L'autorité espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de A.A.A., comprenant le prononcé d'une amende de 1 000 €, pour des manquements en lien avec la sécurité des données personnelles. Cette affaire débute par une plainte d'une patiente signalant avoir reçu une partie de son dossier médical par un courriel non protégé.

L’enquête menée par l’autorité a permis de constater :
* Obligation de sécurité du traitement (article 32 du RGPD) : L'entité a transmis le dossier médical d'une patiente, contenant des données de santé, par courriel sans mettre en œuvre des mesures de sécurité appropriées. L'autorité a relevé que l'utilisation du seul protocole de chiffrement de la couche de transport (TLS) était insuffisante pour garantir la confidentialité de ces données de catégories particulières, car il ne chiffre pas les données au repos. De plus, les photographies du dossier étaient directement visibles dans le corps du message, et il n'existait pas de procédure formalisée pour la gestion sécurisée des demandes d'accès au moment des faits, ce qui constitue une violation de l'obligation d'adopter des mesures techniques et organisationnelles appropriées.

En conséquence, l’autorité a imposé une amende de 1 000 € à A.A.A. Le montant final a été ramené à 800 € après application d'une réduction pour paiement volontaire.