Bir ilgili kişinin EasyJet uçuşuna binmesine izin verilmemiştir. İlgili kişi, bu durumun nedenini öğrenmek için, GDPR Madde 15 uyarınca EasyJet'in kendisinde tuttuğu tüm kişisel verileri talep etmiştir. Erişim talebine ilişkin bu e-posta 28/12/2021 tarihinde gönderilmiştir.

30/12/2021 tarihinde EasyJet, personelinin tatilde olması nedeniyle erişim talebine yanıt vermelerinin zaman alacağını belirten bir yanıt göndermiştir.

16/03/2022 tarihinde, ilgili kişi EasyJet'e bir e-posta göndererek, hala bir yanıt alamadığı için İspanya Veri Koruma Otorite’sine (''Otorite'')'ye şikayette bulunacağını belirtmiştir.

EasyJet, ilgili kişiye verdiği yanıtta, e-postayı yanlış departmana gönderdiği için ilk talebinin ilgili ekibin bilgisine hiç ulaşmadığını belirtmiştir. İlgili kişiden, sorunu derhal çözebilmeleri için talebini tekrar göndermesini istemiştir. İlgili kişi talebini tekrar gönderdiğinde, EasyJet, 01/04/2022 tarihinde kendisine bu binişe ilişkin bilgi veremeyeceklerini, çünkü reddedilen binişle ilgili taleplerin GDPR ile ilgili olmadığını belirtmiştir.

İlk olarak EasyJet, Otorite'ye şikayetçiye 01/04/2022 tarihine kadar yanıt verdiklerini söylemiştir. Otorite, GDPR Madde 12(3) uyarınca, veri sorumlularının erişim taleplerine bir ay içinde yanıt vermesi gerektiğinie belirtmiştir. EasyJet'in cevap vermesi, ilgili kişinin talebini iletmesinden sonra (28/12/2021 tarihinde) neredeyse dört ay sürmüştür.

İkinci olarak, EasyJet'in 30/12/2021 tarihinde şikâyetçinin e-postasına yanıt verdiği doğru olmakla birlikte, e-posta, e-postanın alındığını teyit eden genel bir yanıt vermekle sınırlı kalmıştır. E-postada, şikâyetin ilgili ekibe danışılmak üzere iletileceği belirtilmiştir. Bu nedenle, EasyJet zaten Aralık ayında erişim talebini başlatmak için bir mutabakata vardığını belirtmiştir. İlgili kişiye Nisan 2022'ye kadar yeterli bir yanıt verilmemiştir.

Üçüncü olarak, uçağa biniş ile ilgili bilgiler konusunda, Otorite, bunun GDPR ile ilgili olmadığını kabul etmiştir. Bu nedenle, kendisini GDPR Madde 15'e ve veri sorumlusunun erişim talebine cevap vermek için harcadığı süreye odaklanmakla sınırlandırmıştır.

Otorite, GDPR Madde 15'in ihlali nedeniyle EasyJet'e başlangıçta 10.000 Euro para cezası vermiştir. Ancak, EasyJet'in bu cezayı gönüllü olarak ödemesi ve ihlalin sorumluluğunu kabul etmesi nedeniyle ceza 8.000 Euro’ya indirilmiştir.

Kaynak

EasyJet'e İlgili Kişinin Erişim Talebinin Yanıtsız Bırakılması Nedeniyle Para Cezası