KFC y la obligación de designar un DPD: la lección de la Audiencia Nacional sobre el concepto de «gran escala»

(Artículo dirigido, revisado y validado por Leocadio Marrero Trujillo, autor y responsable editorial. Se utilizaron herramientas de IA generativa como apoyo a la edición y al diseño gráfico).

Hay sentencias cuyo interés está en la cuantía de la sanción y otras que merecen atención por el razonamiento que hay detrás. La dictada por la Audiencia Nacional el 16 de julio de 2026 en el caso KFC pertenece claramente al segundo grupo.

La Sentencia 402/2026, (SAN 3154/2026 – ECLI:ES:AN:2026:3154) de la Sala de lo Contencioso-Administrativo, Sección Primera, resuelve el recurso 420/2023 interpuesto por KFC Restaurants Spain, S.L. frente a las resoluciones de la Agencia Española de Protección de Datos que terminaron confirmando, entre otras medidas, una sanción de 20.000 euros por no haber designado un Delegado de Protección de Datos (DPD).

La resolución también aborda una infracción del artículo 13 RGPD y una multa adicional de 5.000 euros, pero no es esa parte del asunto la que me interesa aquí. La cuestión verdaderamente útil es otra: por qué una cadena de restauración termina obligada a contar con un DPD y cómo se construye, paso a paso, el concepto de observación habitual y sistemática “a gran escala” del artículo 37.1.b) RGPD.

Es un buen caso de uso porque obliga a abandonar una forma demasiado rápida de resolver la cuestión. Todavía es frecuente comprobar si la organización aparece entre los supuestos del artículo 34 LOPDGDD y, si no aparece, concluir que no necesita DPD. KFC demuestra que ese análisis puede quedarse corto. El artículo 34 es importante, pero no sustituye los supuestos establecidos directamente por el artículo 37.1 RGPD.

Una empresa de restauración que entendía el tratamiento como algo auxiliar

La posición de KFC era, en principio, comprensible. La compañía sostenía que su actividad principal era la restauración, desarrollada fundamentalmente de manera presencial en sus establecimientos. El tratamiento de datos asociado a la web o a los pedidos a distancia sería, desde esta perspectiva, una actividad auxiliar de ese negocio principal.

Ya durante las primeras actuaciones ante la AEPD, KFC explicaba que la actividad principal de la compañía no consistía en tratar datos de los usuarios de su página web, sino en prestar servicios de restauración, y añadía que buena parte de esa actividad podía realizarse presencialmente sin necesidad de tratar datos personales. La empresa entendía, por ello, que no concurrían los presupuestos del artículo 37.1.b) RGPD.

La defensa no se quedó ahí. KFC negó también que existiera una observación habitual y sistemática de los interesados y discutió expresamente que sus tratamientos pudieran calificarse como realizados a gran escala.

Durante la investigación manifestó, además, que no realizaba análisis de perfiles y que las comunicaciones comerciales se enviaban con consentimiento previo mediante un sistema opt-in y sin segmentación de usuarios. Según explicó, su gestión del cumplimiento descansaba en personal interno especializado y en asesoramiento externo, aunque se comprometía a reevaluar periódicamente la necesidad de designar un DPD.

La cuestión quedaba así bastante bien planteada: KFC no discutía que tratase datos personales. Lo que negaba era que esos tratamientos reunieran las características específicas que hacen obligatorio el DPD.

Cuándo un tratamiento deja de poder considerarse meramente auxiliar

La AEPD aborda primero el concepto de «actividades principales» utilizando las Directrices WP243 sobre Delegados de Protección de Datos del antiguo Grupo de Trabajo del Artículo 29, posteriormente respaldadas por el Comité Europeo de Protección de Datos. (Junta Europea de Protección de Datos)

Las Directrices explican que las actividades principales son las operaciones clave necesarias para alcanzar los objetivos del responsable o del encargado. Esto no significa que el tratamiento de datos tenga que coincidir con el producto que vende la empresa o con la descripción formal de su objeto social.

El ejemplo del hospital lo explica bien. Su actividad es prestar asistencia sanitaria, no gestionar historias clínicas. Sin embargo, difícilmente puede prestar esa asistencia sin tratar datos de salud. Algo semejante ocurre con una empresa cuya actividad principal consiste en prestar servicios de vigilancia: la vigilancia lleva indisociablemente asociado el tratamiento de datos personales.

La Audiencia Nacional traslada esta lógica al caso KFC mediante una frase especialmente relevante:

«En nuestro caso el tratamiento de datos no es actividad principal de la actora, pero tampoco puede disociarse de la misma».

La precisión importa. La Sala no está diciendo que KFC se haya convertido en una empresa cuyo negocio sea tratar datos personales. Sigue siendo una compañía de restauración. Lo que aprecia es que determinados tratamientos se han incorporado de tal manera a la relación con los clientes que ya no pueden verse simplemente como una función administrativa de apoyo.

La creación de cuentas de usuario, los pedidos en línea, las promociones, la utilización de información relacionada con preferencias, la navegación o determinadas interacciones digitales forman parte de la manera en que la compañía desarrolla una parte de su actividad. La sentencia toma precisamente en consideración esos elementos al analizar el caso.

Aquí merece introducirse una cautela. La mera relación de un tratamiento con el negocio no debería convertir automáticamente cualquier operación con datos en una «actividad principal». Si así fuera, prácticamente todos los tratamientos de una empresa acabarían entrando en esa categoría. La importancia de la sentencia está en que la Sala entiende que, en este caso concreto, la integración de esos tratamientos en el modelo de relación con el cliente había superado el nivel de una función simplemente auxiliar.

Figura 1 (IA): «El negocio sigue siendo la restauración; lo que cambia es la complejidad del ecosistema de tratamiento construido alrededor del cliente.»

Observar de manera habitual y sistemática no significa vigilar personalmente a cada cliente

El siguiente paso consiste en determinar si existe una observación habitual y sistemática de los interesados.

Las Directrices WP243 permiten distinguir bien ambos términos. Lo habitual está relacionado fundamentalmente con la continuidad: algo que sucede de manera continuada, recurrente o periódica. Lo sistemático tiene que ver con la organización: un tratamiento preestablecido, metódico, integrado en un sistema, en un plan general de recogida de información o en una estrategia.

Puede expresarse de una manera sencilla: habitual nos habla sobre todo de la continuidad; sistemático, de la forma organizada en que se realiza el tratamiento.

Figura 2 (IA): «La habitualidad habla de continuidad; el carácter sistemático, de una recogida organizada que forma parte del modelo de negocio.»

Esto evita otra confusión frecuente. La «observación» del artículo 37.1.b) no exige imaginar a alguien vigilando individualmente el comportamiento de cada interesado. Puede materializarse mediante sistemas tecnológicos que recogen y utilizan de forma recurrente información relativa a las personas.

Las propias Directrices incluyen entre sus ejemplos la mercadotecnia basada en datos, los programas de fidelización, el seguimiento de la ubicación mediante aplicaciones o la publicidad comportamental.

En el caso KFC, la AEPD presta atención a datos como la dirección IP, el historial de navegación, las preferencias del usuario, la información derivada de determinadas cookies, la geolocalización o los datos de facturación. Considera que no se trata de una recogida ocasional, sino de una actividad que se desarrolla de forma habitual para prestar servicios y mejorar el rendimiento del negocio.

La Audiencia Nacional comparte finalmente esa lectura y aprecia un plan organizado de recogida de información relacionado con el funcionamiento ordinario de la compañía.

Hay, no obstante, un matiz que no deberíamos esconder. KFC había afirmado expresamente que no realizaba análisis de perfiles y que sus comunicaciones comerciales no segmentaban usuarios. La resolución administrativa y después la sentencia manejan, sin embargo, referencias a preferencias, publicidad, redes sociales y actividades relacionadas con la elaboración de perfiles.

Existe cierta tensión entre la descripción que KFC hace de sus tratamientos efectivos y la lectura más amplia que la AEPD obtiene del ecosistema de funcionalidades y de la información publicada por la empresa. Por eso me parece más prudente no reducir el caso a la afirmación de que «KFC hacía perfiles». La cuestión del artículo 37.1.b) es más amplia: había que determinar si existía una observación organizada y recurrente y, una vez respondida esa pregunta, establecer qué dimensión alcanzaba.

Y ahí aparece la parte más interesante del caso.

«Gran escala»: cuando contar interesados no basta

KFC hizo un esfuerzo considerable por llevar la discusión al terreno cuantitativo.

En sus alegaciones al acuerdo de inicio señaló que durante 2021 los pedidos en el entorno online estaban asociados a unos 110.000 registros, que esos usuarios habían realizado 153.439 pedidos y que otros 100.000 registros recibían comunicaciones comerciales. Añadió que la actividad estaba limitada a España y que el período máximo de conservación indicado en su RAT era de cinco años.

Su razonamiento trataba de relativizar esas cifras. Comparaba el número de usuarios de KFC con el conjunto de personas que compraban por internet en España y el volumen de ventas online de la compañía con el comercio electrónico nacional. Desde esa perspectiva, pretendía demostrar que su dimensión era pequeña respecto del mercado y que, por tanto, no existía gran escala.

La discusión es especialmente útil porque plantea de frente una pregunta muy común: ¿cuántos interesados hacen falta para hablar de gran escala?

El problema es que el RGPD no responde con un número.

WP243 tampoco.

No existe una frontera jurídica que permita afirmar que 50.000 interesados no son gran escala y 100.000 sí. Esto no significa que las cifras sean irrelevantes. Significa que una cifra aislada no resuelve el análisis.

WP243 propone considerar conjuntamente cuatro dimensiones: el número de interesados afectados, como cifra absoluta o proporción de la población pertinente; el volumen de los datos y la variedad de elementos tratados; la duración o permanencia de la actividad; y su alcance geográfico.

Figura 3 (IA): «La gran escala no nace de una cifra aislada: resulta de valorar conjuntamente personas, datos, duración y alcance geográfico.»

Ésta es, probablemente, la principal lección práctica de todo el caso.

Imaginemos dos empresas con cien mil clientes. La primera conserva básicamente identidad, correo electrónico y los datos indispensables para gestionar una relación contractual y facturar. La segunda relaciona identidad, compras, navegación, dirección IP, ubicación, cookies, preferencias y promociones. El número de interesados es exactamente el mismo, pero cuesta sostener que la dimensión de ambos tratamientos también lo sea.

Figura 4 (IA): «El mismo número de interesados puede esconder realidades de tratamiento radicalmente distintas.»

Podríamos hablar, sólo a efectos explicativos, de una mayor densidad informacional. No es un quinto criterio de WP243, sino una manera útil de entender su referencia al volumen y a la variedad de datos.

Lo mismo sucede con el tiempo. Una campaña que trata información durante unos días no presenta necesariamente la misma dimensión que un sistema incorporado durante años a la relación con los clientes. Y tampoco es indiferente que la actividad se limite a un entorno local o se extienda por todo un territorio nacional.

Por eso el análisis de gran escala no funciona como una suma automática ni como un test en el que haya que superar cuatro mínimos. Los factores se valoran conjuntamente para comprender la verdadera dimensión del tratamiento.

El CEPD también rechaza los umbrales numéricos rígidos

La AEPD refuerza su razonamiento acudiendo al Dictamen 4/2018 del Comité Europeo de Protección de Datos. Aunque ese dictamen se refiere a una lista nacional de tratamientos sujetos a evaluación de impacto, resulta útil porque el Comité rechaza precisamente que el concepto de gran escala se cierre mediante cifras explícitas y considera suficientes los factores desarrollados en WP243 y WP248.

La Agencia utiliza esa idea para rechazar el argumento de KFC basado en criterios cuantitativos que pudieran manejar otras autoridades: corresponde valorar las circunstancias de cada tratamiento concreto, no trasladar automáticamente una cifra utilizada en otro contexto.

Aquí encontramos una enseñanza importante para cualquier análisis interno de obligatoriedad del DPD: los números forman parte de la prueba, pero no sustituyen el juicio jurídico.

Una organización debería poder explicar no sólo cuántos interesados trata, sino también qué diversidad de información maneja, durante cuánto tiempo, con qué recurrencia y en qué ámbito territorial.

Y WP243 contiene un ejemplo difícil de ignorar en este caso

Hay un detalle que hace especialmente pedagógico el asunto KFC.

Entre los ejemplos de tratamientos a gran escala, WP243 menciona el tratamiento de datos de geolocalización en tiempo real de clientes de una cadena internacional de comida rápida con fines estadísticos. La propia resolución de la AEPD reproduce este ejemplo.

La coincidencia es llamativa, aunque no conviene llevarla demasiado lejos.

WP243 no dice que una cadena internacional de restauración tenga necesariamente que designar un DPD. Tampoco convierte la geolocalización en una especie de criterio automático. Lo que demuestra es que un negocio tan tradicional como la restauración puede desarrollar tratamientos cuya continuidad, alcance y capacidad de seguimiento alcancen una dimensión suficiente para entrar en el artículo 37.1.b) RGPD.

El sector económico no determina por sí mismo la respuesta.

La AEPD concluye que KFC debía contar con DPD

Después de recorrer los tres elementos —actividades principales, observación habitual y sistemática y gran escala—, la AEPD concluye que la obligación existía.

En la resolución administrativa considera que los datos se recogen de forma habitual, que forman parte de un plan organizado asociado a la prestación de servicios y al rendimiento del negocio y que, valorados los parámetros de WP243, KFC realiza un tratamiento a gran escala. La Agencia señala además que el artículo 37.1.b) no exige añadir otros requisitos distintos una vez concurren los presupuestos que el propio precepto establece.

Aquí aparece también otra lección útil. KFC había invocado que no estaba incluida entre las organizaciones enumeradas en el artículo 34 LOPDGDD. Pero eso no cierra el análisis. El propio artículo 34 remite a los supuestos del artículo 37.1 RGPD, y la obligación derivada directamente de este último sigue siendo plenamente aplicable.

La lista española no puede leerse, por tanto, como un catálogo cerrado de responsables obligados a disponer de DPD.

20.000 euros por no designarlo

La AEPD consideró acreditada la infracción del artículo 37 RGPD y terminó imponiendo a KFC una multa de 20.000 euros por no haber nombrado un DPD. También ordenó expresamente a la compañía que procediera a su designación como medida correctora.

La infracción se conecta con el artículo 73.v) LOPDGDD, que considera grave, a efectos de prescripción, el incumplimiento de la obligación de designar DPD cuando resulte exigible.

Para graduar la sanción, la Agencia utiliza, entre otros elementos, el artículo 83.2.b) RGPD y se refiere a la intencionalidad. Sin embargo, si se observa la argumentación utilizada, el razonamiento está más cerca de la negligencia y del deber de diligencia profesional que de una actuación deliberada: se exige especial cuidado a una organización que mantiene una actividad continuada de tratamiento de datos personales.

La distinción no es simplemente terminológica. Decir que KFC incumplió deliberadamente sería ir más allá de lo que realmente muestra el razonamiento. La cuestión que plantea la resolución es, sobre todo, si una organización de esa dimensión y con esa realidad de tratamiento actuó con la diligencia exigible al evaluar la necesidad de contar con DPD.

La Audiencia Nacional confirma el enfoque

KFC mantuvo ante la Audiencia Nacional su planteamiento esencial: su actividad principal era la restauración, el tratamiento tenía carácter auxiliar y no existía una observación habitual y sistemática a gran escala.

La Sala rechaza esa tesis y declara compartir la interpretación realizada por la AEPD utilizando las Directrices WP243.

Primero considera que determinados tratamientos, aunque no constituyan por sí mismos el negocio principal, no pueden disociarse de la forma en que KFC desarrolla su actividad. Después aprecia la existencia de una recogida organizada y habitual de información. Finalmente vuelve a los cuatro factores de WP243 y concluye que existen elementos suficientes para apreciar gran escala.

La sentencia lo expresa de una manera especialmente rotunda:

«tampoco puede discutirse que el tratamiento de datos es a gran escala».

Es probablemente la afirmación más contundente de la sentencia, aunque quizá también la que invita a mayor reflexión. La gran escala es un concepto jurídico indeterminado y, precisamente por ello, habría sido posible desarrollar con algo más de detalle el peso concreto atribuido a cada uno de los factores. La conclusión de la Sala es clara; la metodología que confirma también lo es. La cuantificación exacta del umbral, en cambio, sigue deliberadamente abierta porque ese umbral único no existe.

Qué podemos aprender del caso KFC

La principal aportación del asunto no está en descubrir que una empresa con 110.000 usuarios online necesita necesariamente un DPD. Esa conclusión sería equivocada y convertiría la sentencia en el tipo de regla numérica que precisamente intenta evitar.

Lo que enseña KFC es una forma de razonar.

Cuando una organización tenga que evaluar la necesidad de designar DPD, no debería empezar únicamente consultando la lista del artículo 34 LOPDGDD ni preguntándose cuántos clientes tiene. Antes debe comprender qué papel desempeñan los tratamientos en su modelo de negocio y hasta qué punto pueden seguir considerándose funciones auxiliares. Después tendrá que analizar si existe una observación recurrente y organizada de las personas. Y, finalmente, deberá valorar la dimensión del tratamiento a partir del conjunto de interesados, datos, duración y territorio.

KFC seguía siendo una compañía de restauración. Lo que había cambiado era la forma de relacionarse con sus clientes. Al establecimiento físico se habían añadido cuentas de usuario, pedidos en línea, navegación, cookies, geolocalización, preferencias, promociones y otras interacciones digitales.

El sector seguía siendo el mismo, pero alrededor del servicio se había desarrollado un ecosistema de tratamiento mucho más amplio y persistente.

Ese es el valor del caso. La gran escala no se demuestra con un número aislado y la necesidad de contar con DPD no depende únicamente de la etiqueta sectorial de una empresa. Ambas cuestiones exigen entender cómo funciona realmente el tratamiento de datos dentro de la actividad.

Referencias normativas, jurisprudenciales y doctrinales

Audiencia Nacional. Sentencia 402/2026, de 16 de julio de 2026, Sala de lo Contencioso-Administrativo, Sección Primera, recurso 420/2023. ROJ SAN 3154/2026. ECLI:ES:AN:2026:3154. La identificación de la resolución consta en la sentencia analizada.
CENDOJ – buscador oficial de jurisprudencia del CGPJ

Agencia Española de Protección de Datos. Procedimiento sancionador PS/00140/2022, KFC Restaurants Spain, S.L. La resolución oficial archiva la imputación del artículo 6.1 RGPD, impone 20.000 euros por el artículo 37 y 5.000 euros por el artículo 13, y ordena designar DPD.
Resolución oficial PS/00140/2022 – AEPD

Parlamento Europeo y Consejo. Reglamento (UE) 2016/679, de 27 de abril de 2016, Reglamento General de Protección de Datos. Para este análisis resultan especialmente relevantes el artículo 37, el artículo 83 y los considerandos 91 y 97. (EUR-Lex)
Texto oficial del RGPD – EUR-Lex

España. Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, especialmente artículos 34, 73 y 76. (BOE)
Texto consolidado oficial de la LOPDGDD – BOE

Grupo de Trabajo del Artículo 29. Guidelines on Data Protection Officers (‘DPOs’), WP243 rev.01. Las Directrices desarrollan los conceptos de actividades principales, observación habitual y sistemática y gran escala. Fueron posteriormente respaldadas por el Comité Europeo de Protección de Datos. (European Commission)
WP243 rev.01 – fuente oficial de la Comisión Europea
Directrices WP29 respaldadas por el EDPB

Comité Europeo de Protección de Datos. Dictamen 4/2018 sobre el proyecto de lista de la autoridad de control de la República Checa relativo a las operaciones sometidas a evaluación de impacto. La AEPD lo utiliza para reforzar la idea de que la «gran escala» no debe cerrarse mediante cifras explícitas, sino evaluarse a partir de los factores ya desarrollados en las Directrices europeas. (Junta Europea de Protección de Datos)
Dictamen 4/2018 – EDPB

Autor y responsable editorial: Leocadio Marrero Trujillo.
El enfoque, la arquitectura, los criterios de análisis y las conclusiones de este artículo han sido definidos y validados por el autor. Durante su elaboración se han utilizado herramientas de inteligencia artificial generativa como apoyo para la estructuración, reformulación, edición y creación de determinados elementos gráficos.

El contenido ha sido sometido a revisión humana sustantiva, comprobación de fuentes y validación jurídica y técnica. El autor ha aprobado la versión definitiva y asume íntegramente la responsabilidad editorial sobre su contenido