Entre autres choses, la société n'avait pas évalué les risques et les conséquences du traitement des données personnelles avant d'introduire un système de surveillance par caméra qui enregistre l'audio et la vidéo dans ses taxis et avait également omis de mener des analyses d'impact sur la protection des données de ses activités de traitement, y compris la surveillance les caméras de sécurité, le traitement des données de localisation, la prise de décision automatisée et le profilage dans le cadre de son programme de fidélité. De plus, le traitement des données audio n'était pas conforme au principe GDPR de minimisation des données.