Duelo sin exposición: datos personales e imagen de las víctimas en las tragedias colectivas

Por Efrén Díaz Díaz

---

Efrén Díaz Díaz, responsable del área de tecnología y espacial del Bufete Mas y Calvet, en el presente artículo cuestiona como tras los accidentes ferroviarios de Adamuz y Urda, ¿qué normas protegen a las víctimas y a sus familias cuando la información corre más deprisa que el duelo?

---

Resumen

Una tragedia colectiva genera en muy poco tiempo una cantidad abrumadora de información personal: listas de pasajeros, partes médicos y datos de salud, muestras genéticas para identificar a los fallecidos, fotografías y vídeos que circulan por las redes antes incluso de que terminen las labores de rescate. Este análisis examina el marco jurídico español y europeo que se proyecta sobre esa información —los derechos del artículo 18 de la Constitución, la protección civil del honor, la intimidad y la propia imagen, la normativa de protección de datos, las reglas sectoriales de asistencia e identificación de víctimas y el Reglamento de Servicios Digitales—, distingue lo que corresponde a cada uno de los actores implicados y sugiere algunas pautas de actuación. La conclusión es fácil de enunciar y quizá difícil de practicar: proteger a las víctimas no impide informar; es lo que permite hacerlo con dignidad.

1. Dos tragedias, una misma pregunta

El 18 de enero de 2026, un tren de alta velocidad que hacía el trayecto Málaga–Madrid descarriló a la altura de Adamuz (Córdoba) y chocó con otro que circulaba en sentido contrario, con destino a Huelva. Murieron 45 personas y decenas resultaron heridas. Nueve meses más tarde, el 28 de octubre, en la misma línea Madrid–Andalucía, un AVE alcanzó entre Los Yébenes y Urda (Toledo) a otro tren que permanecía detenido ante una señal. El informe preliminar de la autoridad investigadora cifra en 69 los fallecidos y en más de doscientos los heridos.

Cada una de esas cifras es una persona, y alrededor de cada persona hay una familia que, en cuestión de horas, pasó de la espera a la incertidumbre y de la incertidumbre al duelo, con el respeto que se requiere y se merece. Es en ese tiempo, el más frágil, cuando surge una pregunta que el Derecho no puede eludir: ¿qué puede hacerse —y qué no— con la información y la imagen de quienes han padecido la tragedia? No es una cuestión teórica ni lejana. En ambos casos las imágenes del siniestro se propagaron masivamente por las redes en minutos; algunas grabadas en Adamuz reaparecieron después como si fueran de Urda, y esa misma semana de enero una cadena de televisión emitió en directo, sin advertencia alguna, el vídeo de una persona atrapada entre los restos de otro accidente ferroviario. Protección Civil lo dijo entonces con una sencillez difícil de mejorar: “el morbo no informa, solo añade dolor innecesario”.

Este artículo no pretende juzgar a nadie de ninguna manera, sino ofrecer un mapa claro de las normas aplicables en estas situaciones y de las buenas prácticas que permiten informar, asistir e investigar sin infligir a las víctimas una segunda herida.

2. Qué normas aplican

2.1 Derechos fundamentales: el punto de partida

El punto de partida necesario es el artículo 18 de la Constitución, que garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen (apartado 1) y ordena a la ley limitar el uso de la informática para proteger esos derechos (apartado 4). De este último precepto el Tribunal Constitucional extrajo, en su paradigmática Sentencia 292/2000, de 30 de noviembre, un derecho fundamental autónomo a la protección de datos personales. Enfrente se sitúa el artículo 20.1.d), que reconoce el derecho a comunicar y recibir libremente información veraz. Nadie discute que un accidente con decenas de muertos tenga relevancia pública. Pero conviene precisar sobre qué recae ese interés: sobre el hecho, sus causas y las responsabilidades que puedan derivarse, y no necesariamente sobre la identidad, el cuerpo o el sufrimiento de cada una de las personas afectadas, y al margen de la inercia de los actuales canales digitales. La ponderación entre ambos derechos, que debe hacerse caso por caso, suele resolverse precisamente en ese matiz.

En el plano civil, la norma de referencia es la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen. Su artículo 7.5 califica como intromisión ilegítima la captación, reproducción o publicación de la imagen de una persona, salvo en los casos previstos en el artículo 8.2. De esas excepciones, la que suele invocarse en un siniestro es la del artículo 8.2.c): la información gráfica sobre un suceso o acaecimiento público cuando la imagen de una persona determinada aparezca como meramente accesoria. Y ahí está la clave: el primer plano de un herido o de un cuerpo no es accesorio, es el centro de la imagen. La ley se ocupa también de la memoria de quienes han fallecido, cuya defensa atribuye a la persona designada en testamento y, en su defecto, al cónyuge, descendientes, ascendientes y hermanos que vivieran al tiempo del fallecimiento y, a falta de todos ellos, al Ministerio Fiscal (art. 4). Por último, la Sentencia del Tribunal Constitucional 27/2020, de 24 de febrero, dejó sentado que subir una fotografía propia a una red social no equivale a autorizar que un medio la reproduzca: cada nuevo uso de la imagen necesita su propia justificación y, en su caso, un nuevo consentimiento expreso y concreto.

2.2 Protección de datos: RGPD y LOPDGDD

El Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), protege a supervivientes, heridos y familiares, pero no se aplica a los datos de las personas fallecidas (considerando 27), si bien deja a los Estados libertad para regularlos. El legislador español aprovechó ese margen y ha cubierto el vacío existente en el RGPD: el artículo 3 de la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD), permite a las personas vinculadas al fallecido por razones familiares o de hecho, y a sus herederos, dirigirse al responsable para acceder a sus datos y solicitar su rectificación o supresión, salvo que el fallecido lo hubiera prohibido expresamente o así lo establezca una ley. El artículo 96 completa ese régimen con el llamado “testamento digital”, referido a los contenidos gestionados por prestadores de servicios de la sociedad de la información, redes sociales incluidas.

Buena parte de los datos que se manejan tras una tragedia pertenecen a las categorías especiales del artículo 9 del RGPD: lesiones, ingresos hospitalarios, perfiles genéticos utilizados en la identificación. Es importante subrayar que su tratamiento está prohibido y esta prohibición está fortificada salvo que concurra alguna de las excepciones del apartado 2 —la protección de intereses vitales cuando el interesado no puede consentir, la asistencia sanitaria, un interés público esencial amparado en una norma o la formulación y defensa de reclamaciones, entre otras—, y exige además una base de licitud del artículo 6 y garantías reforzadas de acceso, confidencialidad y conservación. Hay un matiz que no conviene perder de vista en la práctica: cuando los datos se tratan por la policía judicial o por los servicios forenses con fines de investigación penal, el marco aplicable no es el RGPD, sino la Ley Orgánica 7/2021, de 26 de mayo, que traspone la Directiva (UE) 2016/680. Si entre las víctimas hay menores, la protección se intensifica, tanto por el artículo 84 de la LOPDGDD como por el artículo 4 de la Ley Orgánica 1/1996, de protección jurídica del menor, que encomienda al Ministerio Fiscal actuar frente a cualquier intromisión en su imagen o intimidad.

Una advertencia importante para el ciudadano: la llamada excepción doméstica del artículo 2.2.c) del RGPD, que deja fuera del Reglamento las actividades exclusivamente personales, no ampara la difusión de imágenes o datos a un número indeterminado de personas. El Tribunal de Justicia de la Unión Europea lo recordó en su sentencia de 14 de febrero de 2019, asunto Buivids (C-345/17): quien publica un vídeo en una plataforma abierta queda sometido a la normativa de protección de datos, en la línea ya marcada en el asunto Lindqvist (C-101/01).

2.3 Normativa sectorial de asistencia e identificación

En el ámbito ferroviario, el Real Decreto 627/2014, de 18 de julio, de asistencia a las víctimas de accidentes ferroviarios y sus familiares, obliga a las empresas ferroviarias y a los administradores de infraestructuras a contar con planes de asistencia que incluyan, entre otros extremos, la gestión de la información sobre los pasajeros y la atención a las familias. La identificación de los fallecidos se rige por el Real Decreto 32/2009, de 16 de enero, que aprobó el Protocolo nacional de actuación médico-forense y de policía científica en sucesos con víctimas múltiples. El Protocolo, que actúa bajo la dirección de la autoridad judicial, canaliza la información ante mortem y post mortem a través de un centro de integración de datos; fue ese mecanismo el que permitió confirmar, el 2 de noviembre, la identidad de las 69 víctimas de Urda. Los perfiles de ADN obtenidos para identificar restos cadavéricos pueden incorporarse a la base de datos policial regulada por la Ley Orgánica 10/2007, de 8 de octubre, siempre vinculados a esa finalidad.

Cuando los hechos dan lugar a un procedimiento penal, como es habitual ante posibles imprudencias con resultado de muerte, entra en juego la Ley 4/2015, de 27 de abril, del Estatuto de la víctima del delito. Su artículo 22 obliga a jueces, fiscales, funcionarios y a cuantos intervienen en el proceso a proteger la intimidad de las víctimas y de sus familiares, con especial cuidado de impedir que se difunda información que permita identificar a víctimas menores de edad o con discapacidad necesitadas de especial protección; y el artículo 681.3 de la Ley de Enjuiciamiento Criminal permite al tribunal prohibir la divulgación de la identidad o de imágenes de las víctimas. Las ayudas públicas, como las previstas en el Real Decreto-ley 1/2026 para las víctimas de Adamuz y Gelida o las aprobadas después por las comunidades autónomas, generan a su vez tratamientos de datos que cada administración debe reflejar en su registro de actividades (art. 30 RGPD y art. 31 LOPDGDD). Por último, el Reglamento (UE) 2022/2065, de Servicios Digitales, exige a todos los prestadores de servicios de alojamiento de datos, y no solo a las grandes plataformas, mecanismos accesibles de notificación y acción frente a contenidos ilícitos (art. 16), y añade obligaciones de evaluación y reducción de riesgos sistémicos para las plataformas y buscadores de muy gran tamaño (arts. 34 y 35). El Reglamento, conviene recordarlo, no define qué es ilícito: esa calificación procede del Derecho nacional o de la Unión, es decir, de las normas que acabamos de repasar.

3. Cómo se deben cumplir: quién hace qué

La tabla siguiente sintetiza, para cada actor, el margen de actuación legítimo, sus límites principales y las normas de referencia. Los apartados que la siguen desarrollan los matices que una tabla no puede recoger.

Actor	Puede	Debe evitar	Referencia
Operadores y Adif	Facilitar listas de pasajeros a autoridades y atender a familias acreditadas	Confirmar datos por teléfono sin verificar identidad; accesos internos innecesarios	RD 627/2014; arts. 5, 6, 9 y 32 RGPD
Administraciones y forenses	Tratar datos genéticos y de salud para identificar a las víctimas y asistir a las familias	Usos ajenos a la identificación; conservar muestras y perfiles más allá de lo previsto legalmente	RD 32/2009; LO 10/2007; art. 9 RGPD; LO 7/2021
Hospitales	Informar a familiares y personas vinculadas, en los términos del art. 5 de la Ley 41/2002 (La información a familiares depende de la voluntad o capacidad del paciente)	Comunicar a terceros o medios el estado de los pacientes	Ley 41/2002 (arts. 5 y 7); art. 9 RGPD
Medios de comunicación	Informar del hecho, sus causas y responsabilidades	Imágenes reconocibles de heridos o fallecidos; fotos de redes sin consentimiento	Arts. 18 y 20.1.d) CE; LO 1/1982; STC 27/2020
Ciudadanos y redes	Avisar a emergencias; compartir información oficial verificada	Grabar y difundir a víctimas; reenviar bulos o datos personales	LO 1/1982; RGPD (STJUE C-345/17)
Plataformas digitales	Habilitar canales de notificación y retirar con diligencia	Mantener el contenido ilícito tras tener conocimiento efectivo de él. La exención de responsabilidad decae con el conocimiento efectivo (art. 6 DSA)	Reglamento (UE) 2022/2065 (arts. 6, 16, 34 y 35)

3.1 Operadores, administraciones y servicios de emergencia

Las primeras horas son las que más pesan y resultan decisivas. Las listas de pasajeros deben circular únicamente entre quienes de verdad las necesitan —servicios de emergencia, fuerzas y cuerpos de seguridad, autoridad judicial, centros de atención a familiares— y siempre por canales seguros, nunca por correo sin cifrar ni por aplicaciones de mensajería personales. Quien atiende el teléfono de información debe comprobar la identidad y el vínculo de quien llama antes de confirmar si alguien viajaba en el tren o cuál es su estado: un error o una indiscreción en ese momento deja una huella que no se borra. Las muestras de ADN que entregan los familiares solo pueden servir para identificar a las víctimas; cumplida esa finalidad, deben destruirse o cancelarse los perfiles conforme a la Ley Orgánica 10/2007, y es de justicia informar de ello a quienes las aportaron.

Estos episodios son, además, terreno abonado para las brechas de seguridad: picos de accesos, personal de refuerzo, hojas de cálculo compartidas a toda prisa. La emergencia no suspende el deber de notificar la brecha a la autoridad de control en el plazo de 72 horas, salvo que sea improbable que entrañe un riesgo para los afectados (art. 33 RGPD), ni el de comunicársela a estos cuando el riesgo sea alto (art. 34). Y conviene saber ante quién: si el responsable es una administración autonómica, como en estos casos la andaluza o manchega, como el respectivo Servicio de Salud, la autoridad competente es el Consejo de Transparencia y Protección de Datos de Andalucía o el equivalente en Castilla La Mancha; en los demás supuestos que aquí interesan, la Agencia Española de Protección de Datos.

3.2 Medios de comunicación y periodistas

La libertad de información no está en cuestión; lo que se discute es la manera de ejercerla. La identidad de un fallecido no debería hacerse pública antes de que su familia haya recibido la noticia por los cauces oficiales, y las fotografías extraídas de perfiles personales exigen, cuando menos, contar con el parecer de los allegados. Pixelar un rostro no basta si la ropa, la voz o el lugar permiten reconocer a la persona. La Agencia Española de Protección de Datos ha sancionado ya a medios de comunicación por difundir sin distorsionar la voz de una víctima de un delito, y el Código Deontológico de la Federación de Asociaciones de Periodistas de España pide evitar la intromisión gratuita en situaciones de aflicción o dolor. El sufrimiento ajeno no es ni debiera ser un recurso narrativo.

3.3 Ciudadanos, redes sociales y plataformas

Ante una tragedia, el impulso de grabar es casi un reflejo. Pero difundir esas imágenes puede lesionar la imagen y la intimidad de personas que en ese momento no pueden defenderse y, en los supuestos más graves, generar responsabilidad civil por intromisión ilegítima e incluso penal, por ejemplo por un atentado contra la integridad moral (art. 173.1 del Código Penal) o, si se graba en lugar de auxiliar pudiendo hacerlo, por omisión del deber de socorro (art. 195). Lo razonable es sencillo: llamar al 112, ayudar si se puede, compartir solo información oficial y contrastada y borrar las publicaciones con datos de personas buscadas en cuanto dejen de ser necesarias. Las familias pueden acudir al Canal prioritario de la AEPD para pedir la retirada urgente de contenidos sensibles o violentos difundidos sin consentimiento, y a los mecanismos de notificación que el Reglamento de Servicios Digitales impone a los prestadores. Una vez notificados de forma suficientemente precisa, estos pierden la exención de responsabilidad si no actúan con diligencia (art. 6).

4. Aspectos prácticos que conviene tener en cuenta

Para administraciones, empresas, despachos y asociaciones de afectados, la experiencia de estos meses sugiere algunas pautas:

• Prepararse antes. El protocolo de datos personales debe formar parte del plan de emergencia y no improvisarse sobre la marcha: quién accede a qué información, por qué canal y durante cuánto tiempo.
• Una sola voz. Centralizar en un portavoz y en una fuente oficial la comunicación con familias y medios reduce errores, contradicciones y filtraciones.
• Comprobar antes de confirmar. Ningún dato sobre una víctima a quien no haya acreditado su identidad y su vínculo con ella.
• Lo imprescindible, y solo mientras haga falta. Recoger únicamente los datos que exigen la asistencia, la identificación o la tramitación de ayudas, y suprimirlos cuando cumplan su finalidad (art. 5.1.c y e RGPD).
• Explicar adecuadamente a las familias. Decirles con claridad para qué se usan sus datos y los de su ser querido, y cómo pueden ejercer sus derechos, incluidos los que el artículo 3 de la LOPDGDD reconoce respecto de las personas fallecidas.
• Cuidar los espacios de los afectados. Los grupos de mensajería y las bases de datos de reclamantes son también tratamientos de datos: necesitan una base jurídica adecuada —normalmente se exige además el consentimiento explícito si incluyen información de salud—, confidencialidad y, si intervienen terceros, contratos de encargo (art. 28 RGPD).
• Tener lista la retirada. Disponer de modelos de solicitud dirigidos a las plataformas y conocer de antemano cómo funciona el Canal prioritario de la AEPD.
• Discreción en las ayudas. Omitir la publicación nominativa de los beneficiarios cuando pueda afectar a su honor o intimidad, como permite el artículo 20.8 de la Ley 38/2003, General de Subvenciones.

5. Una reflexión final: la dignidad también se protege con silencio

Las víctimas de Adamuz y de Urda no eligieron ser noticia, y sus familias tampoco. En el momento más vulnerable de sus vidas tienen derecho a que su dolor no se exhiba, a recibir la peor de las noticias de alguien que sepa darla y no a través de una pantalla, y a decidir si quieren contar su historia, cuándo y de qué manera.

El Derecho ofrece para ello instrumentos sólidos, y estas páginas han intentado ordenarlos. Pero ninguna norma suple la decisión, tomada a solas frente a un teléfono, de no grabar, no reenviar, no publicar. Proteger respetuosamente la imagen y los datos de las víctimas no equivale a callar la tragedia ni a dejar sin esclarecer sus causas y responsables. Significa, sencillamente, aceptar que hay cosas que no nos pertenecen, y que a quienes murieron se les debe el ser recordados por cómo vivieron, y no por la imagen de su último instante.

Querría terminar con un recuerdo respetuoso para las personas fallecidas, los heridos y sus familias, y con un agradecimiento a los vecinos, sanitarios, miembros de las fuerzas y cuerpos de seguridad, servicios de emergencia y trabajadores ferroviarios que, en uno y otro lugar, acudieron cuando más falta hacía y demostraron con su trabajo, esfuerzo y dedicación lo mejor de nuestra sociedad.

6. Advertencia sobre el contenido

El contenido tiene carácter divulgativo y no constituye asesoramiento jurídico para un caso concreto. La aplicación de cualquiera de los criterios expuestos exige el análisis individualizado de las circunstancias y de la normativa sectorial y territorial aplicable.