L'autorité croate de protection des données (AZOP) a initié une procédure de contrôle d'office à l'encontre de CARNET suite à une divulgation non autorisée de données personnelles d'élèves et d'enseignants.
Cette procédure fait suite à la publication non autorisée de données personnelles, notamment des adresses de courriel, appartenant à des élèves et des enseignants d'écoles croates. L'AZOP précise ne pas avoir reçu de notification de violation de la part du responsable du traitement dans le délai de 72 heures prévu par l'article 33 du RGPD. L'autorité a également averti du risque accru d'attaques par hameçonnage et d'autres fraudes en ligne visant les personnes concernées. Elle a émis des recommandations, en particulier à destination des parents, pour les sensibiliser à la sécurité et les inciter à avertir les enfants de ne pas ouvrir de liens suspects ni de partager leurs informations personnelles.