L'autorité croate de protection des données (AZOP) a publié une décision de sanction à l'encontre d'une agence immobilière (comprenant le prononcé d'une amende de 100 000 €) pour des manquements en lien avec le principe de limitation de la conservation, la licéité du traitement et la mise en œuvre de mesures techniques et organisationnelles appropriées. Cette affaire débute par un contrôle mené par l'autorité, qui lui a permis de constater :
* Obligation de limitation de la conservation (article 5, paragraphe 1, point e) du RGPD) : L'agence conservait dans ses archives papier les données personnelles de 11 887 clients une fois la finalité du traitement atteinte. Les documents concernés, notamment des formulaires de contractualisation datant de la période allant du 23 septembre 2010 au 31 décembre 2019, auraient dû être supprimés.

* Obligation de licéité du traitement et de minimisation des données (article 6, paragraphe 1 et article 5, paragraphe 1, point c) du RGPD) : Le responsable du traitement a collecté et conservé 914 copies de documents personnels et bancaires sans pouvoir justifier d'une base légale. Parmi ces documents figuraient 898 copies de cartes d'identité, 6 de passeports, 3 de cartes bancaires et d'autres pièces justificatives, ce qui constitue une collecte excessive de données.

* Obligation de garantir la sécurité du traitement (article 32, paragraphe 4 du RGPD) : L'agence n'a pas mis en place les mesures techniques et organisationnelles suffisantes pour s'assurer que les employés agissant sous son autorité ne traitent les données que sur ses instructions. L'enquête a révélé une formation du personnel irrégulière et insuffisante, ainsi qu'un manque de surveillance des pratiques de traitement, illustré par la contradiction entre les déclarations du dirigeant et les documents découverts.

En conséquence, la structure s'est vue sanctionner de l'amende mentionnée ci-dessus.