Les plaignants ont déclaré au cours de l'affaire avoir conclu un contrat de crédit avec la banque, qui a vendu sa créance contre les plaignants et a transféré leurs données respectives à une société tierce (responsable du traitement). NAIH a déterminé dans le cas où le responsable du traitement ne peut se fier ni au consentement des personnes concernées ni à l'exécution du contrat de crédit comme base juridique du traitement des données, puisque les personnes concernées ont conclu un tel contrat avec la banque et non avec le responsable du traitement. La base juridique appropriée pour le traitement aurait pu être l'intérêt légitime du responsable du traitement.