Bir Alman Mahkemesi, bir erişim talebine yanıt vermede 19 takvim günü (9 iş günü) gecikmenin bir ilgili kişinin kişisel verileri üzerindeki kontrolünü geçici olarak kaybetmesine neden olduğuna karar vermiştir. Bu nedenle mahkeme, söz konusu kişiye 750 Avro tutarında manevi tazminat ödenmesine hükmetmiştir.
Bir ilgili kişi 2017 yılında bir kredi kuruluşunda açık bir pozisyon için başvuruda bulunmuştur. İlgili kişi 18 Mayıs 2023 tarihinde GDPR Madde 15 kapsamında bir erişim talebinde bulunmuş ve veri sorumlusuna cevap vermesi için iki haftalık bir süre tanımıştır. Veri sorumlusu süresi içerisinde yanıt vermemiş ve ilgili kişi veri sorumlusuna erişim talebini hatırlatmıştır. 5 Haziran 2023 tarihinde, veri sorumlusu, ilgili kişinin kişisel verilerinin hiçbirini işlemediğini belirterek talebe yanıt vermiştir. İlgili kişi daha sonra veri sorumlusuna geri dönerek erişim talebine yanıt vermenin neden bu kadar uzun sürdüğünü sormuş ve veri sorumlusu GDPR Madde 12(3)'te öngörülen süre sınırı içinde yasal olarak yanıt verdiğini belirterek yanıt verdi.
Yine de ilgili kişi, veri sorumlusunun GDPR Madde 12(3)'ün veri sorumlularının ilgili kişilerin talepleri hakkında ''gereksiz gecikme olmaksızın'' bilgi sağlaması gerekliliğini ihlal ettiğine savunmuştur. İlgili kişinin görüşünde, GDPR Madde 12(3)'teki bir aylık süre azami bir süredir; eğer böyle olmasaydı, ''aşırı gecikme olmaksızın'' ifadesi anlamını yitirirdiğini belirtmiştir. Ayrıca, erişim talebinin basitliği göz önünde bulundurulduğunda, bu durumda veri sorumlusunun ilgili kişi tarafından belirlenen iki haftalık sınıra riayet edebilmesi gerekeceğini eklemiştir.
İlgili kişi, kişisel verileri üzerinde geçici bir kontrol kaybına uğradığı ve kendisiyle ilgili kişisel verilerin işlenip işlenmediğini bilmediği için, veri sorumlusunun verilerini yasal olarak işleyip işlemediğini de bilemediği için, GDPR Madde 82(1) kapsamında manevi tazminata hak kazandığını iddia etmiştir. İlgili kişi ayrıca manevi zarara uğradığını iddia etmiştir. Bu nedenlerle, veri sorumlusundan 1.000 Avro tutarında tazminat talep etmiş ancak veri sorumlusu bunu ödemeyi reddetmiştir.
Bunun üzerine ilgili kişi, veri sorumlusundan en az 2.000 Avro tazminat almak amacıyla Duisburg İş Mahkemesi'nde (Arbeitsgericht Duisburg- ArbG Duisburg) dava açmıştır.
Veri sorumlusu görüşlerinde, GDPR Madde 12(3) uyarınca erişim talepleri için süre sınırının bir ay olduğunu, günlük olarak çok sayıda bilgi talebiyle karşılaştığı için yanıt vermek için biraz zamana ihtiyacı olduğunu ve ilgili kişi tarafından belirlenen iki haftalık süre sınırının dikkate alınmaması gerektiğini belirtmiştir. Ayrıca, talebin standart bir talep olduğunu ve altı yıl önce toplanan verilere atıfta bulunduğunu, dolayısıyla acil bir talep olmadığını belirtmiştir. Ayrıca, veri sorumlusu, ulusal tatiller dikkate alındığında, talebin sadece 9 iş günü içerisinde yanıtlandığının altını çizmiştir.
Duisburg ArbG ilk olarak, GDPR Madde 12(3) kapsamında, veri sorumlularının ''aşırı gecikme olmaksızın ve her halükarda talebin alınmasından itibaren bir ay içerisinde'' cevap vermesi gerektiğine karar vermiştir. ArbG'nin görüşüne göre bu, veri sorumlularının erişim taleplerini hızlandırılmış bir şekilde ele alması gerektiği anlamına gelmektedir. Bir aylık süre sınırı rutin bir son tarih olarak değil, yalnızca karmaşık koşullar söz konusu olduğunda geçerli olan bir son tarih olarak görülmelidir. Mahkeme ''aşırı gecikme olmaksızın'' ifadesini Alman Medeni Kanunu'nun (Bürgerliches Gesetzbuch - BGB) ''kusurlu tereddüt olmaksızın'' (otomatik olarak çevrilmiştir) şeklindeki 121. maddesi ışığında yorumlamıştır. Mahkemenin görüşüne göre, özel koşullar daha uzun bir zaman aralığını haklı çıkarmıyorsa, bir haftadan daha uzun bir süre sonra bir gecikmenin başladığı söylenebilir.
Söz konusu davada, veri sorumlusu 19 takvim günü sonra cevap vermiştir ve bu sürenin aslında 9 iş gününe tekabül ettiği dikkate alınmasa bile, cevapta gecikmeyi haklı çıkaracak herhangi bir özel durum belirtilmemiştir. Ayrıca mahkeme, talebin eski bir iş başvurusuna atıfta bulunması nedeniyle karmaşık bir talep olmadığına ve verilerin zaten silinmesi gerektiğinden, bilgi sağlanmasının uzun bir araştırma süreci gerektirmediğine karar vermiştir. Bir kredi kuruluşu olarak veri sorumlusunun çok sayıda bilgi talebiyle ilgileniyor olması, dikkate alınması gereken ilgili bir faktör değildi. Buna ek olarak, Mahkeme, talebin altı yıllık bir iş başvurusuna atıfta bulunmasının, talebin ele alınması için gereken aciliyet açısından hiçbir şeyi değiştirmediğini, çünkü objektif aciliyetin GDPR Madde 12(3) kapsamında bir gereklilik olmadığını tespit etmiştir. Ayrıca, veri sorumlusunun, tek bir çalışanın talebi iki hafta içinde ele alması gerektiğini bilmesini bekleyemeyeceği yönündeki beyanı mahkeme tarafından önemsiz bulunmuştur, çünkü taleplerin yasal süre sınırları içinde ele alınmasına olanak tanıyan bir organizasyon yapısı sağlamak veri sorumlusunun sorumluluğundadır. Yukarıdakiler ışığında mahkeme, veri sorumlusunun GDPR Madde 12(3)'e aykırı hareket ettiğine karar vermiştir.
Ayrıca, mahkeme ilgili kişinin manevi zarara uğradığını tespit etmiştir. Mahkeme, GDPR Resital 75'ten alıntı yaparak, bir ilgili kişinin kendisiyle ilgili kişisel veriler üzerindeki kontrolünü kullanmasının engellenmesi durumunda manevi bir zarar verildiğini belirtmiştir.
Veri sorumlusu, erişim talebine gecikmeli yanıt vererek ilgili kişinin kişisel verileri üzerindeki kontrolünü geçici olarak kaybetmesine neden olmuştur çünkü bu süre zarfında ilgili kişi kişisel verilerinin veri sorumlusu tarafından işlenip işlenmediğini ve nasıl işlendiğini öğrenememiştir. Veri sorumlusunun kişisel verilerin silinmesine ilişkin bir davranış kuralına bağlı olması ve ilgili kişinin bunu biliyor olabileceği gerçeği, GDPR ihlalinin varlığı açısından önemsizdir.
Dolayısıyla ArbG, ilgili kişinin manevi bir zarara uğradığı ve GDPR Madde 82(1) kapsamında 750 Avro tazminat alma hakkına sahip olduğu sonucuna varmıştır. Tazminatı hesaplarken mahkeme, bir yandan veri sorumlusunun mali durumunu, diğer yandan da veri sorumlusunun GDPR Madde 12(3)'ün zaman çerçevesini önemli ölçüde aşmadığı gerçeğini dikkate almıştır. Mahkemeye göre, halihazırda GDPR'nin ihlal edildiğinin beyan edilmesi, ticari faaliyetlerinde kişisel verilerle ilgilenen veri sorumlusu üzerinde önemli bir caydırıcı etkiye sahipti, bu nedenle 750 Avro tutarında tazminat ödemek zorunda kalmak yeterince caydırıcı ve uygun bir karardı.