Ukarana przez Prezesa UODO spółka nie wdrożyła odpowiednich środków technicznych i organizacyjnych, które umożliwiałyby łatwe i skuteczne wycofanie zgody na przetwarzanie danych osobowych oraz realizację prawa do żądania usunięcia danych osobowych (prawa do bycia zapomnianym). Naruszyła więc określone w RODO zasady zgodności z prawem, rzetelności i przejrzystości przetwarzania danych osobowych.
Prezes UODO uznał, że działanie spółki było niezgodne także z art. 7 ust. 3 RODO, spółka w procesie wycofania zgody nie uwzględniła zasady zgodnie, z którą wycofanie zgody powinno być równie łatwe jak jej wyrażenie – wręcz odwrotnie stosowała dla wycofania zgody skomplikowane rozwiązania organizacyjne i techniczne. Ponadto Spółka nie ułatwiała realizacji praw osobom, których dane przetwarzała, a wymaga tego art. 12 ust. 2 RODO.