Digi Spain Telecom (Veri sorumlusu), kamuya telekomünikasyon hizmetleri sunan bir şirkettir. Veri sorumlusunun müşterilerinden biri olan bir ilgili kişi, cep telefonunun şebeke ile bağlantısının kesildiğini fark etmiştir. Aynı günün ilerleyen saatlerinde ilgili kişi, iki farklı bankadan hesaplarına erişim girişimleri olduğu ve Bizum (İspanya'da yaygın olarak kullanılan bir mobil ödeme çözümü) aracılığıyla şüpheli işlemler yapıldığı hakkında e-posta almıştır. Veri sorumlusu ile iletişime geçtiğinde ilgili kişiye, SIM kartının bir kopyasının çıkarıldığı ve bu tür mesajların söz konusu kopyanın kullanıldığı dolandırıcılık faaliyetleri sebebiyle iletilmiş olabileceği belirtilmiştir. Bu kapsamda, ilgili kişi İspanya Veri Koruma Otoritesi’ne (“Otorite”) şikayette bulunmuştur.
Şikayete cevaben, veri sorumlusu, kopyanın ürün ve hizmetlerinin dağıtımından sorumlu satış noktalarından birinde (Veri İşleyen) meydana geldiğini ve kopyanın yalnızca hat sahibi tarafından şahsen yapılabileceğini belirtmiştir. Veri sorumlusuna göre, söz konusu işlemde müşteri orijinal kimlik belgesini göstermeli ve işlemci bunu doğrulamalıdır.
Veri sorumlusu ayrıca aşağıdaki iddialarda bulunmuştur:
Otorite, bir SIM kartın kopyasının sahibini tanımlanabilir hale getirdiğini ve bu nedenle GDPR Madde 4(1) uyarınca kişisel veri olduğunu belirtmiştir. Ayrıca, üçüncü bir tarafın ilgili kişinin kimliğine bürünmesi durumunda, örneğin banka hesaplarına erişip kontrol edebilecekleri için kişisel verilerin yasadışı bir şekilde işlenmesinin söz konusu olduğuna dikkat çekmiştir.
Otorite, bir veri sorumlusunun GDPR uyumluluğunu sağlamak için uygun önlemleri uygulama ve hesap verebilirlik ilkesi gereği bu uyumluluğu gösterme yükümlülüğü olduğunu hatırlatmıştır Söz konusu olayda, üçüncü bir tarafa mükerrer bir SIM kart sağlanması, müşterilerin veri koruma haklarını kesinlikle ihlal etmiştir. Bununla birlikte, Otorite'ye göre, veri sorumlusu kendi kimlik doğrulama prosedürünü izlediğini kanıtlayamamıştır. Dolayısıyla, böyle bir durumda mükerrer SIM kartın verilmemesi gerektiğini savunmuştur.
Otorite, genel bir kural olarak, telekom operatörlerinin bir sözleşmenin ifası için gerekli olduğu için müşterilerinin verilerini GDPR Madde 6(1)(b) temelinde işlediğini vurgulamıştır. SIM kartların çoğaltılması da dahil olmak üzere hizmetlerini sağlamak için, bu operatör veri sorumlularının veri işleyen olarak hareket eden yetkili temsilcilerden oluşan bir ağa sahip olduğunu ancak işleme araçlarını ve amaçlarını belirledikleri için veri sorumlusu olmaya devam ettiklerini ve bu nedenle, olası ihlallerden sorumlu olduklarını vurgulamıştır.
Bu kapsamda Otorite, veri sorumlusunun yeterli teknik ve idari tedbirleri almadığını ve bunun da üçüncü bir tarafın kimlik hırsızlığı yaparak ilgili kişinin kişisel verilerine erişim sağlamasına izin verdiğini değerlendirmiştir. Otorite'nin görüşüne göre, üçüncü bir tarafın herhangi bir yasal dayanak olmaksızın kişisel verilere erişmesi nedeniyle GDPR Madde 6(1)'in ihlali gerçekleşmiştir.
Sonuç olarak Otorite, GDPR Madde 6(1)'in ihlali nedeniyle veri sorumlusuna 70.000 Euro para cezası vermiştir. Otorite, para cezasının miktarını belirlemek için, sahtekarlığın farkına varılmasının ardından alınan ve etkili olduğu düşünülen önlemler dışında, veri sorumlusu tarafından öne sürülen neredeyse diğer tüm hafifletici nedenleri reddetmiştir.