Veri Koruma Otoritesi, bir araç kiralama şirketinin trafik kuralı ihlaliyle bağlantılı olarak kolluk kuvvetlerine kişisel veri ifşa etmesinin bir veri ihlali olduğunu tespit etmiştir. Veri sorumlusu, ihlalden sorumlu olmayan bir önceki müşterinin verilerini sunmuştur.

İki Norveç vatandaşı (ilgili kişiler), Venedik Havalimanı'ndan bir araç kiralama şirketinden (veri sorumlusu) araç kiralamıştır. Norveç'e döndükten sonra, İtalyan makamlarından bir trafik cezası ve bir otoyol ücreti ödenmediğine dair bir bildirim almışlardır. Ancak, bu belgelerin ilgili kişilerin zaten Norveç’e geri döndüğü bir dönemi kapsadığını fark etmişlerdir.

Veri sorumlusuna birkaç e-posta gönderdikten sonra, ilgili kişiler Norveç Veri Koruma Otoritesi’ne (Datatilsynet) şikayette bulunmuşlardır. Veri sorumlusunun ana merkezi İtalya’da olduğu için şikayet, GDPR’ın 56(1) Maddesi uyarınca İtalya Veri Koruma Otoritesi’ne (Garante per la protezione dei dati personali) iletilmiştir.

Veri sorumlusu, insan hatası nedeniyle ilgili kişilerin verilerinin trafik kuralı ihlallerini gerçekleştiren kişiyle karıştırıldığını ve bu nedenle isimlerinin yanlış bir şekilde yetkililere bildirildiğini belirtmiştir. Yetkililer, daha sonra bu kişilere cezaları göndermiştir.

Ayrıca veri sorumlusu, araç kiralama işlemlerinde sürücünün adını yetkili makamlara bildirme zorunluluğunun çeşitli İtalyan yasaları kapsamında yasal bir yükümlülük olduğunu vurgulamıştır.

Hata fark edildikten sonra veri sorumlusu, cezaların doğru kişiye yönlendirilmesini sağlamak için cezayı düzenleyen yetkililerle iletişime geçmiştir. Sonuç olarak, ilgili kişiler cezayı ödemek zorunda kalmamıştır.

Veri Koruma Otoritesi, veri sorumlusunun ilgili kişilerin kişisel verilerini GDPR’ın 6(1)(b) Maddesi uyarınca sözleşmenin ifası için gerekli olduğu gerekçesiyle yasal olarak topladığını belirtmiştir.
Veri Koruma Otoritesi, kiralanan aracın bir trafik kuralı ihlaline karıştığı bildirildikten sonra, veri sorumlusunun GDPR’ın 6(1)(c) Maddesine dayanarak verileri yetkili makamlara iletebileceğini vurgulamıştır. Ancak bu olayda veri sorumlusu yanlış ismi bildirmiştir. Veri Koruma Otoritesi’ne göre bu olay GDPR’ın 4(12) Maddesi uyarınca bir veri ihlali tanımına girmektedir.
Veri Koruma Otoritesi, söz konusu veri ihlalinin teknik bir sorundan değil ara sıra meydana gelen bir insan hatasından kaynaklandığını belirtmiştir.
Veri Koruma Otoritesi, veri sorumlusunun bu tür olayların tekrarını önlemek amacıyla teknik ve organizasyonel önlemlerini iyileştirmesini memnuniyetle karşılamıştır.
Veri Koruma Otoritesi, veri sorumlusunun yetkililerle iletişime geçerek ilgili kişilerin artık cezaya muhatap olmamasını sağlamak suretiyle ihlalin olumsuz sonuçlarını hafiflettiğini not etmiştir.

Bu nedenlerle Veri Koruma Otoritesi, GDPR’ın 58(2) Maddesi kapsamında herhangi bir düzeltici önlem alınmasının gerekmediği sonucuna varmıştır.

GDPR’ın 60(4) Maddesi uyarınca, İtalya Veri Koruma Otoritesi taslak kararını Norveç Veri Koruma Otoritesi’ne iletmiştir. Norveç Veri Koruma Otoritesi’nin itiraz etmemesi üzerine karar GDPR’ın 60(6) Maddesi uyarınca nihai hale gelmiştir.

Kararın linkine buradan ulaşabilirsiniz.

İtalya Veri Koruma Otoritesi, bir araç kiralama şirketi tarafından trafik cezasına konu eylemin gerçekleşmesi durumunda yanlış kişiye ait bilgilerin ilgili otoriteyle paylaşması sonucunda veri ihlali oluştuğunu tespit etti.