Macaristan Denetim Kurumu, Memnuniyet Ölçümüyle İlgili Hukuka Aykırı Veri İşleme Uygulamaları Nedeniyle Otomobil İthalatçısına Para Cezası Verdi
Dosya Bilgileri
Nihai karar tarihi : 27 Ekim 2021 (itiraz için son tarih: 3 Aralık 2021)
Sınır ötesi dava veya ulusal dava: Ulusal dava
Veri sorumlusu: Kararın temyiz süresi dolduktan sonra anonim olarak yayımlanacaktır
Yasal dayanak : GDPR Madde 5(1)(a) kapsamındaki hukuka uygun ve şeffaf veri işleme; Madde 12(1) ve Madde 13 kapsamında yer alan ilgili kişilere bilgi verilmesi; Madde 5(1)(c) kapsamında veri minimizasyonu ilkesi; Madde 6(1) uyarınca yasal dayanak
Karar : GDPR ihlali tespiti, Kişisel veri işleme uygulamalarını GDPR’ye uyumlu hale getirme talimatı, 5 milyon HUF (yaklaşık 14.000 EUR) veri koruma para cezası
Kararın Özeti
Davanın Temeli
Başvurucu’nun otomobilinin, otomobil tamirinde uzman olan aleyhinde şikayet yoluna başvurulan kişi tarafından incelenmesinden/[Başvurucu’ya otomobili için] servis hizmeti sunulmasından sonra veri sorumlusunun talebi üzerine Başvurucu, e-posta adresini aleyhinde şikayet yoluna başvurulan kişi ile paylaşmıştır. Akabinde Başvurucu, verilen hizmete ilişkin olarak memnuniyet anketi doldurulmasını talep eden bir istenmeyen e-posta (unsolicited e-mail) almış, bu e-postaya cevap vermediğinden bahisle anketi doldurmasını isteyen başka bir e-posta daha almıştır. E-postalarda, Başvurucu’nun arabasının şasi numarası bulunmakla birlikte bu e-postalar, Başvurucu’dan değil, üçüncü kişi bir göndericiden gelmiştir. Veri aktarımı için Başvurucu’nun rızası alınmamış ve Başvurucu da bu hususta aydınlatılmamıştır.
Temel Bulgular
Söz konusu e-postalar, Başvurucu’nun arabasıyla aynı tip otomobillerin Macaristan’daki münhasır ithalatçısı olarak Başvurucu ile sözleşme ilişkisi bulunan ithalatçı tarafından bir veri işleyen aracılığıyla gönderilmiştir. E-postalar yalnızca, veri işleyenin unvanını ve “<araba markası> bayiniz” ve “<araba markası> adına <veri işleyen> tarafından gönderildi” şeklindeki jenerik açıklamayı içermektedir ki bu bilgilerden Başvurucu’nun, e-posta adresinin ya da otomobilinin verilerinin kime, hangi nedenle gönderildiğini anlaması mümkün değildir. Söz konusu e-posta yönünden veri sorumlusu aleyhinde şikayet yoluna başvurulan kişi değil, İthalatçıdır. Sunulan bilgilere göre, verilerin otomobil üreticisine aktarılması da mümkündür. Ancak soruşturma sürecinde ortaya çıkan bulgular, bunun yalnızca anonim istatistik şeklinde yapıldığını göstermiştir, bu nedenle, -aksi takdirde sınır ötesi aktarım söz konusu olacaktır- ilgili Kurum tarafından inceleme konusu yapılmamıştır. Kurum, soruşturmasını, ithalatçının memnuniyet ölçümüne ilişkin genel veri işleme uygulamalarını da kapsayacak şekilde re’sen genişletmiştir. Aleyhinde şikayet yoluna başvurulan kişi, veri sorumlusu olmadığından, bu kişiye yöneltilen ilk başvuru reddedilmiştir.
Karar
Somut olayda, İthalatçı ve aleyhinde şikayet yoluna başvurulan kişinin beyanlarına göre, aleyhinde şikayet yoluna başvurulan kişiye veri işlemeye dair herhangi bir bilgi verilmemiştir. İlgili kişinin yeterli bilgi sunulmaması ve haklarını etkin bir şekilde kullanma imkanı sunulmaması durumda, münferit olayda İthalatçı’nın meşru bir menfaati olduğundan söz edilemez. Veri işleme uygulamalarına yönelik olarak, yeterli bilginin olmaması ve kişisel verinin ölçüsüz bir şekilde işlenmesi durumunda, İthalatçı’nın, hizmet ve ticaret ortaklarının izlemesi (monitoring) ve sundukları hizmetin kalitesinin güvencesi amacıyla müşterilerinin memnuniyetini öğremeye yönelik meşru bir menfaati olamaz. İthalatçı, işlediği şu verilerin belirtilen memnuniyet ölçümü ve şikâyet yönetimi amaçlarıyla ne şekilde ilişkili olduğunu ortaya koyamamıştır: müşterinin adı, e-posta adresi, ev adresi, telefon numarası, yaşı, cinsiyeti, şasi numarası, plaka numarası, aracın teknik verileri, hizmet alınan bayinin adı, alınan hizmetin tarihi ve geri bildirimin içeriği. Müşteri geri bildiriminin olmaması veya olumsuz bir geri bildirimin olmaması hallerinde, araç ve verilen hizmete ilişkin istatistiksel veriler dışındaki verilerin işlenmesi; olumsuz geri bildirim ile kişisel talepler olması durumunda ise şikâyetin ele alınması için gerekli olan kişisel veriler dışındaki verilerin işlenmesi hukuka aykırıdır. Bu nedenle ilgili veri işleme uygulamasının değiştirilmesi yönünde talimat ile birlikte idari para cezası verilmiştir.
Daha fazla bilgi için: İtiraz için son tarih geçtikten sonra karara buradan ulaşabilirsiniz.
