Mobil uygulama geliştirme kararı alan veri sorumlusu bir İtalyan belediyesi, Aralık 2020 ile Ocak 2021 arasında bir uygulama oluşturarak mobil uygulama mağazalarında kullanıma sunmuştur. İlgili uygulama ile vatandaşların güvenli olmayan bölgeler hakkında yerel polis merkezlerine bildirimde bulunmalarını sağlamıştır. Polisin, uygulama aracılığıyla bu bildirimi alması ve aldıktan sonra bölgeyi izlemek için video izleme sistemi kullanması kapsamında hem bildirimi yapan kişinin hem de kamera tarafından kaydedilen kişilerin kişisel verileri toplanmıştır.

Mobil uygulama, bildirimi yapan kişinin telefon numarasını ve konum verilerini toplamıştır. Telefon numarası 7 gün boyunca saklanarak, polisin olay hakkında daha fazla ayrıntı almak için kişiyle iletişime geçmesine olanak tanımıştır. 7 gün sonra konum verileri anonimleştirilmiş bir şekilde saklanmıştır.

Veri sorumlusu, bu uygulamayı kendi başına yönetmemeye, bunun yerine hem uygulamanın hem de video gözetim sisteminin geliştirilmesini ve yönetimini belediyeye ait bir şirkete dışarıdan yaptırmaya karar vermiştir.

Bu kapsamda uygulama, Nisan-Haziran 2022 arasında geçici olarak devre dışı bırakılmıştır. 11 Temmuz 2022'de ise, İtalya Veri Koruma Otoritesi'nin (''Otorite'') konuya ilişkin bir soruşturma başlatmasının ardından kalıcı olarak devre dışı bırakılmıştır.

Otorite yapmış olduğu inceleme kapsamında birinci olarak;

Veri sorumlusunun uygulamayı hala beta sürümündeyken, yani tamamen test edilmemiş olmasına rağmen, uygulama mağazalarında kullanıma sunduğunu tespit etmiştir. Ayrıca, veri koruma görevlisinin bu işleme dair veri koruma riskleri konusunda uyarıda bulunmasına rağmen, veri sorumlusunun uygulamayı kullanmaya devam ettiğini vurgulamıştır.
Uygulamanın ilk sürümünde kullanıcıların bildirim yaparken hangi durumların rapor konusu olabileceğinin önceden belirlenmediğini ve kullanıcıların serbestçe bildirim yapabildiklerini tespit etmiştir. İkinci sürümde, veri sorumlusu, bildirimleri sınıflandırmak için önceden tanımlanmış bir kategori listesi eklemiş ancak kullanıcılar hala ''tanımsız'' türde bildirim yapabilmiştir. Otorite, bunun gereksiz veri veya GDPR'ın 9. veya 10. maddeleri kapsamında yer alan verilerin toplanmasına yol açabileceğine dikkat çekmiştir.
Ek olarak, kullanıcıların aile içi şiddet veya zorbalık olayları hakkında bildirim yapabilmelerinin de mümkün olduğunu ve bunun, ulusal yasa kapsamında veri sorumlusunun kolluk yetkilerini aşan konular olduğunu tespit etmiştir.

Bu nedenlerle Otorite, veri sorumlusunun hem veri işleme yöntemlerini belirlerken hem de veri işleme sırasında GDPR'a uygunluğun sağlanması için uygun önlemleri almadığını belirterek, GDPR'ın 5(2) ve 25. maddelerinin ihlal edildiğini tespit etmiştir

Otorite yapmış olduğu inceleme kapsamında ikinci olarak; veri sorumlusunun internet sitesinde bu spesifik işleme hakkında bir gizlilik politikasını yalnızca 22 Nisan 2022 tarihinde yayınladığını, o gün ile Aralık 2022 arasındaki dönemde ise herhangi bir gizlilik politikasının mevcut olmadığını belirtmiştir. Otorite, veri sorumlusunun Nisan 2022'den itibaren uygulamanın içinde daha kısa bir aydınlatma metni bulunduğuyla ilgili savunmasını kabul etmemiştir. Otorite tarafından bu metnin veri saklama süresi hakkında yanlış bilgiler içermesi sebebiyle GDPR'ın 13(2)(a) maddesine uygun bulunmamıştır. Bu nedenle, Otorite GDPR'ın 5(1)(a), 12(1) ve 13. maddelerinin ihlal edildiğini tespit etmiştir.

Otorite yapmış olduğu inceleme kapsamında üçüncü olarak; veri sorumlusu ile veri işleyen arasındaki ilişkiye odaklanmış ve iki tarafın arasında, veri işleyenin veri sorumlusu adına birden fazla veri işleme faaliyeti, özellikle de söz konusu faaliyetleri yürütmesine rağmen, yazılı bağlayıcı bir anlaşma yapılmadığını belirtmiştir. Bu nedenle, Otorite GDPR'ın 28(3) ve (9) maddelerinin ihlal edildiğini tespit etmiştir.

Otorite yapmış olduğu inceleme kapsamında dördüncü olarak; bu durumda veri sorumlusunun bir veri koruma etki değerlendirmesi yapması gerektiğini çünkü bu işleme faaliyetinin, gerçek kişilerin hak ve özgürlükleri açısından yüksek risk oluşturma olasılığı taşıdığını belirtmiştir. Özellikle Otorite, işlemenin ''geniş çaplı'' olduğunu ve konum verileri ile GDPR'ın 10. maddesi kapsamındaki ceza mahkumiyetleriyle ilgili verileri potansiyel olarak içerdiğini vurgulamıştır. Ancak veri sorumlusu böyle bir değerlendirme yapmayarak GDPR'ın 35(1) maddesini ihlal etmiştir.

Otorite yapmış olduğu inceleme kapsamında son olarak; yerel polis personelinin, belirli bir kişiye bağlı giriş kimlik bilgileri yerine veri işleyici tarafından sağlanan genel bir şifre ile veritabanına erişebildiğini belirtmiştir. Otorite bu durumun, bir yandan veri sorumlusunun veriye erişen belirli kişiyi tanımlayamaması anlamına geldiğini ifade etmiştir. Diğer yandan eğer veri sorumlusu, farklı kullanıcı hesapları oluşturarak her biri için farklı erişim seviyeleri tanımlamış olsaydı, her kullanıcının sadece iş için gerekli bilgilere erişmesini sağlayabileceğini belirtmiştir. Bu nedenle Otorite, GDPR'ın 5(1)(f) ve 32. maddelerinin ihlal edildiğini tespit etmiştir.

Bu gerekçelerle Otorite, veri sorumlusuna 15.000 Euro tutarında para cezası vermiştir.

Kaynak

Veri Koruma Etki Değerlendirmesi Yapmaksızın Mobil Uygulama Geliştiren Belediyeye Para Cezası