Veri Koruma Otoritesi (“DPA”), bir sağlık hizmeti sağlayıcısına, hastanın adresini seçim kayıtlarından yasa dışı olarak toplaması ve ilgili kişinin taleplerine rağmen güncellemeyerek tıbbi muayenelerin eski bir adrese gönderilmesine neden olması nedeniyle 20.000 Euro para cezası kesti.

2024 yılında bir hasta (ilgili kişi), tıbbi muayene olmak için bir sağlık hizmeti sağlayıcısıyla (veri sorumlusu) iletişime geçti. Bu bağlamda, veri sorumlusuna ikamet adresini verdi.

Daha sonra ilgili kişi, veri sorumlusunun kendisine ait farklı bir adres sakladığını ve işlediğini fark etti. Özellikle, veri sorumlusu, yaklaşık 20 yıl öncesine ait olan ve kendisinin veri sorumlusuna hiç vermediği eski adresini işliyordu. İlgili kişi, veri sorumlusuna eski ev adresini nasıl topladığını sordu. Veri sorumlusu, adresin hizmetlerini sunduğu hastanenin veri tabanından topladığını belirtti.

Ayrıca, ilgili kişi veri sorumlusundan kişisel verilerini tekrar tekrar düzeltmesini talep etmiş veri sorumlusu ise bu talebi yerine getirmedi. Bunun sonucu olarak veri sorumlusu, daha sonra ilgili kişinin tıbbi muayenesinin sonuçlarını eski adresine gönderdi.

İlgili kişi daha sonra DPA'ya şikayette bulundu. DPA; soruşturma kapsamında, veri sorumlusunun aslında ilgili kişinin adresini Seçim Kayıtlarından topladığını (ve bu konuda ilgili kişiye yanlış bilgi verdiğini) ve veri sorumlusunun bir Veri Koruma Görevlisi (“DPO”) atamadığını tespit etti.

DPA, veri sorumlusunun, ilgili kişinin kişisel verilerini Seçim Kayıtlarından yasal bir dayanak olmaksızın ve ilgili kişiye bilgi vermeden topladığını tespit etti. Bu nedenle, veri sorumlusu GDPR'ın 5(1)(a), 6(1) ve 14. Maddelerini ihlal etti. Bu konuda DPA, Seçim Kayıtları halka açık olmasına rağmen, veri sorumlularının Seçim Kayıtlarından kişisel veri toplamak ve işlemek için yasal bir dayanağa ihtiyaç duyduklarını belirtti.

Ek olarak DPA, veri sorumlusunun düzeltme talebini yerine getirmeyerek ve ilgili kişinin adresini güncel tutmak için makul adımlar atmayarak GDPR'nin 5(1)(d) ve 16. Maddelerini ihlal ettiğini tespit etti.

Son olarak, DPA, veri sorumlusunun büyük ölçekte sağlık verilerini işlerken GDPR uyarınca gerekli olduğu üzere bir Veri Koruma Görevlisi (DPO) atamayarak GDPR'nin 37(1)(c) Maddesini ihlal ettiğine karar verdi.

DPA, veri sorumlusuna toplamda 20.000 Euro para cezası verdi:

GDPR'ın 5(1)(a), 6(1) ve 14(2)(f) Maddelerini ihlal ettiği için 12.500 Euro;
GDPR'ın 16. Maddesini ihlal ettiği için 2.500 Euro;
ve GDPR'ın 37. Maddesini ihlal ettiği için 2.500 Euro.

Ek olarak, DPA, veri sorumlusuna ilgili kişinin adresini düzeltmesini, Seçim Kayıtlarından yasa dışı olarak toplanan tüm kişisel verileri silmesini ve bir DPO atamasını emretti.

İlgili karara buradan ulaşabilirsiniz.

Hastasına ait güncel olmayan adres bilgisini hukuka aykırı olarak temin eden ve ilgili kişinin taleplerine rağmen adres bilgisini güncellemeyerek tıbbi muayene sonuçlarını eski adresine gönderen bir sağlık kuruluşuna 20.000 Euro para cezası verildi.