La DPA norvégienne a infligé à Ferde AS, une société de péage norvégienne, une amende de 496 000 euros. Grâce à un rapport sur la société de radiodiffusion publique NRK, la DPA norvégienne a appris que Ferde AS transférait des informations sur les passages dans les péages à un processeur de données en Chine. Sur cette base, la DPA a ouvert une enquête pour savoir si la Ferde a mis en place des routines et des mesures pour assurer une sécurité adéquate des informations transférées vers la Chine. Dans le cadre de ses opérations, la Ferde est chargée d'enregistrer les passages aux postes de péage. L'enregistrement se fait généralement par une puce dans la voiture. Si la puce dans la voiture n'est pas correctement enregistrée ou si la voiture n'a pas de puce, une photo de la plaque d'immatriculation de la voiture est prise. Ces images sont ensuite envoyées à un système de reconnaissance optique automatique de caractères pour lire numériquement la plaque d'immatriculation. Dans les cas où la qualité de l'image n'est pas suffisante pour une interprétation automatique, l'image est transmise pour un traitement manuel. Ferde a confié cette tâche à Unitel Bratseth Services (UBS), qui compte également des employés en Chine. Après ses enquêtes, la DPA a conclu que Ferde AS avait enfreint un certain nombre d'obligations fondamentales du RGPD pendant une période de 1 à 2 ans. D'une part, la Ferde n'avait pas procédé à une évaluation des risques avant de traiter les données personnelles et avant d'utiliser le traitement manuel des images par le processeur. Cependant, cela aurait été nécessaire pour évaluer les risques associés au transfert et déterminer si des mesures de sécurité supplémentaires pouvaient être nécessaires. En outre, la DPA a constaté que la Ferde n'avait pas conclu de contrat de sous-traitance approprié concernant le traitement d'UBS. En conséquence, le transfert des données personnelles en question vers la Chine a eu lieu sans base légale valable. Pour déterminer le montant de l'amende, la DPA a pris en compte le facteur aggravant selon lequel une grande quantité de données personnelles a été affectée par la violation. En revanche, le fait qu'aucun dommage matériel ou immatériel aux parties affectées n'ait pu être prouvé a eu un effet atténuant.