L'Agence espagnole de protection des données (AEPD) a communiqué avoir reçu 2 765 notifications de violations de données à caractère personnel au cours de l'année 2025.

Sur ce total, 80 % provenaient du secteur privé et 20 % du secteur public. Les responsables de traitement ont émis plus de 200 millions de communications aux personnes concernées en raison d'un risque élevé. L'AEPD précise que la notification, obligatoire selon l'article 33 du RGPD, ne déclenche pas systématiquement une procédure et que seules onze violations ont fait l'objet d'une enquête approfondie en raison d'indices de manque de diligence dans la gestion de l'incident ou dans les mesures préventives.

Les violations les plus importantes en volume de personnes affectées résultent de cyberincidents, tels que les rançongiciels et les intrusions entraînant une exfiltration massive de données, notamment via des attaques contre des sous-traitants gérant des plateformes de gestion de la relation client (CRM). L'accès par des identifiants compromis sur des réseaux privés virtuels (VPN) d'entreprise ou des applications web est une méthode courante. D'autres incidents fréquents incluent l'envoi de données à des destinataires erronés ou leur affichage par erreur. L'autorité rappelle que le refus de communiquer la violation aux personnes concernées est un facteur prioritaire pour l'ouverture d'une inspection.