Bir mahkeme, ödeme temerrüdüne ilişkin kredi riskini değerlendirme konusundaki #verisorumlusunun menfaatinin, #ilgilikişinin menfaatinden daha ağır bastığını hükmetmiştir. Mahkeme, borcun nispeten düşük olmasına ve sonradan ödenmiş olmasına rağmen veri işlemenin meşru olduğunu değerlendirmiştir.

Veri sorumlusu, Almanya’daki 68.000.000 kişiye ilişkin veri kümesini içeren geniş bir veritabanı işleten bir kredi derecelendirme kuruluşudur. Veri sorumlusunun sözleşmeli iş ortakları, müşterilerinin verilerini veri sorumlusuna iletmekte; veri sorumlusu ise bu verileri saklayarak istatistiksel yöntemlerle ödeme temerrüdü riskini hesaplamakta ve bu bilgileri iş ortaklarına sunmaktadır.

#İlgilikişi, bir zanaatkâr olup, veri sorumlusu tarafından saklanan kredi değerliliğine ilişkin olumsuz bir kaydın silinmesini talep etmiştir. Kayıt, 300–400 € tutarında, aylarca ödenmemiş bir borca ilişkindir. Veri sorumlusu silme talebini reddedince ilgili kişi GDPR 17. madde kapsamında silme talebiyle Augsburg Bölge Mahkemesi (LG Augsburg)’ne başvurmuştur. İlk derece mahkemesi, talebin haksız olduğuna ve veri sorumlusunun GDPR 6(1)(f) kapsamında meşru menfaatle veri işlediğine karar vermiştir.

İlgili kişi karara itiraz etmiş ve veri sorumlusunun veri işleme sürecinde kendisini push-notification yoluyla bilgilendirmesi gerektiğini ileri sürmüştür. Ancak istinaf sürecinde Münih Yüksek Bölge Mahkemesi (OLG München) ilk derece mahkemesinin kararını tamamen onamıştır. Mahkeme; veri sorumlusunun verileri saklama menfaatinin, ilgili kişinin verinin silinmesine ilişkin menfaatinden üstün olduğuna hükmetmiştir.

Mahkeme, borcun sonradan ödenmiş olmasına rağmen, veri sorumlusunun sakladığı bilgilerin kredi puanı değerlendirmesi açısından hâlâ uygun ve gerekli olduğunu belirtmiştir. Ayrıca, küçük tutarlı borçlara (bu olayda 400 € altındaki bir tutar) ilişkin gecikmiş ödemelerin bile gelecekteki risk analizleri açısından önemli bir veri olduğunu vurgulamıştır. Gecikmiş ödemenin, tutar ne olursa olsun, kişinin gelecekteki ödeme davranışı hakkında anlamlı bir gösterge oluşturduğunu değerlendirmiştir.

Son olarak mahkeme, veri sorumlusunun GDPR 13 ve 14. maddeleri uyarınca ilgili kişiyi bilgilendirme yükümlülüğü bulunduğunu, ancak bu bilgilendirmenin akıllı telefon bildirimleri ("push-notifications") aracılığıyla yapılması zorunluluğunun bulunmadığını ifade etmiştir. GDPR, bilgilendirmenin hangi teknik araçla yapılacağını şart koşmadığından, push-notification eksikliğinin hukuka aykırılık oluşturmadığı sonucuna varılmıştır.

Kararın linkine buradan ulaşabilirsiniz.

Münih Yüksek Bölge Mahkemesi, küçük tutarlı ve sonradan ödenmiş bir borca ilişkin olumsuz kaydın kredi kuruluşu tarafından saklanmasının meşru menfaate dayandığına ve ilgili kişinin silme talebinin reddedilmesinin GDPR’a uygun olduğuna hükmetti.