İspanya Ulusal Mahkemesi ('Mahkeme') BBVA Bankasına verilen milyonlarca liralık para cezasını iptal etmiştir. Mahkeme, Veri Koruma Otoritesi’nin ('Otorite') şikayetlerde bildirilen olguların ötesine geçmesi ve bankanın veri koruma politikası hakkında genel bir soruşturma yürütmesi nedeniyle idari yaptırım prosedürü ilkelerinin ihlal edildiğine karar vermiştir.
Bu karar, Otorite’nin BBVA Bankası’nın GDPR 6., 13. ve 14. maddelerini ihlal ettiği gerekçesiyle bankaya kesmiş olduğu 5.000.000 Euro tutarında para cezası karşısında yapmış olduğu temyiz başvurusu sonucu verilmiştir.
Banka, temyiz başvurusu kapsamında ele aldığı diğer hususların yanı sıra, Otorite tarafından yürütülen soruşturmanın amacı ile ilgili kişiler tarafından yapılan şikayetler arasında bir bağlantı olmadığını iddia etmiştir. Banka tarafından Otorite’nin bankanın uygulamalarına ve veri koruma politikasına yönelik bir tür genel inceleme başlatmak için belirli ve bireysel iddia ve şikayetleri bir bahane olarak kullandığı iddia edilmiştir.
Mahkeme, bankanın bazı argümanlarını reddederken, yapılan şikayetler ile otoritenin vermiş olduğu nihai karar arasında kopukluk olduğunu kabul etmiştir.
Mahkeme, GDPR madde 57(1)(f)'nin Otorite’ye veri sorumlusunun kişisel veri işleme faaliyetlerindeki mevcut durumu veya şikayet konusunu soruşturma imkanı verdiğini vurgulamıştır. Ancak Mahkeme, bu imkanın veri koruma politikasına ilişkin genel bir soruşturma yürütülmesini kapsamayacağını değerlendirmiştir. Mahkeme gerekçesinde, Otorite kapsamında idari yaptırım prosedürü ilkelerinin uygulanmasına yönelik kriterlerin belirlendiği 23 Nisan 2019 tarihli önceki kararlarından birine (Rec. 88/2017) atıfta bulunmuştur.
Söz konusu davada; Mahkeme, Otorite’nin:
Otorite’nin veri koruma politikasına ilişkin genel bir soruşturma açtığını tespit eden Mahkeme'nin görüşüne göre, Otorite, ilgili kişi şikayetlerinin olguları ile bağlı kalmak yükümlülüğüne uygun hareket etmemiştir. Bu nedenle, Otorite Mahkeme’nin kararı ile söz konusu olguları veya 'şikayetin konusunu' araştırmakla sınırlandırılmıştır.
Mahkeme, İspanya Anayasası'nın 25(1) maddesinde öngörülen yasallık ilkesine atıfta bulunmuş ve bu ilkenin 'yasadışı davranışların ve bunlara karşılık gelen yaptırımların normatif olarak önceden belirlenmesinin zorunluluğa dönüştüğü' bir Yüksek Mahkeme içtihadına atıfta bulunmuştur. Atıfta bulunulan kararda Yüksek Mahkeme, GDPR veya diğer veri koruma mevzuatı potansiyel ihlalleri cezalandırmadığından, yalnızca veri koruma politikasının varlığının herhangi bir somut ihlale karşılık gelmediğini belirtmiştir.
Mahkeme ayrıca, masumiyet karinesi ilkesine gerektiği gibi saygı gösterilmesi için olaylara ilişkin kanıtların değerlendirilmesinin Otorite’nin yetkisi dahilinde olduğuna karar vermiştir. Mahkeme kararında, bu davada Otorite’nin şikayetlerle ilgili kanıtlanmış olguları ele aldığına ancak nihai kararında bu gerçekleri değerlendirmediğine dikkat çekmiştir. Mahkeme kararında, bireysel bir veri ihlali kanıtlanmamışsa, veri koruma politikasının tüm müşterilerin haklarını ihlal ettiği sonucuna da varılmaması gerektiği sonucuna varmıştır.
Bu nedenlerle Mahkeme, Otorite’nin kararını hukuka uygun olmadığı gerekçesiyle iptal etmiştir.