Selon l'autorité de protection des données, le délégué à la protection des données de l'entreprise n'était pas suffisamment impliqué dans le traitement des violations de données à caractère personnel et l'entreprise ne disposait pas d'un système pour prévenir un conflit d'intérêts du DPD, qui occupait également de nombreux autres postes au sein l'entreprise (responsable du service conformité et audit), qui a conduit la DPA à conclure que le DPO de l'entreprise n'était pas en mesure de travailler de manière indépendante.