İtalya Veri Koruma Otoritesi, bir İtalyan belediye meclisini atık toplama video-gözetim sistemleri ile ilgili çok sayıda veri ihlali nedeniyle 45.000 € para cezasına çarptırmıştır. Bahse konu video kayıtları, ayrıştırılmamış atıkları yanlışlıkla bertaraf ettiği için bir kişiye ceza kesmek için kullanılmıştı.

Modica belediye meclisinin (veri sorumlusu) bir vatandaşı (ilgili kişi), atık toplama kutularının yakınına yerleştirilen kameralar tarafından kaydedilen görüntülerden de anlaşılacağı üzere, ayrıştırılmamış atıkların yanlışlıkla bertaraf edilmesi nedeniyle alınan bir ihtilaf raporu hakkında şikayette bulunmuştur.

İlgili kişi, veri sorumlusunun ihlali, video görüntülerinin kaydedilmesinden bir aydan daha uzun bir süre sonra inceleyerek fark ettiğinden şikâyetçi olmuştur. İlgili kişi, ayrıca video görüntüleri çerçevesinde kişisel verilerinin işlenmesine ilişkin uygun bir aydınlatmanın eksik olduğunu, çünkü doğrudan çöp kutusunun üzerine kolayca görülemeyen ve veri sorumlusu tarafından ve izlenme amaçlarını belirtmeyen bir bilgi işareti yerleştirildiğini iddia etmiştir.

Otorite, GDPR Madde 12 ve GDPR Madde 13'ün anlamı olan bilgi edinme hakkının ihlal edildiğine karar vermiştir çünkü video gözetim sistemlerinin kullanıldığı yerlerde, gözetim altındaki alanın yakınına uyarı işaretleri yerleştirmenin yanı sıra, ilgili kişilere GDPR Madde 13 kapsamındaki bilgilendirmenin de yapılması gerekmektedir. Söz konusu bilgilendirmeler ilgili kişiler tarafından kolayca erişilebilir olmalıdır. Ancak mevcut olayda, bilgilendirme görselinin çöp kutusunun üzerinde, diğer işaretlerin yakınında yer almakta, karışıklığa ve zayıf görünürlüğe neden olduğu dolayısıyla ilgili kişileri çöp kutusunun yakınına girmeden önce video gözetim sisteminin varlığından haberdar etmediği belirtilmiştir. Ayrıca tabelada, veri sorumlusu yalnızca video gözetiminin altında yatan genel 'güvenlik nedenlerinden' bahsetmiş, kişisel verilerin işlenmesine ilişkin herhangi bir bilgilendirmeye yer vermemiştir.

Otorite, GDPR Madde 5(1)(c) ve GDPR Madde 5(1)(e), GDPR Madde 5(2) ile birlikte GDPR Madde 24 ve GDPR Madde 25 kapsamında veri minimizasyonu, depolama sınırlaması, hesap verebilirlik ile tasarım ve varsayılan olarak veri koruma ilkelerinin ihlal edildiğini tespit etmiştir. Otorite, veri sorumlusunun işleme amaçlarını dikkate alarak görüntüler için saklama sürelerini belirlemesi gerektiğini belirtmiştir. Bahse konu vakada, veri sorumlusu kameraları idari suçların önlenmesi, tespit edilmesi ve şehir güvenliğinin sağlanması amacıyla kullanmıştır. Ancak, ilk amaç için veri saklama süresini belirtmemiş ve ikinci amaç için kullanılan aynı veri saklama süresini (yedi günü) gerekçe göstermeksizin kullanmıştır. Ayrıca, ilgili kişinin idari ihlali, görüntülerin kaydedildiği tarihten bir aydan daha uzun bir süre sonra tespit edilmiştir; bu da veri sorumlusunun bu görüntüleri yedi günlük sürenin ötesinde sakladığı anlamına gelmektedir.

Buna ek olarak otorite, veri sorumlusunun görevi Ragusa'daki CAT S.r.l. şirketine ve daha sonra Ermeslink şirketine, rollerini bir veri koruma sözleşmesi aracılığıyla düzgün bir şekilde tanımlamadan emanet ettiğini göz önünde bulundurarak, işleme operasyonlarında GDPR Madde 28'in ihlal edildiğine karar vermiştir.

Son olarak, Veri Koruma Otoritesi, Veri Koruma Görevlisi'nin (“DPO”) atanması ve iletişim bilgilerinin yayınlanması konusunda GDPR Madde 37(1) ve GDPR Madde 37(7)'nin ihlal edildiğine karar vermiştir. Gerçekten de, veri sorumlusu GDPR'nin yürürlüğe girmesinden çok sonra bir DPO ve bu gecikmenin Covid-19 pandemisi ve işe alım sürecinden kaynaklandığı bahanesini öne sürmüştür. Ancak Otorite, GDPR'nin Covid-19 salgınından önce yürürlüğe girdiğini ve bir DPO atanana kadar, veri sorumlusunun geçici olarak bile olsa bir DPO ataması gerektiğini belirtmiştir. Bununla birlikte Otorite, DPO atandıktan sonra iletişim bilgilerinin veri sorumlusunun web sitesinde yayınlanmasındaki bir aylık gecikmeyi de eleştirmiştir.

İtalya Veri Koruma Otoritesi, GDPR Madde 83(2), GDPR Madde 83(3) ve GDPR Madde 83(5)(a) uyarınca veri sorumlusuna 45.000 Euro tutarında para cezası vermiştir.

Kaynak

Video Gözetim Sistemleri İle Yapılan İzleme Faaliyetlerinin GDPR’ı İhlal Etmesi Nedeniyle Bir Belediyeye Para Cezası Verildi