Sigorta sektörü ile ilgili kararlar

Veri Koruma Otoritesi tarafından alınan temyiz başvurusunda, üçüncü bir tarafa aktarım için ayrı ve açıkça tanımlanmış bir amacın gerekli olduğunu belirtmiştir. Aynı amaç için birden fazla, farklı işleme gerçekleştirilebilir ancak her biri yasal bir dayanak gerektirir. İşleme faaliyetinin hukuka uygunluğunun incelenmesinde şikayetçi, sağlık verilerinin bir sigorta şirketi tarafından açıkça kabul etmediği bir amaç için kullanıldığını iddia etmiştir. Davalı ise meşru menfaatini yasal dayanak olarak kullandığını iddia etmektedir. ”Amaç testi” için gerekli olanlar, işlemenin gerekliliği ve bir dengeleme testine dayanma gerekliliklerini açıklar. İlk koşul, veri sorumlusu arafından açıklanan işleme amacının meşru bir menfaat göz önünde bulundurularak gerçekleştirilmesidir. İzlenen menfaat, başlı başına meşru menfaat olarak kabul edilir. İkinci koşulu yerine getirmek için, işlemenin izlenen amaçların gerçekleştirilmesi için gerekli olduğu gösterilmelidir. Daha spesifik olarak, bu, kişisel veriler işlenmeden veya veri sahipleri için gereksiz yere müdahaleci bir işlem yapılmadan aynı sonuca başka yollarla ulaşılıp ulaşılamayacağının sorulmalıdır. Üçüncü koşul olarak “veri öznesinin, kişisel verilerin toplanması sırasında ve bağlamında, işlemenin bu amaçla gerçekleşebileceğini makul bir şekilde bekleyip bekleyemediği” değerlendirilmelidir. Bunun sonucunda üçüncü bir kişiye devir için belirli ve ayrı bir amaç belirtemediğinden şeffaflık ilkesi ışığında, GDPR’nin ihlali söz konusudur. Veri sahibi hassas bilgileri paylaşmak istemese bile, en azından veri sahiplerine açık ve şeffaf bir şekilde daha fazla bilgi sağlamalıdır. Bunun için şirketin hassas veya ‘ağır’ belgeleri tek başına paylaşımı için gerekli bir sebep tespit edilememiştir. İlk karara ve temyize dayanarak, sigorta şirketi için para cezası 50.000 Euro’dan 30.000 Euro’ya düşürülmüştür.