31 Ocak 2022 tarihinde, ilgili kişi tarafından Kanarya Adaları Ekonomi, Bilgi ve İstihdam Departmanına (veri sorumlusu) iş uyuşmazlıklarının uzlaştırılması ile ilgili bir formun gönderilebilmesi için belirli kişisel verilerin talep edildiği bir devlet web sayfası ile ilgili olarak İspanya Veri Koruma Otoritesi’ne (''DPA’’) şikayette bulunulmuştur. Formda özellikle cinsiyete ilişkin olarak erkek, kadın veya nonbinary yanıtını gerektiren bir soru yer aldığı belirtilmiştir. İlgili kişi, nonbinary yanıtının cinsel yönelimle ilgili kişisel verilerin ifşa edilmesini gerektirdiğini ve bu tür verilerin veri sorumlusunun yasal dayanağının ve formun amacının kapsamı dışında olduğunu ileri sürmüştür.

Veri sorumlusu, GDPR madde 5(1)(c) veya 9(1)'in ihlal edilmediğini ve aslında İspanyol yasaları uyarınca bu tür bilgileri toplaması gerektiğini savunmuştur. Özellikle, 12/1989 sayılı Kanun’un 26. maddesi ve 3/2007 sayılı Kanun’un 20(a) maddesinin, kamu kurumlarını istatistiksel amaçlarla tüm idari formlarda cinsiyet bilgilerini toplamakla yükümlü kıldığını belirtmiştir.

DPA, veri sorumlusunun GDPR madde 6(1)(c) kapsamında işleme için yasal dayanağını aştığını, GDPR madde 5(1)(c) kapsamında veri minimizasyonu ilkesini ihlal ettiğini ve GDPR madde 9(1) kapsamında özel nitelikli kişisel veri kategorisini uygunsuz şekilde işlediğini tespit etmiştir.

Bu kapsamda DPA yaptığı inceleme sonucunda;

İlk olarak, GDPR madde 6(1)(c)'nin ihlal edildiğini ve veri sorumlusunun İspanyol yasal gereklilikleri kapsamında işleme için yasal dayanaklarını aştığını belirlemiştir. 3/2007 sayılı Kanunun 20. maddesi ve 12/1989 sayılı Kanun’un 26. maddesi de dahil olmak üzere bir dizi İspanyol kanununun, kamu kurumlarının istatistiksel amaçlar ve cinsiyet eşitliğinin izlenmesi için başvuru sahibinin cinsiyeti hakkında veri toplamasını gerektirdiği görülmüştür. 12/1989 sayılı Kanun’un 26. maddesinin, cinsiyetle ilgili sorulara verilecek yanıtların ''kadın'' ve ''erkek'' olarak belirtmesini öngörmüştür. Öte yandan, DPA, cinsiyetin belgelenmesini zorunlu kılan hiçbir İspanyol yasasının nonbinary yanıtının dahil edilmesini gerektirmediğini belirtmiştir. Dolayısıyla, bir yanıt olarak dahil edilmesi, GDPR madde 6(1)(c) kapsamında işleme için temel oluşturan yasal gerekliliklerin kapsamını aşmıştır.
İkinci olarak, kadın-erkek seçenekleri dışında bir seçenek eklenmesinin GDPR madde 5(1)(c)'yi ihlal ederek veri sorumlusunun işleme amacı için gerekli olmayan kişisel verileri topladığına karar vermiştir. DPA, cinsiyet için başka bir seçenek eklenmesinin işverenler ve çalışanlar arasındaki iş uyuşmazlıkları ile ilgili olan formda verilerin toplanma amacı ile ilgili olmadığına ilişkin görüş vermiştir.
Son olarak, veri sorumlusunun GDPR madde 9(1) kapsamında yasaklanan özel nitelikli kişisel veri kategorilerini işlediğini tespit etmiştir. DPA, cinsiyet kimliği ve cinsel yönelimin farklı olduğunu belirtmesine rağmen, formda açıkça cinsel yönelim veya cinsel yaşama atıfta bulunulmasa bile, erkek veya kadın dışında bir yanıtın (ilgili kararda nonbinary) cinsel yaşamla ilgili olarak kabul edilebileceğini belirlemiştir. Bu durumda, GPDR madde 9(2) kapsamında özel nitelikli kişisel veri kategorilerin işlenmesi yasağına dair uygulanabilir bir istisnanın meydana gelmediği ifade edilmiştir. DPA, kadın-erkek seçenekleri dışındaki yanıtın GDPR madde 9(1)'i ihlal ettiği sonucuna varmıştır.

DPA, veri sorumlusunun GDPR madde 83(5)(a) uyarınca GDPR madde 5(1)(c) ve 9(1) ihlalleri için uyarı vermiştir. Ayrıca, veri sorumlusunun cinsiyet sorularındaki kadın-erkek seçenekleri dışındaki yanıtın yalnızca davada ortaya çıkan formdan değil, veri sorumlusu tarafından işlenen tüm formların işlenmesinden kaldırarak işleme faaliyetlerini uygun hale getirilmesini emretmiştir.

Kaynak

İspanyol Veri Koruma Otoritesi, bir devlet dairesinin formlarında kadın - erkek seçenekleri dışında üçüncü bir seçenek sunulmasının GDPR ihlali olduğuna karar verdi.