L'AEPD (Agence espagnole de protection des données) a infligé une amende de 10 millions d'euros à GOOGLE LLC. Deux personnes concernées s'étaient plaintes auprès de l'AEPD que Google avait divulgué leurs données personnelles à des tiers sans autorisation. Au cours de la longue enquête, l'AEPD a découvert que Google avait transmis des données personnelles de personnes concernées au projet Lumen. Lumen est un projet du Berkman Klein Center for Internet & Society de l'Université de Harvard. Le projet a débuté en 2002 dans le but de recueillir des demandes relatives à la suppression de contenus de sites Web aux États-Unis et en dehors de ceux-ci. Ces données peuvent ensuite être consultées par des chercheurs et d'autres parties intéressées. Les utilisateurs de plateformes exploitées par Google telles que YouTube ou Google Drive ont la possibilité de demander la suppression de contenus les concernant sur ces plateformes. À cette fin, Google a mis à disposition différents formulaires de contact et de réclamation. Toutefois, les données des personnes concernées qui utilisent ces formulaires ont été automatiquement transmises au projet Lumen. Les personnes concernées n'ont pas eu la possibilité de s'opposer à cette transmission, car la transmission automatique à Lumen était une condition à l'utilisation des formulaires. Pour cette raison, la DPA a estimé que, en raison de l'absence de possibilité de s'opposer au transfert des données à Lumen, Google avait traité les données des personnes concernées sans base juridique valable. Dans ce contexte, la DPA a également estimé que Google n'avait pas suffisamment permis aux personnes concernées d'exercer leur droit à l'effacement de leurs données. Lors de l'évaluation de l'amende, la DPA a pris en compte comme facteurs aggravants le fait que les données avaient non seulement été divulguées, mais également transférées vers un pays tiers sans donner aux personnes concernées la possibilité de s'y opposer. Cela a privé les personnes concernées de tout contrôle sur le traitement de leurs données personnelles. En outre, la DPA a constaté que le transfert s'était déroulé sur une très longue période. En outre, un grand nombre de personnes étaient concernées et, dans certains cas, des données sensibles avaient été traitées.