Avusturya Veri Koruma Kurumu (DSB), IKEA’nın bir mağazasında kurulu dokuz güvenlik kamerasının, müşterilerin kişisel verilerini hukuka aykırı ve orantısız biçimde kaydettiğini tespit etti.
Kameraların bazıları, ödeme işlemleri sırasında PIN giren müşterileri dahi görüntülüyordu.
Mart 2022 – Mayıs 2022 arasında yaklaşık 637 PIN girişi bu şekilde kaydedildi.

İhlalin Hukuki Dayanağı

DSB, bu uygulamanın: veri işleme için yasal dayanak bulunmaması (Madde 6(1)), veri işleme amaçlarının adil olmaması (Madde 5(1)(a)), veri minimizasyonu ilkesinin ihlali (Madde 5(1)(c)) sebepleriyle GDPR’ a aykırı olduğuna karar verdi. Sonuç olarak IKEA’ya 1,5 milyon avro idari para cezası ve 150.000 avro yargılama gideri uygulandı.

Şirket kendini nasıl savundu?

IKEA; bazı kayıtlar tanımlanabilir ve ayırt edilebilir bir kişisel veri içermediği, müşterilerin çoğunun parolalarını kapatarak girdiği, kamera sisteminin güvenlik ve mülk koruma amacıyla gerekli olduğu , ceza miktarının aşırı ve orantısız olduğu ( özellikle şirketin küresel cirosunun dikkate alınması nedeniyle) gerekçesiyle karara itiraz etti.

Mahkeme Kararı

Federal İdare Mahkemesi (Avusturya), itirazı kısmen reddetti, kısmen kabul etti. Mahkeme, dokuz kameradan yalnızca ikisini yasal buldu. Diğer kameralar, gereğinden fazla geniş alan kaydettiği ve daha az müdahale eden alternatifler (örneğin devriye aydınlatması veya olay bazlı fotoğraf sistemi) bulunduğu gerekçesiyle hukuka aykırı sayıldı.

Ayrıca, kameralardan birinin parola girişlerini kaydetmesi ciddi bir gizlilik ihlali olarak değerlendirildi. Mahkeme, şirketin bu sistemleri GDPR gerekliliklerini yerine getirmeden devreye almasını, gizlilik filtresi ve denetim mekanizmalarını uygulamamasını ve tespit edilen sorunları haftalarca gidermemesini ağır bir ihmal örneği olarak niteledi.

Ceza ve Gerekçesi

Mahkeme, 1,5 milyon avroluk cezayı onadı. Bu miktarın, şirket grubunun 44,3 milyar avroluk cirosunun yalnızca %0,21’ine denk geldiğini ve GDPR’ın %4’lük üst sınırının çok altında olduğunu belirterek cezayı orantılı buldu. Ancak, DSB’nin belirlediği 150.000 avroluk yargılama masrafının IKEA tarafından ödenmesine gerek olmadığına hükmetti.

Sonuç

Mahkeme kararı, şirketlerin ve işletmelerin güvenlik amacıyla dahi olsa aşırı kapsamlı kamera gözetimi yapamayacağını ve ödeme noktaları gibi hassas alanlarda görüntü kaydının ciddi bir GDPR ihlali sayılacağını ortaya koymuş oldu. Bu karar, veri minimizasyonu ve orantılılık ilkelerinin pratikte nasıl uygulanması gerektiğine dair önemli bir emsal oluşturdu.