L'Agence espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre d'une personne physique (comprenant le prononcé d'une amende de 500 €) pour des manquements en lien avec l'accès non autorisé à des données personnelles. Cette affaire débute par une plainte déposée contre la Mairie de Madrid, signalant la divulgation à des tiers, notamment des médias, de données personnelles du plaignant (identité, coordonnées, informations financières et détails de dossiers d'urbanisme).

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement (article 6 du RGPD) : Une employée municipale a accédé à 129 reprises à des dossiers d'urbanisme via une application de gestion interne. Ces dossiers contenaient les données personnelles du plaignant, incluant son identité, son adresse, son numéro de téléphone et des informations économiques. L'enquête a révélé que l'accès a été réalisé en utilisant des identifiants correspondant à un poste que cette personne n'occupait plus, et que ses autorisations n'avaient pas été mises à jour après son changement de fonction. L'autorité a conclu que cet accès, effectué sans habilitation en vigueur, constituait un traitement de données personnelles sans base légale valide.

En conséquence, la personne physique s'est vue sanctionner de l'amende mentionnée ci-dessus.