Bir mahkeme, İrlanda Veri Koruma Otoritesi’nin (“DPA” ve “Otorite”) kararını bozmayı reddederek, ilgili kişinin işvereninin, çalışana tahsis edilen iş telefonunda bulunan işle ilgili olmayan veriler bakımından veri sorumlusu olmadığı yönündeki tespitin hukuka uygun olduğuna hükmetti.

İlgili kişi, Irish Health Service Executive (“HSE”) bünyesinde yangın önleme görevlisi olarak çalışmakta olup, kendisine yalnızca iş amaçlı kullanılmak üzere bir iş telefonu tahsis edilmişti. Mayıs 2021’de HSE’ye yönelik büyük çaplı bir veri ihlali ve fidye yazılımı saldırısı meydana gelmiştir. Bu saldırı, ilgili kişinin iş telefonu dahil çok sayıda HSE cihazını etkilemiştir. Haziran 2021’de ilgili kişi, iş telefonundan eriştiği kişisel e-posta hesabı ile kişisel kripto para hesabının ele geçirildiğini ve yaklaşık 1.400 euro tutarında kripto varlığının çalındığını fark etti.

HSE’nin şikayetine verdiği yanıttan tatmin olmayan ilgili kişi, 15 Aralık 2021 tarihinde Otorite’ye başvurdu. Otorite, ilgili kişiye gönderdiği yazışmada, iş telefonunun yalnızca iş amaçlı kullanılması gerektiğini, bu nedenle HSE’nin cihazda bulunan işle ilgili olmayan kişisel veriler (kişisel e-posta ve kripto para hesabı) bakımından veri sorumlusu sayılamayacağını belirtti. Otorite’ye göre, bu kişisel veriler HSE’nin bilgisi veya rızası olmaksızın cihazda bulunduğundan, HSE’nin veri sorumlusu olarak kabul edilmesi için “herhangi bir dayanak” yoktu.

Bunun üzerine ilgili kişi, 15 Ağustos 2022 tarihinde Otorite kararına karşı Yüksek Mahkeme nezdinde yargısal denetim talebinde bulundu. İlgili kişi, iş telefonundaki iş verilerinin GDPR Madde 4(1) kapsamında kişisel veri olduğunu, HSE’nin Madde 4(7) uyarınca bu veriler bakımından veri sorumlusu sayılması gerektiğini ve Otorite’nin bu yöndeki değerlendirmesinin hatalı olduğunu ileri sürdü. Ayrıca, Otorite’nin GDPR ihlalini yeterince soruşturmadığını savunarak kararın iptalini talep etti.

Otorite ise başvurunun reddini talep ederek, şikayetin yalnızca iş dışı kişisel verilere ilişkin olduğunu, bu veriler bakımından HSE’nin veri sorumlusu olmadığı yönündeki tespitin yerinde olduğunu ve kararın 2018 Veri Koruma Yasası uyarınca bağlayıcı nitelikte bulunduğunu belirtti. Bu nedenle, ilgili kişinin yargısal denetim yerine kanuni itiraz yoluna başvurması gerektiğini savundu.

Mahkeme, ilgili kişinin yargısal denetim yerine kanuni itiraz yoluna (“statutory appeal”) başvurması gerekip gerekmediği sorusu bakımından, somut olayda bu yola başvurulmamış olmasının yargısal denetim talebini engellemediğine hükmetti. Mahkeme, Otorite’nin ilgili kişiyle yaptığı yazışmalarda “şikayet” veya “reddetme” ifadeleri yerine yalnızca “endişeler” (“concerns”) ifadesini kullandığına ve başvurunun açıkça reddedildiğinin belirtilmediğine dikkat çekti. Ayrıca Otorite’nin, mevzuatta öngörülen dili kullanarak ilgili kişiyi itiraz hakkı bulunduğu konusunda açıkça bilgilendirmesi gerektiği, bunun yapılmamış olmasının ise ilgili kişinin yargısal denetim yolundan mahrum bırakılmasını hakkaniyete aykırı kılacağı değerlendirildi.

Otorite’nin davranışlarının makullüğü ve iddia edilen GDPR ihlalini soruşturma yükümlülüğü açısından Mahkeme, ilgili kişinin ilk başvurusunu esas aldı. Mahkeme, ilgili kişinin şikâyetinin bütünüyle iş telefonunda bulunan işle ilgili olmayan kişisel verilerin ihlal edildiği iddiasına dayandığını ve Otorite’nin de bu hususu yanıtında ele aldığını tespit etti. Bu çerçevede Mahkeme, Otorite kararında yargısal müdahaleyi gerektirecek ölçüde bir hata bulunmadığına ve Meadows testinin şartlarının oluşmadığına karar verdi.

Sonuç olarak Mahkeme, ilgili kişinin yargısal denetim başvurusunu reddetti.

İlgili karara buradan ulaşabilirsiniz.

İrlanda Veri Koruma Otoritesi tarafından, çalışana tahsis edilen iş telefonundaki şahsi kripto varlık cüzdanının iş amaçlı kullanım dışında bir faaliyet olması sebebiyle işverenin veri sorumlu sıfatıyla sorumlu olmadığına karar verildi.