Berlin Veri Koruma ve Bilgi Edinme Otoritesi (BlnBDI)

Veri dışa aktarma işlevindeki hata

İdari karar

Karar referansı edpb/oss/2019/4
Hukuk düzeni Almanya
Tarih 25.01.2019

EDPBI:DE:OSS:D:2019:4 — DE SA final decision (Article 32 (Security of processing), Article 33 (Notification of a personal data breach to the supervisory authority), Article 34 (Communication of a personal data breach to the data subject))

Türkçe özet

Hukuki mesele

Uyuşmazlık, Foodora'nın veri dışa aktarma işlevindeki hata nedeniyle kişisel verilerin yetkisiz bir alıcıya ulaşmasından sonra ilgili kişilere yapılan bildirimin ve alınan güvenlik tedbirlerinin yeterli olup olmadığına ilişkindir.

Sonuç

Berlin Veri Koruma ve Bilgi Edinme Özgürlüğü Otoritesi, otuz ilgili kişinin bilgilendirildiğini ve teknik ve idari tedbirlerin yeterli olduğunu kabul ederek veri ihlali dosyasını kapatmıştır.

Foodora'nın veri dışa aktarma işlevindeki hata nedeniyle kişisel veriler yetkisiz bir alıcıya ulaşmıştır. Şirket, yedi ülkedeki otuz ilgili kişiyi GDPR'ın 34. maddesi uyarınca kendi dillerinde bilgilendirmiştir. Hatalı işlev derhal devre dışı bırakılmış, düzeltmeden sonra yeniden kullanıma açılmıştır. Verileri alan tek kişi hatayı kendisi bildirmiş ve verileri silmesi istenmiştir. Berlin Veri Koruma ve Bilgi Edinme Özgürlüğü Otoritesi, alınan teknik ve idari tedbirleri yeterli bularak dosyayı kapatmıştır.

Karar metni

Berlin Commissioner for Data Protection and Freedom of Information

Final decision concerning the data breach reported by Foodora GmbH / Delivery Hero SE

We will close the case about the data breach reported by Foodora GmbH / Delivery Hero SE.
According to our recommendations, the company has informed the 30 affected data subjects (seven
from Germany, four from France, four from Italy, seven from Sweden, four from Norway, one from
Finland, three from Austria) according to Art. 34 GDPR. The information was provided in the
respective national language.

We believe that the controller has taken adequate technical and organizational measures. Thus the
faulty function was immediately switched off until the correction (the download function of the
personal data was completely deactivated), later the functionality of the data export was again
activated, with regard to the details we refer to the answer of the company about the
countermeasures.

Consideration was also given to the fact that the data only reached a single data recipient, who
reported the error himself and was requested to delete the data.