L'APD espagnole (AEPD) a infligé une amende à CEDICO, CENTRO DE DIAGNÓSTICO POR LA IMÁGEN, SL. La personne concernée a déposé une plainte auprès de l'AEPD. Il avait demandé une IRM de son genou en raison d'un accident du travail. De plus, il avait contacté sa compagnie d'assurance afin d'obtenir un congé de maladie. La compagnie d'assurance a alors contacté le responsable du traitement, qui a transmis le dossier médical de la personne concernée. Ce faisant, le contrôleur a également fourni à l'assureur le rapport d'une précédente IRM du genou que la personne concernée avait subie en raison d'un événement extérieur au travail. Dans son évaluation, l'assureur s'est ainsi également référé au rapport d'IRM en dehors des heures de travail et a attribué l'incapacité de travail de la personne concernée à cet événement. En conséquence, aucun congé de maladie n'a été accordé à la personne concernée. La DPA a considéré la divulgation du rapport d'IRM précédent à la compagnie d'assurance comme une violation du principe d'intégrité et de confidentialité. L'amende initiale de 30 000 EUR a été réduite à 18 000 EUR en raison du paiement volontaire et de l'aveu de culpabilité.