L'APD espagnole a infligé une amende à DKV Seguros y Reaseguros, SAE. Une personne avait déposé une plainte auprès de l'APD après avoir reçu plusieurs e-mails du responsable du traitement contenant des informations provenant d'une personne inconnue. Le responsable du traitement avait envoyé 51 e-mails contenant des certificats médicaux contenant les noms, prénoms et données sur les tests médicaux des personnes concernées au mauvais destinataire. Le plaignant avait alerté le responsable du traitement de l'envoi erroné à plusieurs reprises, mais le responsable du traitement n'a pas répondu avant d'avoir pris connaissance de la plainte adressée à l'APD. Le responsable du traitement n'avait pas signalé la violation de données à l'APD. Au cours de son enquête, l'APD a constaté que le responsable du traitement n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité de protection des données adapté au risque. L'amende initiale de 220 000 EUR a été réduite à 132 000 EUR en raison du paiement volontaire et de la reconnaissance de responsabilité.