بخصوص الدليل المتعلق بالمفاهيم الخاطئة الشائعة حول القانون رقم 6698 بشأن حماية البيانات الشخصية - 2

نشرت هيئة حماية البيانات الشخصية دليلاً بعنوان "المفاهيم الخاطئة الشائعة حول القانون رقم 6698 بشأن حماية البيانات الشخصية - 2" على موقعها الإلكتروني في 3 يناير 2022.

تهدف الهيئة من خلال هذا الدليل إلى تلخيص الآثار العملية لعناصر مختلفة تتعلق بتطبيق القانون رقم 6698 بشأن حماية البيانات الشخصية ("القانون")، بما في ذلك الموافقة الصريحة، والالتزام بالإعلام (تقديم المعلومات)، والتسجيل في سجل مراقبي البيانات (Data Controllers Registry).

نستعرض أدناه الأسئلة والأجوبة الرئيسية الواردة في الدليل المذكور:

أ. البيانات الشخصية

السؤال | الإجابة | التوضيح | هل تُعد جميع البيانات -مثل الصوت والصورة الفوتوغرافية- بياناتٍ بيومترية (حيوية)؟ | لا | المعيار الجوهري هو إمكانية تحديد هوية الفرد بشكل فريد أو التحقق منها. وبناءً عليه، فبينما تُعتبر الصورة الفوتوغرافية ذات السمات البيومترية بياناتٍ بيومترية، فإن الصورة العادية الملتقطة بهاتف محمول لا تُعد بياناتٍ بيومترية.(تكملة)هل يُعد التوقيع البيومتري (الحيوي) من البيانات الشخصية ذات الفئة الخاصة؟ | نعم | يندرج التوقيع البيومتري ضمن هذا النطاق؛ لأنه يتضمن خصائص فريدة للفرد، مثل مقدار الضغط المطبق أثناء التوقيع، وزاوية الكتابة، وسرعة القلم، وتسارعه. | هل تخضع البيانات التي تستخدم أسماءً مستعارة (pseudonyms) للقانون؟ | نعم | نظراً لأن استخدام اسم مستعار لا يجعل البيانات الشخصية مجهولة الهوية تماماً، فإن هذه البيانات تظل خاضعة لنطاق القانون.

ب. أنشطة معالجة البيانات الشخصية والموافقة الصريحة

سؤال/إجابة/توضيح: هل يمكن إجراء عملية معالجة للبيانات الشخصية استناداً إلى أكثر من شرط من شروط المعالجة المنصوص عليها في القانون؟ نعم. المبدأ الأساسي هو عدم الاعتماد على "الموافقة الصريحة" لمعالجة البيانات الشخصية إذا كان هناك شرط قانوني آخر يسمح بهذه المعالجة؛ فالحصول على الموافقة في حالات لا تتطلبها قد يؤدي إلى تضليل صاحب البيانات. هل تتمتع "الموافقة الصريحة" بالأولوية على شروط معالجة البيانات الشخصية الأخرى المنصوص عليها في القانون؟ لا. في حال وجود أساس قانوني آخر للمعالجة، فإن الحصول على موافقة صريحة من صاحب البيانات قد يخلق وضعاً مضللاً. لذا، من الناحية العملية، يُفضل تقييم الشروط الأخرى المحددة في المادتين 5 و6 من القانون أولاً. هل يمكن معالجة البيانات الشخصية بشكل قانوني من خلال توفير خيار "الانسحاب" (opt-out) فقط بدلاً من خيار "الموافقة" (opt-in)؟ لا. يُعد وجود آلية للموافقة الإيجابية (الفعلية) شرطاً أساسياً لصحة "الموافقة الصريحة". هل يمكن نقل البيانات الشخصية إلى الخارج استناداً إلى الاتفاقية رقم 108؟ لا. لا يجوز نقل البيانات الشخصية إلى دولة طرف في الاتفاقية رقم 108 إلا إذا تحقق أحد الشروط المنصوص عليها في المادة 5/2 أو المادة 6/3 من القانون، وبشرط أن يقرر مجلس حماية البيانات الشخصية ("المجلس") أن تلك الدولة توفر حماية كافية، أو أن تقدم الأطراف المعنية تعهداً كتابياً يضمن توفير حماية كافية ويمنح المجلس إذناً بذلك.

ج. الالتزام بالإعلام (تقديم المعلومات)

سؤال/إجابة/توضيح: إذا تم سرد جميع أحكام المادتين 5 و6 من القانون أثناء عملية تقديم المعلومات، فهل يُعتبر الالتزام بالإعلام قد استُوفي وفقاً للتشريعات؟ لا. يجب تحديد الأساس القانوني المعتمد عليه بوضوح من بين شروط المعالجة الواردة في المادتين 5 و6 من القانون أثناء عملية تقديم المعلومات. هل يُعد الحصول على موافقة كتابية أثناء عملية تقديم المعلومات بمثابة "موافقة صريحة"؟ لا. إن الحصول على عبارة مثل "أنا أوافق" أثناء عملية تقديم المعلومات قد يسبب خلطاً مع مفهوم "الموافقة الصريحة". وبناءً عليه، لا يُنصح بالحصول على موافقة كتابية. هل يعني تضمين الأساس القانوني في إشعار المعلومات أن الغرض من المعالجة قد حُدِّد أيضاً؟ لا. يشير الأساس القانوني إلى النص الوارد في المادة 5 أو المادة 6 من القانون الذي يبرر نشاط المعالجة، بينما يوضح الغرض من المعالجة السبب وراء تنفيذ هذا النشاط. يجب تحديد هذين العنصرين بشكل منفصل.

د. الطلبات المقدمة إلى "مراقب البيانات" (Data Controller)

السؤال | الإجابة | التوضيح إذا لم يقم "مراقب البيانات" بمعالجة البيانات الشخصية لصاحب البيانات، فهل يحق له ترك الطلب دون رد؟ لا. وفقاً للقانون، يجب على "مراقب البيانات" إما قبول طلب صاحب البيانات أو رفضه مع توضيح السبب. هل يمكن لـ "مراقب البيانات" نقل التزاماته بموجب تشريعات حماية البيانات الشخصية إلى "معالج البيانات" (Data Processor) من خلال عقد؟ وهل يعفي ذلك "مراقب البيانات" من مسؤولياته؟ لا. في إطار علاقة تعاقدية، يجوز لـ "مراقب البيانات" تفويض "معالج البيانات" للقيام ببعض الالتزامات؛ ومع ذلك، فإن هذا التفويض لا يعفي "مراقب البيانات" من مسؤوليته. هل يمكن لـ "مراقب البيانات" ترك الطلب دون رد بحجة أنه غير سليم من الناحية الإجرائية؟ لا. وفقاً للقانون، يجب على "مراقب البيانات" قبول الطلب أو رفضه مع تقديم مبرر لذلك. هل يمكن تقديم طلب عبر عنوان بريد إلكتروني سبق إبلاغ "مراقب البيانات" به؟ نعم. يجب أن تُقدَّم الطلبات المرسلة عبر البريد الإلكتروني من خلال عنوان بريد إلكتروني سبق إبلاغ "مراقب البيانات" به وتسجيله في أنظمته.

هـ. إخطارات اختراق البيانات، والشكاوى المقدمة إلى الهيئة، والعقوبات

السؤال | الإجابة | التوضيح إذا كانت بيانات الاتصال الخاصة بأصحاب البيانات متاحة لدى "مراقب البيانات"، فهل يكفي مجرد نشر خبر اختراق البيانات على الموقع الإلكتروني للوفاء بالالتزام بإخطار الأشخاص المعنيين؟ لا. إذا كانت بيانات الاتصال الخاصة بصاحب البيانات متاحة، فيجب توجيه إخطار اختراق البيانات مباشرةً إلى الشخص المعني. إذا تعذر الوصول إلى الشخص، يمكن توجيه الإشعار من خلال الموقع الإلكتروني لمراقب البيانات. هل يتم تقييم الشكوى المقدمة إلى الهيئة بناءً على مضمونها إذا كان موضوعها يختلف عن الطلب الذي قُدِّم سابقاً إلى مراقب البيانات؟ لا؛ إذ لا يقوم المجلس بتقييم الشكاوى المتعلقة بمسائل لم تُطرح مسبقاً على مراقب البيانات.هلهل يوجد معيار محدد يستخدمه المجلس عند تحديد الغرامات الإدارية المفروضة على مراقبي البيانات الذين يخالفون القانون؟ لا؛ إذ يتم تقييم كل مخالفة على حدة، مع الأخذ في الاعتبار عوامل مثل: جسامة الفعل غير القانوني، ودرجة خطأ المخالف، والظروف الاقتصادية، وكيفية وقوع المخالفة، وما إذا كانت قد أثرت على عدد كبير من الأفراد، وطبيعة البيانات الشخصيةالمتأثرة. هليُعد امتثال مراقب البيانات للائحة العامة لحماية البيانات في الاتحاد الأوروبي ("GDPR") كافياً للوفاء بالالتزامات المنصوص عليها في القانون؟ لا؛ إذ يتعين على مراقب البيانات في جميع الأحوال الوفاء أيضاً بالالتزامات المنصوص عليها في التشريعات الوطنية لضمان الامتثال للقانون.

خاتمة

وكما يتضح، فإن تنفيذ القانون يشهد تطوراً مستمراً من خلال قرارات مجلس حماية البيانات الشخصية ("المجلس")، بينما تتم معالجة المسائل العملية التي تظهر عند تطبيق التشريعات من خلال المنشورات التي تصدرها الهيئة.

وباستثناء بعض المسائل الجوهرية، فإن الإجابات الواردة في الدليل المعني تستند في مجملها إلى مبادئ سبق إرساؤها في قرارات المجلس المتاحة على الموقع الإلكتروني للهيئة. لذا، فإن متابعة قرارات المجلس تكتسب أهمية بالغة في تشكيل وفهم كيفية التطبيق العملي للتشريعات.

للاطلاع على النص الكامل للدليل ذي الصلة:

https://kvkk.gov.tr/SharedFolderServer/CMSFiles/ca752cda-c3df-4645-8d5e-e2a507e63200.pdf

يُعرض هذا للعلم والنظر.