İtalya Veri Koruma Otoritesi (“Otorite”), bir belediyeyi, ilgili kişinin iş ilişkisinin sona ermesine ilişkin kişisel ve hassas verileri hukuka aykırı bir şekilde yayımladığı için 8.000 Euro para cezasına çarptırmıştır.

İlgili kişi, veri sorumlusu bir belediye hakkında İtalya Veri Koruma Otoritesi’ne şikayette bulunmuştur. Şikayet, belediyenin resmi web sitesinde, ilgili kişiye ilişkin tüm belgelerin yayımlanmasını içermektedir. Bu belgelerde, veri sorumlusuyla ilgili kişi arasındaki e-posta yazışmaları, yasal süreçlere ilişkin mektuplar, ilgili kişinin izin takvimi (yıllık izin, kabul edilen ve reddedilen izin günleri, ödemeler) gibi kişisel veriler ve ilgili kişinin bir sendikaya üye olduğunu gösteren hassas veriler yer almıştır.

Belediye, şu savunmaları yapmıştır:

İlgili kişinin özel yaşamıyla bağlantılı hiçbir kişisel veri yayımlanmamış, yalnızca isim ve soyadının baş harfleri kullanılmış ve kişisel bilgiler yalnızca bir belgede yer almıştır.
Olaylar Covid-19 acil durumu bağlamında gerçekleşmiştir.
Yayımlanan kişisel veriler, kamu yönetimi tarafından tutulan bilgilere erişimi düzenleyen ulusal yasa (d.lgs. 33/2013) uyarınca şeffaf iletişim amacıyla zaten kamuya açık hale getirilmiştir.

Otorite, GDPR’nin bu davaya uygulanabilir olduğunu belirterek değerlendirmeye başlamıştır, çünkü yalnızca baş harflerin kullanılması, ilgili kişinin tanımlanabilirliğini önlemek için yeterli değildir.

İşlemenin hukuka uygunluğu konusunda, Otorite, kamu otoritelerinin GDPR’nin 6(1)(c) Maddesi uyarınca ilgili kişilerin kişisel verilerini işleyebileceğini kabul etmiş, ancak işlemi yapanın bir kamu otoritesi olmasının tek başına bu hükmün kapsamına girmek için yeterli olmadığını belirtmiştir.
Hassas verilerin işlenmesi konusunda, GDPR’nin 9(1) Maddesi uyarınca Otorite, bir belgenin bir sendika tarafından imzalanmış olmasının, açıkça belirtilmese bile, ilgili kişinin sendika üyeliğini dolaylı olarak ortaya koyduğunu tespit etmiştir.
Otorite, ulusal yasanın (Madde 124, d.lgs. 267/2020) çevrimiçi sitede yapılan yayınların veri minimizasyonu ve hukuka uygunluk ilkelerine tabi olduğunu ve önceki Otorite kararlarına göre, belgelerin sitede yalnızca 15 gün boyunca saklanmasını gerektirdiğini ifade etmiştir.
Ayrıca, veri sorumlusunun atıfta bulunduğu ulusal yasanın (d.lgs. 33/2013), iş sözleşmesinin feshi ile ilgili bilgilerin yalnızca listesinin yayımlanmasını zorunlu kıldığını, tam belgelerin yayımlanmasını gerektirmediğini vurgulamıştır.
Son olarak, verilerin zaten yayımlandığı savunmasına ilişkin olarak, Otorite bu yaklaşımın GDPR’nin 5(1)(b) Maddesinde belirtilen amaç sınırlaması ilkesine aykırı olduğunu değerlendirmiştir.

Sonuç olarak, Otorite, GDPR’nin 5, 6 ve 9. Maddelerinin ihlal edildiğini tespit etmiş ve GDPR’nin 83(5)(e) Maddesi uyarınca veri sorumlusuna €8.000 para cezası vermiştir.

Kararın linkine buradan ulaşabilirsiniz.

İtalya Veri Koruma Otoritesi, bir belediyenin eski çalışanına ait kişisel ve hassas verileri çalışanın adı ve soyadının baş harflerini belirterek internet sitesinde yayınlamasını GDPR ihlali olarak değerlendirerek 8.000 Euro para cezası verdi.