İspanya Veri Koruma Otoritesi (''AEPD''), bir veri sorumlusuna etkinliklere girişte yaşları doğrulamak amacıyla kimlik fotokopilerini talep ederek veri minimizasyonu ilkesini ihlal ettiği gerekçesiyle 3.000 Euro para cezası vermiştir.
23 Haziran 2023 tarihinde bir ilgili kişi, İspanya Veri Koruma Otoritesi'ne 20 Años de Música A.I.E. (veri sorumlusu) aleyhinde yaptırım süreci başlatılması talebiyle şikayette bulunmuştur. Konserler ve çeşitli etkinlikler düzenleyen veri sorumlusu, etkinlik alanlarına giriş sağlanması için ebeveynler veya vasilerden ve çocuklardan kimlik kartlarının (ID) bir kopyasını talep etmiştir.
AEPD, veri sorumlusunun çocukların verilerinin işlenmesine ilişkin politikasının güncel olmadığı ve geçerli ulusal bir yasaya uygunluk göstermediğini tespit etmiştir. Politika, kimlik kopyalarının neden gerekli olduğunu veya kimlik kopyalarının etkinlik alanına girişin ötesinde nasıl işleneceğini açıklamamakta; ayrıca verilerin ne kadar süreyle saklanacağına dair herhangi bir bilgi içermemektedir.
Veri sorumlusu, cevap dilekçesinde çevrimiçi gizlilik politikasının bir hata nedeniyle güncel olmadığını belirtmiştir. Ayrıca, küçüklerin ve refakatçilerinin yaşlarını doğrulamak ve Cantabria'daki Halk Gösterileri ve Eğlence Faaliyetleri Yasası (Ley 3/2017 de Espectáculos Públicos y Actividades Recreativas de Cantabria) ile uyumu sağlamak amacıyla kimlik doğrulamasının gerekli olduğunu savunmuştur. Bu yasa, belirli türdeki mekanlara küçüklerin erişimini sınırlandırmakta ve yaşlarını belge ile doğrulamayan kişilerin girişini engelleme zorunluluğu getirmektedir.
AEPD, veri sorumlusunun GDPR Madde 5(1)(c) ve Madde 13'ü ihlal etmiş olabileceğine karar vermiş ve 5.000 € para cezası önermiştir.
Öncelikle AEPD, veri sorumlusunun GDPR Madde 5(1)(c) uyarınca veri minimizasyonu standartlarını karşılamadığı sonucuna varmıştır. GDPR'nin 39 numaralı Gerekçesi'nde belirtilen, kişisel verilerin yalnızca amacın başka yollarla makul bir şekilde gerçekleştirilemeyeceği durumlarda işlenmesi gerektiği doğrultusunda, veri sorumlusunun kimlik kopyalarını talep ederek ölçülü veri işlemediği sonucuna varılmıştır. Yasa 3/2017, küçüklerin ve refakatçilerinin yaşlarının doğrulanmasını gerektirirken, veri sorumlusu bir adım daha ileri giderek kimlik kopyalarını talep etmiştir. Kimliklerin tam ve sansürsüz bir fotokopisinin toplanması, gerekli olandan daha fazla veri işlenmesine yol açmış ve bu nedenle GDPR Madde 5(1)(c)'nin ihlali söz konusu olmuştur.
İkinci olarak AEPD, veri sorumlusunun GDPR Madde 13'ü ihlal ettiğini tespit etmiştir. Bilgilendirme Politikası’nda işleme veya saklama süresiyle ilgili bilgi eksikliği ve politikanın güncel olmaması, veri sorumlusunun aydınlatma yükümlülüklerini yerine getirmediğini göstermiştir. AEPD, bu durumun ilgili kişilerin GDPR Madde 17 uyarınca haklarını kullanmalarını engellediğini ve diğer eksikliklere yol açtığını belirtmiştir.
Bu muhtemel ihlaller göz önüne alındığında AEPD, veri sorumlusuna karşı yaptırım işlemi başlatmaya karar vermiş ve 20.000 Euro para cezası önermiştir. İspanya'da idari işlemlerle ilgili 39/2015 Sayılı Kanun uyarınca AEPD veri sorumlusunu iddia edilen ihlallerle ilgili sorumluluğunu kabul edebileceği ve/veya önerilen cezayı ödeyebileceği konusunda bilgilendirmiştir. Bu eylemlerin her biri, uygulanan cezayı %20 oranında azalmaktadır. Veri sorumlusu, hem ihlallerle ilgili sorumluluğunu kabul ederek hem de indirilmiş ceza miktarı olan 3.000 Euro’yu ödeyerek cezayı %40 oranında azaltmayı tercih etmiştir.