De AP legde het mediabedrijf in deze zaak een boete van € 525.000 op, omdat mensen die hun gegevens wilden inzien of laten verwijderen buiten een beveiligde inlogomgeving om, daartoe eerst een kopie van hun identiteitsbewijs moesten overleggen. Dat is in strijd met de AVG. De Afdeling bestuursrechtspraak overweegt (anders dan de rechtbank) dat het bedrijf in kwestie een grote, professionele partij is waarvan verwacht mag worden dat het extra zorgvuldig is met het faciliteren van de rechten uit de AVG.
Het besluit van de AP om de maximale boete op te leggen is evenwel onevenredig. Zo stond voor alle klanten een inlogomgeving open om gegevens te wijzigen of te verwijderen. Alleen bij verzoeken die buiten deze inlogomgeving om zijn gedaan, werd om een identiteitsbewijs gevraagd. In de praktijk ging het daarmee om een relatief klein aantal gevallen. Ook werden de gegevens niet lang bewaard en heeft het bedrijf haar beleid aangepast - nog voordat de AP het voornemen had geuit een boete op te leggen.