L'Agence Espagnole de Protection des Données (AEPD) a publié une décision constatant une infraction à l'encontre de l'Institut National de la Statistique (INE) pour des manquements liés à l'encadrement de la relation avec ses sous-traitants.

Cette affaire débute par une plainte signalant qu'un prestataire de l'INE aurait conservé des copies de recensements électoraux pour constituer une base de données de plus de 47 millions de citoyens.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'encadrer la relation avec un sous-traitant (article 28 du RGPD) : L'INE a communiqué des données personnelles issues du recensement électoral à un prestataire pour l'exécution de plusieurs contrats, notamment dans le cadre de procédures d'urgence, sans formaliser le contrat de sous-traitance requis. L'autorité a rejeté l'argument selon lequel le prestataire connaissait ses obligations par le biais de contrats antérieurs, rappelant que l'établissement d'un tel acte juridique est une obligation impérative et non une simple formalité. L'absence de clauses dédiées à la protection des données dans les cahiers des charges des procédures d'urgence et de tout autre document liant les parties a été retenue pour caractériser le manquement.

En conséquence, l'autorité a déclaré que l'Institut National de la Statistique a enfreint les dispositions du RGPD.