Davacı, Antonius Hastanesi’nde (veri sorumlusu) tedavi gören bir çocuğun babasıdır. Tedavi sürecinde, çocuğa ve ailesine yönelik sosyal hizmet faaliyetleri kapsamında bir sosyal hizmet görevlisi de sürece dâhil olmuştur.

Baba, 2015 yılında talebi üzerine veri sorumlusundan çocuğunun tıbbi kayıtlarının bir kopyasını almış; ancak bu kayıtlarda, sosyal hizmet görevlisine ilişkin bilgiler de dâhil olmak üzere bazı hususların eksik olduğunu ileri sürmüştür.

Mayıs 2022’de baba, GDPR’ın 15. maddesi uyarınca erişim hakkını kullanarak veri sorumlusundan; sosyal hizmet görevlisine ilişkin bilgiler, çocuğunun dosyasına ait log kayıtları ve sürece dâhil olan sağlık hizmeti sağlayıcılarının kayıt bilgilerini talep etmiştir. Veri sorumlusu ise sınırlı ölçüde veri sunmuş; diğer kayıtların mevcut olmadığını veya talep kapsamına girmediğini savunmuştur.

Baba, ilk derece mahkemesinde dava açmış; ancak talebi reddedilmiştir.

İstinaf Mahkemesi önünde baba, kendisi ve çocuğuna ilişkin tüm kişisel verilere erişim talebinde defalarca bulunduğunu, buna rağmen veri sorumlusunun yalnızca çocuğun tıbbi kayıtlarını sunduğunu ve talebini dar yorumladığını ileri sürmüştür.

Veri sorumlusu ise tam log verilerinin bir özetini sunma yükümlülüğü bulunmadığını; zira söz konusu verilerin baba veya çocuğa ilişkin kişisel veri niteliği taşımadığını ve bu nedenle GDPR’ın 15. maddesi kapsamında erişim hakkı doğurmadığını iddia etmiştir. İstinaf Mahkemesi, ilk derece mahkemesinin kararını kaldırmış ve babanın taleplerini kısmen kabul etmiştir.

Mahkeme, öncelikle GDPR’ın 15(1) ve 15(3) maddeleri uyarınca, veri sorumlusunun baba ve çocuğu hakkında tedaviyle bağlantılı olarak işlediği ve hâlen elinde bulundurduğu tüm kişisel verilerin bir kopyasını babaya sunmakla yükümlü olduğuna hükmetmiştir. Veri sorumlusunun erişim talebini aşırı dar yorumladığı belirtilmiştir. Ayrıca Mahkeme, GDPR’ın 23(1)(i) maddesi uyarınca, söz konusu verilerin mümkün olduğu ölçüde, çalışanların ve çocuğun annesinin hak ve özgürlüklerine zarar vermeyecek şekilde sunulmasıgerektiğini ifade etmiştir.

İkinci olarak Mahkeme, log kayıtlarının da erişim hakkı kapsamında değerlendirilmesi gerektiğine karar vermiştir. Zira çocuğun dosyasının incelenmesi veya değiştirilmesi bir veri işleme faaliyeti teşkil etmekte olup GDPR’ın 15(1) maddesi kapsamında kalmaktadır. Bu nedenle veri sorumlusu, log kayıtlarının özetini; çalışanların isimlerini açıkça belirtmeksizin ancak babayı bilgiye erişimden mahrum bırakmayacak ve çalışanların mahremiyet haklarını ihlal etmeyecek bir biçimde sunmalıdır (GDPR m. 12(1)).

Üçüncü olarak Mahkeme, sağlık hizmeti sağlayıcılarının kayıt bilgilerine erişim talebini, üçüncü kişilerin mahremiyetine müdahale bakımından orantısız bulmuş ve bu talebi reddetmiştir.

Sonuç olarak İstinaf Mahkemesi, veri sorumlusunun çocuğun tedavisiyle bağlantılı olarak işlediği baba ve çocuğa ait tüm kişisel veriler ile çocuğun dosyalarına ilişkin log kayıtlarına bir ay içinde erişim sağlamasına karar vermiştir. Ayrıca, karara uyulmaması hâlinde, her bir ayrı yükümlülük bakımından azami 1.000 Euro ile sınırlı olmak üzere, uyulmayan her gün için 100 Euro tutarında tazminat ödenmesine hükmedilmiştir.

İlgili karara buradan ulaşabilirsiniz.