İspanya Veri Koruma Otoritesi (“Otorite”), farklı bir müşterinin erişim hakkını yerine getirirken başka bir müşterinin kişisel verilerini paylaştığı için Vodafone España, S.A.U’ya (“Vodafone”) 56.000 € para cezası vermiştir. Veri sorumlusu, yaptırıma karşı herhangi bir temyiz başvurusunda bulunmaktan vazgeçtiği için Otorite’nin vermiş olduğu ilk para cezasında 14.000 Euro indirimden yararlanmıştır.

21 Ağustos 2021 tarihinde ilgili kişi, erişim hakkını ihlal ettiği gerekçesiyle veri sorumlusu Vodafone aleyhine şikayette bulunmuştur.

İlgili kişi, Vodafone'dan aralarındaki sözleşmedeki tarifeyi uygulamadığını iddia ederek ticari telefon sözleşmesinin bir kopyasını sağlamasını talep etmiştir. İlgili kişi tarafından sözleşmesini almak için yapılan birkaç başarısız girişimden sonra, veri sorumlusu başka bir müşterinin sözleşmesini ve bu müşterinin ses kaydı verilerini de içeren bir e-posta göndermiştir.

Otorite, Vodafone'un GDPR Madde 5(1)(f)'yi ihlal ederek başka bir bireyin ticari sözleşmesini ilgili kişi ile paylaşması nedeniyle gizlilik ve güvenliğin ihlal edildiğini vurgulamıştır. Sunulan kanıtlara göre, ilgili kişi, verilerinin üçüncü taraflara ifşa edilmesi yetkisi olmaksızın bilinmeyen bir kişinin adı, kimlik numarası ve telefon numarasına erişim sağlamıştır.

Bu nedenle Otorite, bu tür bir olayı önlemek için uygun teknik ve idari önlemleri uygulamadığı için GDPR Madde 32'nin ihlal edildiğini tespit etmiştir.

Otorite, Vodafone’a GDPR Madde 5(1)(f)'yi ihlal ettiği için 50.000 Euro ve GDPR Madde 32'yi ihlal ettiği için 20.000 Euro para cezası vermiştir. Ancak bu durumda Otorite, Vodafone’a sorumluluğu kabul ederek nihai tutarda toplam 42.000 Euro ödenmesine denk gelecek şekilde daha büyük bir indirime gitmesi ya da 56.000 Euro tutarında bir ceza ödemesi ve yaptırıma karşı her türlü itirazdan vazgeçmesi için iki seçenek sunmuştur.

Vodafone gönüllü ödeme seçeneğini tercih ederek 56.000 Euro ceza ödemiştir. Bu ödeme ile ilk anlaşmada erken ödeme için teklif edilen indirimin kullanıldığını ve yaptırıma karşı her türlü idari itirazdan feragat edildiğini göstermiştir.

İspanya Veri Koruma Otoritesi, ilgili kişinin erişim talebini yanıtlarken başka bir müşterisinin kişisel verilerini paylaştığı için Vodafone’a 56.000 Euro para cezası verdi.