← España

AI-00048-2025

1/6  Expediente N.º: EXP202413550 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 3 de septiembre de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra FUNERARIA FERNÁNDEZ, S.A. con NIF A27039163 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que la parte reclamada, sin mediar su consentimiento, le ha remitido una factura, expedida a su nombre, a un tercero. Señala que al ponerse en contacto con la parte reclamada esta manifestó que, habían contactado con el número de teléfono que figura en el cuerpo del correo, y que quien contestó se identificó como la parte reclamante indicando que la factura se enviara a los dos correos donde finalmente se envió. La parte reclamante manifiesta en su contestación al citado correo que el teléfono que figura en el cuerpo el correo no es suyo y que ya en su momento ella había dicho que no lo era. Aporta copia de comunicaciones intercambiadas con la parte reclamada. - Copia de los correos electrónicos intercambiados entre la parte reclamada y la parte reclamante, de fecha 16/02/2024, entre los que figura el correo enviado al correo electrónico de la parte reclamante y al correo electrónico de un tercero, que tiene como objeto “***FACTURA.1 – A.A.A.”, constando en el cuerpo del correo que se adjunta la factura del servicio de sepelio del padre de la parte reclamante. - Copia de los correos intercambiados entre la parte reclamante y la parte reclamada de fecha 19/02/2024, en el que la parte reclamada indica que el motivo por el que se envió la factura del sepelio a los dos correos y contestación de la reclamante indicando que el número al cuál se realizó la llamada no era suyo. - Copia del correo electrónico remitido por la parte reclamada en fecha 04/03/2024 a la parte reclamante en el que se indica que le giran "contestación a su petición indicándole que su actuación estuvo presidida por una incorrecta identificación de un tercero en base a la declaración que ese tercero hizo cuando giraron llamada telefónica. En este sentido, de los datos que obraban en su expediente, disponían de dos teléfonos de contacto: de hecho, el teléfono al que se llamó entendiendo que era el de la parte reclamante aparece en el documento que incorpora la firma de la parte reclamante. Realizada llamada a uno de estos números de teléfono una tercera persona se identificó como la parte reclamante, sin realmente ser esa persona y les indicó una dirección de correo adicional a la que girar copia de la factura emitida por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 los servicios prestados. El personal de administración, entendiendo que la interlocutora era la parte reclamante, giró copia de la factura. Posteriormente (Y enviada la citada comunicación) nos aclaró que realmente no era la citada (usted). Conocidos los hechos se trasladó a esa tercera persona comunicación indicándole que la comunicación remitida no iba destinada a ella y que había obtenido la información induciendo al personal de esta empresa al error. Entendiendo por todo ello que su actuación estuvo provocada por un error inducido por tercero y que conocidos los hechos se intentaron dar los pasos necesarios para subsanarlo”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 7/10/2024 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 3 de diciembre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En fecha 18/08/2025 se solicitó información a la parte reclamada, presentando ésta el 05/09/2025 escrito de contestación al requerimiento de información realizado, en el que entre otros aspectos manifestó: Que una vez se recibió la reclamación por parte de la reclamante se revisaron los protocolos de actuación y se valoraron las causas que originaron la reclamación. Que cuando la reclamante les comunicó su queja inmediatamente revisaron los protocolos de actuación del expediente del fallecido y realizaron una valoración interna de cómo resolver la incidencia del mejor modo posible para todas las partes. Que aceptan su responsabilidad en los hechos ocurridos haciendo hincapié en el hecho de que el empleado que llamó para solicitar el correo electrónico fue engañado por una de las partes para enviar la factura a las dos hermanas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 Además, accedieron a: - Contactar con la hermana que había suplantado la identidad de la reclamante para que eliminase el correo y la factura del sepelio a pesar de que en la coletilla de nuestra firma ya se informa de lo siguiente “Si usted recibió este correo por error y reenvíelo al remitente y elimínelo de su sistema no debe copiar el mensaje ni de borrar el contenido enviar una disculpa por escrito para enviar como nos solicitó la reclamante un correo pidiendo disculpas”. - Enviar una disculpa por escrito, como nos solicitó la reclamante, mediante el envío de un correo pidiendo disculpas. Que una vez se recibió la reclamación por parte de la reclamante se revisaron los protocolos de actuación y se valoraron las causas que originaron la reclamación se llegó a las siguientes conclusiones: Primera.- La persona que realizó la comunicación del fallecimiento fue la hermana de la reclamante, dicha comunicación se realizó por teléfono y se registró en ese momento el teléfono de la hermana como teléfono de contacto en el sistema de gestión informático (FIORI). Durante la recogida del fallecido el personal laboral a cargo de la recogida no validó los datos del familiar que actuaría como declarante persona de la familia que actúa como responsable de las gestiones funerarias Segundo.- La reclamante facilita sus datos al asesor familiar en el momento de la contratación de los servicios. El trabajador no cotejó los datos previamente insertados en el sistema, únicamente cumplimentó a los datos que faltaban y no se recabó el correo electrónico durante la contratación, bien porque no se quiso facilitar o se indicó que sería facilitado posteriormente (Que el procedimiento habitual es solicitar ambos canales de contacto teléfono y email). Tercero.- Que desde administración se llamó al número de teléfono que consta en el sistema informático FIORI, que ahora sabemos se corresponde con el de la hermana y que al preguntar por la reclamante, la hermana se identifica como tal, comunicando dos correos electrónicos a los que la funeraria debería enviar la factura correspondiente al sepelio. Cuarto.- El viernes, 16 de febrero de 2024, desde la cuenta de correo de administración se adjuntó la factura por separado los dos correos electrónicos facilitados. El lunes, 19 de febrero, se recibió un correo electrónico desde ***EMAIL.1 en el que se identifica como la hermana de la reclamante y en el que dice que se ha producido un malentendido en la identificación de la reclamante. Se acompañan los correos cruzados con la hermana de la reclamante. Suponemos que la reclamante primero contacto con su hermana y después con la funeraria y por eso recibieron el correo de la hermana aclarando su identidad. En el correo que acompañan, la hermana de la reclamante justifica el malentendido en su identificación en la falta de cobertura, sin embargo, a pesar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6 de la supuesta mala cobertura, la hermana de la reclamante sí fue capaz de facilitar dos correos electrónicos complejos ***EMAIL.1 y ***EMAIL.

  1. . Que tenía implantadas todas las medidas en mejoría de Protección de Datos exigidas por RGPD y por la LOPDGDD, y que tras recibir el escrito de la reclamante se revisa el protocolo de actuación. Para verificar la eficacia del cumplimiento normativo la consultora externa en el marco de la realización control de la relación contractual que les une, presta una asistencia continuada a la parte reclamada, con el fin de que ante cualquier duda, cambio o incidencia que se produzca, que pueda estar relacionada con el tema de protección de datos de carácter personal, los riesgos sean de reevaluados y la documentación y medidas implantadas para el cumplimiento normativo sean revisadas, para garantizar el cumplimiento legal estricto. Que no tienen constancia de la reclamación que dice fue presentada el 4 de octubre de
  2. Y que no niegan que se facilitó la factura a una persona distinta de la que se contrató el servicio con ellos. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Exactitud La letra d) del artículo 5.1 del RGPD propugna: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 "
  3. Los datos personales serán: (…) d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);" III Conclusión En el caso que nos ocupa, ha quedado acreditado que la parte reclamada no discute la existencia de una comunicación de datos personales (la factura del sepelio) a una persona distinta de la inicialmente identificada como contratante del servicio. No obstante, dicha comunicación se produjo en una incorrecta identificación del destinatario de la factura emitida por los servicios prestados por la reclamada. De los hechos que se reflejan en las actuaciones de investigación se desprende que la persona a la que contactó telefónicamente la entidad se identificó como la reclamante, y facilitó direcciones de correo electrónico concretas a las que debía remitirse la factura, lo que llevó al personal administrativo a actuar convencido de estar tratando con la persona legitimada. Asimismo, de las actuaciones practicadas se desprende que la entidad reclamada tenía implantadas medidas técnicas y organizativas de protección de datos, contando además con el apoyo de una consultora externa que realizaba funciones de asistencia continuada y revisión de riesgos. Tras tener conocimiento de la queja, la entidad revisó sus protocolos internos, adoptó medidas correctoras, reforzó los procedimientos de verificación y actuó de forma diligente para mitigar los efectos del incidente, incluyendo la solicitud de eliminación del correo y la factura remitidos y el envío de disculpas formales a la reclamante. Debe tenerse en cuenta, igualmente, que no se desprende la existencia de intencionalidad, mala fe ni obtención de beneficio alguno por parte de la entidad reclamada, ni tampoco la producción de un perjuicio material o moral acreditado para la reclamante derivado de la comunicación de la factura. Por todo ello, se estima que no concurre el elemento subjetivo de culpabilidad exigible para la imputación de una infracción administrativa en materia de protección de datos personales. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a FUNERARIA FERNÁNDEZ, S.A. y a la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.