Bir ilgili kişi, veri sorumlusu Vodafone’a veri erişim talebinde bulunarak şirketin çağrı merkeziyle yaptığı görüşmelerin kayıtlarının bir kopyasını istemiş ancak ilgili kişiye başka bir kişinin konuşmalarının yer aldığı bir kayıt gönderilmiştir. Kendi görüşmelerinin de yanlışlıkla başka birisine iletildiğinden endişe duyan ilgili kişi, olup biteni bildirmek için veri sorumlusu ile temasa geçmiştir.
Veri sorumlusuna derhal haber verilmesine rağmen olayın araştırılması için veri sorumlusu tarafından herhangi bir işlem yapılmamış, aksine veri sorumlusu, kendi sorumluluğunu veri işleyen üzerine bırakmaya çalışmış ve ilgili kişinin söz konusu kayıtları iade etmek için kendisiyle iletişime geçmesini önermiştir.
Bu çözümden memnun olmayan ilgili kişi, Yunanistan Veri Koruma Otoritesi’ne (“Otorite”) şikayette bulunmuştur.
Otorite, GDPR madde 15(3) hükmü doğrultusunda kişisel verilere erişim hakkının aynı zamanda işlenmekte olan verilerin bir kopyasını edinme hakkını da içerdiğinin altını çizmiş, ayrıca şeffaflığın kişisel verilerin etkili bir şekilde korunmasının bir koşulu olması nedeniyle bu hakkın kullanılmasının meşru bir menfaatle gerekçelendirilmesine ihtiyaç duyulmadığını da vurgulamıştır.
Otorite ayrıca, GDPR madde 4(12) uyarınca 'kişisel veri ihlalinin', kişisel verilerin kazara veya yetkisiz olarak ifşa edilmesine yol açan bir güvenlik ihlali anlamına geldiğini hatırlatmıştır. Bir güvenlik ihlali gerçekleştiğinde ilgili kişinin fiziki, maddi veya manevi zarara uğrayabileceğini belirtmiş ve bu nedenle veri sorumlusunun, öğrenme tarihinden itibaren gecikmeksizin en geç 72 saat içinde, kişisel veri ihlalini yetkili denetim makamına bildirmesi gerektiğinin altını çizmiştir (GDPR Madde 33).
Bu kapsamda Otorite, veri sorumlusunun her iki yükümlülüğe de uymadığına karar vermiş ve veri sorumlusunu 40.000 Euro tutarında para cezasına çarptırmıştır.