Wydając decyzję GIODO nakazał ZTM usunięcie uchybień w procesie przetwarzania danych osobowych polegających na:
-gromadzeniu przez ZTM zbyt wielu danych o pasażerach,
-zaprzestanie pozyskiwania numeru spersonalizowanej Warszawskiej Karty Miejskiej w trakcie dokonywania jej kolejnych kasowań , o ile nie dochodzi wyłącznie do aktywacji karty,
-gromadzeniu przez ZTM zbyt wielu danych o pasażerach. m.in. informacji o lokalizacji podróżujących, gromadzeniu wizerunku osób, nie dłużej niż jest to niezbędne dla osiągnięcia celu przetwarzania tych danych , czyli do momentu wydania spersonalizowanej Warszawskiej Karty Miejskiej.
Udostępnienie Pesel tylko za zgoda
W swojej decyzji GIODO nakazał również określenie terminów usuwania danych pozyskanych za pomocą wniosków o wydanie WKM.
GIODO podkreśla, że PESEL może być gromadzony tylko i wyłącznie za zgodą osoby, której dane dotyczą, jednak nie może być umieszczony na WKM, ale jedynie w systemach informatycznych na potrzeby jednoznacznego zidentyfikowania przez ZTM właściciela karty.
Niebezpieczeństwo kradzieży tożsamości
W przypadku, gdy numer PESEL zostałby zawarty na karcie miejskiej i doszłoby do jej kradzieży lub zagubienia mogłoby dojść do kradzieży tożsamości właściciela karty.
ZTM nie jest instytucją powołaną do śledzenia obywateli, dlatego dla realizacji zadań przewoźnika gromadzenie danych o lokalizacji właścicieli kart to zbyt duża ingerencja w prywatność osób posługujących się WKM.