İspanya Veri Koruma Otoritesi ("Otorite") tarafından, dijital fatura gönderimi amacıyla e-posta adresi alınan bir müşteriye ticari reklam gönderilmesi ve bu işleme faaliyetine yönelik geçerli bir açık rızanın ispat edilememesi nedeniyle bir giyim perakendecisine 20.000 Euro tutarında idari para cezası uygulanmasına karar verilmiştir.
Somut olayda, 23 Eylül 2023 tarihinde veri sorumlusuna ait "Nude project" adlı mağazalardan birinde alışveriş yapan ilgili kişi, satın aldığı ürüne ait fatura talep ettiğinde söz konusu belgenin yalnızca dijital olarak sağlanabileceğinin kendisine bildirildiğini ifade etmiştir. İlgili kişiye e-posta adresi veya telefon numarası girmesi için bir tablet verilmiş; ancak ilgili kişi, tablet ekranında reklam almayı reddetmeye yönelik herhangi bir seçeneğin bulunmadığını iddia etmiştir. Şikayette bulunmadan önce veri sorumlusundan abonelikten çıkma seçeneği de içeren üç adet reklam e-postası alan ilgili kişi, ulusal mevzuatın ihlal edildiği gerekçesiyle Otorite'ye başvurmuştur.
Veri sorumlusu ise kasiyerlerin müşterilere fiziksel fatura alma ihtimalinin bulunduğunu da bildirdiğini ve tablette reklamlara itiraz etme seçeneğinin görüntülendiğini savunarak; onay kutusunun işaretlenmemiş olduğu bir tablet ekranı, ilgili kişinin hesabında reklamların işaretli olduğunu gösteren bir profil ekranı ve e-posta aboneliğinden çıkış yapıldığını doğrulayan üç farklı ekran görüntüsünü kanıt olarak sunmuştur.
Otorite tarafından gerçekleştirilen incelemede, Genel Veri Koruma Tüzüğü'nün ("GDPR") gerekliliklerine uygun olarak rıza alındığını göstermek için veri sorumlusunun, ilgili kişinin rızasını almak amacıyla yürütülen işlemlerin kaydını tutması gerektiği belirtilmiştir. Otorite, veri sorumlusunun, ilgili kişinin rıza gösterdiğini kanıtlayan bir log kaydı veya kullanıcı kimliğiyle birlikte ilgili kişinin imzasını/onayını gösteren somut bir kanıt sunmadığını vurgulamıştır. Bu doğrultuda, veri sorumlusunun GDPR'ın 7. maddesi uyarınca ticari reklamlar için ilgili kişinin rıza gösterdiğine dair yeterli kanıt sunamadığı tespit edilmiştir. Otorite ayrıca, veri sorumlusunun kastının ağırlaştırıcı bir faktör teşkil ettiğini ifade etmiştir. Müşterilere fatura verilmesi için e-posta veya kısa mesaj yoluyla reklam iletişimleri almaktan başka seçenek bırakılmamasının ilgili Kanun hükümlerinin kasıtlı bir ihlali olduğu değerlendirilmiştir. Sonuç itibarıyla Otorite, veri sorumlusuna 20.000 Euro idari para cezası uygulamıştır.
İlgili habere buradan ulaşabilirsiniz.