Bir banka çalışanı yanlışlıkla ilgili kişinin kişisel verilerini içeren bir mektubu başka bir müşteriye göndermiştir. Mektup, ilgili kişi ile banka (“veri sorumlusu”) arasında imzalanan kredi sözleşmesini ve sözleşmeyle beraber ilgili kişinin; ad, soyad, banka hesap numarası, adres, ulusal kimlik numarası, kimlik numarası gibi kişisel verilerini içermekteydi. Kendisine yanlış mektup gönderilen müşteri, bankaya bu durumu bildirmiş ve banka mektubu müşteriden geri almıştır.

Veri sorumlusu, olayı iç kayıt defterine Avrupa Birliği Siber Güvenlik Ajansı veri ihlali kılavuzunu dikkate alarak ihlalden bir kişinin etkilendiği ve yanlış gönderdiği kişinin de müşterisi olduğu gerekçeleriyle ihlali düşük risk olarak kaydetmiş ve Polonya Veri Koruma Otoritesine (“Otorite”) bildirim yapmamıştır.

İlgili kişi, veri sorumlusunun kişisel verilerini hukuka aykırı olarak ifşa ettiğini iddia ederek Veri Koruma Otoritesi'ne şikayette bulunmuştur. Şikayet işlemleri sırasında, veri sorumlusu ihlali Otoriteye bildirmiştir. Bildirim, ihlalden neredeyse 18 ay sonra yapılmış olup veri sorumlusu, geç bildirimi ihlale atanan düşük risk seviyesi ile açıklamıştır.

Otorite, veri sorumlusunun veri ihlalinin riskini yeterince değerlendiremediğini, veri ihlali risk değerlendirmesi yaparken ilgili kişinin çıkarlarının ana referans noktası olması gerektiğini vurgulamıştır. Açığa çıkan kişisel veriler arasında ulusal kimlik numarası bulunduğunu ve diğer kişisel veriler de düşünüldüğünde bu tür verilerin özellikle kimlik hırsızlığı veya dolandırıcılık gibi amaçla kullanılabileceğini ifade etmiştir. Otorite, bu argümanını EDPB Kılavuzları 9/2022 ve EDPB Kılavuzları 01/2021'e ve Polonya idari ve bölge mahkemelerinin ulusal kimlik numarasının ifşa edildiği davalar hakkındaki içtihatlarına dayandırmıştır.

Sonuç olarak, veri ihlalinin, veri sorumlusu tarafından tespit edilen riskten daha ciddi ve yüksek bir risk teşkil ettiğini ve Otoriye’ye de geç bildirim yapıldığının altını çizerek veri sorumlusuna GDPR Madde 33(1)’i ihlal ettiği gerekçesiyle 18.000 Euro tutarında bir ceza vermiştir.

Kararın linkine buradan ulaşabilirsiniz.

Polonya Veri Koruma Otoritesi (“Otorite”) bir veri ihlali riskini yeterince değerlendirmediği ve otoriteye geç bildirimde bulunduğu gerekçeleriyle veri sorumlusu bankaya 18.000 Euro para cezası verdi.