Informacijski pooblaščenec še vedno izreka sankcije po ZVOP-1, ker ZVOP-2 še vedno ni sprejet. IP ima nemalo težav pri sankcioniranju, saj skladno s Prvimi sistemskimi pojasnili Ministrstva za pravosodje ob začetku razvoja uporabe GDPR, velika večina členov od 25. 5. 2018 ne velja več. Zato se slovenski nadzorni organ najraje nasloni na najbolj splošni 8. člen ZVOP-1.
Odločbo, ki jo obravnavamo v tem zapisu, je IP izdal 7. 1. 2020 (opr. št. 0603-100/2018/11). Globo je izrekel za kršitev 8. člena ZVOP-1, ki določa, da se osebni podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Drugi odstavek pa določa, da mora biti namen obdelave osebnih podatkov določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov.
Kršitelja je IP kaznoval po 1. odstavku, točki ena 91. člena ZVOP-1, ki določa, da se z globo od 4.170 do 12.510 eurov kaznuje za prekršek pravna oseba, samostojni podjetnik posameznik ali posameznik, ki samostojno opravlja dejavnost, če obdeluje osebne podatke, ne da bi imel za to podlago v
