İspanya Veri Koruma Otoritesi (“AEPD” veya “Otorite”) tarafından, otel müşterilerine ait ait kimlik belgelerinin kopyalarını saklayan bir otele, GDPR Madde 5(1)(c)’nin ihlali nedeniyle 1.200 Euro para cezası verilmiştir. Ayrıca, otelin kimlik belgesi sunma zorunluluğunu kaldırması ve halihazırda saklanan kimlik belgelerini silmesi yönünde teknik ve organizasyonel tedbirler almasına karar verilmiştir.

İlgili kişi, veri sorumlusu otel tarafından konaklama kaydını (check-in) tamamlamak amacıyla kimlik belgesi sunmaya zorlanmıştır. Bu durumun, kimlik belgesinin otel tarafından saklanacağı bilgisinin öğrenilmesiyle birlikte, orantısızlık teşkil ettiğini ileri sürerek hem online hem de otele giriş günü kimlik belgesi sunmayı reddetmiştir. Bunun üzerine ilgili kişiye konaklama hizmeti verilmemiştir.

Veri sorumlusu, kimlik belgesinin, seyahat eden kişilerin giriş-çıkış formlarında ve konaklama tesislerinde tutulması gereken kayıt formlarında verilen bilgilerin doğruluğunu sağlamak amacıyla gerekli olduğunu savunmuştur (bkz. RD 933/2021 Madde 4(3)). Otelin kullandığı yazılım, misafirlerin kimlik belgesi sunmadan çevrim içi ya da yüz yüze check-in yapmasına olanak tanımasına rağmen, otel yine de kimlik belgelerinin bir kopyasını alma gerekliliğinde ısrar etmiştir. Yazılımın gizlilik politikasına göre kimlik görselleri yalnızca 5 gün süreyle saklanmaktayken, veri sorumlusu bu görselleri vergi yükümlülüklerini yerine getirmek amacıyla 3 yıl boyunca sakladığını beyan etmiştir.

Otorite, check-in işlemi için kimlik belgesi kopyasının istenmesinin hukuki bir dayanağının bulunmadığını, bunun gereksiz ve aşırı bir kişisel veri işleme faaliyeti olduğunu tespit etmiştir. Kimlik belgelerinde yer alan verilerin, ilgili yasal düzenlemelerde belirtilen amaçlarla orantılı, gerekli ve ilgili olmadığını belirleyen Otorite, bunun GDPR Madde 5(1)(c)’deki veri minimizasyonu ilkesine aykırı olduğunu ifade etmiştir. Hem RD 933/2021 sayılı Kraliyet Kararnamesi hem de Vatandaş Güvenliğinin Korunmasına Dair 4/2015 sayılı Yasa, kimlik belgesinin bir kopyasının ya da fotoğrafının alınmasını veya belgedeki tüm bilgilerin bildirilmesini zorunlu kılmamaktadır. Bu nedenle, GDPR Madde 6(1)(c) uyarınca yasal yükümlülük gerekçesiyle işleme yapılması mümkün değildir.

Ayrıca, Otorite, kimlik belgesi görsellerinin 3 yıl süreyle saklanmasının da yanlış olduğunu, zira RD 933/2021’in yalnızca bazı verilerin saklanmasını öngördüğünü, kimlik belgesinin tamamının ya da görüntüsünün saklanmasını zorunlu kılmadığını belirtmiştir.

Otorite, GDPR Madde 5(1)(c)’nin ihlali nedeniyle veri sorumlusuna 1.500 Euro para cezası kesmiştir. GDPR Madde 83(2) kapsamında değerlendirilen etkenler doğrultusunda, İspanya İdari Usul Yasası 39/2015 uyarınca veri sorumlusuna, sorumluluğunu kabul etmesi ve/veya önerilen para cezasını ödemesi halinde cezanın %20 oranında indirileceği bildirilmiştir. Veri sorumlusu, hem sorumluluğunu kabul etmiş hem de indirimi seçerek cezayı 1.200 Euro olarak ödemiştir.

Buna ek olarak, Otorite, GDPR Madde 58(2)(d) uyarınca veri sorumlusuna bir dizi uyum önlemi alma talimatı vermiştir. Bu kapsamda, rezervasyon yönetim sürecinde kimlik belgesi fotoğrafı ya da kopyası sunma gerekliliğini ortadan kaldıracak değişikliklerin yapılması ve daha önce toplanmış belgelerin silinmesi yönünde teknik ve organizasyonel önlemler alınması istenmiştir.

Kararın linkine buradan ulaşabilirsiniz.

İspanya Veri Koruma Otoritesi (“AEPD”) veri sorumlusu bir otele, konuklarından kimlik belgesi kopyası talep etmesi ve bu kopyaları saklaması nedeniyle 1.500 € para cezası verdi.