La Audiencia Nacional sanciona en 25 mil euros a KFC por deficiencias en materia de protección de datos.
La Audiencia Nacional ha confirmado una sanción conjunta de 25.000 euros a KFC Restaurants Spain tras desestimar su recurso contra las resoluciones de la Agencia Española de Protección de Datos. La sentencia ratifica que la compañía incurrió en infracciones del RGPD al presentar deficiencias en su política de privacidad web y carecer de un Delegado de Protección de Datos.
La resolución judicial confirma tanto la sanción de 5.000 euros por infracción del artículo 13 del RGPD (que utilizaba expresiones genéricas como «podemos utilizar...» para describir finalidades y destinatarios, sin justificar por qué. Según el GT29, ese lenguaje indefinido solo es admisible si el responsable acredita por qué no pudo evitarlo. KFC no lo hizo.).
En relación al incumplimiento del deber de información a los interesados, como la multa de 20.000 euros por incumplimiento del artículo 37 del mismo reglamento, al no haber designado un delegado de protección de datos. La empresa argumentó que al no ser el tratamiento de datos su «actividad principal», no estaba obligada a designar un delegado de protección de datos. La Sala lo rechaza: una actividad no tiene que ser el core business para ser «principal» si el tratamiento de datos es indisociable de ella. Y aquí lo es: creación de cuentas, ofertas de empleo, pedidos online, promociones, geolocalización, cookies de seguimiento… Recogida habitual, sistemática y a gran escala de datos de clientes.
Roj: SAN 3154/2026 – ECLI:ES:AN:2026:3154
Más información consulte nuestra página de servicios
