Issue #15 | October 2026, Week 4
20 de octubre de 2026Regulators are cracking down on sloppy data hygiene, from Italian publishers fined for publishing graphic crime photos to US health firms paying $2.7M for leaked patient records. Meanwhile, exam boards and police forces face penalties for losing exam evidence and sharing personal details on unapproved platforms.
La autoridad italiana de protección de datos multa a una editorial por publicar fotos de la escena del crimen
- Jurisdicción
- Italia
- Nombre legal del infractor
- Cairo Editore
- Domicilio del infractor
- Italia
- Presunta infracción
- Violación de la privacidad
- Medida de aplicación
- Una multa no divulgada
- Estado del caso
- Una acción administrativa
Italy’s Data Protection Authority has fined publishing company Cairo Editore for publishing graphic images of a crime victim’s blood-stained body in its weekly magazine.
The decision, issued on September 23, 2026, followed a complaint from the victim’s family. The magazine published the photos on March 26, 2026, showing where she was found dead and her body lying on the stairs, with part of her face covered. The family said the images caused them deep distress and violated the dignity of their daughter and her memory.
The authority ruled that the images were unnecessary to report on the case and added no significant new information. It said the publication violated the regulations on the personal data.
The regulator also noted that journalists must respect the dignity of victims and their families, even after a person has died. It warned that excessive media attention can cross the line between reporting the news and sensationalism.
In a separate decision, the authority also fined a YouTube channel over similar content related to the case.
The Garante didn’t disclose the amount of fines issued in each case.
Ofqual fines ABRSM £150,000 over data retention failures
- Jurisdicción
- El Reino Unido
- Nombre legal del infractor
- ABRSM
- Domicilio del infractor
- El Reino Unido
- Presunta infracción
- Data retention failure
- Medida de aplicación
- A £150,000 fine
- Estado del caso
- Una acción administrativa
The UK qualifications regulator Ofqual (The Office of Qualifications and Examinations Regulation) has fined the Associated Board of the Royal Schools of Music (ABRSM) £150,000 (€177,900) for failing to properly retain assessment records and evidence. ABRSM provides music qualifications through face-to-face and digital assessments.
Ofqual detectó tres incidentes entre 2024 y 2025 en los que se perdieron o eliminaron registros importantes de evaluación. En el primer caso, no se conservaron 8.539 grabaciones de audio debido a un error de software, afectando a 20 alumnos que solicitaron una revisión de sus calificaciones. En otro incidente, se eliminaron por error las grabaciones y los registros de evaluación de 16 alumnos, lo que retrasó la publicación de los resultados y les dificultó cuestionar sus calificaciones.
The third incident involved a suspected malpractice case linked to a tutor overseas who entered 710 learners for assessments. However, 231 recordings were missing, limiting ABRSM’s ability to investigate the case fully.
Ofqual also found that around 72,000 certificates were issued with incorrect qualification titles, creating a risk of confusion for learners, employers and education providers. ABRSM later corrected the error, informed learners and offered replacement certificates.
Como parte del acuerdo, ABRSM pagará la multa de £150.000, aportará £10.000 (€11.860) para cubrir los gastos de investigación de Ofqual y encargará una auditoría independiente de sus sistemas de retención de registros.
Health companies to pay $2.7M after data breach exposed patient information
- Jurisdicción
- Estados Unidos
- Nombre legal del infractor
- BCHP; XTIUM
- Domicilio del infractor
- Estados Unidos
- Presunta infracción
- Falta de protección de los datos de los pacientes
- Medida de aplicación
- A $2.7 million fine
- Estado del caso
- Una acción administrativa
Boston Children’s Health Physicians (BCHP) and IT company XTIUM will pay $2.7 million after a data breach exposed the private information of approximately 825,000 New York residents and 62,871 Connecticut residents.
The breach occurred in August 2024, when hackers gained access to XTIUM’s systems and stole information from 18 clients, including BCHP.
Los datos sustraídos incluían información personal, médica y financiera. Más de 170 000 residentes de Nueva York tuvieron expuestos sus números de Social Security y de licencia de conducir. La investigación reveló que BCHP no implementó medidas de seguridad básicas, a pesar de estar consciente de los problemas detectados en una auditoría de 2023. La empresa también dejó un archivo sin cifrar, mayormente desprotegido, que contenía más de un millón de registros de facturación de pacientes.
XTIUM was also found to have weak security controls and insufficient monitoring to detect suspicious activity. Under the settlement, the companies will pay $2.1 million to New York and $540,000 to Connecticut. The companies are also required to strengthen their cybersecurity systems, improve monitoring and develop better plans to respond to future threats.
Romania fines Myconnector Platform €6,000 after a cyber-attack
- Jurisdicción
- Rumanía
- Nombre legal del infractor
- Myconnector
Platform SRL - Domicilio del infractor
- Rumanía
- Presunta infracción
- Infracción del RGPD
- Medida de aplicación
- A 31,451 lei fine
- Estado del caso
- Una acción administrativa
Romania’s National Supervisory Authority for Personal Data Processing has fined technology and event management platform Myconnector Platform SRL 31,451 lei (€6,000) for violating Article 32(1)(b) and Article 32(2) of the General Data Protection Regulation (GDPR), Regulation (EU) 2016/679.
The investigation was launched after the company reported a personal data breach under Article 33 of the GDPR. Authorities found that a cyber-attack on the company’s test server allowed an unauthorized third party to access users’ personal data.
The exposed information included email addresses, phone numbers, full names, personal numerical codes, and identity document details. The investigation also found that the company used real personal data instead of fictitious data when testing its MyConnector Platform application.
Según la autoridad, el incidente se debió a la falta de aplicación de medidas de seguridad técnicas y organizativas adecuadas para proteger los datos personales y garantizar la confidencialidad e integridad de sus sistemas, tal y como exige el artículo 32 del RGPD.
In addition to the fine, the authority ordered the company, under Article 58(2)(d) of the GDPR, to use only fictitious data in development and testing environments.
El ICO amonesta a la Policía Metropolitana por el intercambio ilícito de datos personales
- Jurisdicción
- El Reino Unido
- Nombre legal del infractor
- MPS
- Domicilio del infractor
- El Reino Unido
- Presunta infracción
- Violación de la protección de datos personales
- Medida de aplicación
- Acción regulatoria — sin multa anunciada
- Estado del caso
- Una acción administrativa
The UK’s Information Commissioner’s Office (ICO) has issued a reprimand and enforcement notice to the Metropolitan Police Service (MPS) after officers and staff shared personal information through an unapproved crime intelligence platform.
The ICO found that the platform was used between March 2023 and September 2024 without proper data protection safeguards or oversight. Around 500 accounts were created, with 375 actively used for policing.
Entre enero y septiembre de 2024, se subieron datos personales relativos a 179 personas, incluidas tres menores de 18 años, para ayudar a identificar a presuntos ladrones de tiendas. La información incluía nombres, fechas de nacimiento y, en un número reducido de casos, domicilios.
The investigation found that the force had shared personal data unlawfully, failed to carry out a required data protection assessment and did not have suitable measures in place to control the use of third-party technology.
El MPS suspendió la plataforma en septiembre de 2024 y la reintrodujo en enero de 2026 tras realizar cambios, incluida una mayor supervisión, la formación del personal y controles contractuales más estrictos.
No obstante, la ICO señaló que se requería acción adicional para abordar las preocupaciones más amplias sobre la forma en que la fuerza policial aprueba y gestiona la tecnología de terceros.
Aviso legal: La información de este blog procede de fuentes públicas y gubernamentales. Recordamos respetuosamente a nuestros lectores la presunción de inocencia. La información aquí contenida se proporciona únicamente con fines educativos y no constituye una opinión ni un asesoramiento jurídico.