Tutto è iniziato quando Stanley, uno studente della Waterloo University in Canada, ha casualmente scoperto che i distributori automatici di M&M’s installati nel campus erano in grado di leggere i dati biometrici degli utilizzatori e quindi di raccogliere informazioni sensibili, al di là delle norme sulla privacy.
Mentre, infatti, Stanley si accingeva ad acquistare i suoi M&M’s, la macchina è andata in errore e sul display è comparsa la stringa “Invenda.Vending. FacialRecognition.App.exe: errore dell’applicazione”.  Lo studente ha poi condiviso l’immagine sul social network Reddit, suscitando la reazione degli iscritti e degli altri universitari. Stanley non si è fermato alla semplice condivisione, ma ha cominciato ad indagare scoprendo che i distributori automatici raccoglievano dati su età e sesso dei clienti senza richiedere alcun consenso preventivo.
Gli studenti, preoccupati per la violazione della privacy, hanno risolto su due piedi coprendo le telecamere dei distributori automatici con gomme da masticare, adesivi o post–it.
Il secondo step è stato quello di interpellare la società di gestione, la Adaria Vending Services, chiedendo spiegazioni.  L’azienda ha sostenuto che le macchine erano conformi al GDPR europeo, poiché agivano come sensori di movimento che rilevano i volti senza conservare le immagini dei clienti, in maniera anonima e senza che i dati stessi possano far risalire all’identità della persona a cui appartengono.

Questa spiegazione non ha tranquillizzato gli studenti, anzi ha generato un acceso dibattito su come le aziende gestiscano i dati dei loro clienti e di come sia necessaria una maggiore regolamentazione e trasparenza nella raccolta e nell’uso di tali dati.
Inoltre, che le macchine siano conformi al GDPR europeo non è ritenuto estensibile al Canada che ha leggi e regole diverse. Pertanto, l’Università ha chiesto alla Adaria la rimozione delle vending machine.