse implementado procedimientos adecuados de comprobación, como exigir
facturas previas o comprobación del titular, el error podría haberse evitado.

Invocar el artículo 4.4 de la LOPDGDD es improcedente: este precepto establece una
exclusión de responsabilidad en caso de inexactitud por causa de los interesados,
pero solo cuando el tratamiento se limita a recoger sus datos sin vinculación con
terceros. En este caso, el error ha afectado directamente a los datos la parte
reclamante, una tercera persona ajena a la relación contractual, lo que supone la plena
responsabilidad de ENDESA ENERGÍA.

En resumen, ENDESA ENERGÍA, al activar un contrato en nombre de una persona
que no lo solicitó, en un punto de suministro ajeno al del verdadero contratante, sin
verificación previa del titular ni validación del CUPS, incurrió en un tratamiento erróneo
de los datos de la parte reclamante, por lo que la responsabilidad le corresponde
directamente. La conducta de terceros o la existencia posibles errores administrativos
en el DNI, no le exime de responsabilidad ni diluye el incumplimiento de sus
obligaciones como responsable del tratamiento.

En todo caso, debe destacarse que no existe tal error sobre la dirección en el DNI de
la persona que realizó la contratación. En este documento se indica que dicha persona
tiene su residencia en la vivienda sita en la planta 4, letra C, del número “1” de la calle
***CALLE.1, de Vigo, mientras que ENDESA ENERGÍA asoció el contrato a la vivienda
del reclamante, sita en sita en (…) de la calle ***CALLE.1, de Vigo.

Por todo lo expuesto, la presente alegación debe ser desestimada.

“SEGUNDO.- Sobre la falta de antijuridicidad de la conducta de mi representada como
consecuencia de las anomalías detectadas en la numeración de las fincas afectadas.”

En este segundo bloque de alegaciones, ENDESA ENERGÍA sostiene que su
actuación no puede ser calificada como antijurídica, y que el error que derivó en la
contratación por la parte reclamante a nombre de un tercero debe calificarse como
"invencible", exonerándola de toda responsabilidad. Los principales argumentos en los
ENDESA ENERGÍA sostiene su alegación son los siguientes:

 El error en la dirección fue inducido por el DNI de la contratante, documento
oficial que contenía la dirección de la parte reclamante.
 La dirección de ambos inmuebles es especialmente confusa, por existir dos
edificios contiguos ((…)) en la misma calle, con el mismo piso y letra ((...)), algo poco
habitual y origen de errores anteriores en documentos como el Catastro,
empadronamiento o escrituras.
 ENDESA ENERGÍA actuó de buena fe, confiando en la validez del DNI y en la
revisión del contrato por parte de la contratante, sin que hubiera razones para
sospechar error.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

13/31

 La responsabilidad sería del sistema público (Catastro, Policía, Ayuntamiento),
que genera documentos oficiales contradictorios, no de la empresa.
 Se invoca la figura del “error invencible”, aludiendo a sentencias de la
Audiencia Nacional y el Tribunal Supremo que permite excluir la responsabilidad
administrativa si el error era inevitable incluso actuando con la diligencia exigible.

Contrariamente a lo afirmado por ENDESA ENERGÍA, el uso del DNI por el
contratante no le exime del deber de diligencia. La existencia de datos incompletos en
un DNI no justifica que se hayan utilizado por parte de ENDESA ENERGÍA datos
erróneos para completarlo. Es más, ENDESA ENERGÍA tuvo que tramitar un cambio
de titularidad de los CUPS para dar de alta un contrato en un domicilio del que no
tenía certeza de que perteneciera a Dña. B.B.B. al no constar esta dirección en su
DNI. La contratación de servicios energéticos exige:

 Verificación del CUPS y del titular actual del contrato de suministro en cuestión,
en coordinación con la distribuidora;
 Comprobación de que quien solicita el cambio es el verdadero titular del
contrato.

El propio RGPD (art. 5.1.d) impone al responsable adoptar “todas las medidas
razonables para que los datos tratados sean exactos y estén actualizados.” Esa
razonabilidad no puede depender solo de lo que figure en un documento de identidad.

Por otro lado, no puede hablarse de error invencible cuando fue la propia ENDESA
ENERGÍA la que atribuyó a su cliente un número de portal erróneo sin comprobar
antes cual era el correcto. ENDESA ENERGÍA antes de solicitar el cambio de
titularidad de los CUPS asignados a un domicilio del que no tenía certeza que fuera el
de su cliente, pudo utilizar medios técnicos y contractuales para evitarlo. Para ello,
ENDESA ENERGÍA tenía medios a su alcance para evitar la confusión:

 Confirmar con su cliente la dirección física;
 Solicitar una factura anterior o el contrato de la distribuidora;
 Confirmar con su cliente la necesidad de realizar el cambio de titularidad del
punto de suministro.

La supuesta existencia de datos incompletos en el Catastro o en el DNI no convierte
en invencible el error padecido por ENDESA ENERGÍA, cuando no ha desplegado una
diligencia adecuada en la tramitación del procedimiento de contratación

Aunque el error lo cometiera un agente o comercial externo, la responsabilidad recae
sobre ENDESA ENERGÍA como responsable del tratamiento (art. 24 RGPD). No
puede escudarse en sus encargados o colaboradores sin demostrar que les impuso
instrucciones y medidas eficaces.

La existencia de un “error invencible”, alegado por ENDESA ENERGÍA, no resulta
aplicable. La sentencia citada por ENDESA ENERGÍA establece que la carga de la
prueba del error invencible recae en quien lo alega, y que no se da cuando existe la
posibilidad de haber evitado el error con medidas diligentes. En este caso:

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

14/31

 Existían medios razonables para verificar el CUPS, el titular del suministro y la
correspondencia de los datos;
 No consta que ENDESA ENERGÍA haya implementado ningún procedimiento
efectivo de control en este sentido;
 Tampoco ha justificado por qué omitió verificaciones adicionales ante una
dirección ambigua.

En todo caso, debe tenerse en cuenta que no existía error en el DNI de la persona que
realizó la contratación de los suministros de gas y electricidad.

En resumen, las alegaciones de ENDESA ENERGÍA no desvirtúan su responsabilidad
en la comisión de la infracción. La contratación errónea, basada en una dirección
inexacta y sin validación efectiva del punto de suministro, constituye una infracción del
principio de exactitud (art. 5.1.d RGPD).

No puede aceptarse que el error sea invencible ni que la conducta esté exenta de
reproche cuando el sistema de contratación falla en garantizar la identidad y el
derecho del contratante sobre el bien afectado, sino un déficit de diligencia que activa
plenamente la antijuridicidad de la conducta.

Por todo lo expuesto, la presente alegación debe ser desestimada.

“TERCERO.- Sobre la proporcionalidad de la cantidad relativa a infracción imputada.”

Según ENDESA ENERGÍA, no hubo infracción del artículo 5.1.d) del RGPD, ya que los
datos tratados fueron los facilitados directamente por la contratante, verificados con su
DNI, y confirmados por ella antes de la firma del contrato. La responsabilidad sería de
terceros (Dirección General de la Policía, Ayuntamiento de Vigo y otras entidades) por
emitir documentos con datos incorrectos. La sanción de 200.000 euros es
desproporcionada, ENDESA ENERGÍA actuó diligentemente dentro de sus
capacidades, sin incurrir en error propio. Por último, reclama una reducción de la
sanción, en caso de que se considere que hubo infracción, por existir circunstancias
atenuantes.

En respuesta a esta alegación, cabe señalar que el principio de exactitud obliga a
tomar “todas las medidas razonables” para garantizar su cumplimiento, por lo que no
basta sustentar el error sufrido por la parte reclamada en los datos existentes en el
DNI cuando ENDESA ENERGÍA disponía de medios técnicos y jurídicos para
comprobar el domicilio real de la persona contratante y su correspondencia con el
punto de suministro para el cual solicitaba el cambio de titularidad (por ejemplo, cotejar
el CUPS, exigir una factura previa, u otro documento de vinculación con el inmueble).

El error lo comete ENDESA ENERGÍA al asociar al contrato suscrito por un tercero los
puntos de suministro correspondientes a la parte reclamante.

El principio de exactitud implica un deber de verificación, por el cual, el responsable
deberá contactar con el interesado para verificar si los datos personales son correctos
antes del tratamiento y en sus diferentes fases, especialmente en casos como este, en
los que se produce un cambio de titularidad y de comercializadora de suministro de

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

15/31

electricidad y gas, ante los posibles efectos negativos sobre derechos de terceros
(como la parte reclamante).

Es ENDESA ENERGÍA quien inicia un tratamiento que afecta a datos de un tercero (la
parte reclamante). Esta actuación es antijurídica, porque no se verificó
adecuadamente la titularidad de la línea de suministro para la cual se solicitó el
cambio, lo que causó un perjuicio material (pérdida temporal del suministro) y personal
(uso indebido de sus datos).

En consecuencia, no puede considerarse que el error cometido por ENDESA
ENERGÍA fue inevitable, sino consecuencia de una verificación insuficiente y de la
ausencia de medidas para asegurar la exactitud del tratamiento, especialmente
cuando este afecta a derechos de un tercero ajeno a la contratación.

Por todo lo expuesto, la presente alegación debe ser desestimada.

“CUARTO.- Subsidiariamente, y para el supuesto de que no se atienda la petición
principal, sobre la procedencia de que se aplique una reducción de la sanción
inicialmente propuesta.”

ENDESA ENERGÍA sostiene que no existió intencionalidad ni negligencia, ya que
actuaron con diligencia al verificar la dirección de la contratante mediante su DNI,
confirmar la información con ella y reflejar esos datos en el contrato. Vuelve a atribuir
la responsabilidad a terceros, por errores en el DNI (Dirección General de la Policía),
el padrón (Ayuntamiento), e incluso de la parte reclamante, quien supo del cambio
antes del corte de suministro y no reaccionó de inmediato. Considera que no se
vulneró el principio de exactitud del artículo 5.1.d) RGPD, ya que los datos fueron
recabados directamente de la interesada y se ha colaborado con la AEPD, se contactó
con la parte reclamante y el tratamiento se interrumpió rápidamente. Finalmente, el
porcentaje de errores similares es ínfimo (0,16 %), y se solicita que se reduzca la
sanción de 200.000 €, o que no se aplique por ausencia de responsabilidad, invocando
jurisprudencia de la Audiencia Nacional sobre el error invencible como causa de
atenuación.

No obstante, sí existió negligencia en el tratamiento de datos de la parte reclamante,
desde el momento en el que ENDESA ENERGÍA no verificó que el CUPS
correspondía al domicilio de la persona firmante ni que esta tenía relación con el punto
de suministro afectado, generando un daño directo: corte de suministro eléctrico y de
gas a una persona ajena a la contratación. Además en el contrato que firmó el cliente
de ENDESA ENERGÍA no consta el domicilio de la parte reclamante, por lo que no
puede aceptarse la tesis de que fuera su cliente el que confirmó el domicilio erróneo.

No se exigió, por ejemplo, una factura anterior, contrato de alquiler, o título que
vinculara a la contratante con el inmueble.

La tesis del "error invencible" recogida en la sentencia a la que alude ENDESA
ENERGÍA no es aplicable, ya que la nomenclatura y numeración similar (1 y 1A) no es
excepcional, sino una realidad urbanística habitual. El control sobre la dirección y el
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

16/31

CUPS correspondía exclusivamente a ENDESA ENERGÍA, como comercializadora
entrante y responsable del tratamiento. Existen procedimientos sectoriales para
verificar el CUPS y la correspondencia del contratante con el punto de suministro
antes de cursar una solicitud de cambio.

En consecuencia, la actuación de ENDESA ENERGÍA revela una falta de diligencia
mínima exigible en una operativa de riesgo que involucra datos personales y derechos
fundamentales de terceros. La negligencia radica en omitir las comprobaciones
adicionales imprescindibles por el tipo de operación realizada.

En cuanto a la alegación relativa a que sólo se han visto afectado los datos de dos
personas físicas, debe contestarse que el error de ENDESA ENERGÍA afectó al
contratante y a la parte reclamante, por lo que la gravedad del incidente no debe
minimizarse:

 Se utilizó sin base legal el nombre, domicilio y CUPS de la parte reclamante.
 Se produjo un corte real de suministros esenciales (luz y gas).
 La parte reclamante tuvo que reclamar a la AEPD para revertir el problema.
 Se asignaron los CUPS erróneos al contratante al que no se le prestó el
servicio solicitado, el cual tuvo que solicitar la baja del servicio prestado para
esos CUPS.

Por último, el importe de la sanción es proporcionado y adecuado conforme a las
circunstancias del artículo 83.2 del RGPD que concurren en el presente caso, teniendo
en cuenta que el daño causado a la parte reclamante está acreditado, así como la
negligencia de ENDESA ENERGÍA. Además, esta empresa reconoció el error, pero
intenta eludir su responsabilidad atribuyendo el error a terceros. Que el error se corrija
pronto no elimina la infracción, toda vez que el tratamiento ilícito se produjo y causó
consecuencias.

La vinculación estructural de ENDESA ENERGÍA con el tratamiento masivo de datos
personales, el riesgo inherente a su actividad y la necesidad de que la sanción cumpla
fines preventivos y disuasorios, dada la magnitud del negocio y la afectación de
derechos han sido tenidos en cuenta para determinar el importe de la sanción.

En conclusión, esta alegación no desvirtúa los fundamentos de la sanción. ENDESA
ENERGÍA omitió controles básicos, como verificar la relación del contratante con el
punto de suministro. Esta negligencia facilitó el tratamiento indebido de los datos del
reclamante, provocando una vulneración grave del principio de exactitud (art. 5.1.d
RGPD). La multa de 200.000 € se considera proporcionada, dadas las circunstancias,
y no procede su reducción. La invocación del “error invencible” no es sostenible, ni
jurídicamente ni a la luz de los hechos.

Por todo lo expuesto, la presente alegación debe ser desestimada.

- Contestación a las alegaciones formuladas al Acuerdo de Inicio.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

17/31

En su escrito de alegaciones la parte reclamada ha invocado la ausencia de
antijuridicidad de la conducta como consecuencia de las anomalías detectadas en la
numeración de las fincas afectadas.

Hay que señalar que los tratamientos efectuados por la parte reclamada de los datos
personales del reclamante -conducta materializada en la contratación del suministro de
gas y electricidad para los CUPS asociados a su domicilio, vinculándolos al domicilio
de un tercero, provocó la baja en los citados suministros sin contar con su
autorización- lo que supone la infracción del principio de exactitud de los datos,
subsumible en el artículo 72 de la LOPDGDD, que establece que son consideradas
como infracciones muy graves:

a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679.”

De la documentación aportada y manifestaciones de las partes, se evidencia que la
parte reclamada ha vulnerado el artículo 5.1.d), principio de exactitud, como
consecuencia de la baja de los contratos de suministros de gas y electricidad que la
parte reclamante mantenía con la mercantil NATURGY desde el ***FECHA.1, para el
domicilio de su titularidad situado en ***DIRECCIÓN.2 y CUPS Gas: ***GAS.1 y Luz:
***LUZ.1, vinculando los citados CUPS, asociados a la vivienda de la parte
reclamante, a la vivienda de un tercero ubicado en ***DIRECCIÓN.1, siendo utilizado
por la parte reclamada para dar de alta los suministros en esta última dirección,
quedando el domicilio de la parte reclamante sin suministros.

El número de CUPS es un dato que se vincula a la vivienda, por lo que el comercial en
el momento en el que se estaban verificando los datos para proceder a la contratación
del suministro eléctrico con el contratante debió ser diligente adoptando las cautelas y
garantías necesarias y pertinentes para evitar que el CUPS de la vivienda de la
reclamante se asociara a la vivienda del contratante pues debía estar informada que al
modificar la dirección del suministro, el número del CUPS asignado a la misma debía
ser distinto.

En este sentido, la Audiencia Nacional señalaba en su sentencia de 27/02/2008,
Recurso 210/2007, “… El principio de veracidad o exactitud tiene gran relevancia, en
cuanto no sólo resulta necesario que los datos se recojan para su tratamiento de
acuerdo con una serie de criterios (principio de proporcionalidad) y que los mismos se
empleen para finalidades compatibles a las que motivaron la recogida (principio de
finalidad), sino que también exige que quien recoge y trata datos de carácter personal
garantice y proteja que la información sometida a tratamiento no sea inexacta y esté
puesta al día.

El incumplimiento o vulneración del principio de veracidad puede tener importantes
consecuencias para el afectado…>>. En relación con el citado artículo y su
actualización (que sería la manifestación del principio de exactitud que podría
entenderse incumplido), exige que se adopten “las medidas razonables para que se
supriman o rectifiquen sin dilación los datos personales que sean inexactos con
respecto a los fines para los que se tratan”.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

18/31

La parte reclamada ha manifestado que fue la tercera contratante quien aporto los
datos incorrectos.

Sin embargo, tal manifestación debe decaer y no ser admitida; se desprende de lo
señalado la ausencia no solo de buenas prácticas a la hora de la contratación sino la
ausencia de la debida diligencia, puesto que, en lugar de analizar y verificar la
exactitud de los datos recabados, procedió sin más a articular la modalidad de cambio
de comercializadora, con cambio de titular con objeto de que la contratación surtiera
efectos.

La parte reclamada, por la actividad que desarrolla debe conocer la normativa del
sector eléctrico y conoce la importancia de asociar correctamente el CUPS a los
contratos de suministro que formaliza, así como los efectos que pueden derivarse de
la inexactitud de este dato, por lo que le es exigible un cuidado especial al respecto.

El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento
culpabilista se desprende “... que la acción u omisión, calificada de infracción
sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por
dolo o imprudencia, negligencia o ignorancia inexcusable.”

Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de
protección de datos de carácter personal, ha declarado que “... basta la simple
negligencia o incumplimiento de los deberes que la Ley impone a las personas
responsables de ficheros o del tratamiento de datos de extremar la diligencia...”.

El número de CUPS es un dato que no se vincula a una persona sino a una
determinada vivienda y, además, obra en poder de la distribuidora de zona (junto con
el nombre, apellidos, NIF y domicilio habitual del usuario de la vivienda) tal y como lo
prevé el Real Decreto 1435/2002, en su artículo 7.

La AEPD se ha pronunciado sobre el carácter de los datos del SIPS (artículo 7.
Sistema de información de puntos de suministro), señalando que “el Sistema de
información de Puntos de Suministro incorpora datos de carácter personal, dado que a
partir del Código de punto de suministro es posible identificar al consumidor al que se
refiere la información, pudiéndose así vincular todo el contenido del sistema con dicho
consumidor”.

Por otra parte, por lo que se refiere a la circunstancia de la existencia de dos edificios
con un mismo número que se diferencia únicamente por una letra: el tercero que vive
en inmueble situado en calle ***DIRECCIÓN.1, y el reclamante que vive en el edificio
de ***DIRECCIÓN.2, no resultando muy habitual este tipo de numeraciones.

Hay que señalar que el comercializador, en este caso el entrante, es el único
interlocutor del consumidor durante el proceso de cambio. La CNE ha señalado que:

“Así, la Orden ITG/1659/2009 hace descansar sobre el comercializador la obligación
de disponer en todo momento de la documentación que acredite la voluntad del cliente
a cambiar de suministrador a su favor. En esta línea, el Real Decreto 1011/2009 en su
apartado q) introduce entre las funciones de OCSUM la verificación del efectivo
consentimiento de los consumidores al cambio de comercializador, mientras que en el
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

19/31

apartado p) y la Orden ITC/1659/2009 confiere a OCSUM la facultad de poder exigir
toda la documentación que precise para verificar la adecuada aplicación del proceso y
su autenticidad.”

Y, finalmente, el informe de la CNE concluye lo siguiente: “Por tanto, el nuevo titular
debe acreditar el justo título para proceder a un traspaso de contrato de acceso a red,
y el comercializador deberá custodiar y comprobar la documentación en particular
para aquellos casos en los que se solicita un cambio de comercializador con cambio
de titular simultáneo siendo OCSUM quien tiene la facultad de poder exigir toda la
documentación para verificar el proceso de cambio”.

Además, no debe olvidarse que la parte reclamada, en sus respuestas a esta Agencia
ha reconocido que la causa de la incidencia producida se debe a un error cometido por
ella misma. Así, en el Informe Resolución Extrajudicial aportado por la parte reclamada
se señala:

“(…)
El motivo de la incidencia que provocó el cambio de titularidad de los contratos de
suministro de luz y gas del Sr. A.A.A. fue un error puntual e involuntario cometido por
un agente de un canal de venta de Endesa Energía que, con fecha 5 de marzo de
2022, asoció el Código Universal de Punto de Suministro (“CUPS”) ***LUZ.1, y el
CUPS ***GAS.1, correspondientes a su vivienda, a la solicitud de contratación de un
tercero, Dña. B.B.B..

El cambio de titularidad solicitado fue efectivo con fecha 10 de marzo de 2022, una
vez B.B.B. procedió a la aceptación y firma del contrato de los suministros de luz y
gas– contrato que reflejaba los CUPS ***LUZ.1 y ***GAS.1, los cuales fueron
confirmados por B.B.B. al proceder a la firma del contrato.
(…)”

Por otra parte, también consta este reconocimiento a la parte reclamante en una
comunicación postal de 29/03/2023:

“(…) Según lo anterior, les informamos que, debido a un error en el proceso de
contratación, un tercero contrato los cups ***LUZ.1 y ***GAS.1 cuya titularidad le
correspondía a usted. (…) En cuanto este tercero se dio cuenta del error, solicitó la
baja de los contratos, dejándole sin suministros”.

Lo que la parte reclamada reconoce en sus comunicaciones como un error se
materializa en el ámbito de la protección de datos personales en una infracción
descrita por el artículo 5.1 d) que se encuentra tipificada por el artículo 83.5 del RGPD.

Por todo ello, el tratamiento efectuado por el reclamado de los datos personales del
reclamante -conducta materializada en la vinculación de los CUPS titularidad de la
parte reclamante a un tercero que había contratado los suministros de gas y
electricidad con la parte reclamada- supone la infracción del principio de exactitud de
los datos contemplado en el artículo 5.1.d) del RGPD.

Por tanto, la alegación formulada por la parte reclamada no puede ser admitida.

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

20/31

- Alega igualmente la reclamada la ausencia de proporcionalidad de la cantidad
relativa a la infracción imputada.

El artículo 83.1 del RGPD previene que “Cada autoridad de control garantizará que la
imposición de las multas administrativas con arreglo al presente artículo por las
infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en
cada caso individual efectivas, proporcionadas y disuasoria”.

Las multas por tanto según se deduce del precepto que antecede han de ser efectivas,
proporcionadas y disuasorias para la consecución de la finalidad pretendida por el
RGPD.

Es cierto, que para que dicho sistema funcione con todas sus garantías es necesario
que varios elementos se desplieguen de forma íntegra y completa. La aplicación de
reglas ajenas al RGPD respecto de la determinación de las multas en cada uno de los
Estados miembros aplicando su derecho nacional, ya sea por circunstancias
agravantes o atenuantes no previstas en el RGPD -o en la LOPDGDD en el caso
español al permitirlo el propio RGPD-, restaría efectividad al sistema que perdería su
sentido, su finalidad teleológica, la voluntad del legislador, resultando que las multas
impuestas por distintas infracciones dejarían de ser efectivas, proporcionadas y
disuasorias. Y de esta forma también se hurtaría a los interesados de la garantía
efectiva de sus derechos y libertades, debilitando la aplicación uniforme del RGPD. Se
disminuirían los mecanismos de protección de los derechos y las libertades de los
ciudadanos y sería contrario con el espíritu del RGPD.

El RGPD está dotado de su propio principio de proporcionalidad que ha de ser
aplicado en sus estrictos términos.

En cuanto al principio de proporcionalidad de las sanciones, la Audiencia Nacional en
numerosas sentencias ha señalado que el principio de proporcionalidad no puede
sustraerse al control jurisdiccional, pues el margen de apreciación que se otorga a la
Administración en la imposición de sanciones dentro de los límites legalmente
previstos, debe ser desarrollado ponderando en todo caso, las circunstancias
concurrentes, al objeto de alcanzar la necesaria y debida proporción entre los hechos
imputados y la responsabilidad exigida, dado que toda sanción, debe determinarse en
congruencia con la entidad de la infracción cometida y según un criterio de
proporcionalidad en relación con las circunstancias del hecho. De modo que la
proporcionalidad constituye un principio normativo que se impone a la Administración y
que reduce el ámbito de sus potestades sancionadoras.

Pues bien, de conformidad con las circunstancias que concurren en el presente caso
la presente resolución no vulnera el principio de proporcionalidad en la determinación
de las sanción impuesta resultando ponderada y proporcionada a la gravedad de la
infracción cometida, la importancia de los hechos, así como las circunstancias tenidas
en cuenta para graduar la sanción, sin que se aprecien razones que justifiquen aún
más la minoración efectuada, sobre todo teniendo en cuenta la cuantía a la que
pueden ascender dichas sanciones de conformidad con el art. 83.5 del RGDP, que
prevé para la infracción del artículo 5.1.d) del RGDP, “con multas administrativas de
20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

21/31

al 4% como máximo del volumen de negocio total anual global del ejercicio financiero
anterior, optándose por la de mayor cuantía”.

Pues bien, la parte reclamada se trata de sociedad filial del grupo ENDESA, con un
volumen de negocio de 20.003.408.000 € en el año 2022, según Axexor.

Asimismo, se señala por la parte reclamada que los errores cometidos durante el año
2022 apenas representaron un 0,16 % del total de contrataciones efectuadas en ese
año. Se considera que esa alegación no puede ser acogida por su intranscendencia a
la hora de determinar si se produjo una infracción concreta o no.

Por otra parte, en relación con la ausencia de intencionalidad en la medida en que no
existe voluntad de incumplimiento de la normativa y, por tanto, no procede aplicar el
artículo 83.2 b) conviene señalar que el Comité Europeo de Protección de Datos
(CEPD) considera que “en general, la intención incluye tanto el conocimiento como la
voluntad en relación con las características de un delito, mientras que «no intencional»
significa que no hubo intención de causar la infracción, aunque el
responsable/encargado del tratamiento incumplió el deber de cuidado exigido por la
ley”. Por tanto, a los efectos del RGPD no intencional, no equivale a involuntario. En
cualquier caso, las circunstancias del artículo 83.2 b) en este caso concreto versan
sobre el carácter negligente de la infracción.

Además, señala la parte reclamada que la parte reclamante “tenía conocimiento” de
que alguien había contratado con una nueva comercializadora el suministro de
electricidad y gas y prefirió esperar en lugar de solicitar de nuevo el alta de su
contrato. Sin perjuicio de que estos hechos no hayan quedado probados a lo largo del
expediente se significa su irrelevancia a los efectos del presente procedimiento
sancionador. La parte reclamada no puede pretender transferir en la parte reclamante
su responsabilidad. No puede olvidarse que el RGPD consagra el principio de
responsabilidad proactiva en su artículo 5.2 por el que el responsable del tratamiento
es responsable del cumplimiento de los principios previstos en el artículo 5.1 del
RGPD, además de tener que ser capaz de demostrarlo.

Manifiesta asimismo su disconformidad en que se agrave la multa por el hecho de que
la parte reclamante interpusiera una reclamación frente a Endesa ante la Xunta de
Galicia. Se aclara a este respecto que las circunstancias valoradas radican en que la
gravedad de los hechos constitutivos de infracción en el ámbito de protección de datos
se manifiesta en que estos tuvieron como consecuencia repercusiones significativas
en la vida y esfera íntima de la parte reclamante, como es un corte de suministro de
los servicios. Esta consecuencia supuso, además, que la parte reclamante buscara
amparo ante el órgano competente a efectos de determinar la legalidad o ilegalidad del
mencionado corte.

En cuanto a las circunstancias que, a juicio de la parte reclamada, deberían valorarse
a la hora de determinar la cuantía de la sanción como atenuantes, se significa que las
circunstancias citadas por la parte reclamada, como la categoría de los datos tratados,
el alcance de la infracción o la duración de la misma, son circunstancias agravantes
cuya inexistencia no puede ser apreciada en sentido contrario. A este respecto se ha
pronunciado la Sentencia de la Audiencia Nacional, de 05/05/2021, rec. 1437/2020,
que indica: “Considera, por otro lado, que debe apreciarse como atenuante la no
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

22/31

comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece
que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras,
la circunstancia "e) toda infracción anterior cometida por el responsable o el
encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que
no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en
consideración, pero no implica ni permite, como pretende la actora, su aplicación
como atenuante”; aplicado al supuesto enjuiciado, la falta del presupuesto para su
aplicación respecto del art. 76.2.c) de la LOPDGDD, esto es, obtener beneficios
consecuencia de la infracción, no permite su aplicación como atenuante.

Por tanto, la alegación formulada tampoco puede ser admitida.

V
Obligación incumplida: infracción del artículo 5.1.d) del RGPD

El RGPD se ocupa en su artículo 5 de los principios que han de regir el tratamiento de
los datos personales y menciona entre ellos el de exactitud, señalando que:

“1. Los datos personales serán:
(…)
d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas
razonables para que se supriman o rectifiquen sin dilación los datos personales
que sean inexactos con respecto a los fines para los que se tratan
(«exactitud»);
(…)”

Con relación a este principio, en el considerando 39 del RGPD entre otras cuestiones
indica que: “(39) (…) para garantizar que los datos personales no se conservan más
tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su
supresión o revisión periódica. Deben tomarse todas las medidas razonables para
garantizar que se rectifiquen o supriman los datos personales que sean inexactos”.

Y el considerando 71: “(71) (...) a fin de garantizar un tratamiento leal y transparente
respecto del interesado, teniendo en cuenta las circunstancias y contexto específicos
en los que se tratan los datos personales, el responsable del tratamiento debe utilizar
procedimientos matemáticos o estadísticos adecuados para la elaboración de perfiles,
aplicar medidas técnicas y organizativas apropiadas para garantizar, en particular, que
se corrigen los factores que introducen inexactitudes en los datos personales y se
reduce al máximo el riesgo de error, asegurar los datos personales de forma que se
tengan en cuenta los posibles riesgos para los intereses y derechos del interesado e
impedir, entre otras cosas, efectos discriminatorios en las personas físicas por motivos
de raza u origen étnico, opiniones políticas, religión o creencias, afiliación sindical,
condición genética o estado de salud u orientación sexual, o tratamiento que dé lugar
a medidas que produzcan tal efecto".

De la documentación obrante en el expediente se evidencia que la parte reclamada ha
vulnerado el artículo 5.1.d), principio de exactitud, puesto que, en la gestión de la
contratación del suministro de gas y electricidad solicitada por una tercera persona, se
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

23/31

vincularon erróneamente los CUPS de titularidad de la parte reclamante. Esto implicó
que cuando el tercero dio de baja su contrato, el domicilio de la parte reclamante
quedara sin suministros.
La parte reclamada así lo ha reconocido en su escrito de 30/01/2024 cuando
manifiesta que: “(…) Dichas solicitudes fueron gestionadas por un agente del
proveedor de Endesa Energía “Salesland, S.L.” que se encarga de, entre otros,
prestar servicios de venta y tramitación de contrataciones de productos y servicios de
Endesa Energía. Pues bien, el error puntual e involuntario que cometió el agente que
atendió la solicitud de B.B.B. y procedió a la gestión de la contratación, fue insertar en
el sistema la dirección del punto de suministro de la interesada, tal y como aparecía en
su D.N.I., es decir, indicando la vía, número, piso, letra y municipio. Al no especificarse
en el sistema el aclarador del portal de la dirección del punto de suministro, se produjo
un error de asociación de la solicitud de alta de B.B.B., con el punto de suministro del
que era titular la parte reclamante – cuya dirección coincidía en cuanto a la vía,
número, piso, letra y municipio, salvo el portal.

Dicho error de asociación provocó que, cuando B.B.B. procedió a la firma del contrato
de suministro de gas y electricidad el día 5 de marzo de 2022 – contrato en el que se
reflejaba tanto la dirección del punto de suministro, como los códigos de identificación
de cada vivienda CUPS, concretamente el CUPS de electricidad ***LUZ.1 y el CUPS
de gas ***GAS.1 – se iniciara el proceso de cambio de titularidad y de compañía
comercializadora, de acuerdo con lo dispuesto en la normativa aplicable sectorial que
el motivo de la incidencia que provocó el cambio de titularidad y de comercializadora
de los contratos de suministro de gas y de electricidad de los que era titular la parte
reclamante, tiene su origen en la actuación de un agente del Canal Stand que, al
atender la solicitud de contratación de un tercero que, aparentemente no implicaba un
cambio de titularidad en los contratos de acceso, no especificó en el sistema de
contratación la letra del portal de la dirección del punto de suministro – puesto que así,
sin el aclarador del portal, figuraba en el D.N.I. del solicitante – dando lugar a un error
de asociación de dicha solicitud con el punto de suministro correspondiente a la
vivienda de la parte reclamante, cuya dirección coincidía en cuanto a la vía, número,
piso, letra y municipio, salvo el portal. Por tanto, no se aplicó correctamente el
Procedimiento de Cambio de titular para el Canal Stand. (…)”.

2. El cliente o consumidor para recibir energía eléctrica en su domicilio, necesita ser
titular de dos contratos diferenciados con relación a su punto de suministro (CUPS):

a) El contrato de suministro, que se suscribe entre un consumidor y una empresa
comercializadora de electricidad.
b) El contrato de acceso a la red de distribución, que el consumidor suscribe con la
empresa distribuidora, con la intermediación como mandatario de la empresa
comercializadora con la que tiene contratada la compra de energía eléctrica.

Cuando un cliente desea contratar la electricidad para un punto de suministro o
realizar cualquier modificación contractual, este acude a una comercializadora, quien
en su nombre y como mandatario suyo contrata el acceso a la red de distribución.
Cualquier modificación contractual que solicite un comercializador a un distribuidor se
realiza mediante solicitudes digitales cumpliendo los formatos de intercambio entre
agentes establecidos por la CNMC, en virtud de la Resolución de 17/12/2019, por la
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

24/31

que se aprueban nuevos formatos de los ficheros de intercambio de información entre
distribuidores y comercializadores y que modifica la Resolución de 20/12/2016.

En un supuesto como el que se analiza, en el que se solicitaba un cambio de
comercializadora con cambio simultáneo de titular, exige que la entidad no solo cumpla
la normativa específica del sector eléctrico sino llevar a cabo una mínima diligencia a
fin de acreditar que la documentación y la persona que intenta contratar es quien dice
ser y gestionar de manera eficaz el cambio solicitado.

Hay que señalar que en esta materia inciden diversas normas jurídicas entre las que
cabe mencionar la Directiva (UE) 2019/944, del Parlamento Europeo y del Consejo, de
5/06/2019, sobre normas comunes del mercado interior de la electricidad y por la que
se modifica la Directiva 2012/27/UE (en lo sucesivo, la Directiva 2019/944), cuyo
artículo 23, “Gestión de datos”, dispone en el apartado 3, que “El tratamiento de datos
personales en el marco de la presente Directiva se llevará a cabo de conformidad con
el Reglamento (UE) 2016/679”; el Real Decreto 1955/2000, de 1 de diciembre, por el
que se regulan las actividades de transporte, distribución, comercialización, suministro
y procedimientos de autorización de instalaciones de energía eléctrica; el Real
Decreto 1435/2002, que regula las condiciones básicas de los contratos de
adquisición de energía y de acceso a las redes en baja tensión, que dedica su artículo
7 al “Sistema de información de puntos de suministro que debe mantener el
distribuidor” (SIPS); el Real Decreto 1011/2009, por el que se regula la Oficina de
Cambios de Suministrador, al que se le encomiendan entre sus funciones (artículo
3.s)) la verificación del efectivo consentimiento de los consumidores al cambio de
suministrador; La Ley 24/2013, de 26 de diciembre, del Sector Eléctrico; la Disposición
Adicional Tercera del Real Decreto 1074/2015 y Resolución de la Comisión Nacional
de los Mercados y de la Competencia de 17/12/2019 “por la que se aprueban los
nuevos formatos de los ficheros de intercambio de información entre distribuidores y
comercializadores y se modifica la Resolución de 20/12/2016”, etc.

También la AEPD se ha pronunciado sobre el carácter de los datos del SIPS eléctrico
señalando que “el Sistema de información de Puntos de Suministro incorpora datos de
carácter personal, dado que a partir del Código de punto de suministro es posible
identificar al consumidor al que se refiere la información, pudiéndose así vincular todo
el contenido del sistema con dicho consumidor”.

Como se señalaba anteriormente la Comisión Nacional de la Energía (CNE) a través
de sus informes ha considerado que el comercializador entrante es el único
interlocutor del consumidor durante el proceso de cambio, pues favorece la sencillez
del procedimiento y reduce posibles barreras de cambio, y que el comercializador
entrante debe ser responsable de encargarse de la tramitación del cambio y de la
custodia de la documentación que pruebe de manera inequívoca la conformidad del
cliente.

En su informe de 28/02/2013, en respuesta a la consulta planteada por una asociación
sobre la acreditación del justo título en los procesos de cambio de suministro y de
cambio de titular del contrato con acceso a red, afirma que el comercializador entrante
es el único interlocutor del consumidor durante el proceso de cambio. La CNE añade
en su informe:

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

25/31

“Así, la Orden ITG/1659/2009 hace descansar sobre el comercializador la obligación
de disponer en todo momento de la documentación que acredite la voluntad del cliente
a cambiar de suministrador a su favor. En esta línea, el Real Decreto 1011/2009 en su
apartado q) introduce entre las funciones de OCSUM la verificación del efectivo
consentimiento de los consumidores al cambio de comercializador, mientras que en el
apartado p) y la Orden ITC/1659/2009 confiere a OCSUM la facultad de poder exigir
toda la documentación que precise para verificar la adecuada aplicación del proceso y
su autenticidad.”

Y, finalmente, el informe de la CNE concluye lo siguiente: “Por tanto, el nuevo titular
debe acreditar el justo título para proceder a un traspaso de contrato de acceso a red,
y el comercializador deberá custodiar y comprobar la documentación en particular
para aquellos casos en los que se solicita un cambio de comercializador con cambio
de titular simultáneo siendo OCSUM quien tiene la facultad de poder exigir toda la
documentación para verificar el proceso de cambio”.

En el caso presente se producen una serie de hechos que evidencian que el
reclamado ha obrado con falta de diligencia en el cumplimiento de sus obligaciones.
Habría bastado que dicha entidad cumpliera su normativa específica, comprobando la
documentación aportada de manera fehaciente, identificando al nuevo usuario y por el
cual la persona que solicitaba ser el titular sustentaba su solicitud de cambio
vinculándolo a los CUPS de su domicilio y no al del reclamante.

El tratamiento efectuado por la parte reclamada de los datos personales del
reclamante -conducta materializada en la contratación del suministro de gas y
electricidad para los CUPS de su domicilio vinculándolos a los datos de un tercero,
provocando la baja en los citados suministros sin contar con su autorización- supone la
infracción del principio de exactitud de los datos, subsumible en el artículo 72 de la
LOPDGDD, que establece que son consideradas como infracciones muy graves:

a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679.”

3. De lo señalado con anterioridad, se evidencia que la parte reclamada ha vulnerado
el artículo 5.1.d), principio de exactitud, en relación con el artículo 5 de la LOPGDD,
Exactitud de los datos, lo que motivó la baja de los contratos de suministros de gas y
electricidad que la parte reclamante mantenía con la mercantil NATURGY desde el
***FECHA.1, para el domicilio de su titularidad situado en ***DIRECCIÓN.2 y CUPS
Gas: ***GAS.1 y Luz: ***LUZ.1, al haber asociado los citados CUPS, vinculados a la
vivienda de la parte reclamante, a los datos de un tercero con domicilio en
***DIRECCIÓN.1. , quedando el domicilio de la parte reclamante sin suministros.

La obligación derivada del artículo 5.1.d) impone la necesidad de que los datos
personales que se recojan sean exactos, debiéndose adoptar en todo momento
medidas que sean razonable para garantizar que los datos no sean inexactos, siendo
los responsables del tratamiento quienes han de responder del cumplimiento de esta
obligación.

En este sentido, la Audiencia Nacional señalaba en su sentencia de 27/02/2008,
Recurso 210/2007, “… El principio de veracidad o exactitud tiene gran relevancia, en
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

26/31

cuanto no sólo resulta necesario que los datos se recojan para su tratamiento de
acuerdo con una serie de criterios (principio de proporcionalidad) y que los mismos se
empleen para finalidades compatibles a las que motivaron la recogida (principio de
finalidad), sino que también exige que quien recoge y trata datos de carácter personal
garantice y proteja que la información sometida a tratamiento no sea inexacta y esté
puesta al día.

El incumplimiento o vulneración del principio de veracidad puede tener importantes
consecuencias para el afectado…” En relación con el citado artículo y su actualización
(que sería la manifestación del principio de exactitud que podría entenderse
incumplido), exige que se adopten “las medidas razonables para que se supriman o
rectifiquen sin dilación los datos personales que sean inexactos con respecto a los
fines para los que se tratan”.

Al respecto, el artículo 5.1.d) no impone adoptar medidas desproporcionadas para
actualizar los datos, sino las razonables, atendiendo a los medios disponibles y el fin
para el que se usan los datos. Así lo expresa también el considerando 39 del RGPD.

Por todo lo anterior, se considera que los hechos probados acreditan un
incumplimiento del principio de exactitud del artículo 5.1 d) del RGPD.

VI
Tipificación de la infracción del artículo 5.1.d) del RGPD y calificación a efectos de
prescripción

La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo
83.5 a) del RGPD, que considera que la infracción de “los principios básicos para el
tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,
6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del
citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía”.

La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones
los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del
Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley
orgánica”.

Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones
consideradas muy graves:

1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

(…)

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

27/31

a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679.
(…)”

VII
Sanción por la infracción del artículo 5.1.d) del RGPD

A fin de establecer la multa administrativa que procede imponer han de observarse las
previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso,
en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción”.

En relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su
artículo 76, “Sanciones y medidas correctivas”, establece que:

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

28/31

“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) sponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado.”

De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de
multa por la infracción del artículo 5.1.d) del RGPD, tipificada en el artículo 83.5 del
RGPD de la que se responsabiliza a la parte reclamada, se estiman concurrentes los
siguientes factores:

La naturaleza y gravedad de la infracción (artículo 83.2 a) del RGPD): De acuerdo con
el CEPD la gravedad de la infracción radica, entre otros elementos en el nivel de daño
sufrido por los interesados y la medida en que la conducta puede afectar a los
derechos y libertades individuales. Así, en palabras del CEPD “la referencia al «nivel»
de los daños sufridos, por lo tanto, tiene por objeto llamar la atención de las
autoridades de control sobre los daños sufridos, o que probablemente se hayan
sufrido como un parámetro adicional”. En el presente caso los hechos constitutivos de
infracción implicaron el corte de los suministros de la parte reclamante. El suministro
de energía eléctrica es un servicio esencial para el ejercicio de los derechos y
libertades básicas vinculados a la dignidad de la persona. Prueba de ello, es que la
suspensión del suministro eléctrico puede producirse únicamente en los supuestos
tasados por el Real Decreto 1955/2000, de 1 de diciembre. Asimismo, supuso que la
parte reclamante tuviera que acudir a la Consejería de Industria de la Xunta de Galicia,
quien dictó resolución declarando la suspensión indebida del suministro eléctrico como
consecuencia de los errores de la ahora parte reclamada.

La intencionalidad o negligencia en la infracción; se observa una grave falta de
diligencia en la actuación de la entidad investigada al asociar en la contratación los
CUPS vinculados al domicilio de la parte reclamante con un tercero ajeno a la misma
cuya dirección coincidía en cuanto a la vía, número, piso, letra y municipio, pero no el
portal. Conectado también con el grado de diligencia que el responsable del
tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le
impone la normativa de protección de datos puede citarse la SAN de 17/10/2007. Si
bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente
extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las
entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de
datos de clientes y terceros han de observar un adecuado nivel de diligencia,
precisaba que “(...). el Tribunal Supremo viene entendiendo que existe imprudencia
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

29/31

siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no
se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de
ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que,
en el caso ahora examinado, cuando la actividad de la recurrente es de constante y
abundante manejo de datos de carácter personal ha de insistirse en el rigor y el
exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
b) del RGPD).

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:

- La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales; la parte reclamada realiza de forma habitual y continua tratamientos de
datos de carácter personal de un elevado número de interesados. La realización de
actividades de comercialización y suministro de energía, que es su actividad principal
implica necesariamente operaciones de tratamiento de datos personales. Así, la
presunta infracción se produce en el marco de un tratamiento de datos personales que
habitualmente realiza la parte reclamada en su negocio y ligado a este (artículo 76.2.b)
de la LOPDGDD en relación con el artículo 83.2.k) del RGPD).

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone, se considera que el balance de las
circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD,
con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1 d) del
RGPD, permite fijar una sanción de multa administrativa de 200.000,00 euros.

VIII
Medidas correctivas

Los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de control se
relacionan en su artículo 58.2, apartados a) a j).

Confirmada la infracción, se acuerda imponer al responsable la adopción de medidas
adecuadas para ajustar su actuación a la normativa mencionada en este acto, de
acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el cual cada
autoridad de control podrá “ordenar al responsable o encargado del tratamiento que
las operaciones de tratamiento se ajusten a las disposiciones del presente
Reglamento, cuando proceda, de una determinada manera y dentro de un plazo
especificado…”.

La imposición de esta medida es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.

En el presente acto se establece cuál es la infracción cometida y los hechos que dan
lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con
claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de
procedimientos, mecanismos o instrumentos concretos para implementarlas
corresponda a la parte sancionada, pues es el responsable del tratamiento quien
conoce plenamente su organización y ha de decidir, en base a la responsabilidad
proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD.
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

30/31

No obstante, en este caso, con independencia de lo anterior, en la presente resolución
se requiere a la parte reclamada para que, en el plazo de seis meses, a contar desde
la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las
medidas siguientes:

- Acredite la adopción de medidas que garanticen que el tratamiento llevado a cabo en
los procedimientos de cambio de Comercializadora con cambio de titular es acorde
con el artículo 5.1.d) del RGPD, respecto de las contrataciones de servicios de
suministro eléctrico y de gas.

Se advierte que no atender la orden impuesta por este organismo podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Presidencia de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a ENDESA ENERGIA, S.A.U., con NIF A81948077, por una
infracción del Artículo 5.1.d) del RGPD, tipificada en el Artículo 83.5.a) del RGPD, una
multa de 200.000,00 euros (DOSCIENTOS MIL euros).

SEGUNDO: ORDENAR a ENDESA ENERGIA, S.A.U., con NIF A81948077, que en
virtud del artículo 58.2.d) del RGPD, en el plazo de SEIS MESES desde que la
presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de
la adopción de medidas que garanticen que el tratamiento llevado a cabo es acorde
con el artículo 5.1.d) del RGPD, especialmente en respecto a las nuevas
contrataciones de servicios de suministro eléctrico y de gas.

TERCERO: NOTIFICAR la presente resolución a ENDESA ENERGIA, S.A.U.

CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es

31/31

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.

938-100325
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es