L'AEPD a publié une décision constatant une infraction à l'encontre de l'Institut de Santé Carlos III (ISCIII), sans prononcer d'amende, pour des manquements liés à la sécurité des données personnelles.
Cette affaire débute par la notification d'une violation de données par l'ISCIII le 23 juin 2023, suivie d'une plainte déposée le 9 août 2023 par un participant à un projet de recherche qui signalait que ses données personnelles de contact et de santé avaient été exposées.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : Une violation de données s'est produite chez le sous-traitant de l'ISCIII, la société ***EMPRESA.2, dans le cadre du projet "Étude sur la qualité de vie liée à la santé des personnes infectées par le VIH de la cohorte du Réseau de Recherche sur le SIDA en Espagne (CoRIS-QoL)". Cet incident a entraîné un accès non autorisé aux données de (...) participants, incluant des informations d'identification et des données de santé sensibles. L'enquête et un rapport d'expertise ont démontré que le sous-traitant n'avait pas mis en œuvre plusieurs mesures de sécurité qui auraient très probablement évité ou réduit l'impact de la violation, et que ces mesures n'ont été adoptées qu'après l'incident.

En conséquence, l'autorité a déclaré l'Institut de Santé Carlos III en infraction avec le RGPD, sans toutefois lui imposer d'amende.