La Audiencia Nacional ha confirmado la sanción de 25.000 euros impuesta a KFC Restaurants Spain por diversos incumplimientos del Reglamento General de Protección de Datos (RGPD). La resolución respalda íntegramente las actuaciones de la Agencia Española de Protección de Datos (AEPD) y recuerda que la transparencia, la información al usuario y el correcto cumplimiento de las obligaciones legales no son aspectos meramente formales, sino requisitos esenciales para cualquier organización que trate datos personales.
Una reclamación de un usuario desencadenó el procedimiento
El origen del expediente se encuentra en la reclamación presentada por un usuario que detectó diferentes deficiencias en la página web de KFC. Entre ellas figuraban dificultades para acceder a una política de privacidad adaptada al Espacio Económico Europeo, la ausencia de información suficientemente clara durante el proceso de registro, enlaces incorrectos a la documentación de privacidad y la falta de determinados datos exigidos por el artículo 13 del RGPD.
Además, el reclamante denunció que la empresa no había designado un Delegado de Protección de Datos (DPD), a pesar de que realizaba tratamientos relacionados con actividades de marketing y gestión de clientes que, según la AEPD, justificaban dicha obligación. Tras analizar el caso, la autoridad de control inició un procedimiento sancionador que ahora ha sido plenamente avalado por la Audiencia Nacional.
Las sanciones confirmadas por la Audiencia Nacional
La sentencia mantiene las dos infracciones apreciadas por la AEPD. La primera corresponde al incumplimiento del deber de información previsto en el artículo 13 del RGPD, por el que la compañía fue sancionada con 5.000 euros. La segunda, de mayor cuantía, asciende a 20.000 euros por la falta de designación de un Delegado de Protección de Datos, incumpliendo el artículo 37 del Reglamento.
El tribunal también confirma el requerimiento para que la empresa adapte su página web a las exigencias del RGPD y proceda al nombramiento del DPD. Aunque durante el procedimiento KFC alegó haber corregido parte de las incidencias detectadas, la Audiencia considera que ello no elimina la responsabilidad derivada de los incumplimientos existentes cuando se produjeron los hechos.
La transparencia en materia de privacidad es una obligación legal
Uno de los aspectos más relevantes de esta resolución es la importancia que concede a la información que reciben los usuarios antes de facilitar sus datos personales. Las empresas deben ofrecer políticas de privacidad claras, completas y fácilmente accesibles, indicando la identidad del responsable del tratamiento, las finalidades, la base jurídica, los destinatarios de los datos, los plazos de conservación, las posibles transferencias internacionales y los derechos de los interesados.
La experiencia demuestra que muchas sanciones de la AEPD no tienen su origen en grandes brechas de seguridad, sino en deficiencias aparentemente sencillas como formularios mal configurados, información incompleta o textos legales desactualizados. Estos errores pueden afectar directamente a la transparencia exigida por el RGPD y derivar en importantes consecuencias económicas y reputacionales.
¿Todas las empresas necesitan un Delegado de Protección de Datos?
La sentencia también pone el foco sobre una cuestión habitual entre las organizaciones: cuándo existe la obligación de nombrar un Delegado de Protección de Datos. No todas las empresas están obligadas a contar con esta figura, pero sí aquellas que cumplen los supuestos previstos en el RGPD o en la normativa nacional, especialmente cuando realizan tratamientos que requieren una supervisión sistemática de personas o tratan determinadas categorías de datos a gran escala.
Determinar correctamente esta obligación requiere analizar la actividad real de la organización y los tratamientos que realiza. Una interpretación incorrecta puede dar lugar a sanciones como la confirmada ahora por la Audiencia Nacional.
Una revisión periódica evita riesgos innecesarios
Este caso vuelve a demostrar que el cumplimiento del RGPD debe mantenerse actualizado de forma continua. Las páginas web evolucionan, aparecen nuevos formularios, cambian los proveedores tecnológicos y se incorporan nuevas herramientas de marketing, por lo que la documentación y las medidas de privacidad también deben revisarse periódicamente.
Realizar auditorías de protección de datos, revisar los textos legales, verificar los consentimientos obtenidos y comprobar si existen nuevas obligaciones regulatorias constituye una de las mejores formas de reducir el riesgo de sanciones y reforzar la confianza de clientes y usuarios.
¿Tu empresa cumple realmente con el RGPD?
En FORLOPD ayudamos a empresas y organizaciones a adaptar sus tratamientos de datos personales a la normativa vigente mediante servicios de auditoría, consultoría, adecuación documental y asesoramiento continuo.
Garantiza el cumplimiento normativo.
Solicita información sobre nuestro servicio de Consultoría RGPD
Fuente: Confilegal
