L'autorité roumaine de protection des données a imposé une sanction à une compagnie aérienne parce qu'elle n'a pas pris les mesures appropriées pour garantir que toute personne physique agissant sous sa supervision traite les données à caractère personnel conformément à ses instructions (article 32, paragraphe 4, du RGPD). Cela a permis à un employé d'avoir un accès non autorisé à l'application de réservation et d'être en mesure de photographier une liste avec les données personnelles de 22 passagers / clients pour divulguer cette liste sur Internet.