L'Inspection nationale des données de Lettonie (DVI) a publié des lignes directrices sur la légalité du refus de fournir un service lorsqu'un client ne communique pas certaines données personnelles.

Un prestataire de services peut refuser de fournir un service si les données demandées sont objectivement nécessaires à son exécution, par exemple une adresse pour une livraison. Le refus est également justifié si la collecte de données répond à une obligation légale d'identification du client. Toutefois, le prestataire doit être en mesure de justifier la finalité et la base juridique de chaque donnée collectée, conformément au principe de minimisation prévu à l'article 5, paragraphe 1, point c) du RGPD. La collecte ne peut être motivée par la simple commodité ou les contraintes d'un système d'enregistrement. Le client doit être informé du caractère obligatoire ou non de la fourniture des données et des conséquences d'un refus, en application de l'article 13, paragraphe 2, point e) du RGPD.

L'autorité illustre ses propos en précisant qu'un club de sport ne peut exiger le code d'identification personnel et l'adresse d'un client pour un abonnement mensuel prépayé en invoquant des obligations comptables, car la loi lettone sur la comptabilité n'impose pas systématiquement la collecte de ces informations. Le prestataire doit démontrer en quoi le service est impossible à fournir sans ces données spécifiques. De plus, l'accès à un service principal ne peut être conditionné au consentement pour des finalités secondaires, comme la prospection commerciale, car un tel consentement ne serait pas considéré comme librement donné au sens de l'article 7, paragraphe 4 du RGPD.