Dava, bir finansal hizmetler şirketinin (veri sorumlusu) dahil olduğu bir veri ihlali nedeniyle tazminat talebine ilişkin bir anlaşmazlıkla ilgilidir. İlgili kişi veri sorumlusunun bir müşterisiydi ve adres, medeni durum, pasaport kopyası gibi hassas veriler de dahil olmak üzere çeşitli kişisel verileri veri sorumlusuna vermesi gerekiyordu.

Veri sorumlusu 2015 yılından önce başka bir şirket (veri işleyen) tarafından sunulan bulut hizmetlerinden yararlanmaktaydı. 2015 yılında veri sorumlusu veri işleyen ile olan sözleşmesini feshetmiş ancak verileri buluttan silmemiştir. Ayrıca, veri sorumlusu veri işleyene erişim anahtarını engelleme talimatı vermemiş veya veri tabanına erişime ilişkin kullanıcı bilgilerini değiştirmemiştir.

2020 yılında bulut bir siber saldırıya maruz kalmış ve 33.200 müşteriye ait toplam 389.000 kişisel veri bilinmeyen üçüncü taraflarca kopyalanarak çalınmıştır. Siber saldırganlar, 2015'ten sonra değiştirilmemiş olan yukarıda belirtilen kullanıcı bilgilerini kullanmıştır.

İlgili kişi, veri sorumlusunun GDPR Madde 32 uyarınca uygun teknik ve idari tedbirleri uygulamaması nedeniyle tazminat talebinde bulunmuştur.

Mahkeme, veri sorumlusunun, ilgili kişilerin hak ve özgürlüklerine yönelik riske uygun bir kişisel veri koruma düzeyi sağlamak için uygun teknik ve idari tedbirler alınmasını gerektiren GDPR Madde 32(1)'i ihlal ettiğine karar vermiştir. GDPR Madde 5(1)(f)'deki gizlilik ilkesi ile bağlantılı olarak, veriler uygun teknik ve idari tedbirlerle yetkisiz ve yasa dışı işlemeye karşı korunmalıdır. Alınacak özel koruyucu önlemler, verilerin ilgili kişinin hakları ve menfaatleri açısından taşıdığı öneme bağlıdır.

Mevcut davada, GDPR Madde 5(1)(f)'ye aykırı olarak, veri sorumlusu, şirketle olan sözleşmenin sona ermesinden sonra verilerin kötüye kullanılmasını önlemek için hiçbir şey yapmamıştır. Veri sorumlusunun kimlik bilgilerini değiştirmemesi veya veri işleyene sözleşmenin sonunda anahtarı bloke etmesini emretmemesi, mahkemenin görüşüne göre özellikle önemliydi. Mahkeme bu durumu, bir ev sahibinin kiracılığın sona ermesinin ardından artık kendi dairesiyle ilgilenmediği ve anahtarı kiracıya bıraktığı durumla karşılaştırmıştır. Söz konusu olayda, kimlik bilgilerinin değiştirilmesi yetkisiz işlem riskini en aza indirebilir ve hatta ortadan kaldırabilirdi.

Bu nedenle mahkeme, veri sorumlusunun veri ihlalinin bir sonucu olarak ortaya çıkan tüm maddi zararları tazmin etmesine hükmetmiştir.

İlgili karara buradan ulaşabilirsiniz.

Bir Alman mahkemesi, bir veri sorumlusunun, veri işleyenle arasındaki sözleşme sona erdikten sonra da işlenen kişisel verileri korumak için teknik ve idari tedbirleri uygulamakla yükümlü olduğuna karar verdi.