İtalya Veri Koruma Otoritesi (''Garante''), Sirio S.p.A.'ya bir çalışanın kişisel verilerini hukuka aykırı bir şekilde işlediği için 1.000 Euro para cezası vermiştir. Söz konusu çalışana bağlı bir banka kartı ilgili kişinin rızası olmadan oluşturulmuştur.
İlgili kişi, işvereni Sirio S.p.A. (veri sorumlusu) tarafından GDPR'ın ihlal edildiğini iddia ederek Garante’ye şikayette bulunmuştur. Şikayet, bir kredi kuruluşu tarafından 07 Temmuz 2021 tarihinde ilgili kişinin açık rızası olmaksızın kişisel verileri önceden doldurulmuş şekilde, işletme hesaplarına bağlı ve tüm ATM makinelerinde elektronik para yatırma imkanı sağlayan yeni bir mevduat kartının düzenlenmesinden kaynaklanmıştır.
Veri sorumlusu tarafından yönetilen bir satış noktasında müdür yardımcısı olan ilgili kişi, veri sorumlusunun kişisel verilerini hukuka aykırı olarak işlediğini ileri sürmüştür. Şikâyette özellikle GDPR Madde 5(1)(a)'nın ihlali vurgulanmış ve veri sorumlusunun ilgili kişinin kişisel verilerinin işlenmesine ilişkin açık ve şeffaf bilgi sağlamadığı iddia edilmiştir.
Buna cevaben Garante veri sorumlusunun veri işleme faaliyetlerinin meşruiyetini kontrol etmek için bir ön soruşturma başlatmıştır. Veri sorumlusu, ilgili kişinin rolü nedeniyle, veri işlemenin GDPR Madde 6(1)(b) uyarınca iş sözleşmesi ve GDPR Madde 6(1)(f) uyarınca meşru menfaati ile gerekçelendirildiğini savunmuştur.
GDPR Madde 13 uyarınca ilgili kişiye sağlanan bilgilerin yeterliliğini değerlendirmek için Otorite tarafından daha fazla araştırma yapılması istenmiştir. Otorite, ilgili kişinin ödeme kartlarının verilmesi için kişisel verilerinin işlenmesi konusunda nasıl bilgilendirildiğine ilişkin veri sorumlusundan ek kanıt talep etmiştir.
Garante, veri sorumlusunun GDPR Madde 5(1)(a), GDPR Madde 6 ve GDPR Madde 13'ü ihlal ettiğine karar vermiştir.
Garante, GDPR Madde 6 açısından, veri sorumlusunun veri işlemenin GDPR Madde 6(1)(b)'ye göre iş sözleşmesi ve GDPR Madde 6(1)(f)'ye göre meşru menfaat ile gerekçelendirildiği iddiasını reddetmiştir. Otorite, GDPR Madde 6(1)(b) ile ilgili olarak, veri sorumlusunun iddialarının kabulü için veri sorumlusunun amaç sınırlaması ve şeffaflık ilkelerine uygun olarak izlemeyi amaçladığı hukuki sebepler dikkate alındığında, işlemenin sözleşmenin ifası için objektif olarak 'gerekli' olması gerektiğini vurgulamıştır. Dolayısıyla, ilgili kişi bilgilendirilmediği ve iş sözleşmesi kapsamında olduğunu kanıtlayan bir belge olmadığı için, veri sorumlusu GDPR Madde 6(1)(b)'yi ihlal etmiştir. İkinci olarak, Otorite, veri sorumlusunun meşru menfaatleri ile ilgili kişinin menfaatleri veya temel hak ve özgürlükleri arasında bir denge testi yapmadığı için GDPR Madde 6(1)(f)'yi ihlal ettiğine karar vermiştir.
Ayrıca, GDPR Madde 13 ile ilgili olarak, Garante, ilgili kişiye yapılan aydınlatmanın genel ve yetersiz olduğu sonucuna varmıştır. Belgeler, ilgili kişinin istihdam ilişkisi için gerekli olan kişisel verilerin işlenmesi ve verilerin üçüncü taraflara iletilmesi konusunda bilgilendirildiğini yeterince göstermemiştir. Ayrıca, GDPR Madde 13(1)(c) ve GDPR Madde 13(1)(e) ihlal edilerek, veri alıcıları veya veri alıcı kategorileri ve işleme amaçları hakkında net bilgiler de içermemektedir. Bununla bağlantılı olarak, Otorite, veri sorumlusunun ilgili kişinin kişisel verilerinin mevduat kartının verilmesi için bir kredi kuruluşuna iletilmesi konusunda yeterli şeffaflık sağlamadığını tespit etmiştir. Özellikle, ilgili kişiye belirli talimatlar vermemiş ve sağlanan belgeler GDPR Madde 5(1)(a)'yı ihlal ederek ayrıntılı bilgi içermemiştir.
Sonuç olarak, Otorite, veri sorumlusuna 1.000 Euro para cezası vermiş ve veri sorumlusunun, özellikle ilgili kişiye sağlanan bilgi eksikliğini ele alarak, işlemlerini veri koruma hükümlerine uygun hale getirmesini emretmiştir.