La DPA espagnole (AEPD) a infligé une amende de 7 000 euros à Marbella Resorts SL. En l'espèce, la personne concernée avait réservé une chambre dans le complexe hôtelier du responsable du traitement. Le jour de l'arrivée de la personne concernée, un concierge a fait des copies des données de la personne concernée. Cependant, le concierge n'était pas autorisé à le faire. Il était seul habilité à vérifier la réservation puis à remettre aux clients les clés de leur chambre. Après avoir fourni au responsable du traitement ses données personnelles, la personne concernée a découvert que ses données personnelles avaient été publiées sur une page avec un contenu en ligne pour adultes. À cet égard, la DPA a constaté un manque de diligence de la part du responsable du traitement dans la gestion des données personnelles de ses clients et donc une violation de l'article 28 (3) du RGPD. L'amende est composée au prorata de 2 000 EUR pour une infraction à l'art. 22(2) LSSI et 5 000 EIR pour violation de l'art. 28(3) du RGPD. Cependant, l'amende initiale de 7 000 EUR a été réduite à 4 200 EUR en raison du paiement immédiat et de l'aveu de culpabilité.