La DPA italienne (Garante) a infligé une amende de 350 000 EUR à la ville de Rome pour ne pas avoir pris les mesures techniques et organisationnelles adéquates concernant les données des citoyens qui avaient obtenu des autorisations pour accéder aux zones à trafic limité. Les permis ont été vérifiés en scannant les codes QR situés sur les badges apposés sur les pare-brise. Cela a permis au personnel municipal de vérifier en temps réel si le véhicule en question était autorisé à se trouver dans la zone et à qui le permis avait été délivré. Cependant, selon la DPA, non seulement le personnel de la ville, mais n'importe qui pouvait scanner les codes et accéder aux informations, car cela ne nécessitait qu'un scanner QR ordinaire. Les informations stockées dans le système comprennent, par exemple, le nom de l'utilisateur ou le numéro de plaque d'immatriculation du véhicule. En outre, la DPA a constaté que la ville de Rome avait utilisé les services d'un fournisseur pour l'hébergement et la maintenance de bases de données sans un accord approprié comme l'exige l'art. 28 RGPD.