Alman Federal İdari Ofisi, hataen bir federal devlet memurunun özel nitelikteki kişisel verilerini içeren belgeleri yetkisiz başka bir alıcıya gönderdiği için GDPR Madde 9'un ihlalden sorumlu tutulmuştur. Mahkeme, verilerin üçüncü kişiye ifşasının yasal dayanaktan yoksun olduğunu ve ilgili kişinin genel kişilik hakkı ile bilgi sahibi olarak kendi kaderini tayin etme hakkını ihlal ettiğine karar vermiştir. Bununla birlikte, Mahkeme olayın basit bir hata sebebiyle gerçekleştiğini, ağır bir ihmal veya kasıt olmadığını ve veri sorumlusu tarafından alınan veri koruma önlemlerinin artırıldığını vurgulayarak tekrarlanma riskinin olmadığını belirtmiştir. Sonuç olarak, veri sorumlusunun hızlı müdahalesi ve yeni önlemler alması nedeniyle tazminatı sadece 1.000 Euro olarak belirlemiştir.

Bir llgili kişi, veri sorumlusu olan Alman Federal İdari Ofisi'nden yardım talebinde bulurken başvurusuna, özel nitelikteki kişisel verileri - özellikle de sağlığına ilişkin bilgileri - içeren 13 adet makbuzun kopyası eklemiştir. Makbuzların, dokuz fatura ve 2019 yılında çeşitli uzman doktorlardan alınan beyanları, sağlanan bireysel hizmetleri detaylandıran ve bazı durumlarda teşhis bilgilerini içeren ilaç reçetesini içerdiği tespit edilmiştir.

Veri sorumlusu ilgili kopyaları ilgili kişiye iade etmesi gerekirken; idari bir hata nedeniyle, üçüncü bir kişiyle ilgili kopyaları ilgili kişiye ve ilgili kişinin makbuzlarını da yanlışlıkla üçüncü bir kişiye göndermiştir. Veri sorumlusu üçüncü kişiden makbuzları geri aldıktan sonra, makbuzlar nihayetinde ilgili kişiye gönderilmiştir.

Bu hata nedeniyle, ilgili kişinin sağlık verileri herhangi bir yasal dayanak olmaksızın üçüncü kişiye ifşa edilmiştir. Bu durum ilgili kişinin genel kişilik hakkını ve bilgi sahibi olarak kendi kaderini tayin etme hakkını ihlal etmiştir. Bu nedenle, ilgili kişi GDPR Madde 82(1) uyarınca zararının tazmini için 3.000 Euro talep etmiştir.

Mahkeme, ifşanın GDPR Madde 9(1)'i ihlal ettiği gerekçesiyle hukuka aykırı olduğuna karar vermiştir. Tazminat miktarının belirlenmesinde mahkeme aşağıdaki hususlara karar vermiştir:

Son olarak, tekrarlanma riskinin de bulunmadığını tespit etmiştir Veri sorumlusu yanlış yönlendirmenin tek seferlik istisnai bir durum olduğunu ve gönderilen belgelerin işlenme şeklini de değiştirdiğini belirtmiştir. Bununla birlikte yardım bildirimlerinin artık destekleyici belgeler olmadan gönderildiği ve sağlanan tüm destekleyici belgelerin veri koruma gereklilikleri doğrultusunda yardım ofisinde imha edildiği vurgulanmıştır. Böylece, mevcut olaydakine benzer bir GDPR Madde 9 ihlalinin gelecek için ortadan kaldırıldığı tespit edilmiştir.
Ayrıca mahkeme yardım makbuzlarının yanlış gönderilmesinin sadece basit bir ihmalden kaynaklandığına karar vermiştir; mahkeme hukuka aykırı ifşada herhangi bir ağır ihmal veya kasıt bulmamıştır.
İlk olarak, verilerin bilinen (yanlış) alıcı dışında başka kişiler tarafından bilindiğini gösteren hiçbir şey olmadığını tespit etmiştir. Bu bağlamda, ilgili kişinin sağlık verilerinin üçüncü taraflarca daha fazla yayılması riskinin gerçekleşmediğini belirtmiştir.Veri sorumlusu, yanlış gönderimi fark ettikten sonra derhal üçüncü taraftan makbuzların iadesini talep etmiş ve bunları ilgili kişiye iade etmiştir.

Buna ek olarak mahkeme, veri sorumlusunun veri koruma görevlisini konu hakkında görevlendirdiğini tespit etmiştir.

Bu nedenle mahkeme tazminatı 1.000 Euro olarak belirlemiştir.

Kaynak

Veri sorumlusunun hatası nedeniyle ilgili kişinin sağlık verilerini içeren belgelerin hukuka aykırı olarak üçüncü kişiler ile paylaşılması