Nisan 2020’de Polonya Başbakanı, Polonya Cumhuriyeti Cumhurbaşkanlığı seçimlerinin posta yoluyla yapılmasına karar verdi. Başbakan tarafından, Polonya Postası S.A.’ya (“Post”) seçimlerin organizasyonu için hazırlık yapma talimatı verilmiştir. Post, seçmenlere gönderilecek paketlerin teslimi için bir adres veri tabanı oluşturmak amacıyla Dijitalleşme Bakanı’ndan (“Bakan”) Evrensel Elektronik Nüfus Kayıt Sistemi (“PESEL Register”) kapsamında toplanan vatandaşların kişisel verilerini talep etti.
Bakan, yaklaşık 30 milyon kişinin kişisel verilerini sağladı. Daha spesifik olarak; PESEL numarası (11 haneli benzersiz bir tanımlayıcı), ad, soyad, son kayıtlı daimi ikamet adresi, kayıtlı geçici ikamet adresi ve ülke dışına geçici çıkış kaydı bulunan, kayıtlı Polonya vatandaşlığına sahip, reşit ve hayatta olan tüm kişilerin verileri sağlandı.
Post, verileri Mayıs 2020’de silinene kadar genel seçimlerin organizasyonu amacıyla işlemeye devam etti.
Nisan 2020’de Vatandaş Hakları Koruma Ombudsmanı, söz konusu Başbakanlık kararına karşı Varşova İdare Mahkemesi'ne (“WSA”) şikâyette bulundu ve Mayıs 2020’de Bakan’ın kişisel verileri sağlama fiiline karşı da şikâyette bulundu.
Şikâyetler üzerine WSA, 2021’de, Polonya Yüksek İdare Mahkemesi (“NSA”) ise 2024’te nihai kararlarını verdi. Mahkemeler, Nisan 2020’de Bakan tarafından Post'a PESEL kayıtlarına erişim sağlanmasına yönelik işlemin hukuki sonuç doğurmadığını ilan etti. Her iki mahkeme de 2020 cumhurbaşkanlığı seçimlerinin münhasıran posta yoluyla gerçekleştirilmesine dair Polonya hukukunda yasal bir temel bulunmadığını, dolayısıyla böyle bir hazırlığı yerine getirmeye yönelik bir emir verilmesine de yasal dayanak olmadığını belirtti. Ayrıca mahkemeler, Post ve Bakan’ın Başbakan’ın talebinin gerekçelendirilip gerekçelendirilmediğini doğrulamakla yükümlü olduğunu belirtti.
2025’te DPA, resen soruşturma başlatılmasının gerekli olduğunu değerlendirdi.
Bakan, GDPR Madde 6(1)(c) uyarınca kişisel verilerin işlenmesinin, veri sorumlusu üzerinde bulunan yasal bir yükümlülüğün yerine getirilmesi için gerekli olduğu durumda hukuka uygun olduğunu ileri sürdü; Post ise eylemlerinin hukuka aykırı olmadığını savundu.
DPA, WSA ve NSA’nın yukarıda belirtilen kararlarıyla bağlı olduğunu ve Bakan ile Post’un eylemlerini farklı şekilde değerlendirme imkânı bulunmadığını dikkate alarak olayı inceledi. DPA’nın, Bakan ile Post’un söz konusu kişisel verilerin işlenmesinde veri sorumlusu olarak hareket ettiklerinden şüphesi yoktur.
İlk olarak; DPA, PESEL kayıtlarından kişisel verilerin işlenmesini öngören bir yasal düzenleme bulunmadığını teyit etti. Bu nedenle GDPR Madde 6(1)(c) hukuki dayanak olarak kabul edilemezdi. Ayrıca DPA, GDPR Madde 6(1) kapsamında başka bir hukuki dayanak ihtimalini de inceledi ve böyle bir hukuki dayanağın bulunduğu sonucuna varmanın mümkün olmadığını belirledi. Bakan’ın, 2020 genel seçimlerinin organize edilmesi amacıyla kişisel verileri Post’a aktarması ve Post’un bu amaçla ilgili görevleri yerine getirmesi kişisel verilerin hukuka aykırı olarak işlendiği anlamına geliyordu. Sonuç olarak DPA, GDPR Madde 6(1) ve 5(1)(a)’nın ihlal edildiğini tespit etti.
İkinci olarak; DPA, ihlalin niteliğini, ağırlığını ve süresini; söz konusu işlemenin niteliğini, kapsamını veya amacını; etkilenen veri sayısını ve ilgili kişilerin maruz kaldığı zararın boyutunu (GDPR Madde 83(2)) dikkate alarak Bakan’a 100.000 PLN (23.448,50 €) ve Post’a 27.124.816 PLN (6.444.174 €) tutarında idari para cezası verdi.
İlgili karara buradan ulaşabilirsiniz.