Bir konaklama hizmeti sağlayıcısı, misafirlerden (çocuklar dahil) WhatsApp aracılığıyla kimliklerinin fotoğraflarını göndermelerini isteyerek GDPR'nin 5(1)(c) Maddesini ihlal ettiği için 1.200 Euro para cezasına çarptırıldı.

İlgili kişi, Residential Quality Enjoy (veri sorumlusu) firmasından ailesiyle birlikte kalmak üzere bir konaklama yeri kiraladı. Veri sorumlusu, ilgili kişiden ailesinin, çocukları da dahil olmak üzere, kimliklerinin kopyalarını WhatsApp üzerinden göndermesini talep etti. Kimliklerde ilgili kişinin adı, cinsiyeti, doğum tarihi ve adresi yer alıyordu.

İlgili kişiye, bu verilerin ne amaçla ve nasıl kullanılacağına dair herhangi bir açıklama yapılmadı.

Bu durum üzerine ilgili kişi, 21 Ağustos 2023 tarihinde İspanya Veri Koruma Otoritesi’ne (“DPA”) şikayette bulundu.

Soruşturma sürecinde, konaklama hizmeti sağlayıcısı, İspanya'da yürürlükte olan RD 933/2021 sayılı yasa gereğince, konaklama yerlerinde kalan misafirlerin kimliklerini doğrulamak zorunda olduklarını savundu. DPA, RD 933/2021 sayılı yasanın misafirlerin kimliklerinin doğrulanmasını gerektirdiğini, ancak kimliklerin kopyalarının saklanmasını zorunlu kılmadığını tespit etti.

DPA, kimlik kartlarında yer alan kişisel veri çeşitliliğine atıfta bulunarak, veri sorumlusunun GDPR’ın 5(1)(c) Maddesindeki veri minimizasyonu ilkesini ihlal ettiğine karar verdi.

DPA, başlangıçta veri sorumlusuna 2.000 Euro para cezası uyguladı ancak 39/2015 sayılı idari işlemlere ilişkin İspanya yasası uyarınca, DPA veri sorumlusuna iddia edilen ihlallerin sorumluluğunu kabul edebileceğini ve/veya önerilen para cezasını ödeyebileceğini bildirdi. Bu eylemlerin her biri uygulanan para cezasını %20 oranında azaltmaktadır. Veri sorumlusu, hem ihlallerin sorumluluğunu kabul ederek hem de azaltılmış 1.200 Euro’luk yaptırım tutarını ödeyerek para cezasını %40 oranında azaltmayı tercih etti.

DPA ayrıca veri sorumlusuna kayıt sistemini, misafirlerin kimliklerinin bir kopyasını vermek zorunda kalmayacakları şekilde değiştirmesini ve ayrıca önceki müşterilerin kimliklerinin mevcut kopyalarının sistemlerinden silindiğini kanıtlamasını emretti.

İlgili karara buradan ulaşabilirsiniz.

İspanya Veri Koruma Otoritesi, konaklama yeri kiralamak isteyen bir ilgili kişiden, çocukları dahil olmak üzere tüm aile bireylerinin kimliklerinin fotoğraflarını talep eden konaklama firmasına 1.200 Euro para cezası verdi.