La DPA espagnole (AEPD) a infligé une amende de 4 000 euros à Automecanica Jerez, SL. Le responsable du traitement avait envoyé des e-mails commerciaux à un grand nombre de personnes sans leur consentement. Ce faisant, le responsable du traitement n'a pas caché les données personnelles des destinataires, telles que le nom, le prénom et l'adresse e-mail, ce qui a permis aux autres destinataires de consulter les données. L'AEPD a considéré qu'il s'agissait d'une violation de l'article 5 (1) f) GDPR et de l'article 32 GDPR, car le responsable du traitement n'avait pas mis en œuvre des mesures techniques et organisationnelles pour assurer un niveau de sécurité adéquat dans le traitement des données personnelles. En outre, l'AEPD a constaté une violation de l'art. 21 LSSI.