L'autorité croate de protection des données (AZOP) a infligé une amende de 20 000 euros à un responsable du traitement des données opérant dans le secteur des jeux de hasard et des paris. Le responsable du traitement des données a collecté et traité des données personnelles de personnes concernées par le biais de cookies sans leur donner la possibilité de donner ou de retirer leur consentement à un tel traitement de manière éclairée et volontaire, en violation de l'art. 6 (1) a) du RGPD et de l'art. 7 du RGPD. Dans les cas où le traitement des données personnelles repose sur le consentement et sert à des fins multiples, le mécanisme de consentement, tel que la bannière de cookies, doit être clairement distinctif, facilement accessible et utiliser un langage clair et simple à comprendre. Cependant, dans ce cas précis, le responsable du traitement des données n'a pas séparé la bannière de cookies, empêchant les personnes concernées de donner un consentement clair à différentes fins telles que le marketing ou l'analyse. En outre, l'autorité croate de protection des données a constaté que le responsable du traitement traitait les données personnelles des personnes concernées dès qu'elles accédaient à la page Web, avant même qu'elles ne consentent à certains cookies. Cette pratique a été jugée déloyale car les personnes concernées n'étaient pas au courant que leurs données personnelles étaient collectées au moment de l'accès au site Web. Ce traitement inéquitable viole le principe de traitement licite, équitable et transparent des données personnelles énoncé à l’art. 5 (1) du RGPD. En outre, un examen de la politique de confidentialité du responsable du traitement des données a révélé des lacunes. Ce document manquait d’informations concernant la base juridique du traitement des données, les types de cookies utilisés, la finalité de chaque cookie et la durée de stockage des cookies. Par conséquent, les personnes concernées n’ont pas été correctement informées du traitement de leurs données personnelles, ce qui constitue une violation de l’art. 13 (1) et (2) du RGPD. Ce manque d’information des personnes concernées sur le traitement des cookies a violé le principe de transparence, privant les visiteurs du site Web d’informations cruciales sur la manière dont leurs données ont été traitées.