16 Mayıs 2023 tarihinde, Macaristan Veri Koruma Otoritesi (''Otorite''), reşit olmayan bir kişinin yasal vasisinden, bir bankanın (veri sorumlusu) reşit olmayan kişinin (ilgili kişi) kişisel verilerini hukuka aykırı bir şekilde işlediğini iddia eden bir şikâyet almıştır. Reşit olmayan kişinin yasal vasisi bankaya 'bebek kredisi' için başvurmuştur. Bu krediler, çocukla ilgili masrafların finanse edilmesi amacıyla verilmektedir.
Banka, kredi başvurusunu işleme koymak için reşit olmayan kişinin ikamet adresi, cinsiyeti, doğum tarihi ve ulusal kimlik numarası gibi ayrıntıları içeren kimlik belgelerinin bir kopyasını talep etmiştir. Banka bunu yaparken işleme için yasal dayanak olarak GDPR Madde 6(1)(b)'ye (‘sözleşme’) dayanmıştır. Şikâyette başvuran, reşit olmayan kişinin taraf olmadığı banka ile yaptığı sözleşmenin amaçları doğrultusunda işlemenin orantısız ve gereksiz olduğunu ileri sürmüştür.
Şikayete cevaben Otorite, daha fazla bilgi için banka ile temasa geçmiştir. Banka, 44/2019 sayılı Kararnamenin 14(4) Maddesi ve 9(2)(c) Maddesi uyarınca yanıt vermiştir. ''Bebek Kredisi''nin koşullarını düzenleyen ilgili hükümere göre, bankaların reşit olmayanların kimlik belgelerini işleme koymasını gerektirmektedir. Ayrıca yerel bankacılık düzenlemeleri kapsamında uygunluğu gösterebilmek için bankalar kredi verdikleri temelleri belgelemek ve bununla ilgili her türlü bilgiyi saklamakla yükümlüdür.
Bu kapsamda Otorite tarafından şikâyet reddedilmiştir. Otorite, 44/2019 sayılı Kararnamenin 14(4) ve 9(2)(c) maddelerinin, bankaların söz konusu verileri işlemesini gerektirdiğini belirtmiştir. Bu nedenle bahse konu işleme, veri sorumlusunun tabi olduğu yasal bir yükümlülüğe uymak için gerekli olduğundan meşru kabul edilmiştir (GDPR Madde 6(1)(c)). Otorite, bankanın veri işleme için yasal dayanak olarak GDPR Madde 6(1)(b)'yi göstermesinin yanlış olduğunu belirtmiştir. Bununla birlikte Otorite, GDPR Madde 6 kapsamında işleme için yanlış bir yasal dayanağın belirtilmesinin, işlemeyi gayrimeşru hale getirmediğine karar vermiştir.