İrlanda Veri Koruma Otoritesi (“Otorite” ve “DPC”), bir İlçe Konseyine ("Sligo") halka açık ve özel alanlardaki CCTV görüntülerinin aşırı işlenmesi ve Veri Koruma Etki Değerlendirmesi yapılmaması nedeniyle 29.500 € para cezası verdi.

25 Haziran 2018'de İrlanda Veri Koruma Otoritesi, veri sorumlusu olan yerel bir İlçe Konseyi hakkında re’sen bir soruşturma başlattı.

Veri sorumlusu, İrlanda Çöp Kirliliği Yasası 1997'nin uygulanmasını kolaylaştırmak ve asayişi bozan davranışları tespit etmek amacıyla şişe bankalarında ve konut alanlarında CCTV kameraları kurmuştu. Kameralar, bu amaç doğrultusunda sürekli olarak halka açık ve özel alanları kayda almaktadır. Bu video kayıtları veri sorumlusu tarafından saklanıyordu. Veri sorumlusu, veri işlemeyle ilgili herhangi bir kayıt gösterememiş ve verilerin ne kadar süreyle saklandığı belirsizdir.

Kameralar halka açık alanlarda kurulu olduğundan, çevredeki bir toplum merkezi gibi tesisleri kullanan kişiler ve yoldan geçenler de kaydediliyordu. İzleme ekranlarının bazıları kamuya açık alanlarda (örneğin toplum merkezinde) bulunuyordu ve bu nedenle yetkisiz kişiler tarafından erişilebilir durumdaydı. Bununla birlikte, bir CCTV görüntü monitörü şifre korumalı değildi, diğer monitör ise sisteme yapılan tüm erişimleri kaydedebilme özelliğine sahipti ancak personel bu işlevi kullanma konusunda eğitim almamıştı.

DPC, şişe bankalarındaki CCTV kameralarının kullanımının Çöp Kirliliği Yasası 1997 veya Atık Yönetimi Yasası 1996 kapsamında gerekçelendirilemeyeceğini tespit etti. Kolluk Direktifi’nin 8(2) Maddesi, bu kadar geniş kapsamlı CCTV görüntüsünün işlenmesine izin vermemektedir. Bu nedenle, Kolluk Direktifi yalnızca bazı işleme faaliyetlerine uygulanabilir durumda kalmıştır.

DPC, soruşturma boyunca hukuka aykırı işleme faaliyetlerinden Veri Koruma Etki Değerlendirmesi yapılmamasına kadar uzanan toplamda 14 sorun tespit etti. GDPR ile bu düzenlemenin İrlanda ulusal hukukuna aktarımı olan 2018 Veri Koruma Yasası’nın ihlal edildiği sonucuna varılmıştır.

DPC, veri sorumlusunun ihmalkarlığını gösteren aşağıdaki GDPR ihlallerini tespit etmiştir:

CCTV izleme ekranlarının uygun güvenliğini sağlamadığı için veri sorumlusunun, GDPR Madde 5(1)(f) (‘bütünlük ve gizlilik’) ve Madde 32(1)’i (“teknik ve organizasyonel önlemlerin alınması”) ihlal ettiği belirtilmiştir. DPC, yoldan geçenlerin monitör ekranlarında gösterilen görüntüleri kolayca fotoğraflayabileceğini vurgulamıştır.
Halka açık alanların aşırı izlenmesi ve görüntülerinin işlenmesi nedeniyle, GDPR Madde 5(1)(c) (“veri minimizasyonu”) ve Madde 25’in ihlal edildiği tespit edilmiştir. DPC, veri sorumlusunun özel alanların kaydedilmemesi için "gizlilik maskeleme" teknolojisini uygulayabileceğini belirtmiştir.
Verilerin gereğinden uzun süre saklanması nedeniyle, GDPR Madde 5(1)(e)’nin (“saklama sınırlaması”) ihlal edildiği sonucuna varılmıştır.
Veri işleme faaliyetlerine ilişkin kayıtları oluşturup sürdürmediği için GDPR Madde 30’un ihlal edildiği belirlenmiştir.
İşlemeyle ilgili bilgilendirme levhaları koymadığı ve bunun gerekçesini açıklayamadığı için GDPR Madde 13’ün ihlal edildiği sonucuna varılmıştır.

DPC, bu ihlaller nedeniyle veri sorumlusuna €29.500 tutarında para cezası vermiş ve veri işleme faaliyetlerini uyumlu hale getirmesini emretmiştir.

Kararın linkine buradan ulaşabilirsiniz.

İrlanda Veri Koruma Otoritesi, Sligo İlçe Konseyi’nin halka açık ve özel alanlarda kurduğu CCTV kameralarıyla yaptığı ölçüsüz veri işleme faaliyetleri nedeniyle GDPR’ın çeşitli hükümlerinin ihlal edildiğini tespit ederek €29.500’luk para cezası verdi.