L'Autorità per la protezione dei dati spagnola (AEPD) ha imposto una multa all'Istituto  di credito per aver elaborato illegalmente i dati personali dei clienti  (4.000.000€) e non aver fornito agli stessi un'informativa adeguata sulle  modalità di trattamento (2.000.000€). Nello stabilire l'entità della sanzione  l'AEPD ha tenuto conto di diversi fattori aggravanti, come la natura, la  gravità, la durata e la negligenza dell'infrazione; l'Autorità ha altresì  appurato che la Banca non aveva previsto alcun meccanismo per la raccolta del  consenso dell'interessato e che le attività di trattamento basate sul  legittimo interesse dell'azienda non erano sufficientemente giustificate.