Bir futbol kulübü, halka açık bir yoldaki bir çöp kutusuna çok sayıda belge atması nedeniyle 600 Euro para cezasına çarptırıldı. Belgeler, kulüpte oynayan reşit olmayanların kişisel verilerini içeriyordu.

11 Ekim 2024 tarihinde, bir kişi, Club Rapido de Bouzas (veri sorumlusu) kulübünün futbol sahasının dışındaki halka açık yoldaki çöp kutusunda bir kutu buldu. Bu kutu, kulübün oyuncularının (reşit olmayan çocukların) kimlik numaralarını, adlarını, soyadlarını, adreslerini ve fotoğraflarını içeren yüzlerce belgeyi barındırıyordu. Kutu içerisinde, toplamda 1.444 adet, ilgili kişilerin adları ve fotoğraflarıyla tanımlayan kart bulunmaktaydı.

Kulüp, bir "temizlik günü" düzenlediğini ve bu kutunun sahaya yanlışlıkla atıldığını iddia etti.

Oyunculardan birinin babası olan bu kişi, durumu polise bildirdi ve ardından İspanya Veri Koruma Otoritesi’ne (“DPA”) şikayette bulundu.

DPA, 19 Aralık 2024 tarihinde soruşturmasına başladı.

DPA, veri sorumlusunu, öncelikle belgeleri içeren kutunun bu şekilde imha edilebilecek bir şey olarak yanlışlıkla tanımlanmasına izin vermesi ve ikincisi, bunları imha eden kişinin belirlenebileceği bir prosedürün bulunmaması nedeniyle eleştirdi.

DPA ayrıca, ihmalkar eylemin bir çalışan veya üçüncü bir taraf tarafından gerçekleştirilmiş olmasının, kulübü olaydan sorumlu olmaktan kurtarmadığını da belirtti. Buna göre DPA, kulübün GDPR'nin 5(1)(f) Maddesi'ni ihlal ettiğine karar verdi; bu madde, veri sorumlusundan işlemenin güvenliğini sağlamak için uygun teknik ve idari güvenlik önlemleri almasını gerektirmektedir.

DPA başlangıçta para cezasını 1.000 Euro olarak belirledi, ancak 39/2015 sayılı idari işlemlere ilişkin İspanya yasası uyarınca, DPA veri sorumlusuna iddia edilen ihlallerin sorumluluğunu kabul edebileceğini ve/veya önerilen para cezasını gönüllü olarak ödeyebileceğini bildirdi. Bu eylemlerin her biri uygulanan para cezasını %20 oranında azaltır. Veri sorumlusu, hem ihlallerin sorumluluğunu kabul ederek hem de azaltılmış 600 Euro'luk yaptırım tutarını ödeyerek para cezasını %40 oranında azaltmayı tercih etti.

Veri sorumlusuna ayrıca, işlemeye tabi tutulan kişisel verilerin gizliliğini sağlamak için alınan teknik ve idari önlemleri ve bu tür kişisel veriler için bir saklama süresi ve imha yöntemi bildirmesi emredildi.

İlgili karara buradan ulaşabilirsiniz.

İspanya Veri Koruma Otoritesi (“AEPD”), veri sorumlusu bir futbol kulübü tarafından reşit olmayan çocukların kişisel verileri başta olmak üzere çok sayıda kişisel veri içeren belgelerin çöp kutusuna atılması sebebiyle veri sorumlusuna 600 Euro para cezası verdi.