L'autorité précise que pas moins 684 778 fiches clients de sa société étaient librement consultables depuis un simple moteur de recherche. Ces informations contenaient « l'identité, l'adresse, les numéros de téléphone et adresses électroniques des personnes concernées ainsi que certaines informations détaillées permettant de faciliter la livraison des colis, telles que les indisponibilités pour raisons de santé ou la sécurisation des accès aux logements », précise la Cnil. Autant d'informations pouvant être utilisées par la suite par des personnes malveillantes.
La commission ajoute que DHL avait eu connaissance d'une faille « affectant les accès internes de l'application litigieuse ». La société n'avait cependant pas entrepris de démarche afin de vérifier si son application était correctement sécurisée. Une telle initiative aurait permis, selon la Cnil, « d'isoler la fuite de données ».
Enfin, DHL est pointé du doigt pour ne pas avoir mis en place un système de droit à l'oubli au sein de ses bases de données. La société aurait du effacer certaines informations personnelles, plusieurs éléments conservés dataient en effet de 2007.
