İspanya Veri Koruma Otoritesi (“DPA” veya “AEPD”), binlerce mektubun tarlalarda ve nehirde terk edilmesini önleyecek tedbirleri almadığı için bir posta hizmet sağlayıcısına 200.000 Euro para cezası verdi. Ayrıca, veri sorumlusuna bir takip sistemi kurması talimati verildi.

28 Eylül 2022 tarihinde, La Palma şehrinin yerel polis teşkilatı, İspanya Veri Koruma Otoritesi’ne bir rapor sunmuştur. Rapor uyarınca, polis tarafından terk edilmiş bir arsada 1.404 adet mektup bulunduğu yer alıyordu.

17 Kasım 2022 tarihinde AEPD, Balear adalarının polis teşkilatından, Palma şehrinde iki farklı yerde 5.354 mektubun bırakıldığını gösteren başka bir rapor aldı. Polis, şehirdeki nehirde mektuplar bulduğunu belirten bir vatandaşın e-postası üzerine bilgilendirilmişti. Polis tarafından sağlanan belgelere göre, mektupların çoğu kapalıydı ve bazıları kurcalanmıştı.

AEPD veri sorumlusuna raporları bildirdikten sonra, veri sorumlusu sorumlu çalışanları tespit ettiğini ve disiplin işlemlerini başlattığını belirtti. Ayrıca veri sorumlusu bulunan mektupların açılmadığını ve bu nedenle sızan verilerin zarfların üzerindeki isim ve adreslerle sınırlı olduğu bu nedenle, ilgili kişilerin hak ve özgürlüklerine yönelik herhangi bir risk bulunmadığı sonucuna vardı.

AEPD, 28 Aralık 2022 tarihinde veri sorumlusu tarafından gönderileri takip etmek için uygulanan önlemleri ve çalışanlara verilen eğitimi değerlendirmek üzere re’sen bir soruşturma başlattı ve veri sorumlusunun GDPR Madde 5(1)(f) ve GDPR Madde 32'yi ihlal ettiğini tespit etti.

AEPD; veri sorumlusunun yalnızca çalışanlarının gizlilik sözleşmesi imzaladığını gösterebildiğini bunun dışında bu veri ihlalini önleyecek başka hiçbir organizasyonel önlem alınmadığını vurguladı. Ayrıca AEPD, istihdam ilişkisinin başlangıcında bir saatlik bir eğitim dışında, çalışanların teslimat görevlerinde GDPR'a uymaları konusunda yeterince bilgilendirilmediklerini de belirtti.

Mektupların gerçekten istenen adrese ulaşıp ulaşmadığını kontrol etmek için bir sistem bulunmadığından AEPD, veri sorumlusunun posta hizmeti sağlayıcısı olarak işlevinin bu durumda ağırlaştırıcı bir faktör olduğunu, çünkü veri sorumlusunun böyle bir sisteme sahip olmasının zorunlu olduğunu tespit etti.

Bu nedenle AEPD, veri sorumlusuna GDPR'nin 5(1)(f) maddesi ihlali nedeniyle 120.000 Euro ve GDPR'nin 32. maddesi ihlali nedeniyle 80.000 Euro para cezası uyguladı, ayrıca veri sorumlusuna bir takip sistemi kurmasını ve çalışanlara GDPR'a uygun mektup teslimi konusunda eğitim vermesi konusunda talimatlandırdı.

İlgili karara buradan ulaşabilirsiniz.

İspanya Veri Koruma Otoritesi tarafından mektupların kaybolmasını önleyecek yeterli tedbirleri almayan posta hizmet sağlayıcısına GDPR ihlalleri nedeniyle 200.000 euro para cezası verildi.