Les sanctions ont été appliquées au responsable du traitement car il n'a pas pu prouver que les personnes concernées ont été informées du traitement des données / images à caractère personnel via le système de vidéosurveillance qu'elles exploitent depuis 2016. Et parce qu'il a fait la divulgation de la CNP de les employés, en affichant le rapport de formation du personnel autorisé de l'ISCIR pour l'année 2018 au notifiant de l'entreprise et n'ont pas pu prouver la légalité du traitement du CNP, par divulgation, conformément à l'art. 6 RGPD.