La DPA espagnole (AEPD) a condamné NBQ Technology à une amende de 20 000 EUR. Un voleur d'identité avait obtenu les données d'un tiers sans autorisation et avait demandé un microcrédit au responsable du traitement sous prétexte de l'identité de la personne concernée. Le contrôleur a ensuite approuvé le prêt. Étant donné que les données traitées dans le cadre de l'octroi du prêt n'appartenaient pas au bénéficiaire du prêt, mais à la personne concernée, l'AEPD a déterminé que le responsable du traitement ne disposait pas d'une base légale pour le traitement des données. Le traitement était donc illégal et une violation de l'art. 6 (1) du RGPD a été confirmé. L'amende initiale de 20 000 EUR a été réduite à 12 000 EUR en raison du paiement immédiat et de la reconnaissance de dette.