L'Agence espagnole de protection des données a publié une décision à l'encontre du Conseil du tourisme et de l'emploi, constatant un manquement à la confidentialité des données personnelles mais archivant la procédure de sanction.
Cette affaire débute par une plainte déposée le 28 février 2024, signalant l'envoi d'un courriel par le Conseil à 22 destinataires, divulguant les données personnelles de 25 demandeurs.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : Le Conseil a envoyé un courriel à 22 destinataires sans utiliser la fonction de copie cachée. Ce message contenait en pièce jointe un fichier listant les données personnelles de 25 demandeurs (nom, prénom, représentant, numéro d'enregistrement, défendeur et objet de la procédure), permettant à chaque destinataire d'accéder aux informations de procédures qui ne le concernaient pas. Le Conseil a reconnu les faits, les attribuant à un logiciel obsolète utilisé jusqu'en janvier 2024, qui a depuis été remplacé.

En conséquence, bien que l'infraction ait été reconnue, l'autorité a décidé d'archiver la procédure de sanction à l'encontre du Conseil du tourisme et de l'emploi sans prononcer de mesures complémentaires.