Hırvatistan Veri Koruma Otoritesi (“Otorite”), bir şirketin ticari temsilcisini veri koruma görevlisi (“DPO”) olarak atamanın çıkar çatışması teşkil ettiğine ve dolayısıyla GDPR Madde 38(6)'nın ihlali anlamına geldiğine karar vermiştir. Bununla birlikte şirketin web sitesinde GDPR Madde 37(6)'ya uygun olarak veri koruma görevlisinin adını belirtmemesi nedeniyle, DPA şirkete 12.000 Euro para cezası vermiştir.

Avrupa Veri Koruma Kurulu'nun koordineli faaliyetinin uygulanmasının bir parçası olarak, Hırvatistan'daki DPO’lar arasında bir anket uygulayan Otorite, DPO'ların görevlerini yerine getirmek için yeterli bir role ve gerekli yeterli kaynaklara sahip olup olmadığını değerlendirmiştir. Bu anketin ardından Otorite, veri sorumlusu olan bir şirketten DPO'nun veri sorumlusunun organizasyonel yapısı içindeki rolüne ilişkin bir açıklama ve belge talep etmiştir. Talep üzerine edinilen bilgiden, atanan DPO aynı zamanda veri sorumlusunun ticari temsilcisi olduğu anlaşılmıştır. Otorite ikinci bir bilgi talebi olarak da, DPO'nun iletişim bilgileri görünürde olmadığından, DPO'nun iletişim bilgilerinin veri sorumlusunun web sitesinde neden yayınlanmadığına dair bir açıklama ile ticari temsilcisinin yetkilerinin, veri sorumlusunun organizasyonunda işlemenin amaç ve araçlarının belirlenmesini nasıl etkilemediğine dair bir açıklama da talep etmiştir.

Veri sorumlusu, ticari temsilcinin yetkilerinin DPO'nun görevlerinden tamamen ayrı olduğunu belirtmiştir. Veri sorumlusunun resmi web sitesindeki iletişim bilgilerine ilişkin olarak ise, veri sorumlusu, bunların sayfa geliştiricisinin bir gözden kaçırması nedeniyle eksik olduğunu ifade etmiştir.

Otorite, GDPR Madde 37(5), (6), (7) ile birlikte GDPR Madde 38 ve GDPR Madde 39(1)'den hareketle, DPO’nun görevlerine ek olarak yalnızca danışmanlık veya denetleyici nitelikte başka görevler ve sorumluluklar üstlenmesi durumunda veya DPO tarafından yürütülen bu diğer rolün kişisel veri işlemenin amaç ve araçlarını etkileyememesi halinde genel olarak bir çıkar çatışmasının ortaya çıkmayacağını ifade etmiştir. Ancak Otorite, GDPR Madde 38(6)'nın, DPO'nun GDPR tarafından öngörülen görevlerini yerine getirirken bir çıkar çatışması içinde bulunmasını engelleyen bir güvenlik mekanizması oluşturduğunu belirtmiştir. Otorite bunu, DPO'nun, kişisel veri işlemenin nedenini (amacını) ve şeklini (araçlarını) belirleyen veya bu belirleme üzerinde doğrudan etkisi olabilecek veri sorumlusunun bir çalışanı olamayacağı şeklinde yorumlamıştır.

Otorite, bir şirketteki ticari temsilcinin rolünün, şirket içindeki en önemli rollerden biri olduğunu, ulusal hukuka göre şirket adına ve hesabına her türlü sözleşmeyi akdedebilir ve her türlü hukuki işlemi gerçekleştirebileceğini ayrıca idari ve diğer kamu tüzel kişiliğini haiz kurumlar, kamu hukuku yetkisine sahip kuruluşlar ile devlet ve seçilmiş mahkemeler nezdindeki işlemlerde de şirketi temsil edebileceğini bu nedenle ticari mümessilin aynı zamanda DPO görevlerini de yerine getirmesi durumunda, veri sorumlusu bünyesinde kişisel veri işlemenin amaç ve araçlarının belirlenmesini kaçınılmaz olarak etkileyebileceği ve dolayısıyla bir çıkar çatışması içinde olacağı kanaatine varmıştır.

Otorite, DPO'nun şirketi mümkün olan en geniş şekilde temsil etmesinin, görevlerini yerine getirmede bir çıkar çatışması anlamına geldiğini vurgulamış zira riskleri yönetmek ve olası GDPR ihlalleri hakkında bilgi vermek, veri sorumlusu için karlı olabilecek ticari kararlar almakla bağdaşmamakta ve Hırvatistan Cumhuriyeti'nin temel anayasal haklarından biri olan kişisel verilerin korunması hakkını olumsuz etkileyebileceğinin altını çizmiştir. Ticari temsilci rolünün çıkar çatışmasına sebebiyet vereceğine kanaat getiren Otorite, şirketin bu DPO atamasının GDPR Madde 38(6)'yı ihlal ettiğine karar vermiştir.

Bunun yanında Otorite, veri sorumlusunun DPO'nun iletişim bilgilerini şirketin resmi web sitesinde yayınlamadığını ve böylece GDPR Madde 37(7) hükümlerini ihlal edildiğine karar vermiştir.

DPA, GDPR Madde 83(2) uyarınca, idari para cezası uygulanmasına ve idari para cezasının miktarına karar verirken aşağıdaki hususları dikkate almıştır:

İlgili kişilerin sınırsız sayıda olması;
Veri sorumlusunun ihmalkar davranışının varlığı;
Veri sorumlusunun daha sonra DPO'nun iletişim bilgilerini yayınlaması, bu durum hafifletici bir unsur olarak dikkate alınmıştır;
Veri sorumlusunun DPA'nın taleplerine yeterince yanıt vermemesi ve söz konusu durum ağırlaştırıcı bir unsur olarak dikkate alınmıştır; ve
DPA'nın GDPR ihlalini veri sorumlusunun bildirimiyle değil, koordineli faaliyet çerçevesinde öğrenmiş olması.

Sonuç olarak Otorite, GDPR Madde 37(7) ve GDPR Madde 38(6)'nın ihlali nedeniyle veri sorumlusu şirkete 12.000 Euro idari para cezası uygulamıştır.

İlgili karara buradan ulaşabilirsiniz.