Hırvatistan Veri Koruma Otoritesi (“Otorite”) tarafından yapılan incelemede, bir şirketin ticari temsile yetkili kişisinin (“temsilci”) aynı zamanda veri koruma görevlisi (“DPO”) olarak atanmasının çıkar çatışmasına yol açtığı ve bunun GDPR Madde 38(6) ihlali anlamına geldiği belirtmiştir. Ayrıca, şirketin web sitesinde DPO'nun adının yer almadığı ve bu durumun GDPR Madde 37(6) ihlaline neden olduğu tespit edilmiş olup veri sorumlusu şirkete 12.000 Euro para cezası verilmiştir.

Otorite, Avrupa Veri Koruma Kurulu’nun (“EDPB”) koordineli faaliyetleri çerçevesinde, Hırvatistan’daki veri koruma görevlilerine yönelik bir anket gerçekleştirmiştir. Bu anket, DPO’ların görevlerini yerine getirmek için yeterli role ve kaynaklara sahip olup olmadığını değerlendirmiştir. Sonrasında DPA, veri sorumlusundan, DPO'nun organizasyon içindeki rolüne dair bir açıklama ve belge talep etmiştir.

Atanan DPO'nun aynı zamanda veri sorumlusunun temsilcisi olduğu tespit edilmiştir. DPO’nun iletişim bilgileri web sitesinde görünmediğinden, DPA ikinci bir talep ile bu bilgilerin neden yayınlanmadığını açıklamasını istemiştir. Ayrıca, temsilcisinin yetkilerinin, veri sorumlusunun kişisel veri işlemenin amaç ve araçlarını nasıl etkileyip etkilemediği konusunda bir açıklama talep edilmiştir.

Veri sorumlusu, temsilcisinin yetkilerinin DPO'nun görevlerinden tamamen ayrı olduğunu belirtmiş ve web sitesindeki iletişim bilgilerinin eksikliğini sayfa geliştiricisinin bir hatasına bağlamıştır.

Otorite, GDPR Madde 37(5), (6), (7) ile birlikte Madde 38 ve Madde 39(1)’i göz önünde bulundurarak, DPO’nun yalnızca danışmanlık veya denetleyici rol üstlenmesi durumunda ve bu rollerin kişisel veri işlemenin amaç ve araçlarını etkilememesi halinde bir çıkar çatışması oluşmayacağını belirtmiştir. Bununla birlikte, DPO’nun kişisel veri işlemenin amacını ve şeklini belirleyen bir çalışan olmaması gerektiği, GDPR Madde 38(6)’nın, DPO’nun görevlerini yerine getirirken çıkar çatışması yaşamamasını sağlamak için bir güvenlik mekanizması oluşturduğunu vurgulamıştır.

DPA, temsilcinin rolünün şirket içindeki en önemli görevlerden biri olduğunu ve şirket adına her türlü sözleşmeyi akdedip, hukuki işlemleri gerçekleştirme yetkisine sahip olduğunu belirtmiştir. Bu nedenle, temsilcinin aynı zamanda DPO görevlerini yürütmesinin, veri sorumlusunun kişisel veri işlemenin amaç ve araçlarını etkileyeceği ve çıkar çatışmasına yol açacağı sonucuna varmıştır.

DPA, DPO’nun görevlerini yerine getirirken şirketin en geniş şekilde temsil edilmesinin çıkar çatışması oluşturduğunu, çünkü bu durum kişisel verilerin korunması hakkını olumsuz etkileyebileceğini ifade etmiştir. Sonuç olarak, temsilcinin DPO rolüyle çeliştiği ve GDPR Madde 38(6)’yı ihlal ettiği kararı verilmiştir.

Ayrıca, DPA, veri sorumlusunun DPO’nun iletişim bilgilerini web sitesinde yayınlamadığı için GDPR Madde 37(7) ihlali yaptığına karar vermiştir.

DPA, para cezası miktarını belirlerken şu unsurları göz önünde bulundurmuştur:

İlgili kişilerin sayısının sınırsız olması,
Veri sorumlusunun ihmalkar davranışı,
Veri sorumlusunun DPO’nun iletişim bilgilerini daha sonra yayınlaması (hafifletici unsur),
DPA'nın taleplerine yeterince yanıt verilmemesi (ağırlaştırıcı unsur),
DPA'nın GDPR ihlalini veri sorumlusunun bildiriminden değil, koordineli faaliyet çerçevesinde öğrenmiş olması.

Sonuç olarak, GDPR Madde 37(7) ve Madde 38(6) ihlali nedeniyle DPA, veri sorumlusuna 12.000 Euro para cezası uygulamıştır.

İlgili karara buradan ulaşabilirsiniz.