En España operan más de 1.300 redes de franquicia con cerca de 80.000 establecimientos activos. Detrás de cada local hay bases de datos compartidas, programas de fidelización y CRM comunes que cruzan información entre la central y cada franquiciado. Cuando la AEPD llama a la puerta, la pregunta que nadie quiere responder es: ¿quién es el responsable? La respuesta, como casi siempre en protección de datos, es: depende. Y de esa respuesta pueden depender multas de miles de euros.
El Problema de Fondo: Datos que Fluyen en Dos Direcciones
Una red de franquicia es, por naturaleza, un modelo en el que los datos de los clientes no pertenecen solo al establecimiento donde se generan. El cliente que acumula puntos en una tarjeta de fidelización en Valencia también puede canjearlos en Madrid. El CRM corporativo registra cada compra, cada preferencia, cada reclamación. El software de gestión lo gestiona la central pero lo usa el franquiciado.
Este flujo constante de datos personales entre franquiciador y franquiciados genera una estructura jurídica que el RGPD exige definir con precisión: ¿quién decide para qué se usan los datos? ¿Quién fija las medidas de seguridad? ¿Quién responde ante el cliente?
Tres Posibles Relaciones Jurídicas entre Franquiciador y Franquiciado
1. Responsables Independientes
Si el franquiciado recoge datos de sus clientes con sus propias finalidades —por ejemplo, para enviarsus propias comunicaciones comerciales—, actúa como responsable del tratamiento independiente. Responde él solo ante la AEPD por lo que haga con esos datos.
2. Encargado del Tratamiento
Cuando el franquiciado solo trata datos siguiendo las instrucciones de la central —introduce pedidos en el sistema corporativo, registra clientes en el CRM de la franquicia pero no decide nada sobre el uso de esos datos—, actúa como encargado del tratamiento. En este caso, debe existir un contrato de encargo del tratamiento (artículo 28 RGPD) entre ambas partes. Sin ese contrato, ambos incumplen.
3. Corresponsables del Tratamiento
La figura más compleja: cuando franquiciador y franquiciado determinan conjuntamente los fines y los medios del tratamiento —por ejemplo, un programa de fidelización donde ambos se benefician de los datos y ambos toman decisiones sobre su uso—, son corresponsables (artículo 26 RGPD). Deben formalizar un acuerdo que especifique qué le corresponde a cada uno y deben informar de este acuerdo a los clientes.
Casos Reales: Multas que Han Marcado el Sector
Expediente PS/00378/2021: 200.000 € a una Cadena por Base de Datos de Fidelización sin Acuerdos
La AEPD sancionó a una cadena de distribución con presencia en múltiples comunidades autónomas con 200.000 euros por operar un programa de tarjeta de fidelización que compartía datos entre la central y sus establecimientos franquiciados sin haber formalizado los acuerdos de corresponsabilidad ni los contratos de encargo del tratamiento exigidos por el RGPD. Los clientes habían dado su consentimiento al establecimiento local, pero sus datos eran tratados por la central con finalidades de marketing no informadas. La AEPD consideró que la infracción era grave y continuada.
Expediente PS/00089/2022: 5.000 € a un Franquiciado por Brecha de Datos Local
Un franquiciado individual del sector de la restauración sufrió un incidente de seguridad que expuso datos de clientes almacenados en una tablet del local. El franquiciador había implementado medidas de seguridad en su sistema central, pero el establecimiento guardaba copias locales no autorizadas. La AEPD impuso una sanción de 5.000 euros al franquiciado —no a la central— por haber actuado al margen de las instrucciones de seguridad y tratar datos con medidas insuficientes.
Qué Debe Regular el Contrato de Franquicia en Materia de Datos
Un contrato de franquicia que no aborde la protección de datos de forma explícita es un contrato incompleto e incumplidor del RGPD. Debe incluir:
- Definición clara del rol de cada parte (responsable, encargado o corresponsable)
- Instrucciones detalladas sobre cómo tratar los datos de clientes
- Obligaciones del franquiciado en materia de seguridad
- Procedimiento ante brechas de seguridad y notificación a la central
- Prohibición de cesiones no autorizadas a terceros
- Plazo y forma de destrucción de datos al término del contrato
Checklist para Franquiciadores y Franquiciados
- He identificado el rol jurídico de cada parte en cada tratamiento de datos
- Existe contrato de encargo del tratamiento firmado con cada franquiciado (si aplica)
- Existe acuerdo de corresponsabilidad formalizado y comunicado a los clientes (si aplica)
- El programa de fidelización tiene base jurídica válida y política de privacidad actualizada
- El CRM corporativo solo es accesible con credenciales individuales por establecimiento
- Los franquiciados no almacenan copias locales de datos fuera del sistema autorizado
- Existe protocolo de comunicación de brechas entre franquiciado y central
- Se han revisado los contratos de franquicia para incluir cláusulas RGPD
- Los empleados de cada establecimiento han recibido formación básica en protección de datos
Si gestiona una red de franquicia en Valencia o es franquiciado y no tiene claro cuál es su posición jurídica respecto a los datos de sus clientes, no espere a recibir una reclamación. En nuestro despacho especializado en Protección de Datos Valencia ofrecemos una consulta gratuita para analizar su modelo de negocio, identificar los riesgos y preparar los acuerdos y contratos necesarios. Rellene el formulario de contacto y le llamamos sin compromiso.
Fuentes: Reglamento (UE) 2016/679 (RGPD), artículos 26 y 28; Resolución AEPD PS/00378/2021; Resolución AEPD PS/00089/2022; Directrices 07/2020 del Comité Europeo de Protección de Datos sobre conceptos de responsable y encargado del tratamiento; Asociación Española de Franquiciadores – Informe de la Franquicia en España 2023.
¿Necesitas cumplir con el RGPD?
Habla con nuestros expertos en protección de datos en Valencia. Consulta gratuita y sin compromiso.