İspanya – Ebeveynlerinden izinsiz çocukların fotoğrafını sosyal medya hesabında yayımlayan spor kulübüne ceza
İspanya Veri Koruma Otoritesi olanAgencia Española de Proteccion de Datos (“Otorite” ve/veya “AEPD”) 9 Ağustos 2021 tarihinde yayımladığı kararı ile çocukların görüntülerinin sosyal medya platformlarında yayımlanmasına yönelik önemli bir karar verdi.
OLAY ÖZETİ
Karara konu olay, Club Gimnasia Rímica San Antonio isimli spor kulübünün çocukların ritmik jimnastik yaparken çekilen fotoğraf ve video kayıtlarını kendisine ait sosyal medya hesabında paylaşmasına ilişkindir. 10 ve 12 yaşlarındaki iki kızının spor yaparken çekilmiş fotoğraf ve videolarını spor kulübüne ait Instagram hesabında gören anne, 5 Şubat 2021 tarihinde veri sorumlusu spor kulübü ile iletişime geçerek, çocuklarına ait görüntülerin bulunduğu tüm fotoğraf ve videoların spor kulübünün sosyal medya hesabından kaldırılmasını talep etmiştir. Şikayetçi anne, spor kulübüne yapmış olduğu başvuru sırasında, kendisinin spor kulübüne çocukların fotoğraflarının çekilmesi ve internette yayımlanmasına dair rıza verdiği yönünde hiçbir kayıt bulunmadığını, bundan sonraki süreçte de çocuklarına ilişkin görüntülerin kayda alınmasına ve yayımlanmasına rızasının bulunmadığını belirtmiştir.
Annenin talebinden bir gün sonra veri sorumlusu spor kulübü, kendisine ait Instagram hesabında, çocukların görüntülerinin bulunduğu yeni bir video paylaşmıştır. Bunun üzerine 7 Şubat 2021 tarihinde İspanya Veri Koruma Otoritesi’ne başvuru yapan anne, veri sorumlusu hakkında gerekenin yapılmasını talep etmiştir.
OTORİTE DEĞERLENDİRMESİ
Otorite tarafından, veri sorumlusu spor kulübünün çocukların spor yaparken çekilen görüntülerinin spor kulübüne ait “ritmicasanantonio” adlı Instagram sayfasında yayımladığının görüldüğü ve şikayetçinin kızlarına ait fotoğraf ve videoları sosyal medya platformlarında yayınlatmak istemediğinin sabit olduğu vurgulandıktan sonra değerlendirme sürecine geçilmiştir.
Bilindiği üzere, GDPR uyarınca kişisel veri işleme faaliyetinin hukuki sebeplerinden bir tanesi veri sahibinin rızası olup, GDPR’ın 8. maddesi gereğince çocuğun 16 yaşından küçük olması durumunda, veri işleme faaliyeti ancak rızanın çocuk üzerinde velayet hakkı bulunan kişi tarafından verilmesi ya da onaylanması durumunda hukuka uygun olmaktadır. Çocukların rızalarının kabul edilebilirlik yaşı, 13 yaşından az olmamak kaydıyla, ulusal düzenlemeler ile değiştirilebilmektedir. Örneğin; Belçika Veri Koruma Kanunu’nun 7. maddesinde 13 yaşından büyük çocukların açık rızalarının veri işleme faaliyetlerine hukuki dayanak sağlayabileceği hükme bağlanmıştır.
AEPD söz konusu olaya ilişkin olarak, veri sorumlusunun çocukların kişisel verilerinin işlenmesine ilişkin ebeveynlerinin onayı olmaksızın, çocuklara ilişkin fotoğraf ve videoların spor kulübünün Instagram hesabından yayımlamasının GDPR’ın kişisel verilerin işlenmesine onay verilmesine yönelik 6. maddesinin 1. paragrafının a bendinin ihlali anlamına geleceği sonucuna ulaşmıştır.
SONUÇ
Otorite tarafından, spor kulübünün GDPR’ın 6. maddesinin 1. paragrafının a bendini ihlal ettiğine karar verilmiş; mevcut olayda ciddi bir ihmal eyleminin bulunması (GDPR m.83/2-b) ve veri koruma düzenlemelerinin özel bir şekilde koruduğu iki çocuğa ait görüntülerin paylaşılmış olması (GDPR m.83/2-g) nedenleriyle ağırlaştırıcı sebeplerin mevcut olduğuna, dolayısıyla yaptırım miktarının arttırılmasına karar verilmiştir.
Sonuç olarak AEPD, spor kulübüne 5.000 Euro idari para cezası verilmesine ve (md 58/2-d gereğince) spor kulübünün bir aylık süre içerisinde çocuklara ait fotoğraf ve videoları Instagram hesabından kaldırması yönünde talimatlandırılmasına karar vermiştir.
Karar için bakınız .
