La DPA espagnole (AEPD) a infligé une amende de 5 000 euros à Certime SA. La personne concernée avait renouvelé son permis de conduire auprès du responsable du traitement en 2009. Après le changement d'adresse en 2018, elle a reçu en 2019 un courrier du responsable du traitement à sa nouvelle adresse sans avoir informé le responsable du traitement du changement d'adresse. Dans la lettre, le responsable du traitement a informé la personne concernée que son permis de conduire allait bientôt expirer. En réponse à une demande de la personne concernée quant à l'origine de ses nouvelles informations de contact, le responsable du traitement l'a informée que sa base de données était régulièrement mise à jour à l'aide de données obtenues auprès de l'autorité de transport espagnole DGT (Dirección General de Tráfico). La personne concernée n'ayant pas donné son consentement pour un tel traitement de ses données, elle a déposé une plainte contre le responsable du traitement auprès de la DPA espagnole. Une enquête de la DPA a révélé que la société avait bel et bien conclu un contrat avec la DGT. Cependant, la DGT avait précisé que le but du traitement des données de contact dans le cadre du contrat était de garantir l'exactitude de l'adresse lors du renouvellement d'un permis de conduire ou lors de l'émission de rapports médicaux afin qu'elle puisse être envoyée à la bonne adresse. Néanmoins, les personnes concernées doivent demander et par conséquent consentir à un tel changement d'adresse. Étant donné que ces critères n'étaient pas remplis dans le cas particulier, la DPA a conclu à une violation du principe de limitation de la finalité.