İtalya Veri Koruma Otoritesi (“Otorite”) tarafından yayımlanan kararda, bir bankaya, dolandırıcılığı önleme amacıyla kullanılan bir devlet veritabanına (SCIPAFI) hukuka aykırı şekilde erişildiği gerekçesiyle 1.000.000 € idari para cezası uygulanmıştır. Banka tarafından, aynı şirket grubunda yer alan başka bir şirket adına veritabanına erişim sağlamak için kendi erişim yetkisi kullanılmıştır.

Bir ilgili kişi, Drivalia Leasys Rent S.p.A. (veri sorumlusu) aracılığıyla araç kiralamak istemiştir. Ancak, CA Autobank S.p.A. (veri işleyen) tarafından yapılan geçmiş kontrolü olumsuz sonuçlanmış ve kiralama talebi reddedilmiştir.

28 Ekim 2020 tarihinde, ilgili kişi tarafından, geçmiş kontrolünün olumsuz sonucuna yol açan bilgilerin öğrenilmesi amacıyla veri işleyene erişim talebinde bulunulmuş, ancak herhangi bir yanıt alınamadığından, 25 Mart 2021 tarihinde Otorite’ye şikayette bulunulmuştur.

Otorite’nin talebi üzerine, veri işleyen tarafından iki şirketin aynı şirket grubuna ait olduğu ve aralarında bir Veri Koruma Anlaşması bulunduğu bildirilmiştir. Ayrıca, söz konusu kontrolün, Ekonomi ve Finans Bakanlığı tarafından yönetilen SCIPAFI sistemine başvurularak gerçekleştirildiği belirtilmiştir. SCIPAFI’ye yalnızca belirli kurumların, müşteriler tarafından sunulan belgelerin doğruluğunu teyit etmek amacıyla erişebileceği ifade edilmiştir.

Otorite tarafından yapılan incelemede, geçmiş kontrolünün yapıldığı dönemde veri işleyenin SCIPAFI’ye yalnızca kendi müşterileri için erişim yetkisine sahip olduğu, veri sorumlusu adına erişim yetkisinin ise ancak daha sonraki bir tarihte tanındığı tespit edilmiştir. Ayrıca, SCIPAFI’nin amacının, müşterinin sunduğu belgenin sistemde kayıtlı orijinal nüsha ile karşılaştırılmasını sağlamak olduğu vurgulanmıştır. Ancak, somut olayda müşteri tarafından herhangi bir belge sunulmadığı halde veri işleyenin ilgili kişinin vergi beyannamesine eriştiği belirlenmiştir.

Bu nedenle, gerçekleştirilen veri işleme faaliyetinin hukuka aykırı olduğu sonucuna varılmış ve GDPR’nin 5(1)(a) maddesinin ihlal edildiği tespit edilmiştir.

Buna ek olarak, veri sorumlusu ile veri işleyen arasındaki sözleşmenin belirsizlikler içerdiği, ancak yine de GDPR’nin 28(3) maddesi uyarınca bağlayıcı bir sözleşme olarak kabul edilebileceği değerlendirilmiştir. Bununla birlikte, veri işleyenin veri sorumlusu adına söz konusu işlemi gerçekleştirme yetkisine sahip olmaması nedeniyle bu maddenin de ihlal edildiği sonucuna ulaşılmıştır.

Sonuç olarak, Veri Koruma Otoritesi tarafından veri işleyene 1.000.000 Euro tutarında idari para cezası uygulanmasına karar verilmiştir.

Kararın linkine buradan ulaşabilirsiniz.

İtalya Veri Koruma Otoritesi (“Otorite”) bir bankaya, aynı şirket grubunda yer alan araç kiralama şirketinin müşterisinin finansal verilerine hukuka aykırı bir şekilde erişim sağlaması sebebiyle 1.000.000 Euro para cezası verdi.