Una red de franquicia plantea una doble pregunta en relación con el Delegado de Protección de Datos: ¿está obligado el franquiciador? ¿están obligados los franquiciados? Y, si la respuesta a alguna de las dos es afirmativa, ¿puede haber un solo DPD para toda la red? La intuición empresarial empuja hacia la simplificación: un DPD común para toda la marca. La regulación es más matizada y exige analizar caso por caso.
Este artículo explica las reglas aplicables: el art. 37 RGPD sobre obligación de designación, el art. 37.2 RGPD sobre DPD único en grupo empresarial, el art. 34 LOPDGDD sobre supuestos adicionales en derecho español, y las figuras del art. 38 y art. 39 RGPD sobre posición y funciones.
Cuándo es obligatorio el DPD: art. 37 RGPD y art. 34 LOPDGDD
El art. 37.1 RGPD obliga a designar DPD en tres supuestos:
- Cuando el responsable o encargado es una autoridad u organismo público (no procede en franquicia privada).
- Cuando las actividades principales consisten en operaciones de tratamiento que, por su naturaleza, alcance o fines, requieren una observación habitual y sistemática de interesados a gran escala.
- Cuando las actividades principales consisten en el tratamiento a gran escala de categorías especiales del art. 9 (salud, etc.) o de datos del art. 10 (condenas e infracciones).
El art. 34 LOPDGDD complementa el RGPD con un listado adicional de supuestos donde la designación es obligatoria en España (entidades financieras, centros sanitarios obligados a llevar historia clínica, distribuidores energéticos, prestadores de servicios de la sociedad de la información que elaboren perfiles a gran escala, entre otros).
En una red de franquicia, la pregunta se desdobla: la situación del franquiciador y la de cada franquiciado deben analizarse por separado, porque son empresas jurídicamente distintas con tratamientos distintos.
Cuándo lo necesita típicamente el franquiciador
El franquiciador centraliza con frecuencia tratamientos a gran escala que no existen aislados en cada franquiciado: app del consumidor con millones de descargas, programa de fidelización nacional, CRM unificado, perfilado de clientes, analítica avanzada, campañas masivas. Cuando esos tratamientos constituyen una actividad principal de la sociedad franquiciadora (o de la sociedad de servicios del grupo), la designación de DPD es típicamente obligatoria en aplicación del art. 37.1.b RGPD.
Si la marca opera en sectores donde se tratan categorías especiales de forma central (por ejemplo, una franquicia de servicios sanitarios), también se activa el art. 37.1.c RGPD.
Cuándo lo necesita típicamente el franquiciado
El franquiciado, por su escala local, no suele realizar tratamientos a gran escala que activen la obligación general del art. 37.1.b RGPD. La obligación aparece cuando el sector de la franquicia es uno de los del art. 34 LOPDGDD o cuando, individualmente, el franquiciado realiza tratamientos masivos por su propia cuenta. En sectores generalistas (restauración, retail, servicios estandarizados), el franquiciado individual raramente está obligado.
Aunque esta es la regla general del sector, la exigencia final dependerá de la escala, volumen y tipología exacta de los tratamientos de cada entidad. Cada caso requiere un análisis individualizado.
El art. 37.2 RGPD: DPD único en grupo empresarial
El art. 37.2 RGPD permite que un grupo empresarial designe un solo DPD, siempre que sea fácilmente accesible desde cada establecimiento. La pregunta operativa es: ¿una red de franquicia es un grupo empresarial a efectos del art. 37.2 RGPD?
| Escenario | ¿Art. 37.2 RGPD? | Solución habitual |
|---|---|---|
| Grupo empresarial del franquiciador (matriz + filiales) | Sí aplicable. | DPD único dentro del grupo, designado y notificado por la entidad cabecera. |
| Franquiciador y franquiciados independientes | No aplicable directamente: no son grupo del art. 4.19 RGPD. | Cada empresa designa por separado. Posible DPD externo común contratado individualmente por cada una. |
| Franquiciados que son filiales de la matriz franquiciadora | Aplicable entre los que sí pertenecen al grupo. | DPD único entre matriz y filiales; los franquiciados ajenos al grupo, por separado. |
La fórmula práctica: DPD externo común contratado por separado
La solución más extendida en redes de franquicia obligadas es la designación coordinada: el franquiciador designa su DPD (interno o externo), y cada franquiciado que esté obligado contrata individualmente con el mismo DPD externo que el franquiciador. Cada empresa hace su propia designación, su propia notificación a la AEPD y su propio contrato.
Ventajas operativas: el DPD conoce la red, los procedimientos comunes, los proveedores y las herramientas; los franquiciados se benefician del estándar de marca; la coordinación de incidencias es más sencilla. Lo que no cambia es que cada empresa sigue siendo responsable autónomo de su cumplimiento y el DPD trabaja con cada una en relación bilateral, con la independencia funcional del art. 38.3 RGPD.
Posición y funciones del DPD (art. 38 y art. 39 RGPD)
Sea cual sea el modelo elegido, el DPD designado en cualquier empresa de la red debe gozar de las garantías del art. 38 RGPD: implicación adecuada y temprana en cuestiones de protección de datos, recursos suficientes para desempeñar sus funciones, ausencia de instrucciones sobre el ejercicio de las funciones, no sancionable por su desempeño, dependencia del más alto nivel jerárquico y obligación de secreto.
Sus funciones, conforme al art. 39 RGPD, son:
- Informar y asesorar al responsable, al encargado y a sus empleados sobre las obligaciones del RGPD.
- Supervisar el cumplimiento del RGPD y de las políticas internas, incluyendo la asignación de responsabilidades, la concienciación y formación del personal y las auditorías correspondientes.
- Asesorar en relación con la evaluación de impacto y supervisar su aplicación.
- Cooperar con la autoridad de control (la AEPD en España).
- Actuar como punto de contacto de la autoridad de control en relación con tratamientos y consultas previas.
"En una red de franquicia, el DPD coordinado funciona muy bien siempre que cada empresa entienda que el DPD trabaja para ella, no para la marca. Mismo DPD, mismas herramientas, mismos procedimientos, mismos criterios. Pero designación individual, contrato individual y supervisión individual. Lo que falla siempre es asumir que el DPD del franquiciador cubre por contagio al franquiciado."
Mario P. Talamillo · Socio director, Certix®
Designación voluntaria del DPD
El art. 37.4 RGPD permite que cualquier responsable que no esté obligado designe DPD voluntariamente. Si lo hace, todas las reglas del art. 38 y art. 39 RGPD le aplican igual que a un DPD obligatorio: no se trata de un DPD de segunda. La AEPD reconoce la designación voluntaria como evidencia del principio de responsabilidad proactiva del art. 24 RGPD.
En franquicia, la designación voluntaria puede tener sentido cuando los franquiciados no están técnicamente obligados pero quieren alinearse con el estándar de la marca por motivos reputacionales, contractuales (el contrato de franquicia se lo exige) o de organización interna.
Notificación a la AEPD
El art. 37.7 RGPD obliga a publicar los datos de contacto del DPD y comunicarlos a la autoridad de control. En España la notificación se hace a través de la sede electrónica de la AEPD. Cada empresa que designe DPD hace su propia notificación, también cuando es un DPD externo común a varias.
Checklist para el reparto de DPD en la red
- Analizar separadamente la situación del franquiciador, en función de la escala y centralización de sus tratamientos.
- Analizar separadamente la situación de cada franquiciado (o, al menos, modelizar los perfiles típicos: franquiciado pequeño, mediano, grande).
- Verificar si el sector de la franquicia activa supuestos del art. 34 LOPDGDD.
- Si el franquiciador está obligado: designar DPD, notificar a la AEPD, dotar de recursos e independencia.
- Si algunos franquiciados están obligados: ofrecerles la posibilidad de contratar al mismo DPD externo (designación individual coordinada).
- Documentar el análisis de no obligación cuando la conclusión es que no hace falta DPD, como evidencia de responsabilidad proactiva.
- Incluir en el contrato de franquicia un compromiso del franquiciado de evaluar su propia obligación y comunicar al franquiciador la designación que efectúe.
- Coordinar procedimientos comunes (atención de derechos, brechas, formación) pero respetar la independencia formal de cada designación.
Preguntas frecuentes
¿Es obligatorio designar DPD en una red de franquicia?
Depende del análisis individual del franquiciador y de cada franquiciado conforme al art. 37 RGPD y art. 34 LOPDGDD. El franquiciador con tratamientos centralizados a gran escala suele estar obligado; los franquiciados, según escala y sector. Cada caso requiere análisis individualizado.
¿Puede el franquiciador designar un único DPD para toda la red?
El art. 37.2 RGPD se aplica a grupo empresarial en sentido estricto (matriz y filiales), no a la red de franquicia entre empresas independientes. La fórmula práctica es la designación coordinada: el mismo DPD externo contratado por separado por franquiciador y franquiciados obligados.
¿Qué responsabilidades tiene el DPD en una red con corresponsables y encargos cruzados?
Las del art. 39 RGPD respecto a la empresa que lo designó. No responde personalmente de las decisiones del responsable: el art. 38.3 RGPD garantiza su independencia funcional. La responsabilidad última del cumplimiento siempre es del responsable.
¿Qué pasa si el franquiciador tiene DPD y el franquiciado no, o al revés?
Es la situación habitual y no es problemática si cada empresa ha analizado su obligación. El franquiciador con tratamientos masivos puede estar obligado y los franquiciados no, o al revés en sectores que activen art. 34 LOPDGDD individualmente. Lo que importa es que cada uno designe si le toca.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica y sectorial puede ampliar o modificar requisitos.
¿Tu red de franquicia necesita un DPD coordinado que sirva a la marca y a los franquiciados obligados?
En Certix te asignamos un DPD externo experto en redes de marca. Designación coordinada, sin intermediarios comerciales, sin plantillas genéricas.
Hablar con un experto