Belçika Veri Koruma Otoritesi (''Otorite''), bir üniversitenin eski öğretmenlerinden birinin işten çıkarılma nedenlerini meslektaşlarına ve öğrencilerine açıklamasının, GDPR Madde 6(1)(f)'yi ihlal ettiğine ve bu bilgilerin paylaşılmasının gerekli olmadığına karar vermiştir.

Bir üniversite (veri sorumlusu), bir öğrencinin fiziksel saldırı iddiasında bulunmasının ardından, ilgili öğretim görevlisini acil bir nedenle işten çıkarmıştır. İç soruşturma sonucunda alınan bu karar doğrultusunda, Mart 2019'da okul yönetim kurulu, personelini ve öğrencilerini öğretim görevlisinin işten çıkarıldığı ve bunun gerekçeleri hakkında bilgilendirmiştir. Yapılan açıklamada şu ifadeler yer almıştır: ''Bu [işten çıkarma], öğrencilerden birine yönelik fiziksel saldırının ardından gerçekleşmiştir [...] kapsamlı bir soruşturma, bu olayın [şikayetçinin adı]'nın [veri sorumlusu]'nun bir çalışanı olarak daha fazla görev yapmasını imkansız hale getirdiğini göstermiştir.'' Bu bilgilendirme sonrasında, Ocak 2022'de öğretim görevlisi Belçika Veri Koruma Otoritesi'ne bir şikayette bulunmuştur.

İlk olarak, amaç testi yapılmaktadır. Belçika Veri Koruma Otoritesi, sadece öğretim görevlisinin haklı bir nedenle işten çıkarılmış olmasının bile, bunu öğrencilere ve meslektaşlarına iletmek için acil ve meşru bir ihtiyaç olduğunu doğrulamıştır.

Belçika Veri Koruma Otoritesi, değerlendirme sürecinde gereklilik testini uygulamıştır. İnceleme sonucunda, e-postalardan bazılarının artık kayıtlı olmayan öğrencilere gönderildiği tespit edilmiştir. Bu bağlamda, Otorite, bu kişilere yapılan iletişimin gerekli olmadığını belirterek, GDPR Madde 6(1)(f)’nin ihlal edildiğine hükmetmiştir. Mevcut öğrencilere ve meslektaşlara gönderilen e-postalar için ise Otorite, işten çıkarılma nedeninin bildirilmesinin gerekli olmadığına karar vermiştir. Özellikle, ''fiziksel saldırganlık'' gerekçesinin açıklanmasının zorunlu olmadığını vurgulamıştır. Otorite, bazı durumlarda işten çıkarma nedeninin paylaşılmasının gerekli olabileceğini kabul etmekle birlikte, bu olayda böyle bir gerekliliğin bulunmadığına karar vermiştir.

Son olarak dengeleme testi yapılmıştır. Otorite, dengeleme testine uyulmadığını tespit etmiştir ve üniversitenin e-postaları gönderirken ilgili kişinin temel hak ve özgürlüklerini yeterince dikkate almadığı sonucuna varmıştır. Bu kapsamda, e-postalardaki veri sorumlusunun 'nesnel olarak kanıtlanmış yeterli unsur sunmadığını ve üniversitenin iletişiminde işten çıkarma kararının yalnızca 'kapsamlı bir soruşturma' sonrasında alındığını iddia etmesine rağmen, bunun dengeleme testinin amaçları için yetersiz olduğunu tespit etmiştir. Belçika Veri Koruma Otoritesi, ilgili kişinin hak ve özgürlüklerinin aşırı derecede ihlal edildiğini tespit etmiştir.

Sonuç olarak, GDPR Madde 6(1)(f)'nin ihlal edildiği tespit edilmiştir ve Belçika Veri Koruma Otoritesi veri sorumlusu üniversiteyi kınamıştır.

Kaynak

Bir Öğretim Görevlisinin İşten Çıkarılma Gerekçelerinin Öğrenci ve Personel ile E-postayla Paylaşılması