İtalya Veri Koruma Otoritesi (“Otorite”), bir çalışanın engellilik durumu ve diğer sağlık verilerini diğer çalışanlara hukuka aykırı bir şekilde ifşa ettiği gerekçesiyle Verona Belediyesi’ne (“veri sorumlusu”) 10.000 € para cezası vermiş ve gelecekte yetkisiz ifşaların önlenmesi için gerekli önlemlerin alınmasını emretmiştir.

İlgili kişi, Verona Belediyesi’nde çalışan bir belediye personelidir. E-posta yoluyla veri sorumlusuna yeni bir FFP2 maske talebinde bulunmuş ve bu mailinde sağlık durumuna ilişkin bilgiler vermiştir. Bir belediye görevlisi, ilgili kişinin e-postasına yanıt verirken bu yanıtı veri sorumlusunun deposunun genel kullanımına açık olan ve altı çalışanın erişim sağladığı bir e-posta adresine de CC’lemiştir. Yanıtta, ilgili kişinin belirli hastalıklardan muzdarip olduğu belirtilmiş ve engellilik yardımlarını düzenleyen İtalyan 104/1992 Sayılı Kanun’una atıfta bulunulmuştur. Bu atıf, ilgili kişinin bu yardımlardan yararlanabileceğini ima etmiştir.

İlgili kişi, bu verilerin diğer çalışanlarla paylaşılmasının hukuka aykırı olduğunu düşünerek Otorite’ye şikayette bulunmuştur.

Veri sorumlusu, 104 Sayılı Kanun’a yalnızca genel bir şekilde atıfta bulunulduğunu ve bu kanunun ilgili kişi için geçerli olduğunun açıkça belirtilmediğini savunmuştur. Ayrıca, hatanın fark edilmesinin ardından sonraki iletişimlerin yalnızca ilgili kişiyle yapıldığını ifade etmiştir.

Otorite, 104/1992 Sayılı Kanun’a yapılan atıf ile ilgili kişinin belirli hastalıklardan muzdarip olduğuna dair bilginin birleştirilmesinin, GDPR Madde 4(15) uyarınca sağlık verisi olarak kabul edilmesi gerektiğini belirtmiştir. Ayrıca, İtalyan Veri Koruma Kanunu’nun 2-ter Maddesi’ne göre, bir kamu kurumunun kişisel verileri yalnızca ilgili mevzuatın açıkça izin verdiği durumlarda açıklayabileceğini vurgulamıştır.

Otorite, GDPR’nin veri minimizasyonu ilkesine göre, veri sorumlusunun kişisel verileri yalnızca bu bilgilere ihtiyaç duyan çalışanlarla paylaşması gerektiğini ifade etmiştir. Ancak, bu olayda ilgili kişinin sağlık durumu ve engellilik bilgisi, bu verilere ihtiyaç duymayan depo çalışanlarıyla paylaşılmıştır. Otorite, diğer çalışanların ilgili kişinin sağlık durumunu işyeri etkileşimleri yoluyla zaten biliyor olmasının hukuken önemsiz olduğunu da vurgulamıştır.

Otorite, GDPR’nin 5, 6 ve 9(2)(b) Maddelerinin ve İtalyan Veri Koruma Kanunu’nun 2-ter Maddesi’nin ihlal edildiğini belirleyerek veri sorumlusuna 10.000 € para cezası vermiştir. Ayrıca, çalışanların sağlık verilerinin yetkisiz dolaşımını önlemek için uygun önlemlerin alınması talimatını vermiştir. Bu önlemler, sağlık bilgilerinin işyeri ortamında önceden biliniyor olabileceği durumlarda da geçerli olacaktır.

Kararın linkine buradan ulaşabilirsiniz.

İtalya Veri Koruma Otoritesi, bir çalışanın sağlık bilgilerinin diğer personele yetkisiz şekilde paylaşılması nedeniyle Verona Belediyesi’ne para cezası verdi.