La Agencia informa desfavorablemente la reforma de la Orden TED/445/2023 por falta de base jurídica y admite que su informe de 2022 se hizo sobre un borrador que dejaba fuera a las personas físicas
La Agencia Española de Protección de Datos (AEPD) ha informado desfavorablemente la pieza central de la reforma con la que el Ministerio para la Transición Ecológica y el Reto Demográfico (MITECO) quiere reordenar la información que le envían quienes explotan puntos de recarga de acceso público para vehículos eléctricos. En su informe preceptivo 0044/2026, publicado este martes 3 de noviembre, el Servicio Jurídico de la Agencia concluye que el expediente no justifica la base jurídica del nuevo flujo por el que el Ministerio pasaría a las comunidades autónomas, y a Ceuta y Melilla, los datos sobre la titularidad, la localización y las características de esas instalaciones. Esas carencias, escribe, «impiden informar favorablemente» el nuevo artículo 4.1 de la Orden TED/445/2023 y, por arrastre, otros tres apartados de la reforma.
Sobre el papel, el proyecto es una simplificación. Hoy, un operador de puntos de recarga de acceso público comunica los datos de sus instalaciones a la comunidad autónoma donde están, que lleva el listado previsto en el artículo 48.3 de la Ley 24/2013 del Sector Eléctrico, y al Ministerio, a través del Registro de Infraestructura de Recarga Eléctrica de acceso público (RIPREE). Si además está conectado al Sistema de Gestión y Visualización (SGV), la plataforma que recibe los precios y la disponibilidad de los cargadores, envía esos datos una tercera vez, porque la información dinámica arrastra consigo la estática. El MITECO quiere que todo viaje una sola vez por el SGV y que sea el propio Ministerio quien lo ponga después a disposición de las comunidades, de modo que los operadores dejen de remitírselo directamente.
El texto salió a audiencia pública entre el 10 y el 30 de diciembre de 2025. La Comisión Nacional de los Mercados y la Competencia (CNMC) lo informó el 27 de abril de 2026 y no puso reparos a esa parte: valoró que reduce cargas y evita duplicidades con el RIPREE, y concentró sus objeciones en los precios que se reportan y en el carácter confidencial que se quiere dar al origen renovable de la electricidad. La AEPD mira otra cosa: de quién son esos datos y qué ley permite que circulen en esa dirección.
Una comunicación que ninguna ley prevé
El punto de partida del informe es que parte de esa información son datos personales. El artículo 3.e) del Real Decreto 184/2022 define al operador del punto de recarga como «persona física o jurídica», de modo que un autónomo que explota un cargador en su negocio está sujeto a la orden igual que una gran empresa. A ellos se suman los representantes legales de las sociedades obligadas.
Cuando un tratamiento de datos se apoya en una obligación legal o en una misión de interés público, las letras c) y e) del artículo 6.1 del Reglamento General de Protección de Datos (RGPD), su artículo 6.3 y el artículo 8 de la LOPDGDD exigen que esté amparado por una norma con rango de ley. Una orden ministerial puede desarrollar esa habilitación, pero no crearla. La Agencia revisa las dos leyes en juego. El artículo 15 de la Ley 7/2021 de cambio climático permite al Ministerio recabar los datos de los operadores para publicarlos a través del Punto de Acceso Nacional de información de tráfico. El 48.3 de la Ley del Sector Eléctrico obliga a las comunidades a comunicar sus listados al Ministerio. Ninguna de las dos, concluye, recoge de forma expresa la «comunicación inversa», la que iría del Ministerio a las comunidades.
Pero el informe no da por hecho que ese flujo sea ilícito. Admite que la base jurídica podría deducirse del conjunto del marco normativo. Lo que reprocha es que el expediente no lo razona: no identifica el fundamento del artículo 6.1 RGPD, no separa la finalidad de esta comunicación de las que fijan las leyes, no justifica su necesidad y proporcionalidad ni examina si es compatible con el fin para el que se recogieron los datos. El argumento de la simplificación administrativa, añade, no explica por qué no basta con lo que ya prevé el artículo 48.3. La objeción se extiende a los apartados 4, 5 y 8 del artículo único del proyecto, que regulan cómo, cuándo y con qué contenido se haría esa puesta a disposición.
El borrador que la Agencia informó en 2022
El pasaje más incómodo del informe mira hacia atrás. En 2022, el MITECO consultó a la AEPD el proyecto que acabaría siendo la Orden TED/445/2023, y la Agencia emitió el informe 0035/2022. Allí afirmó que los sujetos obligados eran personas jurídicas y que los únicos datos personales en juego eran los de sus representantes legales.
Ahora explica por qué. El borrador que recibió incluía un apartado 3 en su artículo 2 que restringía la obligación de informar a los prestadores con forma de persona jurídica. Ese apartado, señala el informe, «se suprimió del texto que resultó finalmente aprobado». La orden publicada en el BOE el 4 de mayo de 2023 se remite a las definiciones del Real Decreto 184/2022, que incluyen a las personas físicas. Desde su entrada en vigor, el 16 de mayo de ese año, la norma se aplica a autónomos con un visto bueno que partía de que quedaban fuera, aunque su exposición de motivos cita a la AEPD entre los organismos cuyo informe se recabó. Para el nuevo texto, la Agencia pide que el preámbulo deje constancia expresa de que se ha sometido a su informe.
La falta de análisis de riesgos tampoco es nueva. El informe de 2022 ya advirtió de que la memoria del proyecto no valoraba el impacto de la norma en la protección de datos, y la Agencia constata ahora que esa carencia «no ha sido corregida». Ni siquiera sabe si el Ministerio llegó a hacer el análisis: solo sabe que no lo ha aportado. Por eso reitera su recomendación de acudir al artículo 35.10 RGPD, que permite al autor de una norma realizar durante su elaboración la evaluación de impacto en protección de datos (EIPD), el estudio que mide los riesgos de un tratamiento para los derechos de las personas, en lugar de dejarla para después a cada responsable.
Ventas por recarga y el riesgo del dato agregado
La reforma también multiplica el detalle de lo que se reporta. La orden vigente pide las ventas anuales de energía de cada punto antes del 1 de marzo. El proyecto exige ventas mensuales antes del día 15 del mes siguiente y la energía suministrada en cada sesión de carga, además de un indicador de electricidad 100% renovable, para adelantarse al Reglamento (UE) 2023/1804 y a un futuro mecanismo de créditos de electricidad renovable. El plazo para actualizar los datos estáticos baja de una semana a menos de un día, algo que la Agencia valora porque refuerza la exactitud de la información.
Las cifras de ventas seguirán siendo confidenciales y solo podrán publicarse agregadas por áreas geográficas. La AEPD ve débil esa garantía. El dato agregado puede delatar al autónomo que explota un cargador, sobre todo si se cruza con otras fuentes que incluyan la localización: en una zona con un único operador, el total del área equivale a sus propias ventas. Propone una regla expresa que solo permita publicar cuando la agregación impida razonablemente identificar a una persona física, o umbrales mínimos que eviten difundir datos donde haya pocos operadores o puntos de recarga.
El informe enumera, además, lo que el texto no regula. No dice quién es responsable o corresponsable de cada tratamiento ni si habrá encargados, los terceros que tratan datos por cuenta de otro conforme al artículo 28 RGPD, una cuestión relevante cuando el SGV lo desarrolla el operador del sistema eléctrico por designación del Real Decreto-ley 4/2024. Tampoco delimita qué datos personales se tratan ni durante cuánto tiempo se conservan. Lo que la Agencia sí respalda es el envío único al SGV, que reduce los riesgos de transmisión, y el resto de cambios del artículo 4.2, con un matiz técnico: deben ampararse en el artículo 15.1 de la Ley 7/2021, no en el 15.9.
Lo que queda pendiente
La orden no se ha publicado en el BOE. El informe de la AEPD es preceptivo, pero la regla general del artículo 80.1 de la Ley 39/2015 establece que los informes no son vinculantes salvo disposición expresa. El Ministerio puede reforzar la memoria con la motivación y el análisis de riesgos que se le piden, reescribir el artículo 4.1 o renunciar a él, en cuyo caso los operadores seguirían enviando sus datos a las comunidades y la simplificación se quedaría a medias.
El calendario también obliga a revisar el texto. La versión que examinó la CNMC fijaba un periodo de carencia hasta el 1 de octubre de 2026 para empezar a remitir las ventas de electricidad, una fecha que ya ha pasado sin que la norma exista.
Queda la pregunta de fondo que deja el informe. Si el Ministerio hace por fin la evaluación que la Agencia le pide desde 2022, tendrá que medir también lo que lleva tres años ocurriendo con los datos de los autónomos que la orden vigente nunca analizó.
