Belediye, kameraların güvenlik için yerleştirildiğini savunsa da Garante, kameraların kamu güvenliği amacıyla kurulduğuna dair bir kanıt bulamamış ve video gözetim izlemesine maruz kalan ilgili kişilerin verilerinin işlenmesi hakkında yeterince bilgilendirilmediğini tespit etmiştir.
İtalya Veri Koruma Otoritesi (‘‘Garante’’), bir belediyeye, sendika sözleşmeleri veya kamu izni olmaksızın çalışanlara yönelik disiplin işlemlerinde video gözetim sistemlerinden elde edilen kayıtları kullandığı için 3.000 Euro para cezası vermiştir.
İlgili kişi, Madignano Belediyesi'nin ('veri sorumlusu' veya 'belediye') eski bir çalışanıdır. Sendika ile uygun bir anlaşma ya da kamu izni olmaksızın devamlı izleme sistemlerinin yanına bir video gözetim sistemi kurulmasından şikâyetçi olmuştur.
Sistem ilgili kişi hakkındaki görüntüleri kaydetmiştir. Bu kayıt daha sonra, çalışma saatlerine uymadığı ve resmi görevlerini ihlal ettiği gerekçesiyle ilgili kişiye karşı yürütülen bir disiplin prosedüründe delil olarak kullanılmıştır.
Veri sorumlusu başlangıçta belediye binasının içine yerleştirilen kameranın yalnızca belediye mülkünü ve çalışanların güvenliğini korumak amacıyla yerleştirildiğini savunmuştur. Daha sonra başka bir savunma beyanında veri sorumlusu, video-gözetim sisteminin amacının kamu güvenliği ve suçların tespiti olduğunu açıklamıştır.
Buna ek olarak, veri sorumlusu, kameranın halka açık giriş holüne yönlendirildiğini, bu nedenle ofislerdeki çalışanları çekemeyeceğini ve video gözetimine ilişkin belediye yönetmeliğini yayınlayarak bilgi yükümlülüklerini yerine getirdiğini iddia etmiştir. Ancak, Garante tarafından yapılan ön incelemede, yayınlanan belgenin GDPR Madde 13'ün gerektirdiği amaç ve yasal dayanak gibi tüm temel bilgileri içermediği ortaya çıkmıştır.
İlk olarak, Garante, veri sorumlusunun GDPR Madde 6(1)(b) ve Madde 88(2) uyarınca işyeri izleme sistemi için geçerli ulusal kurallara uyması gereken bir işveren olduğunu açıklığa kavuşturmuştur. Veri sorumlusu aynı zamanda ulusal yasa hükümlerine tabi bir kamu kuruluşu olduğundan, 14/2017 sayılı yasaya uygunluğu sağlaması gerekmektedir. Garante, söz konusu video-gözetim kameralarının personeli ve ana girişten geçen kişileri filme alma kapasitesine sahip olduğunu vurgulamıştır. Veri sorumlusu, kameranın kamu güvenliğini sağlamak ve suçları tespit etmek için kurulduğunu savunmuştur. Madde 5(2)(a)'ya göre, belediyeler, yerel yönetim temsilcisi ile bir kent güvenliği anlaşmasına sahip olmaları koşuluyla, suçları önlemek ve bunlarla mücadele etmek için kamuya açık sokaklara video-gözetim kameraları yerleştirebilmektedirler.
Ancak Garante, söz konusu kameranın kamu güvenliği amacıyla kurulduğuna dair bir kanıt bulamamıştır. Bunun başlıca nedeni, yerel yönetim temsilcisiyle söz konusu anlaşmanın bulunmaması ve söz konusu kameranın, kentsel güvenlik izleme amacına uygun görünmeyen Belediye binasının içinde de çekim yapmasıdır.
Mevcut davada, veri sorumlusu bu tür bir veri işleme faaliyetinin amacına ilişkin çelişkili argümanlar ileri sürmüştür. Video-gözetim sisteminin şirket varlıklarını korumak için kullanılması durumunda, 300/1970 sayılı Yasanın 4(1) maddesi veri sorumlusunun İş Müfettişliğinden izin almasını zorunlu kılmaktadır. Ancak, veri sorumlusunun bu hükme de uygunluk göstermediği tespit edilmiştir.
Disiplin işlemlerinde video gözetiminin kullanılmasına ilişkin olarak, Garante bir kez daha bunun GDPR Madde 88(1)'de belirtildiği üzere ilgili yasal çerçeve tarafından ortaya konan sınırlar ve koşullara sıkı bir şekilde uyularak gerçekleştirilmesi gerektiğini vurgulamıştır. Garante, veri sorumlusunun video-gözetim kamerasından elde edilen kanıtlara dayanarak ilgili kişiye karşı disiplin soruşturması başlattığını tespit etmiştir. Bununla birlikte, kişisel verilerin gözetim yoluyla işlenmesi, bu tür sistemler için sendika anlaşmaları veya kamu izni gerektiren 300/1970 sayılı Kanunun 4. maddesinin koşullarını karşılamalıdır. Belediye uygun yetkilendirmeye sahip olmadığından veya çalışanlara yeterli bilgi sağlamadığından, gözetim verilerinin disiplin cezalarında kullanılması hukuka aykırıdır.
Veri sorumlusunun istihdam bağlamında kişisel verilerin işlenmesine ilişkin ulusal şartnameyi karşılayamaması nedeniyle, Garante GDPR Madde 5(1)(a), 6 ve 88'in ihlal edildiğini tespit etmiştir. Ek olarak, video-gözetim izlemesine maruz kalan ilgili kişilerin verilerinin işlenmesi hakkında yeterince bilgilendirilmediğini göz önünde bulunduran Garante, veri sorumlusunun yükümlülüklerini yerine getirmek için gerekli tüm unsurları içeren GDPR Madde 12 ve 13'ü ihlal ettiğine karar vermiştir
Bunun ışığında Garante, yukarıda belirtilen ihlaller nedeniyle veri sorumlusuna 3.000 Euro para cezası vermiştir.