¿Cuándo es obligatorio tener un Delegado de Protección de Datos (DPD)? La sentencia de KFC da algunas claves

Cuando es obligatorio tener un Delegado de Protección de Datos (DPD) es una cuestión que no depende únicamente del tamaño de una empresa. Una pyme también puede estar obligada a designarlo cuando los tratamientos de datos que realiza reúnen determinadas características previstas en el artículo 37 del RGPD Reglamento General de Protección de Datos

Cookies de seguimiento, publicidad comportamental, geolocalización, aplicaciones móviles o programas de fidelización son algunos de los elementos que pueden hacer necesario analizar esta obligación.

Una reciente sentencia de la Audiencia Nacional, de 16 de julio de 2026, que confirma las sanciones impuestas por la Agencia Española de Protección de Datos (AEPD) a KFC Restaurants Spain, S.L., ofrece un buen ejemplo de la importancia de realizar correctamente esta evaluación.

¿Cuándo es obligatorio tener un DPD?

El artículo 37 del RGPD establece varios supuestos en los que resulta obligatorio designar un DPD.

Uno de ellos se produce cuando las actividades principales de una empresa implican tratamientos que, por su naturaleza, alcance o finalidad, requieren una observación habitual y sistemática de personas a gran escala.

Por tanto, no debemos asociar automáticamente la obligación de tener un DPD con las grandes empresas o multinacionales.

La obligación de disponer de DPD también depende del sector y de los tratamientos realizados, existiendo supuestos específicos en ámbitos como los centros docentes y los centros sanitarios

Lo importante es analizar qué tratamientos de datos realiza realmente la organización y cuál es su alcance.

La sentencia de KFC: 20.000 euros por no designar un DPD

La Audiencia Nacional ha confirmado una sanción de 20.000 euros impuesta por la AEPD a KFC por incumplimiento del artículo 37 del RGPD, al considerar que debía haber designado un Delegado de Protección de Datos.

Para llegar a esta conclusión se tuvieron en consideración tratamientos relacionados, entre otros, con:

• Direcciones IP.
• Historial de navegación.
• Preferencias de los usuarios.
• Cookies y tecnologías de seguimiento.
• Geolocalización.
• Datos de facturación.

El caso resulta especialmente interesante porque demuestra que, para determinar cuándo es obligatorio tener un DPD, no basta con preguntarse a qué sector pertenece una empresa. Es necesario analizar cómo utiliza realmente los datos personales.

¿Una pyme puede estar obligada a tener un DPD?

Sí.

Una empresa de menor tamaño puede realizar tratamientos que hagan necesario analizar la obligatoriedad de designar un Delegado de Protección de Datos.

Por ejemplo:

Cookies y tecnologías de seguimiento

Determinadas tecnologías permiten conocer de forma continuada el comportamiento de los usuarios durante su navegación, sus preferencias e intereses.

Publicidad comportamental

La información recopilada sobre la actividad de los usuarios puede utilizarse para crear segmentos o perfiles y mostrar publicidad adaptada a sus características o intereses.

Geolocalización

Las aplicaciones móviles y otros servicios digitales pueden permitir realizar un seguimiento recurrente de la ubicación de sus usuarios.

Programas de fidelización

Estos sistemas pueden proporcionar información continuada sobre compras, frecuencia de consumo, preferencias y comportamiento de los clientes.

Aplicaciones y áreas privadas de clientes

Pueden incrementar considerablemente tanto el volumen de información recopilada como la frecuencia con la que se obtienen datos sobre los usuarios.

Ahora bien, utilizar alguna de estas herramientas no significa automáticamente que la empresa esté obligada a disponer de un DPD.

Será necesario valorar si existe una observación habitual y sistemática y, especialmente, si el tratamiento se realiza a gran escala.

¿Qué significa tratamiento de datos a gran escala?

El RGPD no establece una cifra concreta de usuarios a partir de la cual un tratamiento deba considerarse automáticamente realizado a gran escala.

Para determinarlo deben analizarse factores como:

• El número de personas afectadas.
• El volumen y variedad de los datos tratados.
• La duración o permanencia del tratamiento.
• El alcance geográfico de la actividad.

Esto conduce a una conclusión importante:

El tamaño de la empresa y el tamaño del tratamiento de datos no son necesariamente lo mismo.

Una organización con una estructura relativamente pequeña puede utilizar herramientas digitales que le permitan realizar un seguimiento de un número elevado de clientes o usuarios.

Cookies, geolocalización y fidelización: ¿pueden hacer obligatorio un DPD?

Son elementos que deben tenerse en cuenta, pero ninguno de ellos determina por sí solo la obligación.

Lo relevante es valorar conjuntamente las características de los tratamientos realizados.

Por ello, una empresa que utilice de forma significativa:

• Cookies de seguimiento.
• Publicidad comportamental.
• Sistemas de geolocalización.
• Programas de fidelización.
• Elaboración de perfiles.
• Seguimiento de usuarios mediante aplicaciones.
• Herramientas de análisis continuado del comportamiento.

debería plantearse si sus tratamientos cumplen los criterios establecidos en el artículo 37 del RGPD.

La Audiencia Nacional también confirma una sanción por falta de información

La sentencia confirma además otra sanción de 5.000 euros por incumplimiento del artículo 13 del RGPD, relacionado con el deber de información.

La información de protección de datos debe explicar de forma clara y comprensible cuestiones como:

• Para qué se utilizan los datos.
• Cuál es la base jurídica del tratamiento.
• Quién puede recibirlos.
• Durante cuánto tiempo se conservarán.
• Qué derechos pueden ejercer los interesados.

Por tanto, no basta con disponer de una política de privacidad publicada en la web. Esta debe corresponderse con los tratamientos que realmente realiza la empresa y proporcionar información clara y transparente.

¿Qué revisar para saber cuándo es obligatorio tener un DPD?

Si tu empresa dispone de página web, utiliza herramientas de marketing digital o realiza tratamientos de datos de clientes y usuarios, conviene revisar:

✓ Qué datos personales recoge y para qué los utiliza.

✓ Qué cookies y tecnologías de seguimiento están instaladas.

✓ Si realiza perfiles o segmentaciones de usuarios.

✓ Si utiliza publicidad comportamental.

✓ Si realiza seguimiento de comportamiento o geolocalización.

✓ Si dispone de programas de fidelización o aplicaciones para clientes.

✓ El número de personas afectadas, el volumen de datos, la duración del tratamiento y su alcance geográfico.

✓ Si la política de privacidad y los formularios informan correctamente sobre esos tratamientos.

✓ Y, especialmente, si existe obligación de designar un Delegado de Protección de Datos.

No esperes a una reclamación para comprobar si necesitas un DPD

La sentencia de la Audiencia Nacional recuerda la importancia de evaluar esta obligación de forma preventiva.

Además, la situación de una empresa puede cambiar.

Una organización que inicialmente no necesitaba disponer de DPD puede incorporar posteriormente nuevas aplicaciones, tecnologías de seguimiento, sistemas de geolocalización, campañas de publicidad comportamental o programas de fidelización que hagan necesario volver a evaluar su obligación de designar un Delegado de Protección de Datos.

La protección de datos requiere, por tanto, una revisión periódica y adaptada a la evolución de los tratamientos realizados por cada organización.

¿Tienes dudas sobre si tu empresa está obligada a tener un DPD, o de como implantar la protección de datos en tu empresa?

Si este artículo te ha resultado útil, compártelo con otros profesionales del sector. Un correcto cumplimiento de la normativa no solo evita sanciones, sino que también constituye un elemento diferenciador que genera confianza y aporta valor a tus clientes.

AMPYF, S.L. – Consultoría en Protección de Datos y servicio de Delegado de Protección de Datos.