En 2021, la Agencia Española de Protección de Datos sancionó a Glovo con 25.000 euros. No fue una sanción por una brecha de seguridad ni por vender datos a terceros. Fue, en parte, por no tener un Delegado de Protección de Datos cuando estaba obligada a tenerlo. Un caso real, documentado, que ilustra exactamente qué pasa cuando una empresa de cierta dimensión decide ignorar esa obligación.
1. El caso Glovo: los hechos
Glovo operaba un sistema de gestión algorítmica de sus repartidores: el algoritmo asignaba pedidos, puntuaba el rendimiento y tomaba decisiones que afectaban directamente a los ingresos y continuidad de los trabajadores. Todo ello con datos personales, pero sin que los repartidores supieran qué datos se usaban, cómo se procesaban ni en base a qué criterios se les evaluaba.
Varios repartidores presentaron reclamaciones ante la AEPD. La agencia inició una investigación que resultó en una resolución de sanción con varios cargos:
- Tratamiento de datos sin base legal adecuada: el algoritmo tomaba decisiones con efectos significativos sobre los trabajadores sin una base jurídica suficiente.
- Vulneración del principio de transparencia: los interesados no recibieron información clara sobre cómo se trataban sus datos.
- Ausencia de DPD: Glovo, dado el volumen y naturaleza de los datos que trataba (datos de trabajadores a gran escala, incluyendo localización en tiempo real), estaba obligada a nombrar un DPD. No lo tenía.
- Falta de análisis de impacto: el tratamiento algorítmico requería una EIPD (Evaluación de Impacto) que no se había realizado.
2. Por qué la AEPD consideró que el DPD era obligatorio
El artículo 37 del RGPD establece que el DPD es obligatorio cuando, entre otros supuestos, el responsable del tratamiento realiza «operaciones de tratamiento que requieran una observación habitual y sistemática de interesados a gran escala». Glovo trataba datos de localización en tiempo real de miles de repartidores. Eso es, literalmente, observación habitual y sistemática a gran escala.
No haber nombrado un DPD cuando la normativa lo exige no es un error administrativo menor. Es una vulneración directa del RGPD, sancionable de forma autónoma.
La multa de 25.000 € correspondió específicamente a las infracciones relacionadas con la falta de base legal y el incumplimiento de los principios de tratamiento. Otras infracciones del mismo expediente conllevaron sanciones adicionales.
¿Sabes si tu empresa está obligada a nombrar un DPD? → Cuándo es obligatorio tener un DPD
3. Cómo un DPD habría evitado esta multa
Un DPD no evita todos los problemas, pero sí los más frecuentes y los más costosos. En el caso de Glovo, un DPD activo habría:
- Revisado la base legal del algoritmo antes de desplegarlo. Si no hay base jurídica suficiente, el DPD debe alertar a la dirección y detener el tratamiento hasta resolverlo.
- Exigido una Evaluación de Impacto (EIPD). Para cualquier tratamiento que implique decisiones automatizadas con efectos significativos, la EIPD es obligatoria. Es una de las funciones del DPD verificar cuándo se requiere.
- Garantizado que los repartidores recibieran información clara. El DPD supervisa que las cláusulas informativas sean completas y comprensibles.
- Actuado como interlocutor con la AEPD. Cuando la agencia inicia una investigación, el DPD es el punto de contacto oficial. Su presencia profesionaliza la respuesta y reduce el riesgo de agravamiento.
Ninguno de estos pasos es complejo. Todos forman parte del trabajo habitual de un DPD bien llevado. El problema de Glovo no fue la tecnología: fue la ausencia de alguien cuya función era exactamente prevenir esto.
4. Lo que tu empresa puede aprender
El caso Glovo no es el único. La AEPD publica regularmente resoluciones con sanciones a empresas de todos los tamaños por los mismos tipos de problemas. La mayoría de los casos tienen algo en común: no había nadie internamente con responsabilidad real sobre la protección de datos.
Lo que convierte una infracción menor en una sanción significativa es casi siempre la combinación de dos factores: el problema no se detectó a tiempo y, cuando llegó la inspección, la empresa no tenía documentación que acreditara que había tomado medidas.
Un DPD no garantiza que nunca haya una reclamación. Lo que sí hace es poner en marcha los mecanismos para que los problemas se detecten antes de llegar a la AEPD, y documentar que la empresa ha cumplido con sus obligaciones.
- Coste del servicio de DPD externalizado para una pyme: 300-400 €/año.
- Coste de la sanción en el caso Glovo solo por la parte del DPD y transparencia: 25.000 €.
- Coste de una sanción grave por tratamiento ilícito en empresas grandes: hasta 20 millones de euros o el 4% del volumen de negocio global.
El cálculo es sencillo.
Verifica si tu empresa necesita DPD obligatoriamente: ¿Cuándo es obligatorio tener un DPD?
Si ya lo tienes claro y quieres empezar: Cómo contratar un DPD: guía para elegir bien
No esperes a que la AEPD llame a tu puerta → Consulta sin compromiso