La Audiencia Nacional (AN) ha confirmado la sanción de 25.000 euros impuesta a KFC RESTAURANTS SPAIN, S.L. (KFC) por la Agencia Española de Protección de Datos (AEPD), desestimando el recurso interpuesto por la compañía.
El procedimiento se inició a raíz de una reclamación presentada ante la AEPD por un usuario de la página web de KFC. El reclamante denunciaba diversas deficiencias en materia de protección de datos, entre ellas carencias en el contenido de la política de privacidad y la ausencia de un Delegado de Protección de Datos (DPD).
Durante la tramitación de la reclamación, la AEPD comprobó que la información facilitada a los usuarios a través de su política de privacidad no era suficientemente clara ni específica. En particular, no ofrecía información precisa sobre los fines del tratamiento, al utilizar calificativos del tipo “podemos utilizar” para describir las finalidades, además de no identificar de forma precisa a los destinatarios de los datos. Por todo la anterior, la AEPD apreció infracción del artículo 13 RGPD e impuso una sanción de 5.000 euros. A este respecto, la AN confirmó el criterio impuesto por la Agencia.
Respecto a la ausencia del DPD, la cadena de restauración alegaba que no era necesario su nombramiento teniendo en cuenta que su actividad principal (restauración) implicaba el tratamiento de datos personales de forma meramente auxiliar. No obstante, tanto la AN como la AEPD llegaron a una conclusión diferente.
La Sala recordó que, según las Directrices del antiguo Grupo de Trabajo del Artículo 29, una actividad principal no se limita al objeto social de la empresa. Si bien la restauración es el negocio principal de KFC, el tratamiento de datos personales formaba parte indisociable de dicha actividad. Por ejemplo, para la gestión de pedidos online, programas de fidelización, promociones, comunicaciones comerciales, creación de cuentas de usuario y formalización de candidaturas de empleo, queda evidenciado que resultaba imprescindible la recogida y utilización de datos personales.
La sentencia también analiza el segundo requisito del artículo 37.1.b) RGPD (observación habitual y sistemática y tratamiento a gran escala)
Par la Audiencia, la web de KFC recopilaba información de navegación, preferencias de usuarios, cookies, direcciones IP, datos de geolocalización y datos asociados a programas de fidelización y actividades promocionales de sus clientes con fines de personalización, realización de acciones de marketing y mejorar el rendimiento del negocio.
Lo anterior, unido al elevado volumen de clientes y a que el tratamiento era permanente en el tiempo, concluyó que la compañía respondía claramente a una observación “habitual y sistemática” a “gran escala”, encontrándose dentro del supuesto previsto.
Se estimó por tanto una infracción del artículo 37 RGPD y la entidad fue sancionada por un importe de 20.000 euros.