L'APD portugaise a infligé une amende de 4,3 millions d'euros à l'Institut national portugais de la statistique. L'APD a constaté de nombreuses violations du RGPD dans le cadre du recensement de 2021 au Portugal. L'APD a d'abord constaté que le responsable du traitement n'avait pas informé les personnes concernées que la fourniture de données religieuses et de santé était purement volontaire. L'APD a estimé qu'il s'agissait d'une interférence avec la capacité des personnes concernées à exprimer librement leur volonté concernant le traitement des données. En outre, l'APD a constaté que le responsable du traitement n'avait pas fait preuve de la diligence requise dans le choix de son sous-traitant, contrairement à son obligation en vertu de l'article 28 du RGPD. En outre, le contrat de traitement des commandes autorisait le transfert de données personnelles en dehors de l'EEE sans prévoir de mesures de sécurité supplémentaires en plus du SCCS approuvé par la Commission européenne, comme l'exige l'arrêt Schrems II. L'APD a estimé qu'il s'agissait d'une violation de l'article 44 du RGPD et de l'article 46 (2) du RGPD. Enfin, l'APD a constaté que le responsable du traitement n'avait pas effectué d'analyse d'impact relative à la protection des données concernant le recensement.