L'APD espagnole (AEPD) a infligé une amende à Banco Bilbao Vizcaya Argentaria, SA. La raison en était une plainte d'une personne relative à un défaut d'authentification. En conséquence, seul le numéro d'identification devait être donné à titre d'identification lors de la fourniture d'informations par téléphone. Cela pourrait permettre à toute personne d'appeler, de fournir un numéro d'identification et ainsi de recevoir les informations associées au numéro d'identification sans aucune vérification que l'appelant est bien le titulaire de l'identification. L'APD a considéré qu'il s'agissait d'un échec dans la mise en œuvre des mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité approprié au risque posé aux personnes concernées. L'amende initiale de 200 000 euros a été réduite à 120 000 euros en raison d'un paiement volontaire et d'une reconnaissance de culpabilité.