Finlandiya Veri Koruma Otoritesi (''DPA''), müşteri verilerinin saklama süresini belirlemediği için bir bilişim perakendecisine 856.000 Euro para cezası verdi. DPA ayrıca, tek bir çevrimiçi satın alma işlemine ilişkin kişisel verilerin işlenmesinin bir müşteri hesabı oluşturulmasını gerektirmediğini değerlendirmiştir.
DPA'ya, veri sorumlusunun (bir BT perakendecisi olan Verkkokauppa.com Oyj) tek seferlik alışverişler için bile müşterilerin çevrimiçi alışveriş yapabilmeleri için bir müşteri hesabı oluşturmalarını zorunlu kıldığı bildirilmiştir. DPA daha sonra veri sorumlusundan neden bir müşteri hesabı oluşturulmasını zorunlu kıldığını, müşterilerinin kişisel verilerini hangi amaçlarla ve ne kadar süreyle sakladığını açıklamasını istemiştir.
Bir müşteri hesabının oluşturulmasının amacı ile ilgili olarak, veri sorumlusu, müşterilerin kişisel verilerinin işlenmesinin hizmetlerin sağlanması ve müşteri ile yapılan sözleşmenin ifası için gerekli olduğunu açıklamıştır. Veri sorumlusu, müşteri hesabı aracılığıyla ilgili kişiyi güvenilir bir şekilde tanımlayabildiğini, hesap verebilirliğini gösterebildiğini ve ilgili kişinin haklarının kullanılmasını kolaylaştırabildiğini savunmuştur.
Veri sorumlusu, çok uzun garanti ve kusur sorumluluk sürelerine sahip olabilecek uzun ömürlü cihazlar sattığını açıklamıştır. Bu nedenle, müşteri ilişkisi boyunca müşteri hesabı aracılığıyla çevrimiçi satın alımlarına ilişkin bilgi ve makbuzlara erişmek müşterilerin menfaatineydi.
Veri sorumlusu, müşterilerinin müşteri hesabı olmadan çevrimiçi alışveriş yapmalarına izin vermesi halinde, siparişin verilmesi ve teslimi için gerekli olan kişisel verileri sipariş bazında işlemek ve saklamak zorunda kalacağını, bunun da veri güvenliği açısından uygun olmayacağını ve veri minimizasyonu ilkesiyle uyumlu olmayacağını vurgulamıştır.
Veri saklama sürelerine ilişkin olarak, veri sorumlusu, sözleşme ilişkisinin süresinin müşteri tarafından belirlendiği belirsiz bir süre için olduğunu belirtmiştir. Dolayısıyla, veri sorumlusu, ilgili kişinin talebi üzerine müşteri hesabı silinene kadar kişisel verileri saklamıştır. Veri sorumlusu, müşteri ilişkisinin ne kadar sürmesi gerektiğini müşteri adına değerlendirebilecek bir konumda olmadığını iddia etmiştir.
DPA, veri sorumlusu tarafından sağlanan bilgilere dayanarak, tek bir çevrimiçi satın alma işlemiyle ilgili kişisel verilerin işlenmesinin, kişisel verilerin gerekenden daha uzun süre saklanmasıyla sonuçlandığı için bir müşteri hesabı oluşturulmasını gerektirmediğini değerlendirmiştir. Bu nedenle, bir müşteri hesabının oluşturulması ve sürdürülmesi için kişisel verilerin işlenmesi, çevrimiçi bir satın alma sözleşmesinin ifası için gerekli olarak kabul edilemez.
DPA, garanti ve kusur sorumluluğuna ilişkin hükümlerin Finlandiya Tüketiciyi Koruma Kanunu'nda tanımlandığını ve buna göre, ürünün makul olarak beklenenden daha kısa bir süre dayanması halinde satıcının sorumlu olduğu üründe bir kusur olduğunu belirtmiştir. Dolayısıyla, ayıplara ilişkin sorumluluk süresi, ürünün beklenen kullanım ömrüne dayalı olarak duruma göre belirlenmektedir.
DPA, tüketicinin uygunsuzluk için çözüm arama hakkının, tüketicinin kişisel verilerini satıcıya sağlayıp sağlamadığına bağlı olmadığını belirtmiştir. Buna göre, satıcının uygunsuzlukları giderme yükümlülüğü, satıcının tüketicinin kişisel verilerine erişiminin olup olmamasından etkilenmemektedir.
DPA, veri sorumlusunun müşteri hesapları için işlediği kişisel verilerin saklama süresini kasıtlı olarak tamamen belirsiz bıraktığını ve saklama süresinin sınırlandırılmasını müşterinin sorumluluğuna bıraktığını tespit etmiştir. Sonuç olarak, GDPR Madde 17 uyarınca kişisel verilerin silinmesinin ilgili kişi tarafından talep edilmesi gerekmiştir. DPA, veri sorumlusunun kişisel verilerin korunmasına ilişkin sorumluluğu ilgili kişiye devredemeyeceğini vurgulamıştır. Kişisel verilerin saklanması, ilgili kişinin daha sonra verilerinin silinmesini talep etmek gibi haklarını kullanabileceği gerçeğiyle gerekçelendirilemez.
Toplanan bilgilere dayanarak DPA, veri sorumlusunun GDPR Madde 5(1)(e) ve GDPR Madde 25(2)'yi ihlal ettiğine karar vermiştir. Sonuç olarak, DPA, GDPR Madde 58(2)(b) uyarınca veri sorumlusuna bir kınama cezası vermiştir. GDPR Madde 58(2)(d) uyarınca, DPA ayrıca veri sorumlusuna müşteri verileri için makul bir saklama süresi tanımlamasını ve müşterilerinin çevrimiçi alışveriş yapmak için bir müşteri hesabı oluşturmalarını zorunlu kılmayı durdurmasını emretmiştir.
Kınama ve emre ek olarak, DPA, müşteri verilerinin saklama süresini belirlemediği için GDPR Madde 83 uyarınca veri sorumlusuna 856.000 Euro idari para cezası vermiştir. Kurul, veri sorumlusunun uygulamasının kasıtlı, uzun süreli olduğunu ve çok sayıda ilgili kişiyi etkilediğini değerlendirmiştir.