La DPA espagnole (AEPD) a infligé une amende à NBQ Technology, SAU. Une personne concernée a déposé une plainte auprès de la DPA contre l'entreprise après qu'elle lui eut refusé une transaction financière en raison de prétendus impayés sur un prêt. Il s'est avéré qu'un voleur d'identité avait obtenu les données de la personne concernée sans autorisation et demandé un prêt auprès du responsable du traitement sous prétexte de l'identité de la personne concernée. Le contrôleur a alors approuvé le prêt. Étant donné que les données traitées dans le cadre de l'octroi du prêt n'appartenaient pas à l'emprunteur mais à la personne concernée, l'AEPD a constaté que le responsable du traitement n'avait aucune base légale pour traiter les données. Le traitement était donc illégal et violait l'art. 6 (1) GDPR a été confirmé. L'amende initiale de 40 000 EUR a été réduite à 24 000 EUR en raison du paiement immédiat et de l'aveu de culpabilité.