L'Agence Espagnole de Protection des Données (AEPD) a constaté une violation du RGPD par le Ministère des Finances et de l'Administration Publique du Gouvernement d'Estrémadure pour la publication de données personnelles excessives dans le cadre d'une procédure de recrutement.

Suite à une plainte déposée le 23 août 2024, il a été établi que le ministère avait publié sur son site internet une liste de 492 candidats à des postes de magasiniers, accessible depuis septembre 2019. Cette liste contenait le nom, le prénom et le numéro complet de la carte d'identité nationale (DNI) de chaque personne. L'AEPD a conclu que cette publication constituait une violation du principe de minimisation des données, tel que défini à l'article 5, paragraphe 1, point c) du RGPD. L'autorité a jugé que la divulgation du numéro d'identité complet n'était ni proportionnelle ni nécessaire aux fins du processus de sélection, exposant les personnes concernées à des risques. Le ministère, considéré comme responsable du traitement, a supprimé la liste le 6 mars 2025 après avoir été notifié de la plainte. La résolution du 10 février 2026 déclare formellement l'infraction, qualifiée de très grave en vertu de la législation nationale.