Veri sorumlusu olan bir Facebook kullanıcısı, bir ceza davasının soruşturma dosyasının parçası olan ve bir ilgili kişiye ilişkin hassas verileri içeren fotoğrafları ve polis raporlarını, dava hakkındaki görüşlerini belirttiği bir Facebook gönderisinde profilinde yayınlamıştır.
Ceza davasında mağdur veya tanık olan ilgili kişi, İzlanda Veri Koruma Otoritesi'ne (''Otorite'') şikayette bulunmuştur.
Veri sorumlusu, ilgili kişinin kişisel verilerini işlemediğini, yalnızca dava hakkındaki görüşlerini ifade ettiğini belirtmiştir. Bu davranışın, temel ifade özgürlüğü kapsamında olduğunu iddia etmiştir.
Öncelikle Otorite bir ön açıklama yapmıştır.
Bir yandan, genel olarak ifade özgürlüğüne ilişkin davalar hakkında karar verme yetkisinin bulunmadığını, dolayısıyla veri sorumlusunun kendi fikrini ifade ettiği gönderi metni hakkında bir görüş belirtemeyeceğini ileri sürmüştür. Otorite’ye göre, bu özgürlüğün kapsamını değerlendirmek ve İzlanda Anayasası ve Avrupa İnsan Hakları Sözleşmesi'nin (''AİHS’’) 10. maddesi kapsamındaki veri koruma hakkıyla dengelemek mahkemelerin sorumluluğundadır.
Ancak diğer yandan Otorite, kişisel verilerin veri sorumlusu tarafından işlenmesi faaliyeti hakkında karar verme hususunda kendisini yetkili gördüğünü belirtmiştir.
Gönderinin tüm Facebook kullanıcıları tarafından erişilebilir olması ve özel amaçlara yönelik işleme teşkil etmemesi nedeniyle GDPR'nin geçerli olduğunu belirttikten sonra Otorite, kullanıcının aynı zamanda GDPR Madde 4(7) kapsamında bir veri sorumlusu olduğu kanaatine varmıştır. Bununla birlikte Otorite, polis dosyalarının gizli tutulması gerektiğini ve veri sorumlusunun ceza davasıyla ilgisi olmadığı için belgeleri nasıl ele geçirdiğini tespit edemediğini açıklamıştır.
Bu kapsamda Otorite, GDPR Madde 6(1)(f) kapsamında işleme faaliyetinin meşruluğunu değerlendirmeye devam ederek söz konusu menfaatler arasında bir denge testi gerçekleştirmiştir. Otorite, veri sorumlusunun cezai soruşturmanın tarafı olmadığından ve polis dosyalarına erişim yetkisi olmadığından, bu tür bilgilerin ifşa edilmesindeki çıkarlarının ilgili kişinin çıkarlarından daha ağır basamayacağını belirtmiştir.
Bu nedenlerle Otorite, veri sorumlusunun GDPR'nin 6. Maddesine aykırı davrandığına karar vererek GDPR'nin 58(2)(f) Maddesi uyarınca karardan itibaren bir ay içinde gönderiyi profilinden kaldırmasını emretmiştir.