L'APD espagnole a infligé une amende à Thomas International Systems, SA. Thomas International effectue des tests psychologiques pour le compte d'autres entreprises. Thomas International avait effectué un tel test pour le compte de la société Agroxarxa, SL. Un participant à un tel test avait déposé une plainte contre le responsable du traitement car il devait fournir des données personnelles sensibles (origine ethnique, handicap). Cependant, Agroxarxa avait indiqué que le test ne demandait ni ne traitait de telles données sensibles. Au cours de son enquête, l'APD a constaté que Thomas International avait néanmoins traité des données personnelles sensibles sans le consentement de la personne concernée ou que le traitement était nécessaire à la réalisation de la finalité contractuellement convenue entre Agroxarxa et Thomas International. L'APD a considéré qu'il s'agissait d'une violation de l'art. 9 du RGPD. L'amende initiale de 50 000 euros a été réduite à 40 000 euros en raison du paiement volontaire.