İspanya Veri Koruma Otoritesi (“AEPD”), İspanya Kraliyet Futbol Federasyonu'na futbolcu kayıt sürecinde gerekli olandan daha fazla evrak talep ederek veri minimizasyonu ilkesini ihlal etmesi nedeniyle 100.000 Avro tutarında idari para cezası uygulamıştır.
Reşit olmayan ilgili kişinin babası, kızını İspanya Kraliyet Futbol Federasyonu'na (RFEF, veri sorumlusu) kaydettirmesinin ardından Veri Koruma Otoritesi'ne şikâyette bulunmuştur. Kayıt başvurusu kapsamında veri sorumlusu, ilgili kişinin İspanya'da kesintisiz olarak beş yıl ikamet etmiş olması koşulunu doğrulamak amacıyla babasından, diğer belgelerin yanı sıra ikametgâh belgesi ve destekleyici belge olarak okul belgesi sunmasını talep etmiştir.
FIFA'nın reşit olmayan futbolcuların kayıt başvurularına ilişkin yönergeleri uyarınca, ilk kez tescil başvurusunda bulunan futbolcuların, kayıt yapacakları ülkede kesintisiz olarak beş yıl ikamet etmiş olmaları gerekmektedir. FIFA yönergelerinde, bu koşulun doğrulanması amacıyla ikametgâh belgesinin veya alternatif olarak reşit olmayan futbolcunun okul belgesinin sunulması öngörülmektedir.
Veri sorumlusu, uygulanan prosedürün ve talep edilen belgelerin, FIFA tarafından uzun süredir uygulanmakta olan ve hem ikametgâh belgesinin hem de reşit olmayan futbolcunun okul belgesinin sunulmasını gerektiren bir prosedürden kaynaklandığını açıklamıştır.
Veri Koruma Otoritesi, FIFA tarafından kaydedilmesi talep edilen futbolcunun ikamet durumunun ikametgâh belgesi aracılığıyla doğrulanmasının istenmesini, reşit olmayan futbolcuların uluslararası transferine ilişkin yasağın mantıklı ve makul bir istisnası olarak değerlendirmiştir. Bununla birlikte, veri sorumlusunun açıklamalarından okul belgelerinin destekleyici belge olarak talep edildiği ve dolayısıyla ikametgâh belgesine ek olarak sunulmasının zorunlu tutulduğu anlaşılmıştır.
Veri Koruma Otoritesi, her iki belgenin birlikte talep edilmesinin ve sunulmasının zorunlu tutulmasının veri minimizasyonu ilkesini ihlal ettiğine ve kesintisiz ikamet koşulunun doğrulanması bakımından söz konusu iki belgeden yalnızca birinin talep edilmesinin yeterli olduğuna karar vermiştir. Bu değerlendirmede, FIFA yönergelerinde söz konusu belgelerin açıkça birbirinin alternatifi olarak düzenlenmiş olması da dikkate alınmıştır.
Bu doğrultuda Veri Koruma Otoritesi, veri sorumlusunun futbolcu kayıt işlemleri kapsamında, FIFA tarafından resmî olarak öngörülen gereklilikleri aşacak şekilde kişisel veri içeren belgeler talep ettiğini tespit etmiştir. Otorite ayrıca, reşit olmayan kişilerin kişisel verilerinin korunmasının önemini vurgulayarak, bu tür bir belge talebinin gerekli olandan daha kapsamlı bir kişisel veri işleme faaliyetine yol açtığını ve reşit olmayan kişileri gereksiz risklere maruz bırakabileceğini belirtmiştir.
Yukarıdaki değerlendirmeler ışığında Veri Koruma Otoritesi, GDPR'ın 5(1)(c) maddesinde düzenlenen veri minimizasyonu ilkesinin ihlal edilmesi nedeniyle veri sorumlusu hakkında 100.000 Avro tutarında idari para cezası uygulanmasına karar vermiştir.
İlgili habere buradan ulaşabilirsiniz.