Finlandiya Veri Koruma Otoritesi (“Otorite”), bir okulun, sadece bazı öğrencilerle ilgili olası bursları vermek amacıyla tüm öğrencilerinin banka hesap numaralarını işleyerek veri minimizasyonu ilkesini ihlal ettiğine karar vermiştir.

Otorite’ye bir okulun (veri sorumlusu) tüm öğrencilerinin velilerinden olası bir bursun ödenmesi için öğrencilerin banka hesap numaralarını vermelerini talep ettiği bildirilmiştir. Otorite daha sonra veri sorumlusundan tüm öğrencilerinin banka hesap numaralarını hangi amaçla işlediğini açıklamasını istemiştir.

Talebe cevaben veri sorumlusu, bursların genellikle dönem sonunda burs alıcılarına fiziksel olarak verildiğini açıklamış ve pandemi nedeniyle bursun doğrudan öğrencinin banka hesabına ödenmesine karar verildiğini belirtmiştir. Veri sorumlusu ayrıca hangi öğrencilerin burs alacağını önceden açıklamak istemediğini eklemiştir. Bu nedenle süreci hızlandırmak için veri sorumlusu tüm öğrencilerinin banka hesap numaralarını talep ettiğini ifade etmiştir.

Otorite, veri sorumlusu tarafından sağlanan bilgilere dayanarak, kişisel verilerin gelecekte olası bir bursun ödenmesi halinde kullanılmak amacıyla işlenmemesi ve saklanmaması gerektiğini değerlendirmiş, sadece bazı öğrencilere verilecek olmasına rağmen, bursların verilmesi amacıyla tüm öğrencilerinin banka hesap numaralarının veri sorumlusu tarafından gereksiz yere işlendiğini belirtmiştir.

Otorite, veri sorumlusunun bursları daha az müdahaleci bir şekilde vermesinin mümkün olabileceğini ve bu nedenle veri sorumlusunun banka hesap numaralarını işleyerek GDPR Madde 5(1)(c)'de yer alan veri minimizasyonu ilkesini ihlal ettiğini vurgulamıştır.

Sonuç olarak Otorite, GDPR Madde 58(2)(b) uyarınca veri sorumlusuna bir kınama cezası vermiş ve işleme için yasal bir gerekçe bulunmadığından, GDPR Madde 58(2)(d) uyarınca veri sorumlusunun banka hesap numaralarını silmesini emretmiştir.

İlgili karara buradan ulaşabilirsiniz.

Finlandiya Veri Koruma Otoritesi tarafından, burs verilecek öğrencilerle sınırlı olmaksızın tüm öğrencilerin banka hesap bilgilerinin işlenmesinin ölçülü olmadığı gerekçesiyle veri sorumlusuna kınama cezası verildi.