Macaristan Veri Koruma Otoritesi (“DPA”), alkol satışı sırasında yaş doğrulama uygulamaları nedeniyle Aldi'ye 80.000.000 HUF (204.000 €) para cezası verdi. DPA, ilgili kişilerinin bilgilere kolayca erişemediğini ve 18 yaşından büyük olduklarından şüphe duyulmadığında kendilerinden kimlik istenemediğini tespit etmiştir.

Bir süpermarket şirketi olan veri sorumlusu, alkollü içecek satın almak isteyen müşterilerin yaşlarına ilişkin doğrulamalar gerçekleştirmiştir. Veri Sorumlusu, kimlik kartı istemenin yanı sıra, bazı mağazalarda veri sahiplerinin doğum tarihini de kaydetmiş, bazılarında ise kaydetmemiştir.

Ayrıca, bir başka şikayet, 18 yaşından küçük olmadıkları açıkça belli olmasına rağmen, veri sorumlusunun yaşlı ilgili kişilerinden kimlik istemesiyle ilgilidir.

Son olarak, ilgili kişilere göre, GDPR Madde 13 kapsamında kendilerine hiçbir bilgi verilmemiştir. Bu nedenle, yasal dayanağın ne olduğunu ve işlemenin süresini bilememişlerdir.

Bu nedenlerle, birçok ilgili kişi DPA'ya şikayette bulunmuştur.

İlk olarak, DPA, veri sorumlusunun mağazalarına herhangi bir işaret konulmadığı için ilgili kişilerin söz konusu işleme hakkında yeterli bilgiye sahip olamadıklarını tespit etmiştir. Ayrıca, personel daha fazla bilgi sağlayamamış veya veri işleme hakkında daha fazla bilgiyi nerede bulabilecekleri konusunda ilgili kişileri bilgilendirememiştir. Ayrıca, DPA, uygulamaların mağazalar arasında farklılık gösterdiğini belirtmiştir.

Bu nedenle, DPA, veri sorumlusu tarafından sağlanan bilgilerin yetersiz olduğuna, kolay erişilebilir ve şeffaf olmadığına karar vermiştir. Sonuç olarak, GDPR Madde 5(1)(a), 12(1), 13(1) ve 13(2)'nin ihlal edildiğine karar vermiştir.

İkinci olarak, DPA, 1997 tarihli Tüketiciyi Koruma Kanunu'nun (1997. évi CLV. Törvény a fogyasztóvédelemről) 16/A(4) maddesinin, alkol satıcılarının yalnızca alıcının 18 yaşından küçük olabileceğinden şüphe duyduklarında kimlik kartı istemelerini gerektirdiğini belirtmiştir. Bu şüphe mevcut olmadığında, örneğin 70 yaşındaki bir adam söz konusu olduğunda, bu yükümlülük geçerli değildir. Bu nedenle, veri sorumlusu GDPR Madde 6(1)(c)'ye dayanamamıştır.

Sonuç olarak, DPA GDPR Madde 6(1)'in ihlal edildiğini tespit etmiştir.

Üçüncü olarak, DPA, yazar kasa sistemine doğum tarihinin kaydedilmesinin GDPR Madde 5(1)(c)'yi ihlal ettiğini tespit etmiştir. Aslında, DPA, hedefe ulaşmak için uygun ancak ilgili kişilere daha az zarar veren ve daha az işleme operasyonu içeren bir yöntem olduğunu düşünmüştür.

DPA, veri sorumlusunun, örneğin ilgili kişilerin doğum tarihlerini yüksek sesle belirtmeleri gerektiğinden ve diğer müşteriler bunu duyabildiğinden, mağazalarında veri sahiplerinin kişisel verilerini korumak için yeterli önlemleri uygulamadığına karar vermiştir.

Bu gerekçelerle, DPA 95.000.000 HUF (242.000 Euro) para cezası vermiş, daha sonra bu ceza 80.000.000 HUF'a (204.000 Euro) düşürülmüştür.

Ayrıca, veri sorumlusunun, GDPR Madde 13 uyarınca hazırlanan mevcut gizlilik bildirimini, mağazalarının her birinde, göze çarpan bir yerde ve ilgili kişilerin kolayca erişebileceği bir formatta sergilemesini emretti.

Kararın linkine buradan ulaşabilirsiniz.

Macaristan Veri Koruma Otoritesi (“DPA”), alkol satışı sırasında yaş doğrulama uygulamaları nedeniyle bir süpermarkete 80.000.000 HUF (204.000 €) para cezası verdi.