Fransa Veri Koruma Otoritesi, GDPR Madde 36'ya dayanarak, bir veri sorumlusu tarafından uygulanacak bir bilimsel araştırma anket projesini, özel nitelikli kişisel verilerin işlenmesinin kamu yararına yönelik bilimsel araştırma amaçları için gerekli olması nedeniyle meşru bulan bir görüş yayınlamıştır.
Ulusal Demografik Araştırmalar Enstitüsü (INED) (veri sorumlusu) - ilgili kişilerin özel nitelikli kişisel verilerinin işlenmesini içerecek olan bir ''Aileler ve İşverenler uzun dönemli anket projesi'' (FamEmp) uygulamayı amaçlamıştır. Veri sorumlusu, GDPR Madde 6(1)(e) kapsamında işleme için yasal dayanağı kamu yararı üzerine kurmuştur. Anket, bu ilişkilerin yaşam seyri üzerindeki etkisini ve mesleki ve ailevi özelliklere göre risk faktörlerini analiz etmek için mesleki, ailevi ve kişisel yaşam arasındaki dengeye ilişkin istatistiksel anket verilerini bilim camiasına sunmayı amaçlamaktadır.
Veri sorumlusu, 22 Mayıs 2023 tarihinde Fransa Veri Koruma Otoritesi'nden (CNIL) FamEmp araştırmasına ilişkin bir görüş talep etmiştir, zira 6 Ocak 1978 tarihli ve 78-17 sayılı Fransız yasasının 44(6) maddesi ve GDPR'nin 36. maddesi uyarınca herhangi bir veri sorumlusu, özel nitelikli kişisel verileri kamu araştırması amacıyla işlemek istediğinde Veri Koruma Otoritesi'nin yayınlanmış bir görüşünü almak zorundadır. Bu talebi desteklemek amacıyla veri sorumlusu, öngörülen işleme faaliyetine ilişkin bir etki değerlendirmesi gerçekleştirmiştir.
CNIL görüşünü aşağıdaki şekilde yayınlamıştır.
Veri işlemenin yasal dayanağına ilişkin olarak, Veri Koruma Otoritesi, anketin ilgili kişilerin sağlığı, cinselliği ve dini ile ilgili özel nitelikli kişisel verilerin işlenmesini içerdiğini kabul etmiş ve FamEmp için bu tür bir işlemenin meşru olduğuna ve kamu yararı açısından hukuken izin verilebilir olduğuna karar vermiştir.
İkinci olarak, veri sorumlusu anket sonuçlarının üçüncü taraflara takma adla iletileceğini belirtmiş, Veri Koruma Otoritesi ise verilerin dağıtılmadan önce anonimleştirilmesi gerektiğini ve takma adla iletilmemesi gerektiğini belirtmiştir. Ayrıca, veri sorumlusuna, yayılan verilerin eşit derecede yeterli, ilgili ve işlendikleri amaçlarla ilgili olarak gerekli olanlarla sınırlı olması gerektiğini hatırlatmıştır.
Üçüncü olarak, depolama ve saklama süresine ilişkin olarak, veri sorumlusu kişisel verilerin bir araştırmacı tarafından yapılan son erişim talebinden on yıl sonra arşivleneceğini belirtmiştir. Bu bağlamda Veri Koruma Otoritesi, kamu yararına arşivleme amaçları, bilimsel veya tarihi araştırma amaçları veya istatistiksel amaçlar için uygun güvencelerin uygulanmasını zorunlu kılan GDPR Madde 89'a atıfta bulunmuştur. Veri Koruma Otoritesi ayrıca, takma adla anılan veriler için tanımlanmış bir saklama süresine sahip olmanın önemini hatırlatmış ve veri sorumlusunun kişisel verileri Fransa Arşivlerine aktarıldıktan sonra saklama niyetine itiraz etmiştir.
Kişisel verilerin güvenliği için Veri Koruma Otoritesi, verilerin anonimliğini her zaman sistematik olarak doğrulamak ve işlemenin tüm aşamalarında güvenlik gerekliliklerine uygunluğu sağlamak için veri sorumlusu dışındaki herhangi bir veri aktarımının otomatik veya manuel olarak izlenmesini tavsiye etmiştir. Veri Koruma Otoritesi ayrıca, GDPR Madde 5(1)(f) ve GDPR Madde 32 ile uyumlu olarak, güvenlik önlemlerinin işlemenin uygulanması sırasında çalışır durumda olması gerektiğine karar vermiştir.
Buna ek olarak, kişisel verilere erişim ve kişisel verilerin alıcıları ile ilgili olarak, Veri Koruma Otoritesi veri sorumlusuna ilgili kişilerin kişisel olarak tanımlanabilir bilgilerine erişim yetkisi olan üçüncü tarafların sayısını mümkün olduğunca kısıtlamasını tavsiye etmiştir. AB dışındaki bir ülkedeki bir kişi tarafından kişisel verilere erişimin, GDPR Bölüm V'te zorunlu kılınan AB dışına kişisel veri aktarımı ilkelerine uygun olarak gerçekleştirilmesi gerektiğini hatırlatmıştır.
Ayrıca, ilgili kişinin bilgilendirilme hakkına ilişkin olarak, veri sorumlusu, bir ilgili kişiyle iletişime geçmeden önce, seçilen tüm kişilere bir duyuru mektubunun yanı sıra bir e-posta veya SMS gönderilmesi gerektiğini belirtmiştir. Veri Koruma Otoritesi ayrıca, GDPR Madde 13'te öngörülen işleme ile ilgili tüm bilgilerin, ilgili kişinin haklarını kullanmasına rehberlik eden hüküm ve koşullar da dahil olmak üzere, sözlü olarak veya web anketinin başlangıcında ilgili kişiye tekrar iletilmesini önermiştir. Veri Koruma Otoritesi, bilgilendirilemeyen üçüncü tarafların kişisel verilerinin işlenmesine ilişkin olarak, veri sorumlusunun üçüncü tarafları bilgilendirilme hakkından muaf tutan GDPR Madde 14(5)(b)'ye dayandığını doğrulamıştır.
Son olarak, ilgili kişi haklarının kullanılmasına ilişkin olarak, veri sorumlusu, ilgili kişilerin bilgi bildirimlerinde belirtilen bir e-posta adresi aracılığıyla veri işlemeye itiraz edebileceklerini belirtmiştir. Bunun üzerine Veri Koruma Otoritesi, itiraz mekanizmasının bilgisayar araçlarına erişimi veya bilgisi olmayanlar da dahil olmak üzere herkes için kolay ve erişilebilir olması gerektiğini vurgulamıştır.