İtalya Veri Koruma Otoritesi (“Otorite”), uzaktan çalışma döneminde çalışanların işyeri kurallarına uyumunu denetlemek amacıyla coğrafi konum takibi (geo-tracking) yapan yerel bir kamu kurumuna, kişisel verileri hukuka aykırı işlemesi nedeniyle 50.000 Euro idari para cezası verdi.

Otorite ayrıca, hukuka aykırı şekilde elde edilen verilerin işveren tarafından disiplin işlemlerine dayanak olarak kullanılamayacağını açıkça belirtti.

Calabria Bölgesel Tarımsal Kalkınma Ajansı (veri sorumlusu), çalışanların uzaktan çalışırken Time Relax adlı bir zaman takip uygulamasını kullanmasını zorunlu kılan bir uzaktan çalışma politikası uyguluyordu. Uygulama, çalışanların cihazlarında konum hizmetlerinin açık olmasını gerektiriyor ve giriş–çıkış (clock-in / clock-out) işlemleri sırasında çalışanın tam coğrafi konumunu topluyordu. Veri sorumlusu, bu konum verilerini çalışanların bireysel uzaktan çalışma anlaşmalarında belirtilen konumdan çalışıp çalışmadığını doğrulamak için kullanıyordu.

Günlük konum takibine ek olarak veri sorumlusu, bazı çalışanlara yönelik hedefli denetimler de yürütüyordu. Bu denetimlerde bir görevli, çalışanı mesai saatleri içinde arayarak Time Relax uygulaması üzerinden çift zaman damgası (iki kez giriş–çıkış) yapmaya zorluyor, ardından çalışanın tam konumunu e-posta ile bildirmesini istiyordu. Görevli, çalışanın beyan ettiği bu konumu hem e-posta beyanı hem de uygulamanın kaydettiği konum verileriyle karşılaştırarak doğruluyordu.

Veri sorumlusu çalışanlarından biri (ilgili kişi) böyle bir denetime tabi tutuldu. Denetim sonucunda, çalışanın uzaktan çalışma sözleşmesinde belirtmiş olduğu konum ile denetim sırasında bulunduğu gerçek konum arasında tutarsızlıklar olduğu tespit edildi. Veri sorumlusu bu gerekçeyle çalışan hakkında disiplin soruşturması başlattı.

İlgili kişi, veri koruma ilkelerinin ihlal edildiğini ileri sürerek Otorite’ye şikayette bulundu. Ayrıca Kamu Yönetimi Departmanı da veri sorumlusunun uygulamalarını Otorite’ye bildirdi.

Soruşturma sırasında veri sorumlusu, yapılan izlemenin çalışanların rızasına dayandığını savundu. Ayrıca uygulamanın İtalyan iş hukuku uyarınca gerekli olan sendika temsilcileriyle yapılan anlaşma doğrultusunda hayata geçirildiğini ileri sürdü.

Genel olarak Otorite, veri sorumlusunun GDPR’ın 5(1)(a), 5(1)(b), 5(1)(c) ve 6. maddelerini ve ayrıca İtalyan Veri Koruma Kanunu’nun 113. maddesini ihlal ettiğini tespit etti. Bu gerekçelerle Otorite, veri sorumlusuna 50.000 Euro idari para cezası verdi.

Otorite, İtalyan hukukunda çalışanların uzaktan izlenmesinin kural olarak yasak olduğunu; yalnızca kanunda açıkça belirtilen sınırlı amaçlar için (örneğin “örgütsel ve üretim gerekleri”, “iş sağlığı ve güvenliği”, “işletme varlıklarının korunması”) istisna tanındığını belirtti. Somut olayda yapılan uzaktan izlemenin bu istisnalardan hiçbirine girmediğini ve bu nedenle İtalyan hukuku bakımından yasa dışı olduğunu tespit etti. Bu nedenle Otorite, gerçekleştirilen işlemenin amaçla sınırlı olma ilkesini (GDPR madde 5(1)(b)) ihlal ettiğine hükmetti; çünkü işleme faaliyeti ulusal hukuk bakımından yasa dışı bir amaç güdüyordu.

Bu çerçevede Otorite, sendika temsilcilerinin önceden bu izleme sistemine onay vermiş olmasının hukuken önemsiz olduğunu vurguladı. Otorite’ye göre veri koruma hukuku ile iş hukuku birbirini tamamlayan iki alandır; bu nedenle sendika anlaşması yapılmış olsa bile veri sorumlusu yine de GDPR’a uyma yükümlülüğünden muaf tutulamaz.

Otorite ikinci olarak, veri sorumlusunun çalışanlardan geçerli bir rıza alamayacağını belirledi. Bu değerlendirmede Otorite, EDPB ve WP29 rehberlerine ile kendi önceki kararlarına atıf yaptı. İş ilişkisindeki güç dengesizliği nedeniyle çalışan rızasının özgürce verilemeyeceği kabul edildi.

Ayrıca kişisel verilerin ilk aşamada hukuka aykırı şekilde toplanmış olması, bu verilerin disiplin soruşturması amacıyla daha sonra işlenmesini de hukuka aykırı kılmaktadır. Bu nedenle, veri sorumlusunun ilgili kişi hakkında disiplin işlemi yürütmek amacıyla aynı verileri yeniden işlemesi GDPR madde 5(1)(a), 5(1)(b) ve 6 hükümlerinin ihlalidir. Bu bağlamda Otorite, GDPR Gerekçe 50 ile İtalyan Veri Koruma Kanununa atıf yaptı.

Otorite, veri sorumlusunun Veri Koruma Etki Değerlendirmesi (DPIA) yapmadığını da tespit etti. Uzaktan çalışma kapsamında çalışanların coğrafi konum verilerinin işlenmesi; çalışanların kırılgan konumu, iş ortamındaki güç asimetrisi ve sistematik izleme söz konusu olduğunda, hak ve özgürlükler açısından yüksek risk oluşturduğundan GDPR madde 35 uyarınca DPIA yapılması zorunluydu.

Buna ek olarak Otorite, çalışanların tam ve hassas konum bilgilerinin sistematik olarak toplanmasının uzaktan çalışma düzeninin yönetimi için gerekenden fazla olduğunu belirledi. Bu nedenle izleme faaliyeti “veri minimizasyonu ilkesini” ve İtalyan Veri Koruma Kanunu’nun 113. maddesini ihlal etti.

Son olarak Otorite, veri sorumlusunun şeffaflık yükümlülüklerini (GDPR madde 13) ihlal ettiğini tespit etti; çünkü çalışanlara sunulan belgeler tüm gerekli bilgileri içermiyordu ve bu belgeler aslında gizlilik bildirimi olarak hazırlanmış değildi, başka yükümlülükleri yerine getirmek için tasarlanmıştı.

İlgili karara buradan ulaşabilirsiniz.

İtalya Veri Koruma Otoritesi tarafından, uzaktan çalışma sürecinde çalışanların işyeri kurallarına uyumunu denetlemek amacıyla coğrafi konum takibi yapan bir kamu kurumuna, kişisel verileri hukuka aykırı işlemesi nedeniyle 50.000 Euro para cezası verildi.