Dit blijkt uit het halfjaarraport van de Data Protection Commissoin (DPC), de Ierse privacywaakhond. De DPC heeft de zaak onderzocht aangezien het hoofdkantoor van LinkedIn in Ierland is gevestigd. Het is niet duidelijk hoe LinkedIn de e-mailadressen van de 18 miljoen personen die zijn benaderd in handen heeft gekregen.

LinkedIn is door DPC beoordeeld op basis van de vorige privacywetgeving, waardoor het bedrijf geen boete opgelegd heeft gekregen. Dit doet vermoeden dat de overtreding plaats heeft gevonden voor 25 mei 2018, de datum waarop de GDPR in werking trad. Onder die wet kunnen boetes tot 20 miljoen euro of vier procent van de wereldwijde jaaromzet worden opgelegd.