İspanya Veri Koruma Otoritesi (“Otorite” ve “AEPD”), çevrimiçi bir haber yayınında kullanılan bir videonun tam olarak anonimleştirilmemesi nedeniyle bir medya kuruluşuna 30.000 € idari para cezası verdi. Videoda yüzler bulanıklaştırılmış olmasına rağmen, en az üç kişinin — mağdur ve saldırgan dahil, her ikisi de reşit olmayan kişiler — sesleri değiştirilmemişti.

ATRESMEDIA (“veri sorumlusu”), İspanya’da faaliyet gösteren büyük bir medya kuruluşudur. Veri sorumlusu, haber yayınlarından birinde çevrimiçi olarak, birkaç gencin yer aldığı bir video yayımladı. Bu videoda yüzler bulanıklaştırılmıştı; ancak mağdur ve saldırgan da dahil olmak üzere en az üç kişinin sesleri değiştirilmemiş ve bu kişiler bu nedenle tanınabilir durumda kalmıştı.

İspanya Veri Koruma Otoritesi, veri sorumlusundan videoyu yayından kaldırmasını veya sesleri tanınamayacak şekilde bozmasını talep etmiştir. Veri sorumlusu ise bunun üzerine videoyu yayından kaldırıp orijinal kopyayı delil olarak muhafaza etmiştir.

Kişisel verinin tanımı ve yorumlanması (GDPR Madde 4(1)) ile işlemenin tanımı (GDPR Madde 4(2)) geniştir. Otorite, bir videoda bir kişinin sesinin yayımlanmasının kişisel veri işleme olduğunu belirtti. Bir kişinin sesi benzersizdir ve yaş veya kültür gibi kişinin bazı özelliklerini ortaya çıkarabileceğini belirtmiştir. Ayrıca bir ses, bir kişiyi doğrudan veya dolaylı olarak tanımlamak için kullanılabilir. Otorite, yapay zekadaki teknolojik gelişmelerin bir kişiyi kolayca tanımlayabildiğine ve bunun ilgili kişi açısından temel haklara yönelik riskler oluşturduğuna dikkat çekti.

Otorite daha sonra veri sorumlusunun verileri veri minimizasyonu ilkesine uygun şekilde işleyip işlemediğini analiz etti. GDPR Madde 5(1)(c) uyarınca veri sorumlusu, işleme faaliyetinin gereklilik ve orantılılığını, ayrıca ilgili riskleri ve temel hakları dikkate almak zorundadır. Otorite, ayrıca GDPR Madde 39’a ve Avrupa Birliği Adalet Divanı’nın içtihadına dayandı ve işlemenin daha az müdahaleci yöntemlerle yapılması gerektiğini belirtti. Bu kapsamda Otorite, veri sorumlusunun verileri daha az müdahaleci şekilde işlemek için ek önlemler alabileceğini ve mevcut teknolojilerin videoların bozulmuş seslerle yüklenmesine imkan tanıdığı sonucuna vardı.

Temel hakların mutlak olmadığını belirtmek önemli olup bu olayda Otorite, veri koruma hakkı ile ifade ve basın özgürlüğü arasındaki dengeyi değerlendirmiştir. Bu değerlendirme, kişisel verilerin (“seslerin”) işlenmesinin veri sorumlusunun amacı olan haber yayımlamak için gerçekten gerekli olup olmadığının analiz edilmesini gerektirmektedir. Otorite, Avrupa İnsan Hakları Mahkemesi’nin içtihadına atıf yaparak, veri sorumlusunun ifade özgürlüğünün dar yorumlanması gerektiğini belirtmiştir. Çünkü ilgili videoya seslerin dahil edilmesi haberin anlaşılması için gerekli olmayıp kamu merakını tatmin etme isteği tek başına işlemenin gerekçesi olarak yeterli bir gerekçe oluşturmamıştır.

Otorite ayrıca İspanyol anayasa hukuku içtihadına göre temel veri koruma hakkının, ilgili kişinin hangi verilerin üçüncü taraflara verileceğine ve bu verilerle ne yapılacağına karar verme yetkisini içerdiğini vurguladı. spanyol Yüksek Mahkemesi’ne göre, açık rıza (istisnai durumlar hariç) ve bilgilendirilmiş olma, bu temel hakkın vazgeçilmez unsurları olmuştur. Bu koruma, kamu yararı söz konusu olsa dahi, reşit olmayan kişiler bakımından daha da güçlendirilmiştir; zira bu kişilerin mahremiyet hakkı öncelik kazanmıştır.

Otorite, veri sorumlusuna 50.000 € para cezası verdi. Bu ceza belirlenirken mağdurların bir kısmının reşit olmayan kişiler olması, veri sorumlusunun ihmalinin bulunması ve videonun çevrimiçi ortamda potansiyel olarak sınırsız bir kitleye ulaşabilmesi gibi ağırlaştırıcı unsurlar dikkate alındı.

İspanya’daki idari yargılama usulüne ilişkin 39/2015 sayılı Kanun uyarınca Otorite, veri sorumlusunu önerilen cezayı gönüllü olarak ödeyip itiraz hakkından feragat etmesi hâlinde cezanın %20 oranında indirileceği konusunda bilgilendirmiştir. Ayrıca veri sorumlusunun sorumluluğunu kabul etmesi durumunda cezanın %20 daha azaltılabileceği belirtilmiştir. Veri sorumlusu her iki indirimden de yararlanmayı tercih etmiş ve toplamda %40 indirim uygulanarak 30.000 € tutarındaki cezayı ödemiştir.

Veri sorumlusu cezayı 10 Nisan 2025 tarihinde ödemiştir. Son olarak Otorite, veri sorumlusunun gelecekte gereğinden fazla kişisel veri yayımlamasını önlemek amacıyla, gerekli teknik ve idari tedbirlerin alınmasını sağlamak üzere düzeltici önlemler uygulamıştır.

İlgili karara buradan ulaşabilirsiniz.

İspanya Veri Koruma Otoritesi tarafından, çevrimiçi bir haber videosunda reşit olmayan kişilere ait seslerin anonimleştirilmemesi suretiyle kişisel verilerin ölçüsüz işlendiği gerekçesiyle veri sorumlusuna idari para cezası verildi.