ANTECEDENTES
PRIMERO.— Que con fecha 12 de enero de 2026, recibí comunicación oficial por parte de su entidad informándome de un incidente de seguridad que ha comprometido la confidencialidad de mis datos personales (incluyendo DNI, datos de contacto y datos bancarios/IBAN).
SEGUNDO.— Que dicho acceso no autorizado constituye una quiebra de las medidas de seguridad que Endesa Energía, S.A.U., como responsable del tratamiento, está obligada a mantener de acuerdo con el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).
TERCERO.— Que la exposición de información sensible, especialmente los datos bancarios y el DNI, supone un riesgo real y grave de suplantación de identidad y usos ilícitos por parte de terceros (como el phishing). Esta situación me ha obligado a invertir tiempo y recursos en medidas preventivas (vigilancia de cuentas, gestiones bancarias y cambio de credenciales), lo cual genera un perjuicio que, según el artículo 82 del RGPD, es susceptible de indemnización.
CUARTO.— Que la información facilitada por su entidad en el comunicado de referencia es insuficiente para garantizar que el riesgo ha sido totalmente mitigado o que las medidas técnicas actuales impidan una repetición del suceso.
SOLICITO
Información detallada: Que se me identifiquen con exactitud qué datos personales específicos de mi contrato han sido exfiltrados y el alcance técnico del incidente en lo que a mi expediente respecta.
Garantías de seguridad: Que se acrediten las medidas correctoras adicionales implementadas para asegurar que mis datos no vuelvan a ser accesibles por terceros no autorizados.
Indemnización por daños y perjuicios: Que Endesa Energía, S.A.U. proponga una compensación económica justa por el perjuicio moral y el riesgo generado de actividad indebida con mis datos, derivado de la falta de diligencia en su custodia.
Respuesta formal: Que se emita una contestación a este requerimiento en un plazo máximo de 30 días hábiles.
De no recibir una respuesta satisfactoria que atienda a mis pretensiones, me veré en la obligación de elevar esta reclamación ante la Agencia Española de Protección de Datos (AEPD) y, en su caso, iniciar las acciones legales pertinentes ante la jurisdicción civil para la reclamación de daños.
