İlgili kişi, Novates Alimentacion Madrid (“veri sorumlusu”) adlı mağazaya bir ürünü iade etmiş ve kendisine hatalı şekilde fazla tutarda iade ödemesi yapılmıştı. İlgili kişi daha sonra mağazayı tekrar ziyaret ettiğinde, bir personel tarafından, önceki kasa işlemi sırasında kaydedilen CCTV görüntüleri kendisine gösterildi. Personel, bu görüntünün kendi kişisel cep telefonuyla alınmış kaydını ilgili kişiye göstermiş ve söz konusu kaydı WhatsApp üzerinden ilgili kişiye göndermiştir.
Videoda diğer müşteriler de görünmekte olup, kayıtta ayrıca bir personelin “hata burada oldu” şeklindeki ifadesi de yer almaktaydı.
İlgili kişi, 26 Nisan 2024 tarihinde İspanya Veri Koruma Otoritesi’ne (“AEPD” veya “Otorite”) şikayette bulundu. Otorite, veri sorumlusunun CCTV görüntülerinin elde edilmesi ve paylaşılması bakımından uygun teknik ve organizasyonel güvenlik tedbirlerini uygulamamak suretiyle GDPR’ın 32. maddesini ihlal ettiğine karar verdi.
Otorite, görüntünün personelin cep telefonuyla kaydedilmiş olmasının, CCTV görüntülerine mağazanın güvenliğinden sorumlu olmayan personel tarafından da erişilebildiğini gösterdiğini değerlendirdi. Otorite ayrıca CCTV sisteminin, görüntülerin ikincil bir cihazla kaydedilmesine imkan tanıdığını ve görüntülerin aktarımı için WhatsApp kullanılmasını eleştirdi. Son olarak Otorite, söz konusu görüntülerde yalnızca ilgili kişinin değil, mağazadaki diğer müşterilerin de kişisel verilerinin yer aldığını ve görüntüler paylaşılmadan önce bu kişilerin kimliklerinin gizlenmesine yönelik herhangi bir çaba gösterilmediğini vurguladı.
Uygulanacak yaptırımın belirlenmesinde Otorite, veri sorumlusunun işlenen kişisel verilerin korunması bakımından ciddi bir özen eksikliği göstermesini ve yüksek cirosunu dikkate aldı. Otorite, para cezasını başlangıçta 20.000 Euro olarak belirledi. Ancak idari usullere ilişkin İspanyol hukuku düzenlemesi olan 39/2015 sayılı Kanun uyarınca, Otorite veri sorumlusuna iddia edilen ihlaller bakımından sorumluluğunu kabul etmesi ve/veya önerilen para cezasını gönüllü olarak ödemesi halinde, bu eylemlerin her birinin uygulanacak para cezasını %20 oranında azaltacağını bildirdi. Veri sorumlusu hem ihlaller bakımından sorumluluğunu kabul ederek hem de indirimli yaptırım tutarını ödeyerek toplam %40 indirimden yararlanmış ve nihai para cezası 12.000 Euro olarak uygulanmıştır.
İlgili karara buradan ulaşabilirsiniz.