Otorite, bir jinekoloğa, ilgili kişi tarafından internette yapılan olumsuz bir yoruma kamuya açık bir yanıt vererek ilgili kişinin teşhisini açıklamasının ardından 10.000 Euro para cezası vermiştir.

26 Eylül 2022 tarihinde ilgili kişi, bir jinekoloğun muayenehanesindeki deneyimleri hakkında kendi adına bir web sitesinde olumsuz bir yorum yayınlamıştır. Bir gün sonra, jinekolog olan veri sorumlusu, yoruma kamuya açık bir şekilde yanıt vermiş ve ilgili kişiye vajinal enfeksiyon teşhisi konulduğunu açıklamıştır. Veri sorumlusu, okuyucular için doğru bir imaj yaratmak amacıyla kişisel verileri ifşa ettiğini savunmuştur. Yanıt 3 Ekim 2023 tarihine kadar kamuya açık kalmıştır.

İlk olarak, Avusturya Veri Koruma Otoritesi, veri sorumlusunun cevabını çevrimiçi yayınlayarak ilgili kişinin kişisel verilerini işlediğine karar vermiştir. Ayrıca, Otorite, bir kişinin vajinal enfeksiyonuna ilişkin bilgilerin GDPR Madde 4(15) kapsamında sağlık verilerine ilişkin veriler olduğuna karar vermiştir. Bu, GDPR Madde 9(1) uyarınca özel nitelikli kişisel veri kategorisidir ve GDPR Madde 9(2)'deki istisnalardan biri geçerli olmadıkça işlenmesi yasaktır. Otorite durumun böyle olmadığını tespit etmiştir. Dolayısıyla, veri sorumlusu GDPR Madde 9'u ve GDPR Madde 5(1)(a) kapsamındaki kanunilik ilkesini ihlal etmiştir.

İkinci olarak, veri sorumlusu GDPR Madde 5(1)(b) kapsamındaki amaç sınırlaması ilkesini ihlal etmiştir. Otorite, veri toplama amacı (teşhis) ile verilerin daha fazla işlenmesi arasında somut bir bağlantı olmadığını tespit etmiştir. Ayrıca, veri sorumlusunun tıbbi teşhisi hakkında veri toplayacağı ve bunu ilgili kişinin incelemesine bir yanıt olarak yayınlayacağı ilgili kişi için öngörülebilir değildir.

Üçüncü olarak, veri sorumlusu GDPR Madde 5(1)(c) kapsamında veri minimizasyonu ilkesini ihlal etmiştir, zira okurlar için doğru bir imaj oluşturma amacı teşhisten bahsedilmeden de yerine getirilebilirdi.

DPA, mali durumunu açıklamadığı için veri sorumlusunun tahmini gelirine dayanarak GDPR Madde 83(1) uyarınca 10.000 Euro para cezası vermiştir.

Ceza miktarına ilişkin karara Federal İdare Mahkemesi'nde (Bundesverwaltungsgericht, BVwG) itiraz edilmiştir.

Karar Detayları

Avusturya Veri Koruma Otoritesi, bir jinekoloğa internette yapılan olumsuz yoruma yanıt olarak ilgili kişinin sağlık verisini ifşa etmesi nedeniyle 10.000 Euro ceza verdi.