Bu olay sonucunda ilgili kişi tarafından İtalya Veri Koruma Otoritesi’ne (“Otorite”) yapılan şikayet üzerine Otorite, veri sorumlusunun ilgili kişinin erişim talebine eksiksiz bir şekilde cevap vermediğini tespit etmiştir. Veri sorumlusu ilgili kişinin sertifikalarını saklamıyor olsa bile erişim talebiyle ilgili işlem yapılmamasına ilişkin spesifik gerekçeler ile şikayet ve kanun yolları konusunda ilgili kişiye bilgi vermesi gerektiğini belirtmiştir. Otorite, olayda GDPR Madde 15 ile GDPR Madde 12'nin ihlal edildiğini tespit ederek veri sorumlusuna 10.000 Euro para cezası vermiştir.

7 Temmuz 2022 tarihinde, ilgili kişi İtalya Veri Koruma Otoritesi’ne (“Otorite”) eski işvereni aleyhine bir şikâyette bulunmuştur. İlgili kişi, işi sırasında bazı güvenlik kurslarına katılmıştır. Bu kursların sonunda kendisine bir sertifika verilmiştir. İşine son verildikten sonra, ilgili kişi veri sorumlusuna bir erişim talebinde bulunmuştur. Bu sertifikalar da dahil olmak üzere kişisel verilerinin bir kopyasını almak istemiştir.

Veri sorumlusu talebine yalnızca kısmen yanıt vermiştir. İlgili kişiye işyeri hekimi tarafından verilen sağlık sertifikasının bir kopyasını göndermiş ancak kendisine verilen diğer sertifikaları göndermemiştir. 7 Haziran 2022 tarihinde, veri sorumlusu, iş sözleşmesinin sona ermesinin ardından, artık bunları saklamak zorunda olmadığı ve hassas veriler içerdikleri için bunları sildiğini ileri sürmüştür.

Ancak 28 Haziran 2022 tarihinde, veri sorumlusu farklı bir şekilde ilgili kişiye sertifikaların aslında hala kendisinde olduğunu ancak artık o şirketin bir çalışanı olmadığı için bunları sileceğini söylemiştir.

İlk olarak Otorite, güvenlik sertifikalarında yer alan bilgilerin GDPR Madde 4(1) uyarınca kişisel veri tanımına girdiğine işaret etmiştir.

İkinci olarak Otorite, veri sorumlusunun ilgili kişinin erişim talebine hızlı ve eksiksiz bir şekilde cevap vermediğini tespit etmiştir. Veri sorumlusu, ilgili kişiye sertifikalarının bir kopyasını göndermekte başarısız olmuştur.

Otorite, veri sorumlusu sertifikaları artık saklamıyor olsa bile, GDPR Madde 12(4)'te öngörüldüğü üzere, ilgili kişiye harekete geçmemesinin belirli nedenlerini sunması ve denetim makamına şikayette bulunma veya kanun yolları hakkında bilgi vermesi gerektiğini belirtmiştir.

Bu nedenle, Otorite, GDPR Madde 15 ile birlikte GDPR Madde 12'nin ihlal edildiğini tespit etmiş ve veri sorumlusuna 10.000 Euro para cezası vermiştir.

Kaynak

İtalya Veri Koruma Otoritesi, veri sorumlusunun ilgili kişiye dair bilgileri artık saklamıyor olsa bile, bu durumu gerekçeli olarak açıklaması gerektiğini belirterek veri sorumlusuna 10.000 Euro para cezası verdi.