1/50
Procedimiento Nº: PS/00140/2022.
RESOLUCION DEL PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: Con fecha 28/05/21, tiene entrada en esta Agencia, escrito presentado por
D. A.A.A. (en adelante, “la parte reclamante”), contra la entidad, KFC RESTAURANTS
SPAIN, S.L., (KFC) con CIF.: B86281599, titular de la página web, https://www.kfc.es ,
(en adelante, “la parte reclamada”) por la presunta vulneración de la normativa de
protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del
Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que
respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos
(RGPD), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y Garantía de los Derechos Digitales (LOPDGDD).
En dicha reclamación se indicaba lo siguiente:
“La empresa KFC Restaurants Spain SL no sigue las directrices del RGPD en
su web https://www.kfc.es. Se detallan todas las infracciones a continuación:
- No se puede acceder de forma sencilla a la política de privacidad para usuarios
del EEE adaptada al RGPD (https://www.kfc.es/multimarcas), pues el enlace
de política de privacidad visible públicamente en la parte inferior de la web
lleva a una para los EEUU (https://www.kfc.es/privacidad).
- Al crear una cuenta en el sitio web (https://www.kfc.es/cuenta/registro), no es
posible el registro sin seleccionar la casilla "Acepto los términos y condiciones
de uso para recibir ofertas especiales y promociones por parte de KFC y
Franquiciados", es decir, te obligan a recibir ofertas especiales y promociones.
En ningún momento se menciona ni enlaza a la política de privacidad ni a su
aceptación en el momento del registro, solo a "términos y condiciones de uso",
que lleva a un aviso legal.
- El reclamado es una entidad que desarrolla actividades de publicidad y
prospección comercial, y llevan a cabo tratamientos basados en las
preferencias de las personas afectadas o realizan actividades que impliquen la
elaboración de perfiles de las mismas según su política de cookies y política de
privacidad, por lo que están obligados a disponer de una persona Delegada de
Protección de Datos, y no lo tienen.
- En la política de privacidad: (a) no se detallan los destinatarios de la
información personal · (b) no aparecen detallados los datos del responsable en
materia de protección de datos (razón social, NIF, domicilio social); (c) se
detalla la posibilidad de hacer transferencias internacionales de datos, y no se
informa al interesado de la existencia de decisiones de adecuación, garantías,
normas corporativas vinculantes o situaciones específicas aplicables. Solo se
usan fórmulas genéricas como garantías adecuadas. Tampoco se explica el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/50
procedimiento para obtener una copia de estas o de que se prestaron; (d) no
se detalla el tiempo de conservación de los datos, se utilizan fórmulas
genéricas como "durante el tiempo necesario"
SEGUNDO: Con fecha 29/06/21 y 12/07/21, de conformidad con lo estipulado en el
artículo 65.4 de la Ley LOPDGDD, por parte de esta Agencia, se dio traslado de dicha
reclamación a la parte reclamada, para que procediese a su análisis e informase, en el
plazo de un mes, sobre lo que se exponía en el escrito de reclamación.
Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el
escrito de solicitud enviado a la parte reclamada, el día 29/06/21, a través del servicio
de notificaciones electrónicas “NOTIFIC@”, fue rechazado en destino el día 10/07/21.
Según certificado de la Sociedad Estatal Correos y Telégrafos, el escrito de solicitud
enviado a la parte reclamada, el día 12/07/21 a través del servicio de notificaciones
postales de Correos, fue notificado en destino el 22/07/21.
TERCERO: Con fecha 20/08/21, la entidad reclamada, presentó escrito de
contestación a la solicitud realizada desde esta Agencia, en el cual, entre otras,
manifestaba:
“a.- La web www.kfc.es facilita la información de protección de datos en doble
capa: La primera capa se ubica en la URL www.kfc.es/privacidad e incluye
información sobre los tratamientos de datos personales realizados por las
diferentes marcas de la compañía y detalla, entre otras, las siguientes: a) El
tipo de información tratada; b) Las finalidades del tratamiento; c) Los
tratamientos automatizados que pueden realizarse; d) Las categorías de
destinatarios de los datos; e) Las opciones y control sobre la información; f)
Cómo se almacena y protegen los datos; g) Enlace a la política de privacidad
para el Espacio Económico Europeo y Reino Unido; h) Información relativa a la
privacidad de menores; i) Información de contacto.
La segunda capa se ubica en la URL www.kfc.es/multimarcas , y detalla,
completando la información de primera capa, el resto de información requerida
por el artículo 13 del RGPD: a. Base jurídica del tratamiento; b.
Almacenamiento y transferencia de datos; c. Información sobre los derechos
que asisten a los interesados y forma de ejercerlos; d. Información de contacto;
e. Anexos con el detalle de las categorías de datos personales tratados, las
finalidades del tratamiento y las bases jurídicas para el tratamiento de los
mismos.
Esta segunda capa se encuentra accesible de forma directa a pie de página
desde “Aviso de Privacidad” que dirige a la URL www.kfc.es/multimarcas con
la información específica para los residentes en el EEE y Reino Unido e incluye
el resto de información requerida por el artículo 13 del RGPD.
Del mismo modo, la Política de privacidad debe incluir la siguiente declaración
en la parte superior para dirigir a los usuarios a las divulgaciones
jurisdiccionales particulares: “Consulte nuestra Política de privacidad global a
continuación vigente para su jurisdicción. Consulte el apartado 7 Divulgaciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/50
jurisdiccionales para encontrar información de privacidad adicional específica
de su estado o país”.
El no tener esta declaración es una omisión con respecto a nuestras políticas
de privacidad globales, que corregiremos junto con el resto de los cambios y
mejoras a realizar y derivadas de la presente reclamación. Fecha de
implementación: estos cambios estarán aplicados a 30 de septiembre de 2021.
b.- Imposibilidad de crear una cuenta si no se acepta el envío de ofertas
especiales y promociones:
El espacio de creación de cuentas web está diseñado para permitir la creación
de cuentas sin que se deba aceptar el envío de ofertas especiales y
promociones. No obstante, debido a un error o fallo en la configuración del
formulario, los textos correspondientes a ambos checkboxes de aceptación,
incluyen la autorización para la recepción de ofertas especiales y promociones.
El texto del primer checkbox es correcto, siendo este el correspondiente a la
aceptación expresa por el usuario para la recepción de ofertas y promociones
de KFC y es de marcación opcional.
El texto del segundo checkbox únicamente debería recoger la aceptación de
los términos, condiciones de uso y la política de privacidad, aunque por error
se incluyó la coletilla “para recibir ofertas especiales y promociones” cuando
debía exponer “Acepto los términos y condiciones de uso y la política de
privacidad para registrarme en www.kfc.es”, y es de marcación obligatoria. Si
bien el texto del checkbox indica que la autorización se refiere a la recepción
de ofertas y promociones, el tratamiento interno de la autorización se limita a la
aceptación para la creación de la cuenta de usuario.
Una vez detectado el error, desde KFC se procederá a su corrección y
modificación para que los textos de los checkboxes se correspondan con las
autorizaciones. Fecha de implementación: estos cambios ya se han aplicado.
Se adjunta captura de pantalla del formulario de creación de cuenta.- Anexo II.
c.- En el formulario no se proporciona enlace a las políticas de privacidad toda
vez que estas han de ser aceptadas para la creación de una cuenta.
El enlace del formulario de creación de cuentas web está diseñado para
permitir acceder a los términos y condiciones de uso y la política de privacidad.
No obstante, debido a un error o fallo en la configuración del hiperenlace este
apunta a la Nota Legal en lugar de a los textos correctos.
Una vez detectado el error, desde KFC se procederá a su corrección y
modificación para que el hiperenlace apunte a los términos y condiciones de
uso. Fecha de implementación: estos cambios ya se han aplicado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/50
d.- No se ha nombrado a un Delegado de Protección de Datos habida cuenta
que la entidad desarrolla actividades de publicidad y prospección comercial y
lleva a cabo tratamientos basados en las preferencias de las personas
afectadas o realizan actividades que implican la elaboración de perfiles de las
mismas.
Desde KFC interpretamos que, por la naturaleza de los tratamientos de datos
llevados a cabo, no nos encontramos obligados a la designación de un
Delegado de Protección de Datos dado que, no nos encontramos en ninguno
de los supuestos específicos establecidos por el artículo 37.1 del RGPD.
Con relación a estos supuestos, debemos remarcar lo dispuesto en el apartado
b del artículo 37.1 RGPD establece que se estará obligado a designar a un
DPO “cuando las actividades principales del responsable o del encargado
consistan en operaciones de tratamiento que, debido a su naturaleza, alcance
o fines, requieran una observación habitual y sistemática de interesados a gran
escala”.
Tal y como establece el considerando 97 del RGP se entiende que las
actividades principales de un responsable están relacionadas con «sus
actividades primarias y no están relacionadas con el tratamiento de datos
personales como actividades auxiliares, por tanto, las actividades principales»
pueden considerarse las operaciones clave necesarias para lograr los objetivos
del responsable o del encargado del tratamiento».
A este respecto, la actividad principal de KFC no se concreta en el tratamiento
de datos de usuarios de la página web www.kfc.es, sino que ésta es una
actividad auxiliar a la principal, que es la prestación de servicios de
restauración a nuestros clientes, y ésta se realiza, principalmente, sin la
necesidad de tratar datos personales de los mismos y de forma presencial en
nuestros restaurantes y locales. Los pedidos realizados a distancia, bien a
través de la web www.kfc.es, bien por otros canales, se tratan como actividad
auxiliar a la principal y, debido a la naturaleza del servicio, requieren del
tratamiento de determinados datos de los usuarios y clientes para la
facturación y entrega de los pedidos.
Del mismo modo, para que resulte la obligación de designación de un DPD, el
tratamiento debe requerir una observación habitual y sistemática de
interesados.
A este respecto, el Grupo de Trabajo del artículo 29 interpreta «habitual» con
uno o más de los siguientes significados: continuado o que se produce a
intervalos concretos durante un periodo concreto; recurrente o repetido en
momentos prefijados; que tiene lugar de manera constante o periódica.
Y «sistemático» con uno o más de los siguientes significados: que se
produce de acuerdo con un sistema; preestablecido, organizado o metódico;
que tiene lugar como parte de un plan general de recogida de datos;
llevado a cabo como parte de una estrategia.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/50
A este respecto, debido a la naturaleza y finalidad del tratamiento de los datos,
como se ha indicado anteriormente, la gestión y facturación de los pedidos
realizados a instancia de los clientes y usuarios a través de la página web,
consideramos que no puede considerarse como observación habitual y
sistemática de interesados.
Del mismo modo, para que nazca la obligación de designación de un DPD, el
tratamiento de datos personales debe realizarse a gran escala. A pesar de que
el RGPD no define qué se entiende por tratamiento a gran escala, tanto el
considerando 91 del RGPD como el Grupo de Trabajo del artículo 29 dan
orientaciones al respecto, teniendo en cuenta los siguientes factores a la hora
de determinar si un tratamiento se realiza a gran escala: el número de
interesados afectados, bien como cifra concreta o como proporción de la
población correspondiente; el volumen de datos o la variedad de elementos de
datos que son objeto de tratamiento; la duración, o permanencia, de la
actividad de tratamiento de datos; el alcance geográfico de la actividad de
tratamiento.
El tratamiento de datos se limita a aquellos clientes y usuarios que desean
realizar pedidos a través de nuestra página web, existiendo otros canales para
la realización de pedidos a distancia. El volumen o variedad de datos objeto del
tratamiento se limita a los necesarios para la realización de los pedidos en
cumplimiento del principio de minimización de los datos. Del mismo modo, el
número total de usuarios registrados en la web www.kfc.es no excede de
20.000 y se limita a los clientes y usuarios dentro del territorio nacional,
España. KFC no cumple ninguno de los anteriores factores por lo que no
consideramos el tratamiento de datos de clientes y usuarios realizado a gran
escala.
Por todo lo anteriormente expuesto, desde KFC hemos venido considerando
que no nos encontrábamos obligados a designar un Delegado de Protección
de Datos. No obstante, y a tenor de la reclamación recibida, si desde la AEPD
creen que existen evidencias suficientes de que ciertas actividades del
tratamiento requieran que nombremos a un Delegado de Protección de Datos,
lo tomaremos en consideración para reevaluar los requisitos legales para su
designación.
e.- En las políticas de privacidad:
No se detallan los destinatarios de los datos personales. La política de
privacidad general incluida en la URL www.kfc.es/privacidad incluye en su
apartado 4 la información relativa a cómo se comparte la información de los
usuarios, y en su apartado 7 las revelaciones jurisdiccionales, con relación a la
comunicación de datos realizada a las autoridades públicas en función del
estado o país de residencia del usuario. El apartado 4 de la política de
privacidad describe hasta 10 categorías diferentes de destinatarios de los
datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/50
A este respecto, el RGPD en su artículo 13.1 e) indica que el responsable del
tratamiento deberá informar de los destinatarios o las categorías de
destinatarios de los datos personales, en su caso.
Del mismo modo, la propia AEPD en su Guía para el cumplimiento del deber
de informar en su epígrafe 7.4 Destinatarios, indica lo siguiente: “Cuando se
haya previsto ceder o comunicar, legítimamente, los datos personales que se
recogen se informarán acerca de la identidad de los destinatarios, si están
claramente predeterminados, o de las categorías de destinatarios, si estos no
están determinados previamente.”
En este caso y dado que se trata de una política de privacidad general que
aplica a todas las marcas y para diferentes territorios, los destinatarios no
están predeterminados y por ello se facilita únicamente información sobre las
categorías de destinatarios a los que pueden ser comunicados los datos,
incluyendo la finalidad o propósito de la comunicación de estos.
Entendemos que la información facilitada en la política de privacidad general
cumple con lo requerido por el artículo 13.1 e) del RGPD en cuanto a la
facilitación de información referente a las categorías de destinatarios.
Sobre la No aparición de los detalles del responsable en materia de protección
de datos. En este caso, debido al carácter general de ambas políticas de
privacidad incluidas en la web www.kfc.es -general aplicable a todos los
territorios y específica para residentes en el EEE, RU y Suiza-, la identificación
del responsable del tratamiento se encuentra en la Nota Legal.
Tomamos nota de esta carencia e incorporaremos esta mejora para dotar de
mayor claridad y transparencia a la información facilitada en las políticas de
privacidad, redirigiendo a los usuarios a la Nota Legal en la política de
privacidad para la identificación del responsable del tratamiento en cada
territorio, incluido España. Estos cambios estarán aplicados a finales de sep.
2021.
Se detalla la posibilidad de hacer transferencias internacionales de datos, pero
no se informa al interesado de la existencia de decisiones de adecuación,
garantías, normas corporativas vinculantes o situaciones específicas
aplicables.
El aviso de privacidad específico para EEE y Reino Unido informa a los
usuarios de la posibilidad de realizar transferencias internacionales, se incluye
mención a que, de hacerse, KFC se asegurará de que:
a) la información personal se transfiera a países reconocidos por ofrecer un
nivel de protección equivalente; o
b) la transferencia se realiza de conformidad con las protecciones adecuadas,
como las cláusulas tipo sobre protección de datos adoptadas por la Comisión
Europea. Sin perjuicio de estas medidas, el país y la jurisdicción a los que se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/50
transfieren los datos pueden proporcionar un nivel de protección de datos
inferior al previsto en la legislación del EEE o del Reino Unido.
Si bien esta información pueda parecer demasiado genérica, tomamos nota e
incorporaremos una mejora para dotar de mayor claridad y transparencia a la
formación facilitada en la política de privacidad, redirigiendo a los usuarios a
las direcciones de contacto de cada responsable en cada territorio, para que
puedan solicitar información adicional sobre las transferencias internacionales
que puedan realizarse y las garantías adecuadas utilizadas para garantizar el
nivel de seguridad adecuado en las mismas.
Se adjunta captura de pantalla relativa a la información facilitada sobre
trasferencias internacionales como Anexo III. Fecha de implementación: estos
cambios estarán aplicados a 30 de septiembre de 2021.
d. No se detalla el tiempo de conservación de los datos.
La política de privacidad incluida en la URL www.kfc.es/privacidad incluye en
su apartado 6 la información relativa al periodo de retención de los datos.
el RGPD en su artículo 13.1 a) indica que el responsable del tratamiento
deberá informar del plazo durante el cual se conservarán los datos personales
o, cuando no sea posible, los criterios utilizados para determinar este plazo.
En este caso y dado que se trata de una política de privacidad general que
aplica a todas las marcas y para diferentes territorios, los plazos de retención
de los datos no están predeterminados y por ello se facilita únicamente
información relativa a los criterios de conservación de los mismos, indicándose
que se conservarán “el tiempo razonablemente necesario para mantener el
Servicio, cumplir con las obligaciones legales y contables, y los demás fines
descritos en esta Política, o según lo requiera o permita la ley.”
Se adjunta como Anexo IV la información relativa al periodo de retención de los
datos. Por tanto, entendemos que la información facilitada en la política de
privacidad general cumple con lo requerido por el artículo 13.1 a) del RGPD en
cuanto a la facilitación de información referente a los plazos de conservación
de los datos o los criterios para establecer dichos plazos.
No obstante, y como si bien esta información pueda parecer demasiado
genérica, tomamos nota e incorporaremos una mejora para dotar de mayor
claridad y transparencia a la información facilitada en la política de privacidad,
incorporaremos criterios de conservación o plazos de conservación más
concretos al aviso de privacidad específico para el EEE y RU. Fecha de
implementación: estos cambios estarán aplicados a 30 de septiembre de 2021.
CUARTO: Con fecha 25/10/21, por parte de la Directora de la Agencia Española de
Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación
presentada, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles
indicios racionales de una vulneración de las normas en el ámbito de las competencias
de la Agencia Española de Protección de Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/50
QUINTO: Con fecha 30/11/21 y 09/02/22, en el marco de las actuaciones practicadas
por la Subdirección General de Inspección de Datos con objeto de aclarar ciertos
hechos de los cuales ha tenido conocimiento esta Agencia Española de Protección de
Datos, y en uso de las facultades conferidas por el artículo 58.1 RGPD y el art. 67
LOPDGDD se requirió a la entidad reclamada que ampliara información sobre: a).- el
listado de actividades de la entidad que implican tratamientos de datos personales,
detallando expresamente si se realizan tratamientos de clientes para fines
publicitarios; b).- para cada actividad se debe aportar: número de datos de clientes que
tratan, variedad de elementos de datos de cada cliente que son objeto de tratamiento,
tiempo durante el que se tratan los datos de cada cliente y detalle de la permanencia
de dichos datos en sus sistemas de información; el alcance geográfico o territorial de
los tratamientos detallando si sus sistemas tratan datos relativos a clientes de un
determinado ámbito territorial o de todo el territorio nacional y c).- resumen de los
análisis que realizados por su entidad para evaluar la necesidad de nombrar un DPD,
indicando si lo han nombrado y en caso afirmativo si está comunicado y publicado.
SEXTO: Con fecha 01/03/22 y 10/03/22, la entidad reclamada envía a esta Agencia,
sendos escritos de contestación al requerimiento realizado por esta Agencia, en los
cuales, entre otras, informa de los siguientes aspectos:
“Se aporta extracto del Registro de Actividades del Tratamiento (RAT) en
donde se reflejan todas las actividades del tratamiento llevadas a cabo por
KFC en relación con actividades publicitarias con clientes, indicándose el
número de datos de clientes cuyos datos se tratan y la tipología de datos
tratados para cada actividad, así como el tiempo durante el cual se tratan
dichos datos.
A este respecto, desde KFC se dispone de un calendario de conservación de
datos y protocolo interno de conservación / eliminación de datos personales
toda vez han dejado de ser necesarios. Cabe resaltar que desde KFC no se
realizan, en ningún caso, análisis de perfiles; las actividades del tratamiento
relacionadas con el envío de información comercial se realizan en base al
consentimiento del usuario (sistema de opt-in) y sin segmentación de usuarios.
Las actividades del tratamiento relacionadas con la publicidad se llevan a cabo
siempre con el consentimiento previo del usuario, a diferencia de las
actividades de tratamiento relacionadas con el cumplimiento de los pedidos de
los usuarios que se llevan a cabo sobre la base de la ejecución de un contrato.
El alcance geográfico de las actividades del tratamiento es España, siendo la
gestión de los datos centralizada para todo el territorio nacional.
Sobre los análisis realizados por su entidad para evaluar la necesidad de
nombrar un DPD, indicando si lo han nombrado y en caso afirmativo, si está
comunicado y publicado:
A este respecto, desde KFC se ha entendido que no existe la obligación de
designación del DPD, debido a que las actividades del tratamiento realizadas
no se circunscriben a las del art 37 RGPD ni la entidad se encuentra entre las
obligadas en el art 34 LOPDGDD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/50
Del mismo modo, la gestión de cumplimiento en materia de protección de datos
viene siendo ejercida por personal interno especialista en protección de datos,
en particular, desde UK, a través de B.B.B., Global Privacy Lead CounselHead
y la consultoría de expertos externos en cada uno de los países desde los que
se opera.
No obstante, y como ya se indicó anteriormente, internamente se procederá a
evaluar periódicamente la necesidad designación del mismo, en función de los
posibles cambios operacionales así como el inicio de nuevas ramas de negocio
que puedan suponer la incorporación de nuevas actividades del tratamiento, el
con el objeto de ofrecer mayores garantías de cumplimiento a nuestros clientes
y usuarios en cuanto a las actividades y procedimientos en el tratamiento de
datos personales, en particular, si se iniciasen actividades del tratamiento para
la elaboración de perfiles.
II.- Que en fecha 1 de Marzo de 2022 se presentó escrito de solicitud de
ampliación de plazo habida cuenta de la complejidad y volumen de
información y/o documentación a gestionar al objeto de estar en disposición de
cumplimentar el requerimiento referido de la forma más adecuada posible para
el buen fin de la tramitación del requerimiento, así como la necesidad de
coordinar la respuesta con la empresa matriz en Estados Unidos, Yum
Restaurants International Management LLC, confirmándose por la AEPD la
concesión de dicha ampliación de plazo.
III.- Que, en virtud del citado requerimiento, se aporta a esta Agencia la
documentación requerida como sigue: Copia de extracto Registro de
Actividades del Tratamiento relacionadas con clientes y con finalidades
publicitarias como Anexo I y Copia de Análisis Interno realizado para evaluar la
necesidad de nombrar DPD como Anexo II
SÉPTIMO: Con fecha 21/03/22, por parte de esta Agencia, al acceder a la “Política de
Privacidad” de la página web, www.kfc.es , se pudieron constatar las siguientes
características:
a).- Sobre la obtención del consentimiento de los usuarios para el tratamiento de sus
datos personales:
1º.- A través del enlace: <<Crea tu cuenta>>, situado en la parte superior de la página
principal, la web redirige a una nueva página https://www.kfc.es/cuenta/registro donde
el usuario puede registrarse en la web y donde se le solicita el nombre, apellidos,
teléfono, email y número de tarjeta de crédito.
Para poder enviar el formulario, el usuario debe cliquear obligatoriamente la opción:
_ Acepto los <<Términos de uso>>.
También existe la posibilidad de inscribirse voluntariamente, para recibir ofertas
especiales y promociones, cliqueando en la opción
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/50
_ Quiero inscribirme para recibir ofertas especiales, sorteos y promociones por
parte de KFC y/o sus franquiciados. Para más información, visite nuestra
<<Política de Privacidad>>. <<Crear mi cuenta Pollo Pollo>>
2º.- A través del enlace: <<Comenzar Pedido>>, situado en la parte superior de la
página principal, la web redirige a una nueva página https://www.kfc.es/store-selection
donde se pueden realizar la selección del pedido y la opción de recibirlo en el domicilio
o recogerlo en el establecimiento.
Una vez seleccionado el pedido, para tramitarlo, la web redirige al usuario a una nueva
página https://www.kfc.es/checkout, donde se deben introducir los datos personales
del usuario: nombre, apellidos, teléfono, email y número de tarjeta de crédito.
Para poder enviar el formulario, el usuario debe cliquear obligatoriamente la opción:
_ Acepto los <<Términos de uso>>.
También existe la posibilidad de inscribirse voluntariamente, para recibir ofertas
especiales y promociones, cliqueando en la opción
_ Quiero inscribirme para recibir ofertas especiales, sorteos y promociones por
parte de KFC y/o sus franquiciados. Para más información, visite nuestra
<<Política de Privacidad>>.
<<Pedir Ahora>>
3º.- A través del enlace: <<Trabaja con nosotros>>, situado en el menú situado en la
parte superior derecha, la web redirige a una nueva
https://www.kfc.es/nosotros/trabaja-en-kfc donde el usuario puede inscribirse o darse
de alta, para recibir ofertas de trabajo, en el enlace: https://kfc.epreselec.com/General/
Alta.aspx
Una vez introducido los datos personales: nombre, apellidos, email, DNI, el usuario
debe cliquear obligatoriamente en las casillas:
_ No soy un Robot.
_ He leído, entiendo y acepto la <<Política de Privacidad>>
Existe también un banner con la siguiente información:
Información básica de Protección de Datos: Responsable: KFC IBERIA;
Finalidades: Incluir en la base de datos de candidatos de la Empresa los datos
del currículum vitae que nos facilitas al crear tu cuenta con nosotros para
usarlos en futuros procesos de selección en los que tu perfil pueda encajar;
Legitimación: Consentimiento del interesado; Destinatarios: No comunicaremos
sus datos a terceros salvo obligación legal y a las empresas que se indican en
la información adicional.
4º.- Por último, también existe la posibilidad de proporcionar datos personales a la
entidad a través de la página de suscripción a las ofertas y promociones especiales,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/50
https://www.kfc.es/subscripcion, donde el usuario debe proporcional el nombre,
apellidos y email.
Antes de poder enviar el boletín de suscripción, el usuario debe cliquear en la opción
de aceptarlo:
_ Quiero inscribirme para recibir ofertas especiales, sorteos y promociones por
parte de KFC y/o sus franquiciados. Para más información, visite nuestra
<<Política de Privacidad>>.
b).- Sobre la “Política de Privacidad”:
1º.- Si se accede a las cláusulas de los “Términos de Uso” de la web, a través de los
enlaces existentes en los diferentes formularios o a través del enlace existe en la parte
inferior de la página principal, la web redirige a una nueva página
https://www.kfc.es/nota-legal , donde se proporciona información, entre otros, sobre
los siguientes aspectos:
(…) Contacto: las webs son propiedad y están dirigidos por kfc restaurant spain
s.l. una empresa registrada en España, cuyo domicilio social se encuentra en
serrano Galvache 56, edificio madroño, piso 3, kfc, Madrid, 28033. cif:
B86281599. para ponerse en contacto con nosotros, llame al teléfono +34 917
68 07 30.
Registro: Protección de datos: recogeremos, almacenaremos y trataremos su
información personal de acuerdo con nuestra política de privacidad. por favor,
lea nuestra <<política de privacidad>> para asegurarse de que está satisfecho
y entiende su contenido antes de crear una cuenta.
Términos y condiciones para los pedidos realizados a través del móvil:
protección de datos: recogeremos, almacenaremos y trataremos su
información personal de acuerdo con nuestra <<política de privacidad>>. por
favor, lea nuestra política de privacidad para asegurarse de que está satisfecho
y entiende su contenido antes de crear una cuenta.
Si no está satisfecho con el servicio que ha recibido, póngase en contacto con
nosotros a través de [email protected] o +34 91 904 18 81 (…)
2º.- Si se accede a la “Política de Privacidad” de la web, a través de los enlaces
existentes en los diferentes formularios o a través del enlace existe en la parte inferior
de la página principal, la web redirige a una nueva página
https://www.kfc.es/privacidad, donde se proporciona información, entre otros, sobre
los siguientes aspectos:
“Sobre la información personal que recopilan; Cómo utilizan la información
personal; Qué información se puede recopilar automáticamente; Cómo
comparten la información recopilada; Sobre las opciones y control sobre la
información recopilada, Cómo almacenan y protegen la información; Sobre la
normativa jurisdiccional de Europa se indica expresamente lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/50
“Cuando tengamos un establecimiento en el espacio económico europeo
(“EEE”), el Reino Unido o Suiza, o estemos procesando datos personales
relacionados con personas ubicadas en el EEE, el Reino Unido o Suiza, haga
<<clic aquí>> para obtener información adicional sobre nuestras prácticas de
privacidad de datos; Sobre la privacidad de los niños; Sobre los enlaces a otros
sitios web y servicios; Cómo ponerse en contacto con los responsables del sitio
web; Y sobre los cambios en la política de privacidad (…)”.
3º.- Si se accede a la “Aviso de Privacidad” de la web, a través del enlace existe en la
parte inferior de la página principal, la web redirige a una nueva página
https://www.kfc.es/multimarcas, donde se proporciona información específica sobre el
tratamiento de los datos personales obtenidos en EEE, Reino Unido o Suiza y entre
ella, se encuentra la siguiente información:
“ Sobre el e Responsable del Tratamiento: KFC España: KFC Restaurants
Spain, S.L. con NIF B86281599 y domicilio en Calle Serrano Galvache (Pq.
Empresarial Pq. Norte), 56 - Edif. Olmo Quinta Planta, Madrid, Madrid. Correo
electrónico: [email protected] . Teléfono: 91 904 18 81. Sobre la base jurídica
para el tratamiento de datos. Sobre la base del consentimiento otorgado y
sobre el derecho a retirar en cualquier momento su consentimiento, cuando lo
haya otorgado. Sobre el almacenamiento y transferencia de datos en el EEE y
el Reino Unido. Sobre los derechos individuales de los residentes en el EEE y
cómo ejercitarlo, y el derecho a presentar una reclamación ante su autoridad
local. Cómo ponerse en contacto con el responsable de la web.
Además de la información proporcionada en la “Política de Privacidad” y en el “Aviso
de Privacidad” se adjuntan dos anexos con la siguiente información:
- Anexo 1 se exponen detalladamente las categorías de información personal re-
copiladas, así como la base jurídica en la que se basan para tratar la informa-
ción personal y los destinatarios de dicha información personal.
- Anexo 2 se exponen las categorías de información personal que recopilan y
cómo utilizan dicha información. La tabla también enumera la base jurídica en
la que se basan para tratar la información personal y los destinatarios de dicha
información personal.
OCTAVO: Con fecha 31/05/22, por parte de la Directoria de la Agencia Española de
Protección de Datos, se inicia procedimiento sancionador a la entidad reclamada, al
apreciar indicios razonables de vulneración de lo establecido en los artículos:
a).- Infracción del artículo 6.1 del RGPD por la inexistencia de un mecanismo
que permita a los usuarios prestar su consentimiento al tratamiento sus datos
personales para todas y cada una de las finalidades a las que destinaran los
datos personales, cuando esto corresponda, con una sanción inicial de 30.000
euros (treinta mil euros).
b).- Infracción del artículo 37 del RGPD, por la falta de nombramiento de un
Delegado de Protección de Datos; con una sanción inicial de 20.000 euros
(veinte mil euros)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/50
c).- Infracción del artículo 13 del RGPD, por la falta de información suministrada
en la “Política de Privacidad” sobre el tratamiento de los datos personales
obtenidos, con una sanción inicial de 5.000 euros (cinco mil euros).
Según certifica El servicio de Dirección Electrónica Habilitada Única (DEHÚ), el escrito
de incoación de expediente enviado a la parte reclamada, el día 31/05/22 a través del
servicio de notificaciones electrónicas “NOTIFIC@”, fue puesto a disposición de la
parte reclamada 01/06/2022, constando en el certificado como fecha de rechazo
automático, el 12/06/22.
Aunque la notificación se practicó válidamente por medios electrónicos, dándose por
efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título
informativo se envió una copia del escrito de incoación de expediente por correo postal
que fue entregado en destino el 26/07/22.
NOVENO: Notificado el acuerdo de inicio a la parte reclamada, ésta mediante escrito
de fecha 09/08/22 formuló, en síntesis, las siguientes alegaciones:
PRIMERA.- RESPECTO DE LA PROPUESTA DE SANCIÓN POR
INFRACCIÓN DEL ARTÍCULO 6.1. DEL RGPD.
1.1. LA ACTIVIDAD INVESTIGADORA DE LA AEPD ES INSUFICIENTE PARA
ORDENAR EL INICIO DEL PROCEDIMIENTO SANCIONADOR
Dispone el artículo 53 de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales (en
adelante, «LOPDGDD»):
«1. Quienes desarrollen la actividad de investigación podrán recabar las
informaciones precisas para el cumplimiento de sus funciones, realizar
inspecciones, requerir la exhibición o el envío de los documentos y datos
necesarios, examinarlos en el lugar en que se encuentren depositados o en
donde se lleven a cabo los tratamientos, obtener copia de ellos, inspeccionar
los equipos físicos y lógicos y requerir la ejecución de tratamientos y
programas o procedimientos de gestión y soporte del tratamiento sujetos a
investigación».
Por su parte, el artículo 67 de la LOPDGDD, dispone lo siguiente: 1. Antes de
la adopción del acuerdo de inicio de procedimiento, y una vez admitida a
trámite la reclamación si la hubiese, la Agencia Española de Protección de
Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr
una mejor determinación de los hechos que justifican el procedimiento».
Es decir, corresponde a la AEPD la ejecución de las labores de investigación
suficientes para determinar el alcance de potenciales infracciones cometidas
con anterioridad a dictar el acuerdo de inicio de cualquier procedimiento
sancionador. Y ello de conformidad con lo dispuesto en el artículo 68 de la
LOPDGDD; especificando dicho artículo que el inicio del procedimiento para el
ejercicio de la potestad sancionadora procederá una vez concluidas las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/50
actuaciones investigadoras de la AEPD y, en todo caso, si como resultado de
dichas investigaciones es procedente el inicio de tal procedimiento.
A tenor de lo expuesto, conviene destacar que los motivos por los que la AEPD
propone sanción de 30.000 euros en el marco del presente procedimiento
sancionador se encuentran expuestos en las páginas 31 y 32 del Acuerdo de
Inicio de Procedimiento Sancionador. Dichos motivos se resumen en que KFC
realiza tratamientos de datos personales para finalidades «redactadas de
forma genérica, que permiten un tratamiento posterior ilimitado, una vez
cumplido el fin para el que fueron obtenidos».
Al respecto, la AEPD ampara su decisión –ello sin tener en cuenta las
circunstancias agravantes, que serán debidamente refutadas posteriormente
en este escrito– ÚNICA Y EXCLUSIVAMENTE en el redactado de la política de
privacidad que está publicada en la página web de KFC al momento de llevar a
cabo la AEPD su labor de investigación. Y ello, sin tener en cuenta que:
Las finalidades indicadas en la política de privacidad sobre las que se propone
sanción describen situaciones potenciales y no implican que sean
efectivamente llevadas a cabo, o bien son llevadas a cabo de manera
totalmente lícita como se expondrá; y lo más importante, tales ulteriores
tratamientos por los que se propone sanción no están recogidos en el Registro
de Actividades de Tratamiento aportado ya a la AEPD, lo que supone una clara
falta de contraste por parte de la AEPD a la hora de determinar la eventual
existencia y alcance de la presunta infracción cometida y el cálculo de la
sanción propuesta.
KFC está cumpliendo en todo momento con sus obligaciones en materia de
protección y de datos y en concreto con aquellas derivadas de la licitud de los
tratamientos de datos personales que sí lleva a cabo en consonancia con el
artículo 6 del RGPD. Sin ir más lejos, nada dice la AEPD sobre los formularios
de recogida de datos personales que transcribe en las páginas 13 a 16 del
Acuerdo de Inicio de Procedimiento Sancionador. Los mismos evidencian el
buen proceder de KFC y la correcta gestión que hace a la hora de recoger
datos personales de sus interesados y la ajustada información por capas que
suministra sobre los tratamientos que efectivamente realiza.
No obstante, la AEPD propone sanción por la infracción del artículo 6 del
RGPD contra KFC por la inclusión en su política de privacidad de tratamientos
que incluyen términos como: «podemos utilizar»; o «podemos compartir» que
en absoluto pueden concluir que KFC efectivamente lleve a cabo tratamiento
alguno. La AEPD en su Acuerdo de Inicio de Procedimiento Sancionador está
hablando de tratamientos hipotéticos sin ningún tipo de evidencia que sustente
que los mismos se están efectivamente llevando a cabo.
Es más, tal y como se expuso en la fase de información previa que precede a
este procedimiento sancionador, el Registro de Actividades de Tratamiento de
KFC requerido y debidamente aportado en tiempo y forma ante la AEPD,
incorpora los tratamientos de clientes con fines publicitarios. Entre dichos
tratamientos no se encuentra ninguno de los que ahora menciona la AEPD
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/50
para proponer sanción. Por mucho que la política de privacidad de KFC dejara
abierta la posibilidad de tratar datos con fines de «realizar perfiles, programas
de recompensa o de fidelización a los clientes; para compartir, vender o
divulgar la información obtenida a la empresa matriz, a otras empresas del
grupo o a filiales que no sea para la gestión administrativa o para vender,
compartir o divulgar los datos personales obtenidos», lo cierto es que dichos
tratamientos no son realizados en la actualidad por KFC, como consta
debidamente del citado Registro de Actividades de Tratamiento aportado al
expediente, el cual no dice nada al respecto sobre dichos tratamientos, ni
sobre las comunicaciones de datos a terceros que se mencionan (y no puede
decirlo, pues dichos tratamientos no son realizados por nuestra empresa).
Además, KFC no realiza ninguna actividad relacionada con un programa de
recompensa o fidelización de clientes. Esto no ha sido confirmado por la AEPD
en la transcripción de los textos de privacidad aportados a este procedimiento
ni por el denunciante en su reclamación.
La actividad investigadora de la AEPD en las presentes actuaciones fue
exclusivamente la de requerir a KFC a aportar:
«Listado de actividades de la entidad que implican tratamientos de datos
personales, detallando expresamente si se realizan tratamientos de clientes
para fines publicitarios Para cada actividad se debe aportar:
O número de datos de clientes que tratan, O variedad de elementos de datos
de cada cliente que son objeto de tratamiento, O tiempo durante el que se
tratan los datos de cada cliente y detalle de la permanencia de dichos datos en
sus sistemas de información; O el alcance geográfico o territorial de los
tratamientos detallando si sus sistemas tratan datos relativos a clientes de un
determinado ámbito territorial o de todo el territorio nacional».
De haber observado las incongruencias existentes entre lo descrito en el
Registro de Actividades de Tratamiento de KFC y lo informado en su política de
privacidad, la AEPD debería haber continuado su labor investigadora y no
debería haber propuesto sanción ante la clara y evidente falta de elementos de
convicción que permitieran tan si quiera intuir que KFC había cometido
infracción alguna del RGPD de la naturaleza aquí descrita.
A modo ilustrativo, se acompaña el RAT aportado al procedimiento de
requerimiento de información E/12752/2021 seguido ante esta Agencia: 1.2.
EN LA POLÍTICA DE PRIVACIDAD INVESTIGADA SE IDENTIFICAN
TRATAMIENTOS QUE SÍ SE PUEDEN LLEVAR A CABO Y EXISTE BASE
LEGITIMADORA SUFICIENTE PARA ELLO
Sin perjuicio de lo descrito en la Alegación 1.1. anterior, y de que KFC nunca
ha llevado a cabo los tratamientos descritos en el Acuerdo de Inicio de
Procedimiento Sancionador de la AEPD, es de destacar que incluso en el caso
de que los tratamientos de datos personales indicados por la AEPD hubieran
tenido lugar, los mismos son identificados en la política de privacidad de KFC
que se transcribe en el referido Acuerdo de Inicio de Procedimiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/50
Sancionador y carece de fundamento proponer sanción con base en el artículo
6.1 del RGPD.
La AEPD propone sanción a KFC por llevar a cabo tratamientos ulteriores a los
identificados en la política de privacidad de KFC con base en el artículo 6.1 del
RGPD, pero en realidad la única forma por la que tiene noticia de dichos
tratamientos es precisamente por lo indicado en la política de privacidad de
KFC.
Esto es, se está proponiendo sanción por llevar a cabo tratamientos ulteriores
que sí que están identificados en la propia política de privacidad de KFC. De
hecho, es la propia AEPD la que, para justificar su propuesta de sanción extrae
párrafos de la política de privacidad de KFC en los que se indica que KFC
podrá llevar a cabo dichos tratamientos con respecto de sus interesados.
Lo que no debe confundirse es la ejecución de tratamientos con finalidades
ulteriores, por un lado, con el deber de transparencia ex artículo 13 del RGPD
por otro, a la hora de describir dichos tratamientos y sus bases legitimadoras. Y
es que, para esto, la AEPD ya está proponiendo sanción según es de ver en la
página 40 del Acuerdo de Inicio de Procedimiento Sancionador. A KFC ya se la
está proponiendo sanción por incumplimiento del deber de transparencia, y la
realidad es que la AEPD está maquillando una segunda sanción por falta de
transparencia escudada en una inverosímil infracción del artículo 6.1 del RGPD
a partir de evidencias que precisamente se obtienen de la propia política de
privacidad de KFC. Es incongruente de todo punto proponer una sanción a un
responsable del tratamiento por llevar a cabo un tratamiento ulterior
identificado en su propia política de privacidad precisamente debido a que el
fundamento principal de sancionar por un tratamiento ulterior reside en un
tratamiento de datos para un fin distinto del informado inicialmente –
Considerando 50 RGPD–.
En todo caso, podemos hablar de una omisión de identificación de las bases
legitimadoras de cada uno de los tratamientos que la AEPD identifica en su
Acuerdo de Inicio de Procedimiento Sancionador, pero como se verá, la falta
de transparencia sobre la identificación de las bases legitimadoras no implica
un tratamiento de datos personales ilícito:
Cuando se habla de «personalización de su experiencia con nosotros» la
AEPD está confundiendo la elaboración de perfiles con una actividad de mera
segmentación con la exclusiva finalidad de llevar a cabo actividades de
mercadotecnia perfectamente compatibles con las normas de protección de
datos y con los criterios del Comité Europeo de Protección de Datos, así como
del Grupo de Trabajo del Artículo 29. El hecho de que KFC ajuste la oferta de
sus productos y servicios a las preferencias expresadas por sus clientes
durante la compra de productos es inherente a la actividad de cualquier
empresa que esté debidamente organizada y que lleve a cabo una actividad
diligente y orientada al mejor servicio a sus clientes.
El Grupo de Trabajo del Artículo 29, en sus Directrices sobre decisiones
individuales automatizadas y elaboración de perfiles a los efectos del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/50
Reglamento 2016/679, de 3 de octubre de 2017, indica que las actividades de
segmentación de usuarios pueden tratarse con distintas bases legitimadoras,
entre ellas, la ejecución de la relación contractual entre el cliente y el
responsable del tratamiento, y el interés legítimo perseguido por el responsable
del tratamiento, en este caso KFC.
Lo cierto, es que, hasta la fecha, la AEPD no ha requerido a KFC a indicar la
base legitimadora de este tratamiento de datos personales por cuanto está
proponiendo una sanción por una infracción desacertada e inexistente.
Asimismo, la segmentación que se desprende del redactado de la política de
privacidad de KFC coincide con los parámetros expuestos por el Grupo de
Trabajo del Artículo 29 para basar dicho tratamiento bien en la ejecución de la
relación contractual, o bien en el interés legítimo de KFC: de la lectura de la
política de privacidad no se desprende la elaboración por parte de KFC de un
perfil exhaustivo ni detallado sujeto a previo consentimiento del interesado,
máxime si tenemos en cuenta la actividad principal de KFC, que no es otra que
la venta de pollo frito en establecimientos físicos.
¿Cuál puede ser el grado de exhaustividad del perfilado para la venta de
productos de este tipo? ¿si el cliente prefiere un cubo de pollo frito o una
hamburguesa de pollo? Desde luego, no puede llegarse a la conclusión de que
se estén llevando a cabo actividades de perfilado sujetas a consentimiento a
partir de la información de la que dispone la AEPD.
En lo que respecta al tratamiento de geolocalización que indica la Agencia,
debe ponerse de relieve, que nuestra política de privacidad dice claramente en
la sección «5. Sus opciones y control sobre su información» que sólo se tratará
bajo el consentimiento del interesado: consentimiento que, además, viene
complementado por las opciones de configuración de privacidad que se
ofrecen a los usuarios y que se explican de forma clara en nuestra política de
privacidad.
El otro de los tratamientos identificados por la AEPD es «promocionar nuestros
programas de afinidad y recompensas»: esto claramente lo puede hacer KFC,
tanto para aquellos clientes que han dado su consentimiento con fines
promocionales, como para cualquier otro cliente conforme a lo dispuesto en el
artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la
Información y de Comercio Electrónico. Además de que, como se ha indicado,
no es un tratamiento ulterior, es un tratamiento claramente identificado en la
política de privacidad y claramente vinculado con la propia actividad de KFC
vinculada al tratamiento de los datos de las personas que, voluntariamente, se
registran en nuestra página web.
En lo que respecta a la comunicación de datos personales tanto con terceros
como intragrupo, indicar que la sección 4 de la política de privacidad de KFC
identifica todas las categorías de terceros que pueden acceder a datos
personales de los interesados y bajo qué circunstancias. De nuevo, no
estamos hablando de una cuestión de tratamientos ulteriores ex artículo 6.1.
del RGPD sino de si la información suministrada es suficientemente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/50
transparente, para lo cual, ya se está proponiendo sanción (por lo que la que
se propone ahora no procede, en función del principio de non bis in idem).
Por último, en cuanto a considerar contraria al art 6.1 RGPD la referencia en
nuestra política de privacidad a “proveedores de servicios” como destinatarios
de los datos de nuestros usuarios web registrados, no puede estar más fuera
de lugar, por los siguientes motivos:
Reiteramos: en cualquier caso, lo anterior supondría una supuesta vulneración
del artículo 13 RGPD, para cuya presunta vulneración por parte de KFC ya se
propone sanción por lo que, de nuevo, no procede volver a sancionar en base
al artículo 6.1 RGPD por aplicación del principio non bis in idem;
Pero es que, además, compartir datos de nuestros usuarios registrados con
proveedores de servicios, con los cuales KFC tiene debidamente firmados los
correspondientes contratos de encargo de tratamiento, no es en absoluto
ningún tratamiento de datos ulterior al tratamiento principal de los datos de
dichos usuarios, sino algo intrínsecamente vinculado a dicho tratamiento
principal. Cualquier persona con conocimientos elementales de economía sabe
de la existencia de la cadena de valor, y de que toda actividad económica está
soportada por la concurrencia de proveedores externos a los cuales se confía
una gestión más eficiente de los procesos productivos de cualquier
organización
Si lo anterior no fuese suficiente, el propio art. 13 RGPD permite de forma
expresa identificar a los destinatarios de datos por «categorías» de los mismos,
con lo cual, con la referencia a proveedores externos, se cumple de forma
dichos precepto a la hora de proporcionar información a nuestros usuarios
registrados.
SEGUNDA.- RESPECTO DE LA PROPUESTA DE SANCIÓN POR
INFRACCIÓN DEL ARTÍCULO 37 DEL RGPD.
Identifica la AEPD una posible infracción cometida por KFC por no haber
designado un delegado de protección de datos estando obligada a ello según
los criterios del artículo 37 del RGPD, mencionando los criterios establecidos
por el Grupo de Trabajo del Artículo 29 para determinar la necesidad de
designar un delegado de protección de datos.
En lo que no coincide esta parte con la actuación de la AEPD en el presente
procedimiento es en la forma de aplicar las Directrices sobre Delegados de
Protección de Datos al presente supuesto de hecho para concluir que KFC
debe designar un delegado de protección de datos.
A continuación, se exponen las conclusiones a las que llega esta parte para
considerar que los elementos indicados en el artículo 37.1 b) del RGPD no se
cumplen y que, por lo tanto, no es necesaria la designación de un delegado de
protección de datos:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/50
(i) Respecto de la «actividad principal»: De acuerdo con lo especificado por el
Grupo de Trabajo del Artículo 29, las actividades principales deben asociarse a
aquellas actividades y «operaciones clave necesarias para lograr los objetivos»
de cualquier compañía en su actividad comercial.
La AEPD hace uso de ejemplos tales como hospitales o empresas de
seguridad privada cuyas operaciones y actividades están íntimamente ligadas
al tratamiento de datos personales –datos de salud, y vigilancia sistemática
respectivamente–. Ahora bien, la actividad principal de KFC es la prestación de
servicios de restauración en puntos de venta físico a través de sus
franquiciados sin que sea necesario tratamiento de datos personales alguno
relativos a los consumidores de dichos productos.
No tiene sentido que la AEPD en la página 43 del Acuerdo de Inicio de
Procedimiento Sancionador, indique que el objeto social no tiene relación con
la actividad principal, y luego use el objeto social de KFC para decir que está
obligada a designar un delegado de protección de datos. Pero es que, además,
nuestra página web no constituye en absoluto el centro de la actividad de KFC,
sino que es, únicamente, uno de los canales que KFC utiliza para poner en
contacto a los consumidores de nuestros productos con los franquiciados a
través de los cuales pueden adquirirse nuestros productos (entre los otros
canales de los que se sirve KFC para conseguir tal finalidad está la publicidad
en medios de comunicación, la publicidad en vías públicas, las campañas de
patrocinio y esponsorización, las alianzas con terceras organizaciones, etc…).
En consecuencia, resulta palmario que KFC no hace uso de su sitio web como
punto de venta principal de sus productos (dichos puntos de venta principal son
y serán siempre los establecimientos de su red de franquiciados). Como
indicado anteriormente, las ventas de KFC en línea durante 2021, ascendieron
a 2.530.000 euros. Esto es un 1.1 % del total de ventas totales de KFC en
España a través de sus franquiciados; por lo tanto, indicar que «la naturaleza
de la actividad del demandante requiere indisolublemente el tratamiento de
datos personales, sin los cuales su desarrollo devendría imposible» es una
conclusión que no sólo es errónea e imprecisa desde el momento en que el
grueso de los ingresos de KFC en España proviene de ventas distintas a las de
su página web, si no que, además, está carente de cualquier prueba por parte
de la Agencia.
En esta misma línea se pronuncia precisamente el RGPD en su Considerando
97 al entender que «las actividades principales de un responsable están
relacionadas con sus actividades primarias y no están relacionadas con el
tratamiento de datos personales como actividades auxiliares». Teniendo en
cuenta la desproporción de las ventas on-line de KFC respecto de su volumen
de ventas totales, difícilmente puede entenderse que tal actividad sea
considerada como primaria y, por ende, como principal.
En síntesis, si se siguiera el criterio expuesto por la AEPD, toda empresa que
disponga de una página web como canal complementario de su actividad
estaría obligada a designar un delegado de protección de datos, y esta
conclusión vaciaría de contenido los artículos 37 del RGPD y 34 de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/50
LOPDGDD, y sería palmariamente contrario a la letra y al espíritu de la norma
en cuanto a esta obligación específica de designación de un responsable de
velar por el cumplimiento de la normativa de privacidad.
Respecto de «la observación habitual y sistemática»: No puede coincidir la
actividad de KFC en su página de internet con las definiciones dadas por la
propia AEPD por cuanto ni existe «un plan general de recogida de datos» ni se
lleva a cabo «como parte de una estrategia», ni la AEPD aporta prueba ni
evidencia alguna de tales acusaciones. Lo único que sucede con los datos
personales tratados en el entorno web de KFC de sus clientes es que realizan
pedidos para recibir comida a domicilio o recogerla en establecimientos
franquiciados de KFC y se realizan campañas y acciones promocionales para
fidelizar clientes. En ningún caso realizando un seguimiento sistematizado de
los interesados. Las tareas de geolocalización sólo se producen, como es
obvio y evidente, cuando el interesado desea ubicar una tienda próxima a él,
cuando desea recibir el pedido en su domicilio, o cuando –existiendo base
legitimadora apropiada– desea recibir información promocional del lugar en el
que se encuentra. Esto en ningún caso es constante en el tiempo y sólo se
produce a petición del usuario que hace uso del sitio web de KFC y tras haber
obtenido su consentimiento.
Respecto del tratamiento «a gran escala»: Llegados a este punto, nos
remitimos íntegramente a lo indicado en la Alegación Cuarta posterior. El
volumen de datos de clientes que realizaron pedidos en el entorno en línea de
KFC en 2021 asciende a 110.000 registros, los cuales realizaron 153.439
pedidos; otros 100.000 registros son los que recibieron comunicaciones
comerciales durante 2021. Todos ellos, limitados al ámbito geográfico de
España para unas finalidades concretas e identificadas en la política de
privacidad.
Sumado a ello, el riesgo en el tratamiento es bajo, por cuanto no se tratan
datos de las categorías establecidas en los artículos 9 y 35 del RGPD, así
como tampoco concurren las circunstancias indicadas a tal efecto en las guías
y directrices del Grupo de Trabajo del Artículo 29, ni en las condiciones
indicadas en el artículo 28 de la LOPDGDD. Todo ello, según es de ver el
Registro de Actividades de Tratamiento de constante referencia.
Sumado a ello, debe ponerse de manifiesto que la AEPD en toda la fase de
investigación no ha podido vincular los datos tratados por KFC en su página
web a ninguna app y mucho menos a una app de amplia implantación (lo cual
es un término demasiado ambiguo como para considerarse criterio suficiente
como para proponer una sanción de 20.000 euros).
Por último, en lo que concierne a la geolocalización debe de indicarse que,
como se ha especificado antes, dicha actividad no se encuentra recogida en
ninguna norma de protección de datos como un dato de alto riesgo o
especialmente protegible. El único ejemplo lo podemos encontrar en el artículo
28.2 apartado d) de la LOPDGDD, y al respecto debe matizarse que dicha
geolocalización, en realidad se corresponde con una monitorización
sistemática destinada a la generación de perfiles y basada en la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/50
geolocalización y seguimiento de movimientos; cosa que en absoluto realiza
KFC.
Los anteriores elementos, valorados en su conjunto, en absoluto pueden
determinar que KFC deba designar un delegado de protección de datos y
confirman el análisis jurídico al procedimiento de requerimiento de información
E/12752/2021, en el que KFC confirmaba haber llevado a cabo los análisis
pertinentes y concluido que no necesitaban designar a tal figura. Lo que
convierte a esta segunda propuesta de sanción en improcedente.
TERCERA.- RESPECTO DE LA PROPUESTA DE SANCIÓN POR
INFRACCIÓN DEL ARTÍCULO 13 DEL RGPD.
Considera la AEPD que a partir de la lectura de la política de privacidad de
KFC y de la descripción de finalidades del tratamiento que en ella se hace,
KFC está cometiendo una infracción del artículo 13 del RGPD por cuanto no
está cumpliendo con el deber de transparencia que le es exigible al informar a
sus interesados sobre las finalidades de los tratamientos que lleva a cabo.
Para ello, aplica los criterios establecidos en el artículo 74 de la LOPDGDD y
califica la infracción como leve. A este respecto, KFC no tiene nada que añadir
y se remite a lo indicado en la Alegación Primera de este escrito de
alegaciones, sin perjuicio de reseñar que, como la propia AEPD constata en su
resolución de inicio de procedimiento sancionador, durante todo el proceso de
información previa que antecede al presente procedimiento KFC ha ido
mejorando su política de privacidad en aquellos aspectos en que, conforme a
los requerimientos de información recibidos de la propia AEPD, se ha
entendido eran susceptibles de mejora. Ahora bien, la AEPD impone por tal
incumplimiento una sanción que excede de los criterios para imposición de
sanciones establecidos en el propio RGPD. Sin ir más lejos, el Considerando
148 del RGPD establece lo siguiente:
«A fin de reforzar la aplicación de las normas del presente Reglamento,
cualquier infracción de este debe ser castigada con sanciones, incluidas multas
administrativas, con carácter adicional a medidas adecuadas impuestas por la
autoridad de control en virtud del presente Reglamento, o en sustitución de
estas. En caso de infracción leve, o si la multa que probablemente se
impusiera constituyese una carga desproporcionada para una persona física,
en lugar de sanción mediante multa puede imponerse un apercibimiento».
Lo cierto es que no existen antecedentes sancionadores en materia de
protección de datos que comprometan a KFC, y la entidad ya se encuentra en
trámites de actualizar la información que facilita a sus interesados en entornos
digitales. Considera KFC que no concurriendo circunstancias agravantes para
la imposición de sanción alguna –como se expone a continuación– y
atendiendo a lo expuesto en las distintas alegaciones, así como que la
infracción se ha calificado como leve, corresponde un apercibimiento como
sanción en lugar de la multa de 5.000 euros que se propone por la AEPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/50
CUARTA.- NO CONCURREN CIRCUNSTANCIAS AGRAVANTES QUE
INCREMENTEN LA CUANTÍA DE LAS SANCIONES PROPUESTAS
Para determinar el importe de las sanciones propuestas por la AEPD por
importe de 30.000 y 20.000 euros, la propia Agencia recurre a dos elementos
que en nada se acercan a la realidad de la actividad comercial de KFC en
España.
El primero de ellos, hace referencia a la intencionalidad de la infracción
cometida. Para ello, la AEPD basa su razonamiento en la Sentencia de la
Audiencia Nacional de 17 de octubre de 2007. Dicha sentencia especifica que
para valorar el grado de diligencia exigible al responsable del tratamiento debe
atenderse a determinar si «la actividad de la recurrente es de constante y
abundante manejo de datos de carácter personal».
Lo cierto es que, aunque se lleven a cabo actividades en entornos digitales –la
venta de productos de KFC en internet– y pueda desprenderse que se lleva un
tratamiento de datos constante, BAJO NINGÚN CONCEPTO dicho tratamiento
de datos constante deben entenderse automáticamente por abundante, por el
mero hecho de que KFC sea una marca reconocida en España. El Registro de
Actividades de Tratamiento aportado al procedimiento de requerimiento de
información E/12752/2021 indica claramente que el número total de usuarios
registrados a través del sitio web de KFC en España en 2021 no supera los
110.000, los cuales realizaron 153.439 pedidos en 2021, y el número de
registros que reciben comunicaciones comerciales (opt-in) es de 100.000;
siendo estos los datos máximos de interesados vinculados a los tratamientos
por los que la AEPD propone sanción.
Hemos de recordar que el Grupo de Trabajo del Artículo 29, Directrices sobre
los delegados de protección de datos (DPD), especifica qué criterios han de
tenerse en cuenta para considerar que existe un tratamiento de datos a gran
escala, o abundante, como indica la Audiencia Nacional:
«En cualquier caso, el Grupo de Trabajo recomienda que se tengan en cuenta
los siguientes factores, en particular, a la hora de determinar si el tratamiento
se realiza a gran escala:
el número de interesados afectados, bien como cifra concreta o como
proporción de la población correspondiente; el volumen de datos o la variedad
de elementos de datos que son objeto de tratamiento; la duración, o
permanencia, de la actividad de tratamiento de datos; el alcance geográfico de
la actividad de tratamiento».
En el presente caso, debe indicarse que los datos de usuarios on-line por parte
de KFC (110.000 usuarios registrados), con respecto al total de la población
española que compra por internet (28,5 millones de ciudadanos) es ínfimo 1, tan
sólo es el 0,00385 % del total. La variedad de datos de dichos usuarios
registrados de KFC, como la propia AEPD reconoce, también es reducida pues
se tratan únicamente datos de contacto, datos de ubicación y datos
identificativos para prestar los servicios y proveer los productos ofertados. La
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/50
duración del tratamiento según indicado en el Registro de Actividades de
Tratamiento es de 5 años como máximo. Y el alcance geográfico está limitado
a España.
Por todo ello, la aplicación de esta agravante resulta de todo punto
improcedente. Además, y en lo que concierne particularmente a la sanción
relativa a no designar delegado de protección de datos, es de todo punto
improcedente aplicar tal agravante de culpabilidad, por cuanto KFC ha
realizado –y así lo ha demostrado– las evaluaciones pertinentes para
considerar que no es necesario designar un delegado de protección de datos.
De confirmarse la sanción, tal agravante no debería ser tenida en cuenta por
cuanto KFC ha tomado todas las cautelas cumpliendo con su deber de
responsabilidad proactiva para analizar la necesidad de designar delegado de
protección no considerándolo necesario.
En segundo lugar, y respecto del segundo agravante propuesto por la AEPD,
cuesta creer que se imponga a KFC un agravante en la sanción propuesta por
«el nivel de implementación de la entidad KFC en la economía del país». Al
respecto, se ponen de relieve los siguientes datos:
De acuerdo con los datos del Instituto Nacional de Estadística en su Encuesta
sobre el uso de TIC y del comercio electrónico en las empresas del Año 2020 –
Primer trimestre de 2021 (https://www.ine.es/prensa/tic_e_2020_2021.pdf)-, el
volumen de ventas realizadas por empresas a través de comercio electrónico
en 2020 ascendió a 275.011.398.000 euros. Los 2,5 millones de euros de
ventas realizadas por KFC a través de su página web no supone más que el
ínfimo 0,00009 % del total nacional de ventas realizadas por comercio
electrónico.
Asimismo, de acuerdo con el estudio publicado por la entidad Adevinta y
denominado «el comercio online se consolida en España: el 86% de la
población compra y vende a través de internet»
(https://www.adevinta.es/stories/articles/comercio-onlineconsolida-pulso-
digital), «el 48% de la población española realizó todo el proceso de compra
por internet». Esto es, casi 23 millones de personas en España. Los 110.000
usuarios registrados en la página web de KFC representan la ínfima proporción
de 0,00478% de los mencionados 23 millones.
Desde luego, el criterio agravante planteado por la AEPD no tiene cabida
desde el momento en que es muy cuestionable que KFC por su actividad on-
line y a la vista de los datos expuestos, tenga un nivel de implantación
relevante en la economía española, máxime si se tiene en cuenta que los 2,5
millones de euros facturados por KFC no suponen nada con respecto de las
ventas totales identificadas por el Instituto Nacional de Estadística y que los
110.000 usuarios registrados en su página web representan un porcentaje muy
pequeño de la población total que compra on-line en España.
A LA AEPD SUPLICO: Tenga por presentado el presente escrito, sus copias,
los admita, y tenga por formuladas las anteriores alegaciones en Acuerdo de
Inicio de Procedimiento Sancionador PS/00140/2022, para que incorporándose
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/50
al mismo dicte resolución por la que deje sin efecto las propuestas de sanción
formuladas y archive sin mayores trámites el referido procedimiento
sancionador.
SUBSIDIARIAMENTE, A LA AEPD SUPLICO: Para el caso de considerar que
KFC ha cometido alguna de las infracciones descritas en su proposición de
sanción, sancione a KFC sólo con respecto de la relativa al incumplimiento de
las obligaciones de transparencia indicadas en el artículo 13 del RGPD, y con
apercibimiento, dado que no tiene antecedentes sancionadores ante esta
Agencia, la levedad de la infracción cometida en los propios términos de la
AEPD, la patente voluntad de KFC de mejorar su nivel de cumplimiento
normativo demostrada en los trámites de información previa que preceden al
presente procedimiento, y la no comisión de las otras infracciones indicadas en
su Acuerdo de Inicio de Expediente Sancionador”.
DÉCIMO: Con fecha 16/11/22, se envía al reclamado la propuesta de resolución en la
cual, se proponía que, por la Directora de la Agencia Española de Protección de Datos
se proceda a sancionar a la entidad, con arreglo a lo dispuesto en los artículos 63 y 64
de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (LPACAP), por los siguientes motivos:
- Por la infracción del artículo 6.1 del RGPD, por la inexistencia de un mecanis-
mo que permita a los usuarios prestar su consentimiento al tratamiento sus da-
tos personales para todas y cada una de las finalidades a las que destinaran
los datos personales, cuando esto corresponda, con una sanción de 30.000 eu-
ros (treinta mil euros).
- Por la infracción del artículo 37 del RGPD, por la falta de nombramiento de un
Delegado de Protección de Datos, con una sanción de 20.000 euros (veinte mil
euros).
- Por la infracción del artículo 13 del RGPD, por la falta de información suminis-
trada en la “Política de Privacidad” sobre el tratamiento de los datos personales
obtenidos, con una sanción de 5.000 (cinco mil euros).
Junto a ello y de conformidad con el artículo 58.2 del RGPD, se proponía como
medidas correctivas a imponer al reclamado:
- Que implante, en el plazo de un mes, las medidas correctoras necesarias para
adecuar su actuación a la normativa de protección de datos personales, nom-
brando un Delegado de Protección de Datos, según estipula el artículo 37 del
RGPD, así como que informe a esta Agencia en el mismo plazo sobre las me-
didas adoptadas.
- Que implante, en el plazo de un mes, las medidas correctoras necesarias para
adecuar su actuación a la normativa de protección de datos personales, con la
inclusión en la “Política de Privacidad” de la información necesaria sobre la ela-
boración de perfiles de fidelización y su base jurídica, así como la identificación
de los terceros a quien se trasfieren los datos personales obtenidos, , así como
que informe a esta Agencia en el mismo plazo sobre las medidas adoptadas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
25/50
Según certifica El servicio de Dirección Electrónica Habilitada Única (DEHÚ), el escrito
de propuesta de expediente puesto a disposición de la parte reclamada, el día
19/11/22 a través del servicio de notificaciones electrónicas “NOTIFIC@”, consta en el
certificado como fecha de rechazo automático, el 30/11/22.
No consta, en esta agencia, ningún escrito de contestación a la propuesta de
resolución por parte de la entidad reclamada.
HECHOS PROBADOS.
De las actuaciones practicadas en el presente procedimiento y de la información y
documentación presentada por las partes, ha quedado acreditadas los siguientes
hechos:
Primero: Sobre la licitud del tratamiento de los datos personales obtenidos en la web
www.kfc.es:
En la página web www.kfc.es se puede introducir datos personales de los usuarios, a
través de varios procedimientos:
a) para la creación de una cuenta de usuario;
b) para Inscribirse como demandante de empleo en la cadena;
c) para realizar un pedido on-line de sus productos y
d) para recibir ofertar promocionales.
Antes de poder enviar el formulario de cualquiera de estos procedimientos con los
datos personales, es necesario haber proporcionado previamente el consentimiento
para el tratamiento de los datos, existiendo la posibilidad de acceso a la “Política de
Privacidad” de la web, a través del enlace: “Las condiciones de Uso” “Política de
Privacidad (Genérica)” “viso de Privacidad”, (Exclusivo para EEE y Reino Unido).
También existe, en los cuatro formularios indicados, la posibilidad de inscribirse
voluntariamente para recibir periódicamente ofertas promocionales de la marca.
La “Política de Privacidad de datos”, de la página web en cuestión se divide en tres
documentos:
a) Términos de uso de la web;
b) Una política de privacidad genérica para todos los países y
c) Una política de privacidad específica para los países de Espacio Económico
Europeo (EEE), Reino Unido y Suiza.
En el primer documento, “Términos de uso” (https://www.kfc.es/nota-legal ) , se puede
leer, respecto de la política de protección de datos personales obtenidos, lo siguiente:
“(…) Protección de datos: Recogeremos, almacenaremos y trataremos su
información personal de acuerdo con nuestra Política de Privacidad. Por favor,
lea nuestra Política de Privacidad para asegurarse de que está satisfecho y
entiende su contenido antes de crear una cuenta (…)”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
26/50
Si se accede a la “Política de Privacidad” de la web www.kfc.es, en el enlace,
https://www.kfc.es/privacidad, “política genérica para todos los países”, se puede
leer, como introducción:
“KFC® (“KFC”, “nosotros”, “nuestro” o “nos”) se compromete a proteger su
privacidad. Esta Política de privacidad de KFC (esta “Política”) se aplica a
nuestros sitios web, experiencias en línea y aplicaciones móviles para
dispositivos móviles con Apple iOS, Windows o Android que se vinculan a la
Política (colectivamente, nuestros “Sitios”), y describe cómo recopilamos,
utilizamos y divulgamos su información personal cuando visita nuestros Sitios o
nuestros restaurantes y quioscos en tienda, o interactúa de otra manera con
nosotros (colectivamente, nuestro “Servicio”).
Al acceder o utilizar nuestro Servicio, usted indica que ha leído, comprendido y
acepta nuestra recopilación, almacenamiento, uso y divulgación de su
información personal según se describe en esta Política y en nuestras
Condiciones de uso, disponibles en nuestro sitio.
Para obtener más información sobre las prácticas de privacidad de otras
empresas de Yum Brands, Inc. (“Yum Brands”) (las “Marcas”), visite: Política
de privacidad de YUM Brands. Política de privacidad de PIZZA HUT®. Política
de privacidad de TACO BELL®. Política de privacidad de THE HABIT®
Respecto a las finalidades a las que dedicarán los datos personales obtenidos, entre
otras, se indica lo siguiente:
“(…) 2. CÓMO UTILIZAMOS LA INFORMACIÓN PERSONAL:
(…) También podemos utilizar su información para personalizar su experiencia
con nosotros y promover nuestros programas de recompensas o fidelización.
También utilizamos esta información para proporcionarle el Servicio en todas
nuestras operaciones, lo que incluye apoyar su experiencia en tienda cuando
interactúa con nuestras ubicaciones propiedad de franquiciados (…).
4. CÓMO COMPARTIMOS SU INFORMACIÓN
Podemos compartir, vender o divulgar su información en los casos que se
describen a continuación. Para obtener más información sobre sus opciones en
relación con su información, consulte “Sus opciones y control sobre su
información”.
Otras Marcas: Podemos compartir información personal con nuestra empresa
matriz Yum Brands y otras empresas de Yum Brands y nuestras filiales, que
pueden utilizar su información de forma similar a la que se describe en esta
Política. (…)
Socios promocionales: Podemos compartir información limitada con terceros
con quienes nos asociamos para proporcionar concursos y sorteos, u otras
actividades promocionales conjuntas. Normalmente, estos socios se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
27/50
identificarán claramente en las reglas del concurso o en los materiales de
promoción.
Socios comerciales estratégicos y de marketing seleccionados: Podemos
compartir datos limitados con nuestros socios comerciales estratégicos y de
marketing preferidos para que puedan proporcionarle información y mensajes
de marketing sobre productos o servicios que puedan interesarle. Estas partes
pueden utilizar su información de acuerdo con sus propias políticas de
privacidad.
Socios publicitarios en línea: Podemos compartir información con socios de
publicidad en línea externos o permitir que estos socios recopilen información
de usted directamente en nuestros Sitios para facilitar la publicidad en línea.
Para obtener más información, consulte nuestra Política sobre cookies y
anuncios, disponible en nuestro Sitio. (…)
Otros casos en los que podemos compartir su información personal:
Proveedores de servicios y asesores: La información personal puede
compartirse con proveedores externos y otros proveedores de servicios que
nos prestan servicios o en nuestro nombre. Esto puede incluir proveedores y
distribuidores que participan en actividades de marketing o publicidad o que
proporcionan servicios de correo postal o electrónico, servicios fiscales y
contables, cumplimiento de productos, servicios de entrega, procesamiento de
pagos, servicios de mejora de datos, prevención del fraude, alojamiento web o
servicios analíticos.
En relación con cualquiera de los puntos anteriores, podemos compartir
información con otras partes de forma agregada o anonimizada que no le
identifique razonablemente”.
Si se accede a la Política de Privacidad complementaria para países, EEE y
Reino Unido de la web www.kcf.es , en el enlace,
https://www.kfc.es/multimarcas, se puede leer, sobre, las finalidades a las que
se destinarán los datos personales obtenidos y la base legal para ese
tratamiento, lo siguiente:
“El presente Aviso de privacidad para el EEE y el Reino Unido complementa la
información que contiene nuestra Política de privacidad y se aplica únicamente
a personas físicas residentes en el Espacio Económico Europeo (“usted” y a
los Sitios y Servicios disponibles en el EEE, así como en el Reino Unido que
enlazan con este Aviso de privacidad).
A menos que se indique expresamente lo contrario, todos los términos tienen el
mismo significado que el que se define en nuestra Política de privacidad o que
se define de otro modo en el Reglamento General de Protección de Datos de la
UE 2016/679 del Parlamento Europeo y del Consejo (“RGPD”).
En el Anexo 1 se exponen detalladamente las categorías de información
personal que recopilamos sobre usted y cómo utilizamos dicha información
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
28/50
cuando usted utiliza el Servicio, así como la base jurídica en la que nos
basamos para tratar la información personal y los destinatarios de dicha
información.
Además, en la tabla del Anexo 2 se exponen detalladamente las categorías de
información personal que recopilamos sobre usted automáticamente y cómo
utilizamos dicha información. La tabla también enumera la base jurídica en la
que nos basamos para tratar la información personal y los destinatarios de
dicha información personal.
ANEXO 1
a).- Información de perfil como su nombre, número de teléfono, fecha de
nacimiento y foto de perfil.
a.1. Podemos utilizar esta información para configurar y autentificar su cuenta
en el Servicio: El tratamiento es necesario para cumplir un contrato con usted y
para tomar medidas antes de celebrar un contrato con usted.
a.2. Podemos utilizar esta información para comunicarnos con usted, incluido
el envío de comunicaciones relacionadas con el servicio: El tratamiento es
necesario para cumplir un contrato con usted.
a.3. Podemos utilizar esta información para enviarle comunicaciones de
marketing de conformidad con sus preferencias: Solo utilizaremos su
información personal de esta forma en la medida en que usted nos haya dado
su consentimiento para hacerlo.
a.4. Podemos utilizar esta información para tratar las consultas y quejas
realizadas por usted o sobre usted en relación con el Servicio: El tratamiento
es necesario para nuestros intereses legítimos, en concreto para administrar el
Servicio y comunicarnos con usted de forma efectiva para responder a sus
consultas o quejas.
b).- Información sobre pagos y transacciones, incluida la información sobre
pagos (como datos de su tarjeta de crédito o débito o datos de su cuenta
bancaria), y la hora, fecha y valor de las transacciones.
b.1.- Utilizamos esta información para facilitar las transacciones y
proporcionarle el Servicio: El tratamiento es necesario para cumplir un contrato
con usted.
b.2.- Utilizamos esta información para atención al cliente: El tratamiento es
necesario para cumplir un contrato con usted.
b.3.- Utilizamos esta información para detectar y prevenir el fraude: El
tratamiento es necesario para nuestros intereses legítimos, en concreto la
detección y prevención del fraude.
c).- Datos de ubicación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
29/50
c.1. Utilizamos tecnología GPS para determinar su ubicación actual con el fin
de proporcionarle contenido relevante y mostrar dónde ha realizado dicho
contenido: El tratamiento es necesario para nuestros intereses legítimos, en
concreto para administrar el Servicio. Solo utilizaremos su información personal
de esta forma en la medida en que usted nos haya dado su consentimiento
para hacerlo.
d).- Comentarios, chat y opiniones
d.1. Cuando se pone en contacto con nosotros directamente (p. ej., por correo
electrónico, teléfono, correo postal o mediante un formulario en línea o un chat
en línea), podemos grabar sus comentarios y opiniones: El tratamiento es
necesario para nuestros intereses legítimos, en concreto para responder a su
pregunta o comentario, para evaluar y mejorar nuestros productos y servicios y
para informar de nuestro marketing y publicidad.
e).- Información recibida de terceros, como redes sociales. Si interactúa con el
Servicio a través de una red social podemos recibir información de la red
social, como su nombre, información de perfil y cualquier otra información que
usted permita que la red social comparta con terceros. Los datos que recibimos
dependen de su configuración de privacidad en la red social.
e.1.- Podemos utilizar esta información para autentificarle y permitirle acceder
al Servicio: El tratamiento es necesario para cumplir un contrato con usted.
e.2.- Podemos utilizar esta información para adaptar cómo se le muestra (como
el idioma en el que se le presenta): El tratamiento es necesario para nuestros
intereses legítimos, en concreto para adaptar el Servicio para que sea más
relevante para nuestros usuarios.
f).- Información de uso, como el tiempo durante el que utiliza nuestros
productos, sus resultados cuando utiliza nuestros productos, cualquier
problema experimentado cuando utiliza nuestros productos y cualquier otra
información generada por los productos sobre cómo utiliza nuestros productos.
f.1.- Podemos utilizar esta información para analizar cómo funciona el Servicio,
solucionar problemas con el Servicio, mejorar el Servicio y desarrollar nuevos
productos y servicios: El tratamiento es necesario para nuestros intereses
legítimos, en concreto para mejorar nuestros productos y servicios, tratar
cualquier error en nuestros productos y servicios y desarrollar nuevos
productos y servicios.
f.2.- Podemos utilizar esta información para desarrollar nuevos productos y
características disponibles a través del Servicio o para mejorar de alguna
manera el Servicio: El tratamiento es necesario para nuestros intereses
legítimos, en concreto para desarrollar y mejorar el Servicio.
g).- Toda la información personal indicada anteriormente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
30/50
g.1.- Podemos utilizar toda la información personal que recopilamos para
operar, mantener y proporcionarle las características y funcionalidad del
Servicio, comunicarnos con usted, supervisar y mejorar el Servicio y el
negocio, y desarrollar nuevos productos y servicios: El tratamiento es
necesario para nuestros intereses legítimos, en concreto para administrar y
mejorar el Servicio.
ANEXO 2
a).- Información sobre cómo accede al Servicio y lo utiliza. Por ejemplo, la
frecuencia con la que accede al Servicio, la hora a la que accede al Servicio y
durante cuánto tiempo lo utiliza, la ubicación aproximada desde la que accede
al Servicio, si accede al Servicio desde varios dispositivos y otras acciones
suyas en el Servicio.
a.1.- Podemos utilizar información sobre cómo utiliza y se conecta al Servicio
para presentarle el Servicio en su dispositivo: El tratamiento es necesario para
nuestros intereses legítimos, en concreto para adaptar el Servicio al usuario.
a.2.- Podemos utilizar esta información para determinar productos y Servicios
que puedan ser de su interés con fines de marketing: El tratamiento es
necesario para nuestros intereses legítimos, en concreto para informar sobre
nuestro marketing directo.
a.3.- Podemos utilizar esta información para supervisar y mejorar el Servicio y
el negocio, solucionar problemas e informar del desarrollo de nuevos productos
y servicios: El tratamiento es necesario para nuestros intereses legítimos, en
concreto para supervisar y solucionar problemas con el Servicio y mejorar el
Servicio en general.
b).- Archivos de registro e información sobre su dispositivo. También
recopilamos información sobre la tableta, el smartphone u otro dispositivo
electrónico que utilice para conectarse al Servicio. Esta información puede
incluir detalles sobre el tipo de dispositivo, los números de identificación únicos
del dispositivo, sistemas operativos, navegadores y aplicaciones conectados al
Servicio a través del dispositivo, su red móvil, dirección IP y número de
teléfono de su dispositivo (si tiene uno).
b.1.- Podemos utilizar información sobre cómo utiliza y se conecta al Servicio
para presentarle el Servicio en su dispositivo: El tratamiento es necesario para
nuestros intereses legítimos, en concreto para adaptar el Servicio al usuario.
b.2.- Podemos utilizar esta información para determinar productos y Servicios
que puedan ser de su interés con fines de marketing: El tratamiento es
necesario para nuestros intereses legítimos, en concreto para informar sobre
nuestro marketing directo.
b.3.- Podemos utilizar esta información para supervisar y mejorar el Servicio y
el negocio, prevenir y detectar fraudes, solucionar problemas e informar del
desarrollo de nuevos productos y servicios: El tratamiento es necesario para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
31/50
nuestros intereses legítimos, en concreto para supervisar y solucionar
problemas con el Servicio y mejorar el Servicio en general.
Segundo: Sobre la “Política de Privacidad” en la web www.kfc.es:
En la página web en cuestión, la información que se ofrece a los usuarios de la misma,
con respecto al tratamiento de sus datos personales, se ofrece a través de los
siguientes documentos colgados en la web: a) documento: “Términos de Uso” o “Nota
Legal”, https://www.kfc.es/nota-legal; ; b) documento: “Política de Privacidad”,
https://www.kfc.es/privacidad, y c) documento: “Aviso de Privacidad”,
https://www.kfc.es/multimarcas.
Todos ellos, accesibles desde los diferentes formularios (indicados en el apartado
anterior) y a través de los enlaces existentes en la parte inferior de la página principal.
La información que se ofrece en los diferentes documentos indicados anteriormente es
la siguiente:
A).- En el documento “Términos de Uso” o “Nota Legal” (https://www.kfc.es/nota-legal)
podemos encontrar la siguiente información, con respecto al tratamiento de los datos
personales obtenidos:
REGISTRO: “(…) Protección de datos: Recogeremos, almacenaremos y
trataremos su información personal de acuerdo con nuestra Política de
Privacidad. Por favor, lea nuestra Política de Privacidad para asegurarse de
que está satisfecho y entiende su contenido antes de crear una cuenta.
B).- En el documento “Política de Privacidad” (https://www.kfc.es/privacidad)
podemos encontrar la siguiente información, con respecto al tratamiento de los datos
personales obtenidos: 1. qué tipo de información recopilan 2. cómo utilizan la
información personal que recopilan 3. qué información recopilan automáticamente 4.
cómo comparten la información recopilada. 5. Sobre las opciones y el control de la
información recopilada.6. cómo almacenan y protegemos la información 7.
revelaciones jurisdiccionales 8. privacidad de los niños 9. enlaces a otros sitios web y
servicios 10. cómo ponerse en contacto con el responsable del tratamiento de datos.
C).- En el documento “Aviso de Privacidad” (https://www.kfc.es/multimarcas) ,
podemos encontrar, entre otras, la siguiente información, con respecto al tratamiento
de los datos personales obtenidos:
Sobre el responsable del tratamiento se indica: KFC Restaurants Spain, S.L.
con NIF B86281599 y domicilio en Calle Serrano Galvache (Pq. Empresarial
Pq. Norte), 56 - Edif. Olmo Quinta Planta, Madrid, Madrid. Correo electrónico:
[email protected]. Teléfono: 91 904 18 81
Sobre la base jurídica para el tratamiento en el EEE y el Reino Unido se indica:
En la tabla del Anexo 1 se exponen las categorías de información personal que
recopilan, así como la base jurídica y los destinatarios de dicha información
personal.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
32/50
En la tabla del Anexo 2 se exponen las categorías de información personal que
recopilan de forma automática. La tabla también enumera la base jurídica en la
que se basan para tratar la información personal y los destinatarios de dicha
información personal.
Se informa sobre el almacenamiento y transferencia de datos.
Se informa sobre los derechos individuales de los residentes en el EEE: Derecho a
objetar. Derecho de acceso. Derecho de rectificación. Derecho de supresión. También
tiene derecho a presentar una reclamación ante su autoridad de protección de datos.
Sobre la conservación de los datos personales se informa: En el caso de las personas
que residen en el EEE conservamos los datos personales durante el tiempo máximo
necesario para cumplir con los fines para los que recopilamos los datos, como la
entrega de su pedido, el mantenimiento de nuestro servicio, el cumplimiento de
nuestras obligaciones legales y la resolución de disputas. Conservaremos sus datos
personales de acuerdo con los períodos de prescripción, legales y aplicables, de
acuerdo con las normas fiscales y contables de cada país del EEE. A la finalización de
dichos plazos, o con anterioridad a su solicitud, los datos serán eliminados o
anonimizados para que ya permitan identificarle, a menos que estemos legalmente
autorizados u obligados a conservar los datos personales por más tiempo.
FUNDAMENTOS DE DERECHO
I-
Competencia.
De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de
control y según lo establecido en los artículos 47 y 48.1 de la LOPDGDD, es
competente para resolver este procedimiento, la Directora de la Agencia Española de
Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos”.
II.-
a).- Sobre la licitud del tratamiento de los datos personales obtenidos en la web
www.kfc.es:
Se ha podido comprobar que en la página web www.kfc.es se puede introducir datos
personales de los usuarios de esta, a través de varios procedimientos: a) para la
creación de una cuenta de usuario; b) para Inscribirse como demandante de empleo
en la cadena; c) para realizar un pedido on-line de sus productos y d) para recibir
ofertar promocionales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
33/50
Antes de poder enviar el formulario de cualquiera de estos procedimientos con los
datos personales es necesario haber proporcionado previamente el consentimiento
para el tratamiento de los datos, existiendo la posibilidad de acceso a la “Política de
Privacidad” de la web, a través del enlace: “Las condiciones de Uso” “Política de
Privacidad (Genérica)” “viso de Privacidad”, (Exclusivo para EEE y Reino Unido).
También existe, en los cuatro formularios indicados, la posibilidad de inscribirse
voluntariamente para recibir periódicamente ofertas promocionales de la marca.
Según se indica por parte de la entidad, la “Política de Privacidad de datos”, se divide
en tres documentos: a) Términos de uso de la web; b) Una política de privacidad
genérica para todos los países y c) Una política de privacidad específica para los
países de Espacio Económico Europeo (EEE), Reino Unido y Suiza.
En el primer documento, “Términos de uso” (https://www.kfc.es/nota-legal) , se puede
leer, respecto de la política de protección de datos personales obtenidos, lo siguiente:
“(…) Protección de datos: Recogeremos, almacenaremos y trataremos su
información personal de acuerdo con nuestra Política de Privacidad. Por favor,
lea nuestra Política de Privacidad para asegurarse de que está satisfecho y
entiende su contenido antes de crear una cuenta (…)”.
Si se accede a la “Política de Privacidad” de la web www.kfc.es,
(https://www.kfc.es/privacidad), política genérica para todos los países, se puede leer,
como introducción:
“KFC® (“KFC”, “nosotros”, “nuestro” o “nos”) se compromete a proteger su
privacidad. Esta Política de privacidad de KFC (esta “Política”) se aplica a
nuestros sitios web, experiencias en línea y aplicaciones móviles para
dispositivos móviles con Apple iOS, Windows o Android que se vinculan a la
Política (colectivamente, nuestros “Sitios”), y describe cómo recopilamos,
utilizamos y divulgamos su información personal cuando visita nuestros Sitios o
nuestros restaurantes y quioscos en tienda, o interactúa de otra manera con
nosotros (colectivamente, nuestro “Servicio”).
Al acceder o utilizar nuestro Servicio, usted indica que ha leído, comprendido y
acepta nuestra recopilación, almacenamiento, uso y divulgación de su
información personal según se describe en esta Política y en nuestras
Condiciones de uso, disponibles en nuestro sitio.
Para obtener más información sobre las prácticas de privacidad de otras
empresas de Yum Brands, Inc. (“Yum! Brands”) (las “Marcas”), visite: Política
de privacidad de YUM Brands. Política de privacidad de PIZZA HUT®. Política
de privacidad de TACO BELL®. Política de privacidad de THE HABIT®
Pues bien, respecto a las finalidades a las que dedicarán los datos personales
obtenidos, entre otras, se indica lo siguiente: “(…)
2. CÓMO UTILIZAMOS LA INFORMACIÓN PERSONAL:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
34/50
(…) También podemos utilizar su información para personalizar su experiencia
con nosotros y promover nuestros programas de recompensas o fidelización.
También utilizamos esta información para proporcionarle el Servicio en todas
nuestras operaciones, lo que incluye apoyar su experiencia en tienda cuando
interactúa con nuestras ubicaciones propiedad de franquiciados (…).
4. CÓMO COMPARTIMOS SU INFORMACIÓN
Podemos compartir, vender o divulgar su información en los casos que se
describen a continuación. Para obtener más información sobre sus opciones en
relación con su información, consulte “Sus opciones y control sobre su
información”.
Otras Marcas: Podemos compartir información personal con nuestra empresa
matriz Yum Brands y otras empresas de Yum Brands y nuestras filiales, que
pueden utilizar su información de forma similar a la que se describe en esta
Política. (…)
Socios promocionales: Podemos compartir información limitada con terceros
con quienes nos asociamos para proporcionar concursos y sorteos, u otras
actividades promocionales conjuntas. Normalmente, estos socios se
identificarán claramente en las reglas del concurso o en los materiales de
promoción.
Socios comerciales estratégicos y de marketing seleccionados: Podemos
compartir datos limitados con nuestros socios comerciales estratégicos y de
marketing preferidos para que puedan proporcionarle información y mensajes
de marketing sobre productos o servicios que puedan interesarle. Estas partes
pueden utilizar su información de acuerdo con sus propias políticas de
privacidad.
Socios publicitarios en línea: Podemos compartir información con socios de
publicidad en línea externos o permitir que estos socios recopilen información
de usted directamente en nuestros Sitios para facilitar la publicidad en línea.
Para obtener más información, consulte nuestra Política sobre cookies y
anuncios, disponible en nuestro Sitio. (…)
Otros casos en los que podemos compartir su información personal:
Proveedores de servicios y asesores: La información personal puede
compartirse con proveedores externos y otros proveedores de servicios que
nos prestan servicios o en nuestro nombre. Esto puede incluir proveedores y
distribuidores que participan en actividades de marketing o publicidad o que
proporcionan servicios de correo postal o electrónico, servicios fiscales y
contables, cumplimiento de productos, servicios de entrega, procesamiento de
pagos, servicios de mejora de datos, prevención del fraude, alojamiento web o
servicios analíticos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
35/50
En relación con cualquiera de los puntos anteriores, podemos compartir
información con otras partes de forma agregada o anonimizada que no le
identifique razonablemente.
Si se accede a la Política de Privacidad complementaria para países, EEE y
Reino Unido de la web www.kcf.es, ( https://www.kfc.es/multimarcas ), se
puede leer, sobre, las finalidades a las que se destinarán los datos personales
obtenidos y la base legal para ese tratamiento, lo siguiente:
“El presente Aviso de privacidad para el EEE y el Reino Unido complementa la
información que contiene nuestra Política de privacidad y se aplica únicamente
a personas físicas residentes en el Espacio Económico Europeo (“usted” y a
los Sitios y Servicios disponibles en el EEE, así como en el Reino Unido que
enlazan con este Aviso de privacidad).
A menos que se indique expresamente lo contrario, todos los términos tienen el
mismo significado que el que se define en nuestra Política de privacidad o que
se define de otro modo en el Reglamento General de Protección de Datos de la
UE 2016/679 del Parlamento Europeo y del Consejo (“RGPD”).
En la tabla del Anexo 1 se exponen detalladamente las categorías de
información personal que recopilamos sobre usted y cómo utilizamos dicha
información cuando usted utiliza el Servicio, así como la base jurídica en la que
nos basamos para tratar la información personal y los destinatarios de dicha
información.
Además, en la tabla del Anexo 2 se exponen detalladamente las categorías de
información personal que recopilamos sobre usted automáticamente y cómo
utilizamos dicha información. La tabla también enumera la base jurídica en la
que nos basamos para tratar la información personal y los destinatarios de
dicha información personal.
ANEXO 1
a).- Información de perfil como su nombre, número de teléfono, fecha de
nacimiento y foto de perfil.
a.1. Podemos utilizar esta información para configurar y autentificar su cuenta
en el Servicio: El tratamiento es necesario para cumplir un contrato con usted y
para tomar medidas antes de celebrar un contrato con usted.
a.2. Podemos utilizar esta información para comunicarnos con usted, incluido
el envío de comunicaciones relacionadas con el servicio: El tratamiento es
necesario para cumplir un contrato con usted.
a.3. Podemos utilizar esta información para enviarle comunicaciones de
marketing de conformidad con sus preferencias: Solo utilizaremos su
información personal de esta forma en la medida en que usted nos haya dado
su consentimiento para hacerlo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
36/50
a.4. Podemos utilizar esta información para tratar las consultas y quejas
realizadas por usted o sobre usted en relación con el Servicio: El tratamiento
es necesario para nuestros intereses legítimos, en concreto para administrar el
Servicio y comunicarnos con usted de forma efectiva para responder a sus
consultas o quejas.
b).- Información sobre pagos y transacciones, incluida la información sobre
pagos (como datos de su tarjeta de crédito o débito o datos de su cuenta
bancaria), y la hora, fecha y valor de las transacciones.
b.1.- Utilizamos esta información para facilitar las transacciones y
proporcionarle el Servicio: El tratamiento es necesario para cumplir un contrato
con usted.
b.2.- Utilizamos esta información para atención al cliente: El tratamiento es
necesario para cumplir un contrato con usted.
b.3.- Utilizamos esta información para detectar y prevenir el fraude: El
tratamiento es necesario para nuestros intereses legítimos, en concreto la
detección y prevención del fraude.
c).- Datos de ubicación
c.1. Utilizamos tecnología GPS para determinar su ubicación actual con el fin
de proporcionarle contenido relevante y mostrar dónde ha realizado dicho
contenido: El tratamiento es necesario para nuestros intereses legítimos, en
concreto para administrar el Servicio. Solo utilizaremos su información personal
de esta forma en la medida en que usted nos haya dado su consentimiento
para hacerlo.
d).- Comentarios, chat y opiniones
d.1. Cuando se pone en contacto con nosotros directamente (p. ej., por correo
electrónico, teléfono, correo postal o mediante un formulario en línea o un chat
en línea), podemos grabar sus comentarios y opiniones: El tratamiento es
necesario para nuestros intereses legítimos, en concreto para responder a su
pregunta o comentario, para evaluar y mejorar nuestros productos y servicios y
para informar de nuestro marketing y publicidad.
e).- Información recibida de terceros, como redes sociales. Si interactúa con el
Servicio a través de una red social podemos recibir información de la red
social, como su nombre, información de perfil y cualquier otra información que
usted permita que la red social comparta con terceros. Los datos que recibimos
dependen de su configuración de privacidad en la red social.
e.1.- Podemos utilizar esta información para autentificarle y permitirle acceder
al Servicio: El tratamiento es necesario para cumplir un contrato con usted.
e.2.- Podemos utilizar esta información para adaptar cómo se le muestra (como
el idioma en el que se le presenta): El tratamiento es necesario para nuestros
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
37/50
intereses legítimos, en concreto para adaptar el Servicio para que sea más
relevante para nuestros usuarios.
f).- Información de uso, como el tiempo durante el que utiliza nuestros
productos, sus resultados cuando utiliza nuestros productos, cualquier
problema experimentado cuando utiliza nuestros productos y cualquier otra
información generada por los productos sobre cómo utiliza nuestros productos.
f.1.- Podemos utilizar esta información para analizar cómo funciona el Servicio,
solucionar problemas con el Servicio, mejorar el Servicio y desarrollar nuevos
productos y servicios: El tratamiento es necesario para nuestros intereses
legítimos, en concreto para mejorar nuestros productos y servicios, tratar
cualquier error en nuestros productos y servicios y desarrollar nuevos
productos y servicios.
f.2.- Podemos utilizar esta información para desarrollar nuevos productos y
características disponibles a través del Servicio o para mejorar de alguna
manera el Servicio: El tratamiento es necesario para nuestros intereses
legítimos, en concreto para desarrollar y mejorar el Servicio.
g).- Toda la información personal indicada anteriormente.
g.1.- Podemos utilizar toda la información personal que recopilamos para
operar, mantener y proporcionarle las características y funcionalidad del
Servicio, comunicarnos con usted, supervisar y mejorar el Servicio y el
negocio, y desarrollar nuevos productos y servicios: El tratamiento es
necesario para nuestros intereses legítimos, en concreto para administrar y
mejorar el Servicio.
ANEXO 2
a).- Información sobre cómo accede al Servicio y lo utiliza. Por ejemplo, la
frecuencia con la que accede al Servicio, la hora a la que accede al Servicio y
durante cuánto tiempo lo utiliza, la ubicación aproximada desde la que accede
al Servicio, si accede al Servicio desde varios dispositivos y otras acciones
suyas en el Servicio.
a.1.- Podemos utilizar información sobre cómo utiliza y se conecta al Servicio
para presentarle el Servicio en su dispositivo: El tratamiento es necesario para
nuestros intereses legítimos, en concreto para adaptar el Servicio al usuario.
a.2.- Podemos utilizar esta información para determinar productos y Servicios
que puedan ser de su interés con fines de marketing: El tratamiento es
necesario para nuestros intereses legítimos, en concreto para informar sobre
nuestro marketing directo.
a.3.- Podemos utilizar esta información para supervisar y mejorar el Servicio y
el negocio, solucionar problemas e informar del desarrollo de nuevos productos
y servicios: El tratamiento es necesario para nuestros intereses legítimos, en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
38/50
concreto para supervisar y solucionar problemas con el Servicio y mejorar el
Servicio en general.
b).- Archivos de registro e información sobre su dispositivo. También
recopilamos información sobre la tableta, el smartphone u otro dispositivo
electrónico que utilice para conectarse al Servicio. Esta información puede
incluir detalles sobre el tipo de dispositivo, los números de identificación únicos
del dispositivo, sistemas operativos, navegadores y aplicaciones conectados al
Servicio a través del dispositivo, su red móvil, dirección IP y número de
teléfono de su dispositivo (si tiene uno).
b.1.- Podemos utilizar información sobre cómo utiliza y se conecta al Servicio
para presentarle el Servicio en su dispositivo: El tratamiento es necesario para
nuestros intereses legítimos, en concreto para adaptar el Servicio al usuario.
b.2.- Podemos utilizar esta información para determinar productos y Servicios
que puedan ser de su interés con fines de marketing: El tratamiento es
necesario para nuestros intereses legítimos, en concreto para informar sobre
nuestro marketing directo.
b.3.- Podemos utilizar esta información para supervisar y mejorar el Servicio y
el negocio, prevenir y detectar fraudes, solucionar problemas e informar del
desarrollo de nuevos productos y servicios: El tratamiento es necesario para
nuestros intereses legítimos, en concreto para supervisar y solucionar
problemas con el Servicio y mejorar el Servicio en general
En el presente caso, dado que en la “Política de Privacidad” de la página web www.k-
fc.es se describen unas finalidades del tratamiento de datos personales y se menciona
la base de legitimación de cada una de ellas, el tratamiento de los datos para estas fi-
nalidades no sería un tratamiento ulterior.
Por otra parte, se ha de tener en cuenta que, la entidad reclamada, en sus alegaciones
manifiesta lo siguiente: “Las finalidades indicadas en la política de privacidad sobre las
que se propone sanción describen situaciones potenciales y no implican que sean
efectivamente llevadas a cabo, o bien son llevadas a cabo de manera totalmente lícita
como se expondrá; y lo más importante, tales ulteriores tratamientos por los que se
propone sanción no están recogidos en el Registro de Actividades de Tratamiento
aportado ya a la AEPD…”
Por tanto, en el presente caso, con arreglo a las evidencias que se disponen en este
momento, se considera que la descripción de las finalidades del tratamiento de datos
personales junto con la base de legitimación de cada una de ellas, no se corresponde
con un tratamiento ulterior por lo que no se contradice con lo estipulado en el artículo
6.1 del RGPD, sin implicar una valoración sobre la adecuación de la base de legitima-
ción que recoge la política de privacidad para cada uno de los distintos tratamientos al
no constituir objeto del presente procedimiento.
III.-
a.- Sobre la “Política de Privacidad” en la web www.kfc.es:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
39/50
Según se ha podido comprobar, en la página web en cuestión, la información que se
ofrece a los usuarios de la misma, con respecto al tratamiento de sus datos
personales, se ofrece a través de los siguientes documentos colgados en la web: a)
documento: “Términos de Uso” o “Nota Legal”, https://www.kfc.es/nota-legal; ; b)
documento: “Política de Privacidad”, https://www.kfc.es/privacidad, y c) documento:
“Aviso de Privacidad”, https://www.kfc.es/multimarcas. Todos ellos, accesibles desde
los diferentes formularios (indicados en el apartado anterior) y a través de los enlaces
existentes en la parte inferior de la página principal.
La información que se ofrece en los diferentes documentos indicados anteriormente es
la siguiente:
A).- En el documento “Términos de Uso” o “Nota Legal” (https://www.kfc.es/nota-legal)
podemos encontrar la siguiente información, con respecto al tratamiento de los datos
personales obtenidos:
REGISTRO: “(…) Protección de datos: Recogeremos, almacenaremos y
trataremos su información personal de acuerdo con nuestra Política de
Privacidad. Por favor, lea nuestra Política de Privacidad para asegurarse de
que está satisfecho y entiende su contenido antes de crear una cuenta.
B).- En el documento “Política de Privacidad” (https://www.kfc.es/privacidad)
podemos encontrar la siguiente información, con respecto al tratamiento de los datos
personales obtenidos: 1. qué tipo de información recopilan 2. cómo utilizan la
información personal que recopilan 3. qué información recopilan automáticamente 4.
cómo comparten la información recopilada. 5. Sobre las opciones y el control de la
información recopilada.6. cómo almacenan y protegemos la información 7.
revelaciones jurisdiccionales 8. privacidad de los niños 9. enlaces a otros sitios web y
servicios 10. cómo ponerse en contacto con el responsable del tratamiento de datos.
C).- En el documento “Aviso de Privacidad” (https://www.kfc.es/multimarcas) ,
podemos encontrar, entre otras, la siguiente información, con respecto al tratamiento
de los datos personales obtenidos:
Sobre el responsable del tratamiento se indica:
KFC Restaurants Spain, S.L. con NIF B86281599 y domicilio en Calle Serrano
Galvache (Pq. Empresarial Pq. Norte), 56 - Edif. Olmo Quinta Planta, Madrid,
Madrid. Correo electrónico: [email protected]. Teléfono: 91 904 18 81
Sobre la base jurídica para el tratamiento en el EEE y el Reino Unido se indica:
En la tabla del Anexo 1 se exponen las categorías de información personal que
recopilan, así como la base jurídica y los destinatarios de dicha información
personal. En la tabla del Anexo 2 se exponen las categorías de información
personal que recopilan de forma automática. La tabla también enumera la base
jurídica en la que se basan para tratar la información personal y los
destinatarios de dicha información personal.
Se informa sobre el almacenamiento y transferencia de datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
40/50
Se informa sobre los derechos individuales de los residentes en el EEE: Derecho a
objetar. Derecho de acceso. Derecho de rectificación. Derecho de supresión. También
tiene derecho a presentar una reclamación ante su autoridad de protección de datos.
Sobre la conservación de los datos personales se informa: En el caso de las personas
que residen en el EEE conservamos los datos personales durante el tiempo máximo
necesario para cumplir con los fines para los que recopilamos los datos, como la
entrega de su pedido, el mantenimiento de nuestro servicio, el cumplimiento de
nuestras obligaciones legales y la resolución de disputas. Conservaremos sus datos
personales de acuerdo con los períodos de prescripción, legales y aplicables, de
acuerdo con las normas fiscales y contables de cada país del EEE. A la finalización de
dichos plazos, o con anterioridad a su solicitud, los datos serán eliminados o
anonimizados para que ya permitan identificarle, a menos que estemos legalmente
autorizados u obligados a conservar los datos personales por más tiempo.
En el presente caso, debemos tener en cuenta además que, en la política de
privacidad de la página web www.kfc.es no se ofrece información precisa sobre los
fines del tratamiento de datos, al utilizar expresiones indefinidas como “podemos
utilizar…”, sin que el reclamado haya acreditado el motivo por el cual se hizo
necesario el empleo de las mismas, tal y como requieren las Directrices sobre la
transparencia en virtud del Reglamento (UE) 2016/679 del GT29, revisadas por última
vez y adoptadas el 11 de abril de 2018, y donde se estable lo siguiente:
“13. Debe evitarse el uso de calificativos del tipo «puede», «podría»,
«algunos», «frecuentemente» y «posible». Cuando los responsables del
tratamiento opten por utilizar un lenguaje indefinido, deben poder demostrar,
con arreglo al principio de responsabilidad proactiva, por qué no se pudo evitar
emplear este lenguaje y por qué no socava la lealtad del tratamiento. (…)”
III.-
b).-Tipificación y calificación de la infracción
Sobre la información que el responsable del tratamiento de los datos deberá facilitar al
interesado cuando se obtengan de éste,
El considerando 60) del RGPD indica:
“Los principios de tratamiento leal y transparente exigen que se informe al
interesado de la existencia de la operación de tratamiento y sus fines. El
responsable del tratamiento debe facilitar al interesado cuanta información
complementaria sea necesaria para garantizar un tratamiento leal y
transparente, habida cuenta de las circunstancias y del contexto específicos en
que se traten los datos personales. Se debe además informar al interesado de
la existencia de la elaboración de perfiles y de las consecuencias de dicha
elaboración. Si los datos personales se obtienen de los interesados, también
se les debe informar de si están obligados a facilitarlos y de las consecuencias
en caso de que no lo hicieran. Dicha información puede transmitirse en
combinación con unos iconos normalizados que ofrezcan, de forma fácilmente
visible, inteligible y claramente legible, una adecuada visión de conjunto del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
41/50
tratamiento previsto. Los iconos que se presentan en formato electrónico
deben ser legibles mecánicamente”.
El considerando 61) del RGPD indica lo siguiente:
“Se debe facilitar a los interesados la información sobre el tratamiento de sus
datos personales en el momento en que se obtengan de ellos o, si se obtienen
de otra fuente, en un plazo razonable, dependiendo de las circunstancias del
caso. Si los datos personales pueden ser comunicados legítimamente a otro
destinatario, se debe informar al interesado en el momento en que se
comunican al destinatario por primera vez. El responsable del tratamiento que
proyecte tratar los datos para un fin que no sea aquel para el que se recogieron
debe proporcionar al interesado, antes de dicho tratamiento ulterior,
información sobre ese otro fin y otra información necesaria. Cuando el origen
de los datos personales no pueda facilitarse al interesado por haberse utilizado
varias fuentes, debe facilitarse información general.
Por su parte, el artículo 13 del RGPD, detalla la información que se debe facilitar al
interesado cuando sus datos personales son obtenidos directamente de él,
estableciéndose lo siguiente:
“1.Cuando se obtengan de un interesado datos personales relativos a él, el
responsable del tratamiento, en el momento en que estos se obtengan, le
facilitará: a) la identidad y los datos de contacto del responsable y, en su caso,
de su representante; b) los datos de contacto del delegado de protección de
datos, en su caso; c) los fines del tratamiento a que se destinan los datos
personales y la base jurídica del tratamiento; d) cuando el tratamiento se base
en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de
un tercero; e) los destinatarios o las categorías de destinatarios de los datos
personales, en su caso; f) en su caso, la intención del responsable de transferir
datos personales a un tercer país u organización internacional y la existencia o
ausencia de una decisión de adecuación de la Comisión, o, en el caso de las
transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1,
párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los
medios para obtener una copia de estas o al hecho de que se hayan prestado.
2. Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado, en el momento en que se obtengan los
datos personales, la siguiente información necesaria para garantizar un
tratamiento de datos leal y transparente:
a) el plazo durante el cual se conservarán los datos personales o, cuando no
sea posible, los criterios utilizados para determinar este plazo; b) la existencia
del derecho a solicitar al responsable del tratamiento el acceso a los datos
personales relativos al interesado, y su rectificación o supresión, o la limitación
de su tratamiento, o a oponerse al tratamiento, así como el derecho a la
portabilidad de los datos; c) cuando el tratamiento esté basado en el artículo 6,
apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del
derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a
la licitud del tratamiento basado en el consentimiento previo a su retirada; d) el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
42/50
derecho a presentar una reclamación ante una autoridad de control; e) si la
comunicación de datos personales es un requisito legal o contractual, o un
requisito necesario para suscribir un contrato, y si el interesado está obligado a
facilitar los datos personales y está informado de las posibles consecuencias
de que no facilitar tales datos; f) la existencia de decisiones automatizas,
incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y
4, y, al menos en tales casos, información significativa sobre la lógica aplicada,
así como la importancia y las consecuencias previstas de dicho tratamiento
para el interesado”.
Pues bien, según el apartado c) del artículo 13.1 RGPD, se debe informar a los
usuarios de los fines del tratamiento a que se destinarán sus datos personales y la
base jurídica aplicable para ello (art. 6 RGPD), evitando prácticas tales como incluir
finalidades demasiado genéricas o inespecíficas, que puedan conducir a tratamientos
ulteriores que excedan las expectativas razonables del interesado.
Si accedemos a la “Política de Privacidad” de la web, www.kfc.es
(https://www.kfc.es/privacidad) podemos leer, respecto a las finalidades a las que se
destinaran los datos personales obtenidos, entre otras, lo siguiente:
“(…) personalizar su experiencia con nosotros y promover nuestros programas
de recompensas o fidelización (…)”,
“(…) compartir, vender o divulgar su información con: Otras Marcas: Podemos
compartir información personal con nuestra empresa matriz: Yum Brands y
otras empresas de Yum Brands y nuestras filiales, que pueden utilizar su
información de forma similar a la que se describe en esta Política.
O, por ejemplo, cuando la entidad manifiesta que podrá compartir los datos personales
obtenidos con sus proveedores externos. Indicado esto, de una manera genérica y
abstracta, sin identificar los proveedores ni la base jurídica en que se apoya:
“(…) para compartir con proveedores externos (…).
En base a los fundamentos de derecho expuestos anteriormente, los hechos indicados
en el apartado anterior son constitutivos de una infracción del artículo 13 RGPD.
III.-
c.- Sanción impuesta
Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5.b) del RGPD.
En este sentido, el artículo 74.a) de la LOPDGDD, considera leve, a efectos de
prescripción, “El incumplimiento del principio de transparencia de la información o el
derecho de información del afectado por no facilitar toda la información exigida por los
artículos 13 y 14 del Reglamento (UE) 2016/679”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
43/50
El balance de las circunstancias contempladas, con respecto a la infracción cometida,
al vulnerar lo establecido en su artículo 13 del RGPD, permite fijar una sanción inicial
de 5.000 euros (cinco mil euros).
III.-
d.- Medidas
De conformidad con el artículo 58.2 del RGPD, la medida correctiva a imponer al titular
de la página web consiste en que tome las medidas necesarias para adecuar la página
web de su titularidad (www.kfc.es ) a la normativa vigente, adecuándola a lo estipulado
en el artículo 13 del RGPD.
Se advierte que no atender a los requerimientos de este organismo puede ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.
IV.-
a.- Sobre la inexistencia de Delegado de Protección de Datos.
Cuando esta Agencia solicitó información a la entidad KFC sobre los análisis
realizados para evaluar la necesidad de nombrar o no, un DPD, la entidad contesto lo
siguiente:
“(…) A este respecto, desde KFC se ha entendido que no existe la obligación
de designación del DPD, debido a que las actividades del tratamiento
realizadas no se circunscriben a las del art 37 RGPD ni la entidad se encuentra
entre las obligadas en el art 34 LOPDGDD.
Del mismo modo, la gestión de cumplimiento en materia de protección de datos
viene siendo ejercida por personal interno especialista en protección de datos,
en particular, desde UK, a través de B.B.B., Global Privacy Lead CounselHead
y la consultoría de expertos externos en cada uno de los países desde los que
se opera.
No obstante, y como ya se indicó anteriormente a esta Agencia, internamente
se procederá a evaluar periódicamente la necesidad designación del mismo,
en función de los posibles cambios operacionales así como el inicio de nuevas
ramas de negocio que puedan suponer la incorporación de nuevas actividades
del tratamiento, el con el objeto de ofrecer mayores garantías de cumplimiento
a nuestros clientes y usuarios en cuanto a las actividades y procedimientos en
el tratamiento de datos personales, en particular, si se iniciasen actividades del
tratamiento que se comprendieran la elaboración de perfiles (…)”.
IV.-
b).-Tipificación y calificación de la infracción
Respecto a la necesidad o no de nombrar un Delegado de Protección de Datos, el
artículo 37 RGPD, determina lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
44/50
“1. El responsable y el encargado del tratamiento designarán un delegado de
protección de datos siempre que: a) el tratamiento lo lleve a cabo una
autoridad u organismo público, excepto los tribunales que actúen en ejercicio
de su función judicial; b) las actividades principales del responsable o del
encargado consistan en operaciones de tratamiento que, debido a su
naturaleza, alcance y/o fines, requieran una observación habitual y sistemática
de interesados a gran escala, c) las actividades principales del responsable o
del encargado consistan en el tratamiento a gran escala de categorías
especiales de datos personales con arreglo al artículo 9 y de datos relativos a
condenas e infracciones penales a que se refiere el artículo 10”.
En este caso que nos ocupa, el supuesto de aplicación sería el 37.1.b) del RGPD,
donde se deben examinar tres elementos: “actividad principal”, la “observación
habitual y sistemática” y “gran escala”.
Es cierto que se trata de conceptos jurídicos indeterminados, más esto se han ido
perfilando a través de las diferentes opiniones y dictámenes del Grupo de Trabajo del
Artículo 29:
Sobre lo que es una actividad principal el WP-243 (Directrices sobre los delegados de
protección de datos -DPD) establece que:
“El artículo 37, apartado 1, letras b) y c), del RGPD se refiere a las «actividades
principales del responsable o del encargado» y así tenemos como, el
considerando 97 RGPD, especifica que las actividades principales de un
responsable están relacionadas con «sus actividades primarias y no están
relacionadas con el tratamiento de datos personales como actividades
auxiliares».
Las “actividades principales” pueden considerarse las operaciones clave necesarias
para lograr los objetivos del responsable o del encargado del tratamiento. No obstante,
las “actividades principales” no deben interpretarse como excluyentes cuando el
tratamiento de datos sea una parte indisociable de la actividad del responsable o
encargado del tratamiento.
Por ejemplo, la actividad principal de un hospital es prestar atención sanitaria. Sin
embargo, un hospital no podría prestar atención sanitaria de manera segura y eficaz
sin tratar datos relativos a la salud, como las historias clínicas de los pacientes. Por
tanto, el tratamiento de dichos datos debe considerarse una de las actividades
principales de cualquier hospital y los hospitales deben, en consecuencia, designar un
DPD.
Otro ejemplo sería el de una empresa de seguridad privada que lleva a cabo la
vigilancia de una serie de centros comerciales privados y de espacios públicos. La
vigilancia es la actividad principal, que a su vez está ligada de manera indisociable al
tratamiento de datos personales. Por tanto, esta empresa debe también designar un
DPD.
Por otra parte, todas las organizaciones llevan a cabo determinadas actividades, por
ejemplo, pagar a sus empleados o realizar actividades ordinarias de apoyo de TI.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
45/50
Dichas actividades son ejemplo de funciones de apoyo necesarias para la actividad o
el negocio principales de la organización. Aunque estas actividades son necesarias o
esenciales, normalmente se consideran funciones auxiliares y no la actividad
principal”.
La segunda cuestión es la observancia habitual y sistemática, que el WP 243
determina que “no se limita al entorno en línea y el seguimiento en línea debe
considerarse solo un ejemplo de observación del comportamiento de los interesados.
El Grupo de Trabajo del artículo 29 interpreta “habitual” con uno o más de los
siguientes significados: a). continuado o que se produce a intervalos concretos durante
un periodo concreto; b). recurrente o repetido en momentos prefijados o que tiene
lugar de manera constante o periódica.
El Grupo de Trabajo interpreta “sistemático” con uno o más de los siguientes
significados: a). que se produce de acuerdo con un sistema; b). preestablecido,
organizado o metódico; c). que tiene lugar como parte de un plan general de recogida
de datos; d). llevado a cabo como parte de una estrategia.
Como ejemplo cita las actividades de mercadotecnia basadas en datos, llevar a cabo
un seguimiento de la ubicación, por ejemplo, mediante aplicaciones móviles,
programas de fidelidad o publicidad comportamental.
Así, en el supuesto examinado cumple con el criterio de habitual y conforme a un plan
de recogida de datos para obtener datos de los clientes e incrementar su área de
negocio. Sólo hay que echar un vistazo a su política de privacidad, en la que muestran
que recogen datos de todo tipo, incluyendo la dirección IP (un punto clave de
localización), el historial de navegación y las preferencias del usuario, datos derivados
de las cookies entre las que existen algunas de seguimiento, datos de geolocalización
o datos de facturación, entre otros.
Y los recogen de manera habitual, pues los precisan para prestar sus servicios y para
mejorar el rendimiento de su negocio.
Entre otras cosas indican en la política de privacidad que la utilizan los datos con fines
estadísticos y de servicios.
En tercer lugar, habrá que determinar si es a gran escala, sobre lo que el WP 243 fija
ciertos criterios “recomienda que se tengan en cuenta los siguientes factores, en
particular, a la hora de determinar si el tratamiento se realiza a gran escala: a). el
número de interesados afectados, bien como cifra concreta o como proporción de la
población correspondiente; b). el volumen de datos o la variedad de elementos de
datos que son objeto de tratamiento; c) la duración, o permanencia, de la actividad de
tratamiento de datos; d). el alcance geográfico de la actividad de tratamiento.
E indica como algún ejemplo a gran escala “el tratamiento de datos de geolocalización
en tiempo real de clientes de una cadena internacional de comida rápida con fines
estadísticos por parte de un responsable del tratamiento especializado en la prestación
de estos servicios; · el tratamiento de datos de clientes en el desarrollo normal de la
actividad de una compañía de seguros o de un banco”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
46/50
El CEPD no determina en ningún caso qué es la gran escala, sino que se ciñe a los
criterios referenciados. Así lo pone de manifiesto en otros documentos: “The GDPR
does not precisely define what constitutes large-scale. In the WP29 guidelines on Data
Protection Officer (WP243) and on DPIA (WP248), both endorsed by Board, it has
recommended to take in account several specific factors when determining whether a
processing is carried out on a large scale. The Board is of the opinion that those
factors are sufficient to assess whether the processing of personal data is undertaken
on a large scale. Therefore, the Board requests the Supervisory Authority of the Czech
Republic to amend its list accordingly, by deleting the explicit figures in its list, and
making reference to the previously mentioned definitions of large scale”, Opinion
4/2018 on the draft list of the competent supervisory authority of Czech Republic
regarding the processing operations subject to the requirement of a data protection
impact assessment (Article 35.4 GDPR)”.
Debemos completarlo con el considerando 91 RGPD que fija, en cuanto a las
evaluaciones de impactos de protección de datos, que:
“Lo anterior debe aplicarse, en particular, a las operaciones de tratamiento a
gran escala que persiguen tratar una cantidad considerable de datos
personales a nivel regional, nacional o supranacional y que podrían afectar a
un gran número de interesados y entrañen probablemente un alto riesgo, por
ejemplo, debido a su sensibilidad, cuando, en función del nivel de
conocimientos técnicos alcanzado, se haya utilizado una nueva tecnología a
gran escala y a otras operaciones de tratamiento que entrañan un alto riesgo
para los derechos y libertades de los interesados, en particular cuando estas
operaciones hace más difícil para los interesados el ejercicio de sus derechos.
…”.
Un tratamiento a gran escala supone tratar una cantidad considerable de datos
personales (todos los citados en su política de privacidad) en un determinado ámbito
territorial (en este caso a nivel nacional); afectando a múltiples interesados (se trata de
una app de amplia implantación y con un gran número de interesados); también si
pueden entrañar alto riesgo (uno de los datos que utilizan es la de la geolocalización).
Examinados los parámetros explicitados al supuesto concreto, obviamente realiza un
tratamiento de datos a gran escala.
La Confederation of European Data Protection Organitations (CEDPO) determina
también una serie de criterios interpretativos comunes (no son vinculantes ni una
disposición normativa) e indican, en lo que nos pudiera servir que:
“Core activities” must be construed in accordance with the description of the
corporate purpose of the organization and the P&L revenues; “Large scale”
should be understood according to a risk-based approach (rather than using
criteria such as number of employees or the “volume” of personal data
processed in a certain period of time alone); “Monitoring of behaviour” shall
exclude the IT monitoring activities that any organization nowadays must carry
out for the purposes of (i) (cyber)security; (ii) protecting the organization’s
systems and assets (including IP and confidential information as well as the
personal data stored or otherwise processed by the organization); and (iii)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
47/50
complying with laws and regulatory guidance (e.g., data protection duties, anti-
fraud and anti-money laundering related activities)”.
Frente a las alegaciones formuladas en la demanda relativas a los criterios
cuantitativos que pueden utilizar otras autoridades de control para determinar cuándo
nos enfrentamos a un tratamiento a gran escala, hemos de significar que la AEPD es
una autoridad de control independiente que, en el cumplimiento de sus funciones,
determina en cada caso concreto si el tratamiento es o no a gran escala, atendiendo a
las circunstancias concurrentes.
En otro orden de cosas, indicaremos que el nombramiento obligatorio del DPD en el
supuesto previsto en el art. 37.1.b) del RGPD sólo se encuentra vinculado al
cumplimento de los presupuestos fijados en el mismo y no a otros relatados por el
demandante cuales son la tipología de los datos o de los tratamientos. El hecho de
que las actividades principales del responsable o del encargado consistan en
operaciones de tratamiento que, debido a su naturaleza, alcance y/o fines, requieran
una observación habitual y sistemática de interesados a gran escala ya impone la
necesidad de nombramiento de DPD, por los riesgos que entraña, máxime si se
desarrolla a través de internet o de una app como en el supuesto examinado.
La figura del DPD como asesor cualificado del responsable o encargado del
tratamiento es un refuerzo imprescindible en los supuestos previstos en el RGPD y en
la LOPDGDD para garantizar el Derecho Fundamental a los ciudadanos y evitar la
materialización de los riesgos que una determinada actividad puede conllevar.
Pensemos simplemente en la suplantación de identidad (art. 28.2 de la LOPDGDD).
La nimiedad del riesgo queda por tanto descartada.
En todo caso no tener DPD cuando es obligatorio, es un riesgo para la protección de
datos de carácter personal.
En este sentido, la LOPDGDD determina en su artículo 34.1 y 3, sobre la designación
de un delegado de protección de datos, lo siguiente:
1. “Los responsables y encargados del tratamiento deberán designar un delegado de
protección de datos en los supuestos previstos en el artículo 37.1 del Reglamento
(UE) 2016/679
3. Los responsables y encargados del tratamiento comunicarán en el plazo de diez
días a la Agencia Española de Protección de Datos o, en su caso, a las autoridades
autonómicas de protección de datos, las designaciones, nombramientos y ceses de
los delegados de protección de datos tanto en los supuestos en que se encuentren
obligadas a su designación como en el caso en que sea voluntaria.”
En base a los fundamentos de derecho expuestos anteriormente, los hechos indicados
en el apartado anterior son constitutivos de una infracción del artículo 37 del RGPD.
IV.-
c.- Sanción
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
48/50
Esta infracción puede ser sancionada con multa de 10.000.000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.4.a) RGPD.
En este sentido, el artículo 73 LOPDGDD, considera grave, a efectos de prescripción,
“v) El incumplimiento de la obligación de designar un delegado de protección de datos
cuando sea exigible su nombramiento de acuerdo con el artículo 37 del Reglamento
(UE) 2016/679 y el artículo 34 de esta ley orgánica.”.
De acuerdo con los preceptos indicados, a efectos de fijar el importe de la sanción a
imponer en el presente caso, se considera que procede graduar la sanción a imponer
de acuerdo con los siguientes criterios agravantes que establece el artículo 83.2 del
RGPD:
- La intencionalidad en la infracción, por parte de KFC, (apartado b), partiendo
de que se trata de una entidad cuya actividad lleva aparejado un continuo
tratamiento de datos personales de los clientes, se considera de especial
importancia recordar en este punto, la SAN de 17 de octubre de 2007 (rec.
63/2006), donde se indica que: “…el Tribunal Supremo viene entendiendo que
existe imprudencia siempre que se desatiende un deber legal de cuidado, es
decir, cuando el infractor no se comporta con la diligencia exigible. Y en la
valoración del grado de diligencia ha de ponderarse especialmente la
profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora
examinado, cuando la actividad de la recurrente es de constante y abundante
manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito
cuidado por ajustarse a las prevenciones legales al respecto".
Se considera además que, procede graduar la sanción a imponer de acuerdo con los
siguientes criterios agravantes, que establece el artículo 76.2 de la LOPDGDD:
- La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales, (apartado b), considerando el nivel de implantación de la
entidad KFC en la economía del país, en la que se ven implicados datos
personales de miles de clientes que acceden diariamente a sus servicios.
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2
LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 37.1 RGPD, permite fijar una sanción de 20.000 euros (veinte mil euros).
IV.-
Medidas.
Esta Agencia acuerda imponer al responsable la adopción de medidas adecuadas
para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo
establecido en el citado artículo 58.2 d) del RGPD, la medida correctiva a imponer al
titular de la página web consiste en que se nombre Delegado de Protección de Datos,
según estipula el artículo 37 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
49/50
Se advierte que no atender a los requerimientos de este organismo puede ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.
Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia
Española de Protección de Datos
RESUELVE
PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones a la entidad, KFC
RESTAURANTS SPAIN, S.L., (KFC) con CIF.: B86281599, titular de la página web,
https://www.kfc.es respecto del artículo 6.1 del RGPD.
SEGUNDO: IMPONER a la entidad, KFC RESTAURANTS SPAIN, S.L., (KFC) con
CIF.: B86281599, titular de la página web, https://www.kfc.es con arreglo a lo
dispuesto en los artículos 63 y 64 de la LPACAP, por la infracción del artículo 37 del
RGPD, por la falta de nombramiento de un Delegado de Protección de Datos, una
sanción de 20.000 euros (veinte mil euros).
TERCERO: IMPONER a la entidad, KFC RESTAURANTS SPAIN, S.L., (KFC) con
CIF.: B86281599, titular de la página web, https://www.kfc.es con arreglo a lo
dispuesto en los artículos 63 y 64 de la LPACAP, por la infracción del artículo 13 del
RGPD, por la falta de información suministrada en la “Política de Privacidad” sobre el
tratamiento de los datos personales obtenidos, con una sanción de 5.000 (cinco mil
euros).
CUARTO: ORDENAR a la entidad KFC RESTAURANTS SPAIN, S.L., que implante,
en el plazo de un mes, las medidas correctoras necesarias para adecuar su actuación
a la normativa de protección de datos personales, así como que informe a esta
Agencia en el mismo plazo sobre las medidas adoptadas, nombrando un Delegado de
Protección de Datos, según estipula el artículo 37 del RGPD.
QUINTO: ORDENAR a la entidad KFC RESTAURANTS SPAIN, S.L., que implante, en
el plazo de un mes, las medidas correctoras necesarias para adecuar su actuación a la
normativa de protección de datos personales, así como que informe a esta Agencia en
el mismo plazo sobre las medidas adoptadas, adecuando la “Política de Privacidad” de
su página web www.kfc.es a lo estipulado en el artículo 13 del RGPD.
SEXTO: NOTIFICAR la presente resolución a la entidad KFC RESTAURANTS SPAIN,
S.L., (KFC) con CIF.: B86281599,
Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea
ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del
Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de
julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su
ingreso en la cuenta restringida Nº ES00 0000 0000 0000 0000 , abierta a nombre de
la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.
o en caso contrario, se procederá a su recaudación en período ejecutivo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
50/50
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa (artículo 48.6 de la
LOPDGDD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas, los interesados podrán interponer, potestativamente,
recurso de reposición la Directora de la Agencia Española de Protección de Datos en
el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución
o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-
administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y
en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio,
reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a
contar desde el día siguiente a la notificación de este acto, según lo previsto en el
artículo 46.1 del referido texto legal.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la Ley 39/2015,
de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si
el interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es