Španělský úřad AEPD uložil bance CaixaBank pokutu 408 000 eur za porušení zásady záměrné ochrany osobních údajů. Standardní postup banky u dědických řízení totiž po dědicích vyžadoval víc informací, než bylo nezbytné. Stejný úřad pokutoval společnost Vodafone částkou 750 000 eur za nedostatečná bezpečnostní opatření, která vedla k úniku dat u služby „Super WiFi“. Při stanovení výše pokuty přihlédl k obdobným předchozím porušením a k tomu, že správce neuzavřel smlouvu o zpracování se svým zpracovatelem.

Německý Spolkový soudní dvůr (BGH) rozhodl, že opravné prostředky podle GDPR nejsou vyčerpávající. Nárok na zdržení se protiprávního a opakovaného zveřejňování osobních údajů se proto může opírat i o vnitrostátní právo. Dvě stanoviska vydal generální advokát Soudního dvora EU. Ve věci C-458/25 uvedl, že článek 83 odst. 7 GDPR umožňuje vnitrostátnímu právu vyjmout z pokut orgány veřejné moci, nikoli však soukromoprávní subjekty, a to ani tehdy, když plní úkoly ve veřejném zájmu, například v oblasti veřejně dotovaného vzdělávání. Ve věci C-317/25 dospěl k závěru, že souhlas s přímým marketingem udělený podniku pro neurčené „partnery“ nelze považovat za dostatečně informovaný, a partner proto musí před zahájením přímého marketingu získat nový souhlas.

Rakouský soud snížil pokutu, kterou dozorový úřad uložil za protiprávní nahrávání pracovních pohovorů, z 25 500 na 22 000 eur. Zohlednil přitom spolupráci správce s úřadem i to, že po příkazu protiprávní zpracování ukončil. V jiném rozhodnutí soud uvedl, že zveřejnění identifikovatelných prvků v rozsudku na oficiálním vládním webu je zákonné jen tehdy, pokud je nezbytné pro pochopení smyslu rozhodnutí a naplnění cílů transparentnosti a právní jistoty.