Veri sorumlusu Quality-Provider S.A. veri hizmeti sağlayıcısıdır ve temel faaliyetlerinin bir parçası olarak kişisel verileri işlemektedir. İspanya Veri Koruma Otoritesi (''Otorite'') bir ilgili kişinin şikayeti üzerine, veri sorumlusunun web sitesi üzerinden yürüttüğü faaliyetlerle ilgili olarak GDPR’ın ihlal edildiği iddialarını araştırmak üzere soruşturma başlatmıştır. Soruşturmalar sırasında Otorite veri sorumlusundan soruşturulan olaylarla ilgili bazı bilgi ve belgeleri sağlamasını talep etmiştir.
Veri sorumlusu ise, talebin ilgili kişinin kimlik kartının bir kopyasını kapsamadığını ve bunun da ilgili kişiyi ve verileri güvenilir bir şekilde tanımlamasını engellediğini iddia ederek ilgileri vermeyi reddetmiştir. Ardından Otorite yerinde denetim yapmaya karar vermiş ve veri sorumlusunu, temsilcilerinin müfettişlerle işbirliği yapması ve dosyalara erişimi kolaylaştırması gerektiği konusunda bilgilendirmiştir.
Veri sorumlusu aşağıdaki hususları ileri sürerek talebi yerine getirmeyi reddetmiştir:
Ayrıca veri sorumlusu, denetimi kaydedeceğini ve bu kaydı mahkemede sunacağını belirtmiştir.
Otorite, GDPR madde 51(1)'in her üye devletin GDPR'ın uygulanmasını takip etmekten sorumlu bir veya daha fazla bağımsız kamu otoritesi oluşturmasını şart koştuğunu ve bu otoritelerden birinin AEPD olduğunu hatırlatmıştır. Ayrıca, GDPR madde 58(2) ve LOPDGDD hükümlerine göre, Otorite Müdürü’nün bu prosedürü başlatma ve çözme yetkisine sahip olduğu belirtilmiştir. Otorite, (AB) 2019/1937 sayılı Direktifin temel amacının, çalışanların iş bağlamındaki ihlalleri bildirebilmelerini garanti altına almak olduğunu mevcut durumun ise direktifin kapsamına dahil olmadığını belirtmiştir.
Yukarıda belirtilen tüm iddiaları reddettikten sonra Otorite veri sorumlusunun, denetleme yetkisinin kullanılması için gerekli olan kişisel verilere, bilgilere, yerlere, ekipmana ve işleme araçlarına erişim sağlanmasını yasal olmayan bir şekilde engellediğine karar vermiştir.
Dolayısıyla Otorite tarafından, GDPR madde 58(1)'in ihlal edildiği tespit edilmiş ve veri sorumlusuna 20.000 Euro tutarında para cezası verilmiştir. Otorite, para cezasının miktarını belirlerken GDPR madde 83(2)(b)'de öngörüldüğü üzere suçun kastilik derecesini ve ayrıca GDPR madde 76(2)(b)'de öngörüldüğü üzere şirketin faaliyeti ile kişisel verilerin işlenmesi arasındaki bağlantıyı dikkate almıştır.