L'Agence espagnole de protection des données (AEPD) a publié une décision constatant une infraction de l'Agence d'État Conseil supérieur de la recherche scientifique (CSIC) pour des manquements liés à la mise en place d'un système de géolocalisation de véhicules.

Cette affaire débute par une plainte signalant l'installation de dispositifs de géolocalisation dans les véhicules de la Station biologique de Doñana (EBD), une entité du CSIC, sans information préalable du personnel et sans que ce traitement ne figure au registre des activités de traitement de l'organisme.

L’enquête menée par l’autorité a permis de constater :
* Obligation de tenir un registre des activités de traitement (article 30 du RGPD) : L'autorité a relevé que le CSIC avait mis en service un système de géolocalisation pour sa flotte de véhicules en novembre 2023. Ce traitement, qui collecte des données personnelles telles que les coordonnées géographiques et l'identification du conducteur via une étiquette d'identification par radiofréquence (RFID), n'a été inscrit au registre des activités de traitement de l'organisme qu'en janvier 2025. Il a été confirmé que cette activité de traitement était absente du registre au moins jusqu'au 15 octobre 2024, soit près d'un an après son déploiement.

En conséquence, une infraction a été formellement constatée à l'encontre de l'Agence d'État Conseil supérieur de la recherche scientifique (CSIC). Aucune amende n'a été prononcée: le CSIC est probablement une entité publique.