Norveç Veri Koruma Otoritesi ("Otorite") tarafından, bir gıda takviyesi şirketinin tanıtım işbirlikleri sona erdikten sonra bir fenomenin kişisel verilerini hukuka aykırı olarak kullanmaya devam etmesi ve Genel Veri Koruma Tüzüğü'nün ("GDPR") 31. maddesi kapsamındaki işbirliği yapma yükümlülüğünü ihlal etmesi nedeniyle veri sorumlusuna 205.000 NOK (yaklaşık 18.825,20 Euro) tutarında idari para cezası uygulanmasına karar verilmiştir.
Somut olayda, ürünlerini çevrimiçi pazarlayan ve satan Norveçli bir gıda takviyesi üreticisi olan veri sorumlusu (Lab Pharma AS) ile fenomen olan ilgili kişi arasında 2016 yılında ürünlerin blog ve sosyal medya profillerinde tanıtılmasına yönelik bir anlaşma akdedilmiştir. Anlaşma kapsamında veri sorumlusuna, ilgili kişinin görselleri, sesleri ve metinleri de dahil olmak üzere gönderilerinden alıntıları kendi pazarlama faaliyetlerinde kullanma izni verilmiştir. Ancak, bir yıllık süresi bulunan anlaşmanın Mart 2017'de sona ermesinin ardından veri sorumlusu, web sitelerinde ilgili kişinin adını, fotoğraflarını ve ürünlere ilişkin yorumlarını kullanmaya devam etmiştir. Şubat 2023'te ilgili kişi, GDPR'ın 17. maddesi uyarınca kişisel verilerinin silinmesini talep etmiştir. Veri sorumlusu, süresi dolan anlaşmanın kendisine verileri kullanmaya devam etme hakkı verdiğini iddia ederek ve daha fazla soruya yanıt vermeyeceğini belirterek söz konusu silme talebini reddetmiştir. Bunun üzerine ilgili kişi, veri sorumlusunun işleme faaliyeti için geçerli bir hukuki dayanağı bulunmadığını savunarak Otorite'ye şikayette bulunmuştur.
Temmuz 2024'te Otorite tarafından bir soruşturma başlatılmış ve veri sorumlusundan veri işleme faaliyetlerine ilişkin bilgi sunması talep edilmiştir. Ancak veri sorumlusu Otorite'nin yetkisine itiraz etmiş ve gizlilik gerekçesiyle işlemenin temelindeki anlaşmayı sunmayı reddetmiştir. Gizlilik İtiraz Kurulu'nun Otorite'nin bilgi talebi emrini onamasına rağmen veri sorumlusu, talep edilen bilgi ve belgeleri sunmayı defalarca geciktirmiş; ayrıca şirket CEO'su tarafından Otorite çalışanlarına yönelik yasal işlem ve polise şikayet tehditleri içeren, soruşturmanın durdurulmasını hedefleyen çok sayıda yazışma gerçekleştirilmiştir.
Yapılan incelemede Otorite, anlaşmanın ifası (GDPR m.6/1-b) argümanını reddederek, anlaşmanın süresinin çoktan dolduğunu ve verilerin süresiz kullanımına ilişkin herhangi bir hüküm bulunmadığını tespit etmiştir. Meşru menfaat (GDPR m.6/1-f) savunmasına ilişkin olarak ise, kişisel verilerin daha önce kamuya açıklanmış olmasının hukuki dayanak gerekliliğini ortadan kaldırmayacağı vurgulanmıştır. İlgili kişinin işlemeyi durdurma talebinin GDPR'ın 21(1). maddesi kapsamında geçerli bir itiraz teşkil ettiği, işlemenin hukuka aykırı hale gelmesi nedeniyle verilerin GDPR'ın 17. maddesi uyarınca derhal silinmesi gerektiği belirtilmiştir. Son olarak, veri sorumlusunun bilgi taleplerine ve yasal sürelere uymaması, çalışanları tehdit etmesi ve soruşturmayı kasıtlı olarak engellemeye çalışması GDPR'ın 31. maddesi (işbirliği yapma yükümlülüğü) kapsamında ciddi bir ihlal olarak değerlendirilmiştir. Bu doğrultuda veri sorumlusuna 205.000 NOK tutarında idari para cezası kesilmiş ve kişisel verilerin pazarlama amaçlı kullanımına derhal son verilerek tüm sistemlerden silinmesi emredilmiştir.
İlgili habere buradan ulaşabilirsiniz.