La Sala de lo Contencioso-Administrativo de la Audiencia Nacional ha desestimado el recurso interpuesto por KFC Restaurants Spain, S.L. contra las resoluciones de la Agencia Española de Protección de Datos (AEPD) que le impusieron dos sanciones por importe conjunto de 25.000 euros por infracciones del Reglamento General de Protección de Datos (RGPD).
La resolución judicial confirma tanto la sanción de 5.000 euros por infracción del artículo 13 del RGPD, relativo al deber de información a los interesados, como la multa de 20.000 euros por incumplimiento del artículo 37 del mismo reglamento, al no haber designado un delegado de protección de datos.
Asimismo, mantiene el requerimiento de la AEPD para que la empresa adecue su página web a la normativa y proceda al nombramiento de dicho delegado.
El procedimiento se inició tras la reclamación presentada por un usuario en mayo de 2021, quien denunció diversas deficiencias en la página web oficial de KFC.
Entre ellas figuraban la dificultad para acceder a una política de privacidad adaptada al Espacio Económico Europeo, la inexistencia de un enlace adecuado a dicha política durante el proceso de registro de usuarios, la obligación de aceptar determinadas condiciones para completar el alta y la ausencia de un delegado de protección de datos. También cuestionaba que la política de privacidad no detallara suficientemente aspectos como los destinatarios de los datos, la identificación del responsable del tratamiento, las transferencias internacionales o los plazos de conservación de la información personal.
KFC alegó que había corregido las incidencias
Durante la tramitación del expediente, KFC sostuvo que muchas de las incidencias detectadas obedecían a errores de configuración ya corregidos o cuya corrección estaba prevista.
La empresa explicó que el formulario de creación de cuentas permitía registrarse sin aceptar comunicaciones comerciales, aunque reconoció que un error en el texto de una de las casillas obligatorias inducía a confusión y anunció su modificación. También afirmó haber corregido el enlace que dirigía erróneamente a la nota legal en lugar de a la política de privacidad y defendió que no estaba obligada a designar un delegado de protección de datos porque, a su juicio, no desarrollaba tratamientos incluidos en los supuestos previstos por el artículo 37 del RGPD.
Asimismo, la compañía indicó que su política de privacidad ya informaba sobre las categorías de destinatarios, las transferencias internacionales y los criterios de conservación de los datos, aunque reconoció que introduciría mejoras para ofrecer una información más clara y transparente a los usuarios.
La Agencia Española de Protección de Datos inspeccionó posteriormente la página web y comprobó el funcionamiento de los distintos formularios disponibles para crear una cuenta, realizar pedidos, suscribirse a promociones o presentar candidaturas de empleo.
Según recoge la sentencia, la AEPD constató que todos ellos incluían referencias a la política de privacidad y a los términos de uso, además de la posibilidad de aceptar voluntariamente el envío de ofertas comerciales. También analizó el contenido de la política de privacidad y del aviso específico para residentes en el Espacio Económico Europeo, Reino Unido y Suiza.
La sentencia, dictada el 16 de julio de 2026 por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, resuelve el recurso interpuesto contra las resoluciones de la AEPD y mantiene tanto las sanciones económicas como las medidas correctoras impuestas por la autoridad de protección de datos.
De este modo, la Audiencia Nacional confirma la obligación de adaptar la información sobre protección de datos de la página web de KFC a las exigencias del artículo 13 del RGPD y proceder al nombramiento de un delegado de protección de datos, tal y como había requerido la Agencia Española de Protección de Datos.
