Değerlendirme

Geçtiğimiz günlerde İsveç veri koruma otoritesi tarafından dünyaca ünlü ve gündelik hayatımızda sıklıkla kullandığımız uygulamanın da üreticisi olan Spotify’a 5 milyon € değerinde para cezası verildi.

Kararın dünya çapında faaliyet gösteren ve Max Schrems tarafından kurulmuş sivil toplum örgütü None of Your Bussiness (“NOYB”) tarafından yapılan bir başvuru üzerine verildiği belirtiliyor. NOYB tarafından yapılan başvuruda ilgili kişi başvurularının etkili bir şekilde yönetilmediği, bu başvurulara usulüne uygun bir şekilde yanıt verilmediği bu nedenle GDPR'ın 15. maddesinin ihlal edildiği ileri sürülmüştü. İddiaların gerekçesi olarak ise kullanıcıların Spotify’a pek çok kez başvuruda bulunduğu ama başvurularına rağmen özellikle hangi verilerinin işlendiği konusunda etkili bir şekilde bilgilendirilmediği belirtiliyor. Spotify ise kullanıcıların başvurusu üzerine teknik kayıtların sağlandığını belirtmiş. İsveç veri koruma otoritesi gerçekleştirdiği değerlendirmede kullanıcılara yalnızca teknik kayıtların iletilmesinin yeterli olmadığı, kullanıcıların işlenen kişisel verileri hakkında açık ve anlaşılır bir biçimde bilgilendirilmesi gerektiğini vurguladı.

Spotify aleyhine verilen karar, ilgili kişilerin işlenen verilerine erişme taleplerinin etkili bir biçimde karşılanması bakımından son derece önemli. Daha önce yayımlanan pek çok kararda ilgili kişiler tarafından yapılan başvuruların veri sorumluları tarafından etkili bir şekilde yanıtlanması gerek Avrupa’da faaliyet yürütülen veri koruma otoriteleri gerekse Kişisel Verileri Koruma Kurulu tarafından belirtilmiş bir konu. Spotify kararının farkı ise bu konuya ilişkin sunulan somut ve teknik önerilere bir yenisini daha eklemesi. Karar sonrasında Kurum tarafından ilgili kişilerin başvurularının sonuçlandırılmasına yönelik yeni yönlendirmeler gelebilir.