Le responsable du traitement avait engagé une société externe pour s'acquitter des obligations d'accès aux données conformément à l'art. 15 RGPD. Cependant, la société engagée a effectué la correspondance avec les personnes concernées sous son propre logo et en langue anglaise, de sorte que les personnes concernées ne voyaient pas clairement qui était responsable du traitement des données. En conséquence, le responsable du traitement a enfreint le principe de transparence énoncé à l'art. 12 RGPD et n'a pas suffisamment rempli ses obligations de fournir des informations conformément à l'art. 15 RGPD. En outre, l'autorité de contrôle de la protection des données a constaté qu'aucun contrat écrit de traitement des données n'avait été conclu entre le responsable du traitement et la société externe, constituant ainsi une autre violation de l'art. 28 (9) RGPD.