L'autorité islandaise de protection des données a infligé une amende de 51 000 EUR au ministère de l'Industrie et de l'Innovation et une amende de 27 200 EUR à YAY ehf. L'amende est liée à une campagne du ministère visant à encourager les Islandais à voyager à l'intérieur du pays à l'été 2020. Il s'agissait d'un chèque-cadeau numérique qui pouvait être obtenu via l'application de la société YAY ehf. La DPA a reçu un certain nombre de plaintes concernant le fait que l'utilisation du cadeau de voyage nécessitait de nombreuses informations personnelles et l'accès aux téléphones des utilisateurs. En conséquence, la DPA a ouvert des enquêtes contre le ministère et l'entreprise. La DPA a constaté que le ministère avait violé le principe de légalité et de transparence. Les individus participants n'étaient tenus d'accepter les conditions générales d'utilisation de l'application YAY que pour participer à la promotion des bons. Cependant, la DPA a constaté qu'en agissant ainsi, les personnes concernées n'avaient pas expressément consenti au traitement de leurs données personnelles effectué dans le cadre de la promotion. La DPA a également constaté que les informations fournies sur le traitement réel des données à caractère personnel étaient insuffisantes. De plus, ni le ministère ni YAY ehf. avait mis en place des mesures techniques et organisationnelles appropriées pour assurer la sécurité du traitement des données personnelles. De plus, en raison d'une erreur de configuration de la part de YAY, plus de données que nécessaire ont été traitées, c'est pourquoi la DPA a constaté une violation du principe de minimisation des données.