Bir işveren, işyeri tacizi şikayetinde bulunan şikayetçilerin ve suçlanan kişilerin kimliklerini korumadığı için GDPR’nin 5(1)(f) maddesini ihlal etmiş ve 120.000 € para cezasına çarptırılmıştır.

Nisan 2024’te ilgili kişiler, dört çalışma arkadaşıyla birlikte, on meslektaşları hakkında işyeri tacizi iddialarında bulunmuştur.

İspanya İşçi Komitesi, işverenleri olan Servicios Especiales S.A.’dan (“veri sorumlusu”), şikayetçiler ve suçlanan kişiler bakımından işyeri tacizi prosedürünü başlatmasını talep etmiştir.

Temmuz 2024’te veri sorumlusu, her bir şikayete ilişkin kararları ekleriyle birlikte İşçi Komitesine bildirmiştir. Veri sorumlusu ayrıca bu kararları, eklerde yer alan bilgileri karartmadan veya anonimleştirmeden, şikayetçilerin ve suçlanan kişilerin her birine de iletmiştir.

Bunun sonucunda, şikayetçilerin ve suçlanan kişilerin her biri; yapılan her bir şikayetin ayrıntılarını, ad ve soyad bilgilerini, görevlerini ve haklarında bildirilen pozisyonları görmüştür.

Suçlanan kişilerden biri daha sonra iş yerindeki bir WhatsApp grubunda öpücük emojisi eşliğinde “Şikayet için teşekkürler” şeklinde bir mesaj paylaşmıştır. Bunun sonucunda şikayetçilerden biri anksiyete krizi geçirmiş ve sağlık raporu alarak işten uzak kalmıştır.

Başka bir WhatsApp grubunda ise e-postanın bir kopyası paylaşılmış, böylece işyeri tacizi iddiasındaki hem şikayetçilerin hem de suçlanan kişilerin isimleri ifşa edilmiştir.

Ağustos 2024’te işyeri tacizi şikayetinde bulunan iki şikayetçi, AEPD’ye şikayette bulunmuştur.

Soruşturma sırasında veri sorumlusu, şikayette bulunanların ve suçlananların kimliklerinin tüm taraflarca zaten bilindiğini ileri sürmüştür.

İspanya Veri Koruma Otoritesi (“AEPD” ve “Otorite”), Kasım 2024’te soruşturma başlatmıştır.

Otorite, veri sorumlusunun, işlenen kişisel verilerin uygun güvenliğini sağlayamadığı gerekçesiyle GDPR’nin 5(1)(f) maddesini ihlal ettiğine karar vermiştir.

Uygun yaptırımı belirlerken otorite, söz konusu kişisel verilerin önemini ve olayın hassas bağlamını dikkate almıştır. Otorite ayrıca veri sorumlusunun yüksek derecede ihmalkâr davrandığını tespit etmiştir.

Otorite, para cezasını başlangıçta 200.000 € olarak belirlemiştir. Ancak idari usullere ilişkin İspanyol Hukuku olan 39/2015 sayılı Kanun uyarınca, veri sorumlusuna isnat edilen ihlallere ilişkin sorumluluğunu kabul etmesi ve/veya önerilen para cezasını gönüllü olarak ödemesi halinde cezada %20 oranında indirim uygulanabileceği bildirilmiştir. Veri sorumlusu hem sorumluluğunu kabul etmiş hem de cezanın gönüllü ödemesini yapmış, böylece toplam %40 indirimden yararlanarak 120.000 € tutarında para cezası ödemiştir.

İlgili karara buradan ulaşabilirsiniz.

İspanya Veri Koruma Otoritesi, bir işyerinde gerçekleşen taciz olayında şikayetçilerin ve suçlanan kişilerin kimlik bilgilerini ve şikayet içeriklerini gizlemeden paylaşan veri sorumlusuna, GDPR’yi ihlal ettiği gerekçesiyle 120.000 € idari para cezası verdi.