Avusturya Veri Koruma Otoritesi (DSB), bir şirket çalışanının müşteriye ait iletişim bilgisini yetkisiz biçimde üçüncü bir kişiyle paylaşmasına ilişkin dikkat çekici bir karar vermiştir. Karar, çalışanın işveren şirketten bağımsız olarak “veri sorumlusu” sıfatını taşıyabileceğini ortaya koyması bakımından önem taşımaktadır.

Olayda, bir şirket çalışanı, kişisel tanıdığı olan üçüncü bir kişinin talebi üzerine, bir müşterinin (ilgili kişi) yeni telefon numarasını bu kişiyle paylaşmıştır. Üçüncü kişi, numarayı ilgili kişiye hediye vermek istediğini belirterek istemiş; ancak gerçekte numarayı, eski partneri olan ilgili kişiyi defalarca telefonla arayarak rahatsız etmek için kullanmıştır. Çalışan, iyi niyetle ve üçüncü kişinin hediye verme amacı taşıdığına inanarak hareket ettiğini ifade etmiştir. Şirketin bu tür veri aktarımlarını önlemeye yönelik iç kuralları bulunmasına rağmen, çalışan ilgili kişinin hesabına bağlı şifreyi sormaksızın numarayı paylaşarak bu kuralları çiğnemiştir.

Otorite öncelikle, çalışanın GDPR m.4(7) uyarınca veri sorumlusu olarak hareket ettiği sonucuna varmıştır; zira çalışan şirket adına değil, kendi inisiyatifiyle davranmıştır. Kararda, bu işleme için hiçbir hukuki dayanağın bulunmadığı belirtilmiştir. Otorite, “iyi niyet”in GDPR m.6(1)(f) anlamında meşru bir menfaat oluşturmadığını; çalışanın üçüncü kişinin menfaatine de dayanamayacağını, çünkü “bir kişiyi telefon aramalarıyla bunaltmanın” meşru bir menfaat sayılamayacağını vurgulamıştır. Bu noktada Otorite, üçüncü kişinin meşru menfaatinin tespitinde çalışanın varsaydığı değil, gerçek menfaatin esas alınması gerektiğinin altını çizmiştir.

Otorite, idari para cezası verilebilmesi için kast veya ihmalin gerektiğini hatırlatmış; çalışanın, ilgili kişinin hesabına ilişkin kimlik doğrulama bilgilerini talep etmeksizin veriyi kasten paylaştığını ve çalışan olarak sahip olduğu yetkileri kötüye kullandığını tespit etmiştir. Bu doğrultuda çalışana 1.000 Euro idari para cezası uygulanmıştır. Kararın yayımında, cezanın çalışanın Federal İdare Mahkemesi’ne (Bundesverwaltungsgericht) başvurusu üzerine 700 Euro’ya indirildiği belirtilmektedir.

Karar, kurumsal iç kurallara aykırı hareket eden bir çalışanın kişisel inisiyatifiyle gerçekleştirdiği veri işleme faaliyetlerinden bizzat sorumlu tutulabileceğini ve “iyi niyet” gibi öznel gerekçelerin GDPR kapsamında geçerli bir hukuki dayanak sağlamadığını göstermesi bakımından uygulamaya ışık tutmaktadır.