Yunanistan Veri Koruma Otoritesi, GDPR Madde 12(3) ve Madde 15'i ihlal ederek bir ilgili kişi erişim talebine uymadığı için Bankaya 10.000 Euro idari para cezası vermiştir. Gecikme ayrıca GDPR Madde 5(1)'i ihlal ederek talep edilen verilerin silinmesine yol açmıştır.

Bir şikâyetçi, banka hesaplarından para aktarılmasıyla sonuçlanan elektronik dolandırıcılık mağduru bir şirketi yasal olarak temsil etmiştir. Şikâyetçi, dolandırıcılık hakkında bilgi vermek için bankayı (veri sorumlusu) ziyaret etmiştir. Şikayetçi daha sonra GDPR Madde 15 uyarınca bankaya erişim hakkını kullanarak olayla ilgili kayıt dosyalarına ve bankaya yaptığı ziyaretin video kayıtlarına (CCTV görüntüleri) erişim talebinde bulunmuştur.

Banka, talep edilen veri kopyalarını zamanında sağlayamamıştır ve banka, ilgili kişiye verdiği yanıtta talebin işleme alındığını belirterek gecikmeyi kabul etmesine rağmen gecikmenin nedenlerini belirtmemiştir. Ayrıca banka, GDPR Madde 12(3)'te belirtilen bir aylık sürenin uzatılması konusunda ilgili kişiyi bilgilendirmemiştir.

17 Mayıs 2022 tarihinde, ilgili kişi Yunanistan Veri Koruma Otoritesi (“Otorite”) nezdinde veri sorumlusuna karşı şikayette bulunmuştur. Banka daha sonra kayıt dosyalarını sağlamış, ancak 45 günlük saklama süresinin sona ermesi nedeniyle video kayıtlarının artık mevcut olmadığını belirterek video kayıtlarını sağlayamamıştır.

Otorite, veri sorumlusunun GDPR Madde 15 (1) ve GDPR Madde 15 (3) kapsamında ilgili kişinin erişim hakkını ihlal ettiğine karar vermiştir. Ayrıca, Otorite veri sorumlusunun GDPR Madde 5(1) ve Madde 12(3) kapsamındaki yükümlülüklerini yerine getirmediğini tespit etmiştir.

a) Otorite, veri sorumlusunun zamanında hareket etmediğini, gecikme için bir neden sunmadığını ve ilgili kişiyi yanıt süresi sınırının uzatılması konusunda bilgilendirmediğini, dolayısıyla GDPR Madde 12(3) kapsamındaki yükümlülüğünü ihlal ettiğini tespit etmiştir.

b) Otorite, Veri Sahibi Erişim Talebini 45 günlük veri saklama süresi içinde materyal hala mevcutken almasına rağmen, veri sorumlusunun veri saklama politikası uyarınca ilgili kişiye talep edilen video kaydının bir kopyasını sağlamadan video görüntülerini imha etmeye devam ettiğini tespit etmiştir. Sonuç olarak, veri sorumlusu GDPR Madde 15(1) ve GDPR Madde 15(3) hükümlerini ihlal etmiştir.

c) Otorite, kişisel verilere erişim talebi aldıktan sonra, veri sorumlusunun bu tür verilerin planlı olarak silinmesi riskini önlemek için derhal gerekli önlemleri almakla yükümlü olduğunu belirtmiştir. Bankanın görsel materyalleri silmesinin hukuka uygunluğunu incelemiş ve şirketin talep edilen verileri hukuka aykırı bir şekilde silerek Madde 5(1)'i ihlal ettiğine karar vermiştir.

Sonuç olarak, Otorite, Alpha Bank'a (veri sorumlusu) 10.000 Euro idari para cezası vermiştir.

İlgili karara buradan ulaşabilirsiniz.

Yunanistan Veri Koruma Otoritesi tarafından ilgili kişinin kişisel verilere erişim talebine süresinde yanıt verilmemesi ve talep edilen verilerin silinmesi nedeniyle veri sorumlusu bankaya 10.000 Euro para cezası verildi.