Yunanistan Veri Koruma Otoritesi (“Otorite” veya “HDPA”), işverenin gizlilik politikasında belirsiz ifadeler kullanarak çalışan verilerinin işlenmesinin sözleşmeye dayalı olmak yerine rızaya dayalı olduğu izlenimini yaratması nedeniyle veri sorumlusunu uyarmıştır. Otorite, işverenin hem şeffaflık ilkesini hem de erişim hakkını ihlal ettiğine hükmetmiştir.

Veri sorumlusu, NIKOS LAZARIDIS S.A. adlı şirkettir. Veri sorumlusu, çalışanlarına ait kişisel verileri içeren çeşitli politika ve sözleşme belgeleri (örneğin "Kabul Edilebilir Kullanım Politikası" ve "Çalışan Gizlilik Sözleşmesi") hazırlamış, ancak bu belgelerde kullanılan “onay” gibi ifadeler ve “olabilir” şeklindeki belirsiz dil, veri işlemenin hukuki dayanağı konusunda yanlış bir izlenim yaratmıştır. İşleme faaliyetlerinin hukuki dayanağı rıza değil, istihdam sözleşmesinin ifasıdır.

İlgili kişi, işverenine ait kişisel veri işleme uygulamalarına ilişkin olarak HDPA’ya şikayette bulunmuş; hangi verilerinin işlendiği, hangi amaçlarla kullanıldığı ve işleme faaliyetlerinin hangi hukuki dayanaklara dayandığı konusunda yeterince bilgilendirilmediğini belirtmiştir. Ayrıca aynı işleme faaliyetleri için farklı belgelerde farklı hukuki dayanakların gösterildiğini ileri sürmüştür.

İlgili kişi, erişim hakkı kapsamında talep ettiği tüm verilere tam erişim sağlanmadığını, bazı bilgilerin (örneğin Covid tıbbi muayene kayıtları, görev tanımı, yazışmalar) kendisine iletilmediğini iddia etmiştir. Ek olarak, verilerin kendi kişisel e-posta adresine gönderilmesini talep etmesine rağmen şirketin bu verileri kurumsal e-posta adresine ileterek yetkisiz erişim riskine yol açtığını belirtmiştir.

Veri sorumlusu, ilgili kişinin kişisel verilerinin istihdam sözleşmesi temelinde güvenli bir şekilde işlendiğini ve gerekli süre boyunca saklanacağını belirtmiş talep edilen verilerin ilgili kişiye gönderildiğini ve kayıtlarında başka kişisel veri bulunmadığını savunmuştur.

Otorite, veri sorumlusunun GDPR Madde 5(1)(a) ve (c) uyarınca hukuka uygunluk ve şeffaflık ilkelerini; GDPR Madde 15(1) ve (3) uyarınca ise erişim hakkını ihlal ettiğine karar vermiştir.

Özellikle, işverenin hazırladığı belgelerde “onay/rıza” ifadesini kullanması, çalışan verilerinin işlenmesinin rıza temelinde yapıldığı izlenimini yaratmıştır. Oysa bu verilerin işlenmesinin gerçek hukuki dayanağı istihdam sözleşmesidir; yani rızanın bir rolü yoktur.

Buna ek olarak, belgelerde “olabilir”, “işlenebilir” gibi belirsiz ifadelerin kullanılması, çalışanlara hangi verilerin hangi amaçlarla işlendiğine ilişkin net, açık ve anlaşılır bilgi sunulmasını engellemiş; böylece gerekli şeffaflık sağlanamamıştır.

GDPR Madde 15’in ihlaline ilişkin olarak Otorite, veri sorumlusunun kayıtlarında bulunan ilgili kişiye ait tüm kişisel verileri eksiksiz şekilde açıklamakla yükümlü olduğunu vurgulamıştır. Ancak somut olayda veri sorumlusu, ilgili kişinin talebine tam ve kapsamlı bir yanıt vermemiştir. Otoriteye göre, ilgili kişinin iş ilişkisi devam ederken yapılan Covid tıbbi muayenelerine ilişkin bilgileri, muayene tarihleri ve numaraları dahil, alma hakkı vardır ve veri sorumlusu bu bilgileri sağlamalıydı. Ayrıca ilgili kişinin, yürüttüğü işleve dair detaylı bir görev tanımını edinme hakkı bulunduğu, veri sorumlusunun bu bilgiyi de sunmakla yükümlü olduğu belirtilmiştir.

Otorite, veri sorumlusuna uyarı vermiş ve üç ay içinde GDPR hükümlerine uyum sağlamasını, ayrıca ilgili kişinin erişim hakkını eksiksiz şekilde yerine getirmesini emretmiştir.

Kararın linkine buradan ulaşabilirsiniz.

Yunanistan Veri Koruma Otoritesi (“HDPA”), çalışan gizlilik belgelerinde açık rıza verildiği izlenimi yaratan ifadeler yer alması ve bilgilendirme metninde belirsiz ifadeler kullanılması nedeniyle işverene, şeffaflık ve erişim hakkı ihlali kapsamında uyarıda bulundu.