L'autorité espagnole de protection des données (AEPD) a publié une décision déclarant une infraction à l'encontre du Ministère de l'Intérieur du Gouvernement régional d'Andalousie pour des manquements liés à la communication de données personnelles à un sous-traitant sans base légale. Cette affaire débute par une plainte signalant que du personnel sans contrat de travail accédait à la base de données du centre d'appels d'urgence 112 en utilisant des identifiants génériques.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement (article 6 du RGPD) : Le Ministère, en tant que responsable du traitement du fichier du service d'urgence 112, a communiqué des données personnelles, y compris des données de santé, à la société prestataire MK PLAN 21, S.A. sans base légale. L'autorité a constaté que le contrat liant les deux entités ne respectait pas les exigences prévues pour les relations de sous-traitance, notamment l'absence des clauses obligatoires. Par conséquent, l'accès aux données par le prestataire a été requalifié en communication de données à un tiers, effectuée sans le consentement des personnes concernées.

En conséquence, l'autorité a déclaré que le Ministère de l'Intérieur du Gouvernement régional d'Andalousie a commis une infraction.

En outre, l’autorité a ordonné au Ministère d'adopter les mesures internes nécessaires pour éviter que de telles infractions ne se reproduisent.