Das New Yorker Department of Financial Services hat festgestellt, dass Carnival gegen eine staatliche Verordnung verstoßen hat, die eine stärkere Überwachung, Berichterstattung und Schulung zur Verhinderung von Datenschutzverletzungen, einschließlich Ransomware-Angriffen, vorschreibt, und infolgedessen von 2018 bis 2020 unzulässige Compliance-Zertifizierungen eingereicht hat.