Veri sorumlusu Tehnoplus Industry SRL tarafından şirket araçlarından birine bir GPS takip cihazı kurulmuştur.
İlgili kişi, yani şirket arabasını kullanan çalışan, Romanya Veri Koruma Otoritesi’ne, GPS takip cihazının varlığından haberdar olmadığını ve veri sorumlusunun kendisini kişisel veri işleme amacı, işlediği verileri saklama süresi veya geçerli hukuki gerekçeler hakkında bilgilendirmediğini belirten bir şikayette bulunmuştur. Ayrıca ilgili kişi tarafından, GPS takip cihazı aracılığıyla toplanan kişisel verilerin yalnızca şirket aracının izlenmesi amacıyla işlenmediği belirtilmiştir.
Bu şikayetin ardından Romanya Veri Koruma Otoritesi tarafından soruşturma başlatılmış, veri sorumlusu tarafından ilgili kişiye, GPS takip cihazı aracılığıyla toplanan kişisel verileri, söz konusu verilerin işleme faaliyetleri hakkında herhangi bir bilgi verilmediği ortaya çıkarılmıştır. Ayrıca veri sorumlusunun kişisel verileri çeşitli amaçlarla işlediği ve konum verilerini mesai saatleri dışında topladığı da tespit edilmiştir.
Soruşturmada ayrıca veri sorumlusunun, 190/2018 sayılı Kanun'un 5. maddesinde öngörülen 30 günlük saklama süresi dolduktan sonra, 30 günlük süreyi aşmanın kanun gereği haklı sebeplere dayandığını ispatlayamadan verileri sakladığı tespit edilmiştir.
Veri Koruma Otoritesi, veri sorumlusunun verileri tam ve doğru bilgi vermeden ölçüsüz bir şekilde (mesai saatleri dışında) işlediğini ve daha az müdahaleci diğer yöntemler mümkün olsa dahi bu yöntemlere başvurmadığını tespit etmiştir. Dolayısıyla veri sorumlusu tarafından GDPR madde 5(1)(a) , 5(1)(c) , 5(1)(e) , 5(2) ve madde 6 ihlal edilmiş ve akabinde veri sorumlusu Veri Koruma Otoritesi tarafından, 14.697,9 RON (yaklaşık 3.000 €) tutarında para cezasına çarptırılmıştır.
Veri Koruma Otoritesi, GPS takip cihazı aracılığıyla toplanan kişisel verileri herhangi bir haklı neden olmaksızın saklamaya ilişkin 30 günlük süreyi aşan veri sorumlusunun, GDPR madde 5(1)(e) ve madde 5 hükümlerini ihlal ettiğini tespit ederek bunun üzerine veri sorumlusunu ayrıca 9.798,6 RON (yaklaşık 2000 €) tutarında para cezasına çarptırmıştır.
Veri Koruma Otoritesi tarafından, GDPR madde 58(2)(d) uyarınca bahse konu ihlallerin giderilmesine ilişkin tedbirlere de hükmedilmiştir: