L’autorité espagnole de protection des données a publié une décision de sanction à l’encontre de l’Agence espagnole des médicaments et des produits sanitaires (AEMPS), comprenant le prononcé d’une amende pour des manquements liés à une violation de données personnelles affectant les registres nationaux de stimulateurs cardiaques et de défibrillateurs implantables.

Cette affaire a débuté par une violation de données personnelles (une brèche de confidentialité) survenue sur les systèmes de ***EMPRESA.1, un sous-traitant de l'AEMPS. La violation a conduit à la compromission de données sensibles, notamment des données de santé et des données identifiantes, appartenant aux Registres Nationaux de Marcapasos et de Défibrillateurs Automatiques Implantables (DAI). Au total, les données personnelles de ***CANTIDAD.2 personnes ont été affectées par cet incident.

L’enquête menée par l’autorité a permis de constater :
* Obligation de confidentialité des données (article 5.1 f) du RGPD) : L'AEMPS, en sa qualité de responsable du traitement, est tenue responsable de la brèche de confidentialité survenue. L'audit post-incident a révélé que le sous-traitant (***EMPRESA.1) n'avait pas mis en œuvre, au moment de la violation, une série de mesures de sécurité qui, avec une forte probabilité, auraient pu empêcher l'incident ou en réduire l'impact. L'AEPD a souligné que même si la brèche s'est produite chez le sous-traitant, la responsabilité incombe au responsable du traitement (l'AEMPS), conformément au principe de responsabilité proactive établi à l'article 5.2 du RGPD.

En conséquence, l’autorité a imposé une amende à l’Agence espagnole des médicaments et des produits sanitaires. L’AEMPS a reconnu expressément sa responsabilité dans un écrit daté du 11 août 2025, sollicitant l’application d’une réduction de 40 % de la sanction, conformément à l’article 85 de la loi 39/2015 relative au Procédure administrative commune des administrations publiques, pour reconnaissance de responsabilité et paiement volontaire. La sanction a été graduée au minimum en tenant compte des circonstances de l’affaire.

En outre, la décision précise que la compétence pour résoudre ce type de procédure relève de la présidence de l’Agence espagnole de protection des données, et que la résolution sera notifiée à l’AEMPS, communiquée au Défenseur du Peuple, et rendue publique. Les intéressés disposent d’un délai d’un mois pour former un recours de révision et de deux mois pour un recours contentieux-administratif devant la juridiction compétente.