Famozni GDPR nije samo sredstvo zaštite privatnosti nego i institucija i njihovih čelnika, pa u praksi imamo kaotična rješenja. Tako imamo listu poreznih dužnika koja identificira oko 30.000 fizičkih i pravnih osoba, dok Agencija za zaštitu osobnih podataka svoje odluke o kaznama anonimizira čak i kad je riječ o teškim kršenjima iako otkrivanjem prekršitelja nema opasnosti od identifikacije žrtava. I kad su prekršitelji državne i javne institucije, AZOP je njihov zaštitnik.
Tako su lani objavili rješenje da je "bolnica X" počinila više povreda u vezi sa snimanjem telefonskih razgovora i s datotekama iz radiološkoga informacijskog sustava pa su je kaznili sa 190.000 eura. Dok su u ožujku objavili da su (uz moguće sudsko osporavanje) kladionicu Favorit d.o.o. kaznili sa 175.000 eura jer nisu primijenili tehničke mjere zaštite. Zatim, iako je AZOP postupao na temelju objava u medijima o kibernetičkom napadu u KBC-u Zagreb, "bolnica X" kažnjena je s 20.000 eura zbog sigurnosnih propusta koji su doveli do pristupa podacima pacijenata. Zatajili su i datum i uredovne oznake rješenja. Kako da pojedinac zna je li žrtva povrede i traži odštetu ako ne zna tko je prekršitelj?