Imagen generada con IA.
La Audiencia Nacional ha confirmado las dos sanciones que la Agencia Española de Protección de Datos (AEPD) impuso a KFC Restaurants Spain, S.L. por un importe conjunto de 25.000€. El origen del expediente no fue una brecha de seguridad ni una inspección de oficio, sino la reclamación de un único usuario que, en mayo de 2021, detectó varias deficiencias de protección de datos al navegar por la web corporativa de la compañía. Cinco años después, la sentencia confirma que tenía razón.
El caso: la Audiencia Nacional confirma la sanción a KFC Restaurants Spain
La Sala de lo Contencioso-Administrativo de la Audiencia Nacional ha desestimado el recurso presentado por KFC Restaurants Spain contra las resoluciones de la AEPD, en una sentencia dictada el 16 de julio de 2026 por su Sección Primera. La resolución judicial confirma dos sanciones distintas:
- 5.000€ por infracción del artículo 13 del RGPD, relativo al deber de información a los interesados.
- 20.000€ por incumplimiento del artículo 37 del RGPD, al no haber designado un delegado de protección de datos (DPD).
Además de las multas, la Audiencia Nacional mantiene el requerimiento de la AEPD para que la compañía adecue su página web a la normativa y proceda al nombramiento de un DPD. El procedimiento se inició tras la reclamación de un usuario que, en mayo de 2021, denunció ante la Agencia varias deficiencias en la web oficial de KFC.
Qué deficiencias detectó un usuario en la web de la compañía
Según recoge la sentencia, el reclamante identificó, sin más herramientas que su propia navegación por el sitio, una serie de problemas que después la AEPD confirmó en su inspección:
- Dificultad para acceder a la política de privacidad adaptada al Espacio Económico Europeo, poco visible o mal enlazada.
- Ausencia de un enlace adecuado a la política de privacidad durante el proceso de registro de nuevos usuarios: el enlace dirigía erróneamente a la nota legal.
- Obligación de aceptar determinadas condiciones —incluyendo, según denunció, comunicaciones comerciales— para poder completar el alta como usuario.
- Ausencia de un delegado de protección de datos identificado y de sus datos de contacto.
- Información insuficiente en la política de privacidad sobre los destinatarios de los datos, la identificación del responsable del tratamiento, las transferencias internacionales de datos y los plazos de conservación de la información personal.
Durante la tramitación del expediente, KFC alegó que buena parte de las incidencias obedecían a errores de configuración ya corregidos o en vías de corrección: reconoció que el texto de una casilla obligatoria del formulario de registro «inducía a confusión» y admitió que el enlace a la política de privacidad apuntaba, por error, a la nota legal. También defendió que no estaba obligada a nombrar un DPD porque, a su juicio, no realizaba tratamientos de los previstos en el artículo 37 del RGPD. La AEPD, tras inspeccionar la web y comprobar el funcionamiento de los formularios de registro, pedido, suscripción a promociones y candidaturas de empleo, no compartió esa interpretación, y la Audiencia Nacional le ha dado la razón.
Errores comunes de protección de datos en webs corporativas y de ecommerce
El caso de KFC es representativo de un patrón que se repite en muchas webs corporativas y tiendas online, especialmente cuando el diseño de los formularios y los textos legales se gestionan por separado y nadie revisa que ambos estén alineados:
- Enlaces legales rotos o mal dirigidos: el enlace que debería llevar a la política de privacidad apunta a la nota legal, al aviso de cookies o, simplemente, a una página inexistente.
- Casillas de consentimiento ambiguas: textos que no dejan claro si aceptar comunicaciones comerciales es voluntario u obligatorio para completar el registro.
- Registro que exige más de lo necesario: obligar a aceptar condiciones adicionales, no separables del alta como usuario, para poder crear una cuenta.
- Políticas de privacidad incompletas: que no detallan con claridad quién es el responsable del tratamiento, con quién se comparten los datos, si hay transferencias internacionales y durante cuánto tiempo se conservan los datos.
- Ausencia de delegado de protección de datos cuando la actividad de la empresa —tratamiento a gran escala de categorías especiales de datos, observación regular y sistemática de interesados a gran escala, o actividad principal basada en ese tipo de tratamientos— sí lo exige conforme al artículo 37 del RGPD.
Ninguno de estos fallos requiere una auditoría técnica sofisticada para detectarse: como demuestra este caso, basta con que un usuario atento —o un cliente, un competidor o la propia AEPD— navegue por el proceso de registro y pinche en los enlaces legales.
Checklist rápido para auditar el RGPD en tu propia página web
Antes de que sea un usuario, un cliente o la AEPD quien lo detecte, conviene revisar periódicamente estos puntos en la propia web:
- Comprueba que todos los enlaces legales funcionan y dirigen a donde deben: política de privacidad, aviso legal y política de cookies, cada uno a su página correspondiente.
- Revisa el proceso de registro de usuarios de principio a fin, incluyendo el enlace a la política de privacidad que debe mostrarse antes de completar el alta.
- Verifica que aceptar comunicaciones comerciales es siempre opcional y que el texto de cada casilla es inequívoco.
- Confirma que la política de privacidad identifica con claridad al responsable del tratamiento, los destinatarios de los datos, si existen transferencias internacionales y los plazos de conservación.
- Evalúa si tu actividad exige un delegado de protección de datos conforme al artículo 37 del RGPD, y si es así, publica sus datos de contacto de forma accesible.
- Revisa también los formularios secundarios: pedidos, suscripciones a promociones, ofertas de empleo o cualquier otro punto de recogida de datos, no solo el registro principal.
Una revisión periódica de estos puntos —y no solo en el momento de lanzar la web— es la mejor forma de evitar que una reclamación individual termine, como en este caso, en un procedimiento sancionador y una sentencia de la Audiencia Nacional. En Dataibérica ayudamos a pymes y empresas a auditar y adecuar sus webs corporativas y tiendas online al RGPD, desde la política de privacidad hasta la designación del delegado de protección de datos cuando resulta obligatoria.
Fuente principal: Confilegal — «La Audiencia Nacional confirma la sanción de 25.000 euros a KFC por la protección de datos».
