Bu dava, bir şirket ile bazı çalışanları arasındaki daha geniş bir anlaşmazlığın parçasıdır. Şirketin yöneticileri ile çalışanları arasında bir toplantı sırasında, çalışanlardan biri (veri sorumlusu), yöneticilerin bu durumdan haberi olmadan toplantıdaki konuşmayı kaydetmiştir.

Birkaç yıl sonra, başka bir çalışan bu kaydı iş hukukuna ilişkin davada delil olarak kullanmıştır.

Bunun üzerine, yöneticiler (bu davada ilgili kişiler) İtalya Veri Koruma Otoritesi’ne (Garante per la protezione dei dati personali) şikayette bulunmuşlardır.

Otorite, söz konusu işleme faaliyetinin yalnızca davada çalışanın ifadelerinin doğruluğunu kanıtlamak amacıyla yapıldığını belirterek şikayeti reddetmiştir.

İlgili kişiler, Otorite’nin kararına karşı Venedik Mahkemesi’ne (Tribunale di Venezia) itirazda bulunmuşlardır. Mahkeme, Otorite’nin aksine, ilgili kişilerin taleplerini kabul ederek işlemin hukuka aykırı olduğuna ve veri sorumlusuna 5.000 Euro para cezası verilmesine karar vermiştir. Mahkeme şu gerekçeleri sunmuştur:

Kayıt yapıldığında savunma ihtiyacı bulunmadığı, yalnızca şirketteki bazı "organizasyonel sorunlar" olduğu,
Kaydın kullanıldığı davanın yıllar sonra gerçekleştiği,
GDPR Madde 2(2)(c) kapsamındaki hane halkı istisnasının geçerli olmadığı.

Veri sorumlusu, bu karara karşı İtalyan Yüksek Mahkemesi'ne (Corte di Cassazione) temyiz başvurusunda bulunmuştur.

Mahkeme, kaydın 2016 yılında yapıldığını, yani GDPR'ın henüz yürürlüğe girmediği bir dönemi işaret ettiğini vurgulamıştır. Mahkeme, o dönemde geçerli olan İtalyan Veri Koruma Kanunu Madde 24(f) uyarınca, verilerin yalnızca "hukuki bir talebin ileri sürülmesi veya savunulması için gerekli olduğunda" ilgili kişinin onayının gerekmediğini belirtmiştir. Bu hüküm, yalnızca dava sırasında değil, aynı zamanda davaya delil toplamak için yapılan tüm ön hazırlık faaliyetlerine de uygulanmaktadır.

Mahkeme, kaydın, kaydı yapan kişi tarafından değil de başka bir kişi tarafından kullanılmasının bu davada önemli olmadığına karar vermiştir. Önemli olan, kaydın kullanılma amacının bir davada hak savunması yapmak olduğudur.

Ayrıca, mahkeme, böyle bir delil davada sunulduğunda, davanın hakiminin, kişisel verilerin korunması hakkı ile savunma hakkı arasındaki dengeyi kurarak, kaydın nasıl kullanılacağına ve yayımlanıp yayımlanmayacağına karar vermesi gerektiğini belirtmiştir.

Mahkeme, aynı sonucun GDPR’ın uygulanacağı bir durumda da geçerli olduğunu ifade etmiştir. Gerçekten de mahkeme, GDPR Madde 17(3)(e)’nin "hukuki taleplerin kurulması, kullanılması veya savunulması" için silme hakkı istisnası getirdiğini, aynı şekilde Madde 21(1)'in de benzer bir istisna sunduğunu belirtmiştir.

Bu bağlamda mahkeme, GDPR’ın metninden kişisel verilerin korunması hakkının, diğer temel haklarla dengeye sokulabileceği ve bu durumda diğer hakların, kişisel verilerin korunması hakkına üstün tutulabileceği ilkesini çıkarmıştır. Bu davada, özellikle İtalyan Anayasası'nın 36. Maddesi’nin (Costituzione della Repubblica italiana) çalışan haklarına yüksek koruma sağladığı dikkate alınmıştır.

Son olarak, mahkeme, CJEU’nun da kişisel verilerin bir davada kullanılması durumunda, ulusal yargıcın tarafların haklarını dengeleyerek kişisel verilerin davada kullanılıp kullanılmaması gerektiğine karar vermesi gerektiğini vurgulamıştır (bkz. C-268/21, Norra Stockholm Bygg, para. 58).

Bu gerekçelerle, mahkeme temyiz edilen kararı iptal etmiştir. Böylece, Otorite'nin kararı geçerli kalmıştır.

Kararın linkine buradan ulaşabilirsiniz.

İtalyan Yüksek Mahkemesi, yöneticilerin bilgisi olmadan alınan toplantı kaydının hukuki taleplerin ileri sürülmesi veya savunulması amacıyla kullanılabileceğini, kişisel verilerin korunması hakkının savunma hakkı ve çalışan haklarıyla dengelenmesi gerektiğini değerlendirdi.