İsveç Veri Koruma Otoritesi (“Otorite”), Finlandiya ve Danimarka’daki ilgili kişiler tarafından yapılan şikayetler üzerine, İsveç merkezli CDON AB (“Veri Sorumlusu”) hakkında soruşturma başlatmıştır. İncelemede, silme taleplerinin yerine getirilmesi sırasında kullanılan kimlik doğrulama yöntemlerinin orantılılık ve veri minimizasyonu ilkesi ile uyumlu olup olmadığı değerlendirilmiştir.

Yedi ilgili kişi, veri sorumlusuna başvurarak kişisel verilerinin silinmesini talep etmiştir. Veri sorumlusu, bu taleplerin işleme alınabilmesi için doğum tarihi, adres, müşteri numarası, sipariş numarası, son siparişin fiyatı ve kartla ödeme yapılmışsa kredi kartı numarasının son dört hanesi gibi ek bilgilerin sunulmasını talep etmiştir. Bazı ilgili kişiler, alışverişlerinin çok eskiye dayanması nedeniyle bu bilgilerin tamamını temin edemeyeceklerini belirtmiştir.

İlgili kişilerden altısı Finlandiya’da, biri Danimarka’da veri sorumlusu aleyhine şikayette bulunmuştur. İşlemenin sınır ötesi niteliği nedeniyle, veri sorumlusunun İsveç’te yerleşik olması dikkate alınarak GDPR kapsamındaki işbirliği ve tutarlılık mekanizmaları uygulanmıştır. Veri sorumlusu, yalnızca ilgili kişilerin isim ve e-posta adreslerinin kimlik doğrulaması için yeterli olmadığını savunarak GDPR Madde 12(6) uyarınca ek bilgi talep ettiğini belirtmiştir. Ayrıca, şikâyetlerden sonra kimlik doğrulama prosedürlerini gözden geçirdiğini, artık ilgili kişilerin iki güvenlik sorusundan yalnızca birini yanıtlamasının yeterli olduğunu ve alternatif doğrulama yöntemleri için müşteri hizmetleriyle iletişime geçilebildiğini ifade etmiştir. Otorite, kalan beş şikâyet bakımından, veri sorumlusunun ilgili kişilerin kimliğinden şüphe duymak için makul gerekçelere sahip olup olmadığını değerlendirmiştir. Otorite; GDPR Madde 12(6) kapsamında ek bilgi talep edilebilmesi için öncelikle bir #orantılılık değerlendirmesi yapılması gerektiğini, gerekli olup olmadığı incelenmeden kimlik tespiti amacıyla rastgele veri talep edilmesinin hem GDPR Madde 12(6)’yı hem de GDPR Madde 5(1)(c) kapsamındaki veri minimizasyonu ilkesini ihlal ettiğini tespit etmiştir.

Otorite, özellikle silme talebinde bulunan ilgili kişilerden, son siparişin üzerinden uzun zaman geçmiş olmasına rağmen sipariş numarası ve fiyat gibi bilgilerin talep edilmesini, gerekçesiz şekilde külfetli bir doğrulama yöntemi olarak değerlendirmiştir. Bu yaklaşımın, ilgili kişilerin haklarını kullanmasını kolaylaştırmadığı ve dolayısıyla GDPR Madde 12(2)’nin ihlal edildiği sonucuna varılmıştır. Veri sorumlusunun, şikâyetlerin yapıldığı 2018 yılından sonra prosedürlerini güncellemiş olması dikkate alınmış; mevcut uygulamanın artık orantısız olmadığı ve bu haliyle GDPR’ye aykırılık teşkil etmediği tespit edilmiştir.

Bu değerlendirmeler ışığında Otorite; (i) ihlallerin nispeten eski tarihli olması, (ii) veri sorumlusunun prosedürlerini sonradan GDPR ile uyumlu hale getirmesi ve (iii) daha önce herhangi bir düzeltici yaptırıma tabi tutulmamış olması nedeniyle ihlallerin Resital 148 kapsamında hafif nitelikte olduğuna karar vermiştir. Bu nedenle, veri sorumlusuna GDPR Madde 5(1)(c), 12(2) ve 12(6) ihlalleri nedeniyle kınama cezası verilmiştir.

İlgili karara buradan ulaşabilirsiniz.

İsveç Veri Koruma Otoritesi (“Otorite”), ilgili kişilerden gelen silme taleplerine cevaben aşırı ve orantısız kimlik doğrulama yöntemleri kullanan bir e-ticaret şirketine kınama cezası verdi.