L'Agence Espagnole de Protection des Données (AEPD) a publié une décision de sanction à l'encontre de CRUZ ROJA ESPAÑOLA, comprenant le prononcé d'une amende de 100 000 €, pour des manquements en lien avec la sécurité des données et l'absence d'analyse d'impact. Cette affaire débute par une plainte déposée le 19 avril 2023, signalant la réception d'un courriel contenant les données personnelles d'autres patients dans le cadre d'un changement de gestion d'une banque de gamètes.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : Une erreur de programmation dans une macro utilisée pour un envoi massif de courriels a entraîné la divulgation non autorisée de données personnelles de patients d'une unité de procréation assistée. Des informations telles que les noms et numéros de pièce d'identité ont été envoyées à de mauvais destinataires. L'autorité a relevé que ces communications, contenant des données de santé, n'étaient pas chiffrées, manquant ainsi à l'obligation de garantir une sécurité appropriée des données.

* Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : L'entité n'a pas effectué d'analyse d'impact pour le traitement des données de sa banque de gamètes, arguant que celui-ci était antérieur à l'entrée en vigueur du RGPD. L'autorité a rejeté cet argument, rappelant que le RGPD s'applique aux traitements en cours et qu'une telle analyse était obligatoire en raison du traitement à grande échelle de données de santé, considérées comme à haut risque.

En conséquence, l’autorité a imposé une amende de 100 000 € à CRUZ ROJA ESPAÑOLA, laquelle a été réduite à 80 000 € suite à un paiement volontaire.