L'APD espagnole a infligé une amende de 365 000 euros à CTC EXTERNALIZACIÓN, SL. Un employé avait déposé une plainte auprès de l'APD en raison du fait que le responsable du traitement avait demandé des empreintes digitales d'employés afin de mettre en œuvre un nouveau système de gestion des temps de présence. Cependant, il n'a pas été communiqué que les empreintes digitales seraient également stockées dans le portail du personnel. Pour cette raison, l'APD a estimé que le responsable du traitement avait violé son devoir d'information. L'APD a également constaté que le responsable du traitement n'était pas en mesure de démontrer des mesures de sécurité suffisantes pour le traitement des empreintes digitales. Enfin, l'APD a constaté que le responsable du traitement n'avait pas effectué l'analyse d'impact relative à la protection des données requise.