Il certificato di casellario giudiziale veniva chiesto da Amazon Spagna ai candidati per l'assunzione di vettori autonomi. Il documento che accerta l'assenza di precedenti penali veniva inoltre trasferito ad altre filiali della multinazionale al di fuori dei confini dell'Unione Europea.
L'AEPD, autorità di controllo per la protezione dei dati spagnola, ha deciso di infliggere al colosso americano 2 milioni di euro di sanzione. Secondo l'art. 10 del GDPR, la richiesta del certificato di casellario giudiziale può avvenire soltanto sotto il controllo dell'autorità pubblica o se il trattamento è autorizzato dal diritto dell'Unione o degli Stati membri, motivo per cui Amazon non era legittimata a richiedere tale documento.