Polonya Veri Koruma Otoritesi (''Otorite'') şifrelenmemiş çalışan verilerini içeren bir flash belleğin kaybolmasının veri ihlaline yol açmasının ardından bir şirkete 54.600 € para cezası verdi.

Veri sorumlusu, restoran işleten bir şirkettir. 26 Temmuz 2023 tarihinde, veri sorumlusu 19 Temmuz 2023 tarihinde meydana gelen bir veri ihlalini Otorite’ye bildirmiştir: bir çalışan, başka bir çalışana ilişkin “adres, doğum tarihi, pasaport bilgileri, fotoğraf ve maaş verileri” gibi şifrelenmemiş verileri içeren bir flash belleği kaybetmiştir. Ayrıca, bazı finansal veriler bellek içerisinde şifrelenmiş bir şekilde saklanmıştır.

26 Eylül 2023 tarihinde Otorite re’sen bir soruşturma başlatmıştır.

Veri sorumlusu, tüm çalışanlarına harici bir flash bellekte saklanan dosyalarını şifrelemeleri talimatı verdiğini ve kaybın işyeri tesislerinde meydana geldiğini belirtmiştir.

İlk olarak; Otorite, GDPR Madde 5(1)(f) uyarınca kişisel verilerin uygun teknik veya organizasyonel önlemler vasıtasıyla kişisel verilerin yeterli güvenliğini sağlayacak şekilde işlenmesi gerektiğini hatırlatmıştır. Otorite’ye göre, bu ilkenin somutlaştırılmış hali GDPR Madde 24(1)'dir ve bu madde veri sorumlusunu GDPR'ye uygun olarak işleme faaliyetini gerçekleştirmek için uygun teknik ve organizasyonel tedbirleri uygulamakla yükümlü kılmaktadır.

Ayrıca Otorite, veri sorumlusunun GDPR Madde 32 uyarınca belirlenen yükümlülüğe de uyması gerektiğine işaret etmiştir. Bu maddenin, veri sorumlusunun 2 aşamalı bir analiz gerçekleştirmesini zorunlu kıldığını belirtmiştir: ilk olarak, kişisel verilerin işlenmesinde yer alan riskleri belirlemeli ve ikinci olarak, bu riske karşılık gelen bir güvenlik derecesi sağlamak için hangi teknik ve organizasyonel önlemlerin uygun olacağını tespit etmelidir.

Otorite, veri sorumlusu tarafından yürütülen risk değerlendirme analizinin flash belleğin çalınması ihtimalini içerdiğini ancak kaybolması ihtimalini içermediğini gözlemlemiştir. Bu nedenle Otorite, veri sorumlusunun harici veri taşıyıcılarının çalışanlar tarafından kullanılmasıyla ilgili tüm olası riskleri dikkate almadığına karar vermiştir.

Ayrıca Otorite, veri sorumlusunun bu riski göz önünde bulundurmuş olsa bile yeterli güvenlik önlemlerini uygulamadığı gerçeğine odaklanmıştır. Otorite, veri sorumlusunun çalışanlarına flash belleklerde yer alan verileri şifrelemeleri talimatını verdiğini kabul etmiştir ancak Otorite, veri sorumlusunun sadece çalışanlarına güvendiğini ve başka herhangi bir önlem almadığını da belirtmiştir. Ayrıca, veri sorumlusunun risk değerlendirmesini periyodik olarak gözden geçirmediğini tespit eden Otorite, GDPR Madde 32(1) ve (2)'nin ihlal edildiğini tespit etmiştir.

Para cezasına gelince, Otorite ihlalin önemli ölçüde ağır ve ciddi nitelikte olduğu (GDPR Madde 83(1)(a)) ve kasıtsız olduğu (GDPR Madde 83(1)(b)) kanaatindedir. Ayrıca, Otorite veri ihlalinden etkilenen kişisel veri kategorilerini de dikkate almıştır. GDPR kapsamında idari para cezalarının hesaplanmasına ilişkin EDPB Kılavuz İlkeleri 04/2022'yi hatırlatarak, veriler hassas olmasa bile, verilerin yayılmasının ilgili kişiye derhal zarar veya rahatsızlık vermesi durumunda daha katı bir müdahalenin gerekli olduğunu belirtmiştir. Bu gerekçelerle Otorite veri sorumlusuna 54.600€ (238.345 PLN) para cezası vermiştir.

İlgili karara buradan ulaşabilirsiniz.