La Agencia Española de Protección de Datos (AEDP) impuso a Endesa una multa sin precedentes de 6,1 millones de euros, la más elevada jamás aplicada a una compañía eléctrica. La sanción se deriva de una brecha de seguridad que condujo a la venta de datos personales de clientes a través de anuncios en Facebook.

En agosto de 2021, se identificaron anuncios en Facebook que promocionaban la venta de credenciales para acceder a la plataforma de Endesa, incluyendo datos básicos y relativos al punto de suministro. Aunque el primer anuncio se detectó en enero de 2022, la empresa solo encontraría coincidencias con su sistema CRM el 8 de febrero de ese año.

Los hackers ofrecían lotes de bases de datos que incluían información de entre 50.000 y 200.000 clientes, con detalles como nombres, DNIs, direcciones completas y números de teléfono. Endesa estima que la brecha afectó a alrededor de mil personas, señalando a un empleado por abusar de privilegios para extraer datos.

A pesar de la filtración, la compañía afirma haber actuado rápidamente, restableciendo contraseñas y deshabilitando sesiones simultáneas en la plataforma. No obstante, la AEDP critica la "grave falta de diligencia" de Endesa, señalando que tardaron meses en resetear o eliminar usuarios comprometidos, permitiendo el acceso no autorizado durante ese tiempo.

La AEDP impuso cinco multas a Endesa por diversas infracciones del Reglamento General de Protección de Datos, resaltando la negligencia en la protección de hasta 6,5 millones de datos de clientes. La empresa, por su parte, ha anunciado su intención de impugnar la resolución, alegando que se ignoraron sus argumentos y pruebas, y que la sanción propuesta es desproporcionada en comparación con casos anteriores en España.