Bir mahkeme, bir şirketin CEO’sunun, iş ortağı tarafından şirketin iletişim bilgisi olarak kullanılan telefon numarasının, tüzel kişiye ilişkin bir veri olarak değerlendirilmesi gerektiğine ve bu nedenle GDPR kapsamında yer almadığına hükmetmiştir.

Bir şirket (veri sorumlusu) ile CEO’su (ilgili kişi) tarafından temsil edilen başka bir şirket arasında bir sözleşme imzalanmıştır.

İlgili kişi, şirketler arasındaki sözleşmenin tamamlanmasının ardından, veri sorumlusunun kişisel verilerini pazarlama amacıyla işlemiş olduğunu ve bu kapsamda kendisine pazarlama çağrıları yapılmış olduğunu iddia etmiştir.

İlgili kişi, GDPR Madde 17 uyarınca veri sorumlusuna e-posta yoluyla verilerinin silinmesini talep etmiştir. Buna rağmen, ilgili kişi bir pazarlama çağrısı daha almıştır.

Bunun üzerine ilgili kişi, Polonya Veri Koruma Otoritesi’ne (“UODO” veya “Otorite”) şikayette bulunmuştur.

Soruşturma sürecinde veri sorumlusu, işledikleri verilerin ilgili kişiye değil, tüzel kişiye ait veriler olarak değerlendirilmesi gerektiğini ifade etmiştir. Yapılan inceleme sonucunda Otorite, veri sorumlusunun verileri GDPR Madde 6(1)(b) uyarınca işlemiş olduğunu tespit etmiştir. Zira veri sorumlusu ile, ilgili kişi tarafından temsil edilen şirket arasında bir sözleşme ilişkisi bulunmuştur. Bu nedenle, veri sorumlusuna sağlanan veriler, sözleşmenin ifasına yönelik olarak kullanılmıştır.

Daha sonra ilgili kişi, GDPR Madde 17 kapsamında veri sorumlusunun işlediği tüm verilerin silinmesi için yeni bir talepte bulunmuştur. Veri sorumlusu bu talebe yanıt vererek, ilgili kişiden hesabını kapatmak istiyorsa bunu yazılı olarak bildirmesini istemiştir. Ancak ilgili kişi, bu sürecin ardından bir kez daha veri sorumlusundan pazarlama çağrısı almıştır. Veri sorumlusunun elindeki veriler, Otorite’nin veri sorumlusuyla doğrudan iletişime geçmesinin ardından nihayet silinmiştir.

Otorite, veri sorumlusunun verileri pazarlama amacıyla hukuka aykırı şekilde işlemiş olduğu gerekçesiyle uyarı cezası vermiştir. Otorite’ye göre, ikinci silme talebinden sonra pazarlama amaçlı veri işleme için herhangi bir yasal dayanak kalmamıştır.

Veri sorumlusu, Otorite’nin bu kararına karşı Varşova İdare Mahkemesi’ne (Wojewódzki Sąd Administracyjny w Warszawie) itiraz etmiştir.

Veri sorumlusu, savunmasında ilgili kişiyle pazarlama amacıyla değil, hizmet ücretinin güncellenmesine ilişkin konuları görüşmek üzere iletişime geçildiğini iddia etmiştir. Ayrıca, ilgili kişinin telefon numarasının özel bir numara olduğunu belirtmediğini ve bu nedenle söz konusu numaranın şirket hattı olarak değerlendirildiğini ifade etmiştir. Veri sorumlusu, ayrıca telefonun şirket çalışanlarından hangisi tarafından yanıtlanacağının bilinemeyeceğini de dile getirmiştir. Son olarak, veri sorumlusu, Madde 6(1)(f) uyarınca, ilgili kişinin temsil ettiği şirketle iletişimi sürdürmenin gerekli olduğunu savunmuştur.

Mahkeme, bu itirazı kabul ederek Otorite’nin kararını bozmuştur.

Mahkemeye göre, söz konusu telefon numarası, veri sorumlusuyla bir şirket hesabı oluşturmak amacıyla kullanılmıştır. Bu numara, açık bir şekilde “müşteri numarası” alanına girilmiştir. Bu nedenle, veri sorumlusunun bu numaranın bir şirket hattı olduğundan şüphe duyması için herhangi bir gerekçe bulunmamıştır.

Sonuç olarak mahkeme, GDPR’nin ihlal edilmediğine hükmetmiştir. Zira tüzel kişilere ait verilerin işlenmesi, GDPR kapsamında değerlendirilmemiştir. Ayrıca mahkeme, ilgili kişinin şirketin CEO’su olduğunu ve bu nedenle numarasını paylaşmama yönünde bir tercih hakkına sahip bulunduğunu da belirtmiştir.

Kararın linkine buradan ulaşabilirsiniz.

Polonya Veri Koruma Otoritesi’nin, CEO’nun şirket adına kullanılan telefon numarasını kişisel veri olarak kabul edip verdiği yaptırım kararı, mahkemece bozularak verinin GDPR kapsamında değerlendirilemeyeceğine hükmedildi.