Руководство о распространённых заблуждениях относительно Закона № 6698 «О защите персональных данных» - 2

Управление по защите персональных данных Турции 3 января 2022 года опубликовало на своем официальном сайте руководство под названием «Распространённые заблуждения относительно Закона № 6698 “О защите персональных данных” - 2».

В данном руководстве Управление предприняло попытку обобщить практическое применение различных элементов, составляющих механизм реализации Закона № 6698 «О защите персональных данных» («Закон»), включая вопросы получения явного согласия, обязанности по информированию, регистрации в Реестре операторов данных и другие аспекты.

Ниже представлены основные вопросы и ответы, содержащиеся в соответствующем руководстве:

A. Персональные данные

ВопросОтветРазъяснениеЯвляются ли все данные, такие как голос, изображение и фотографии, биометрическими данными?НетОсновным критерием является возможность уникальной идентификации или подтверждения личности человека. Например, биометрическая фотография является биометрическими данными, однако обычная фотография, сделанная с помощью мобильного телефона, не является биометрическими данными.Является ли биометрическая подпись специальной категорией персональных данных?ДаБиометрическая подпись относится к данной категории, поскольку содержит уникальные характеристики человека, такие как сила давления при подписании, угол написания, скорость и ускорение движения пера.Распространяется ли действие Закона на данные, использующие псевдонимы?ДаИспользование псевдонима не приводит к анонимизации персональных данных, поэтому такие данные остаются в сфере действия Закона.

B. Обработка персональных данных и явное согласие

ВопросОтветРазъяснениеМожет ли обработка персональных данных осуществляться одновременно на основании нескольких условий обработки, предусмотренных Законом?ДаОсновным принципом является то, что обработка данных не должна осуществляться на основании явного согласия, если существует другое законное основание для обработки. Получение согласия в случаях, когда оно не требуется, может вводить субъекта данных в заблуждение.Имеет ли явное согласие приоритет перед другими условиями обработки персональных данных, предусмотренными Законом?НетЕсли существует другое основание для обработки данных, получение явного согласия субъекта данных может иметь вводящий в заблуждение характер. Поэтому на практике сначала рекомендуется проверить наличие иных условий обработки, предусмотренных статьями 5 и 6 Закона.Может ли обработка персональных данных считаться законной, если субъекту предоставляется только возможность отказа (opt-out), без возможности предварительного согласия (opt-in)?НетДля действительного явного согласия необходимо активное волеизъявление субъекта данных.Могут ли персональные данные передаваться за границу на основании Конвенции №108?НетПередача персональных данных в государство, являющееся участником Конвенции №108, может осуществляться только при наличии одного из условий, предусмотренных частью 2 статьи 5 или частью 3 статьи 6 Закона, а также при условии, что Совет по защите персональных данных («Совет») определил наличие достаточного уровня защиты в соответствующей стране либо стороны предоставили письменное обязательство обеспечить достаточную защиту и получили разрешение Совета.

C. Обязанность по информированию

ВопросОтветРазъяснениеЕсли в процессе информирования перечислить все положения статей 5 и 6 Закона, считается ли обязанность по информированию выполненной в соответствии с законодательством?НетВ процессе информирования необходимо четко указать конкретное правовое основание обработки данных среди условий, перечисленных в статьях 5 и 6 Закона.Может ли получение письменного подтверждения в процессе информирования заменить явное согласие?НетПолучение заявления типа «Я согласен» в рамках текста информирования может создать путаницу с явным согласием, поэтому получение письменного подтверждения не рекомендуется.Означает ли указание правового основания в тексте информирования, что также указана цель обработки данных?НетПравовое основание показывает, на каком положении статей 5 или 6 Закона основывается обработка данных, тогда как цель обработки показывает, для какой цели осуществляется обработка. Эти два элемента должны быть указаны отдельно.

D. Обращение к оператору данных

ВопросОтветРазъяснениеЕсли оператор данных не обрабатывал персональные данные соответствующего лица, может ли он оставить обращение без ответа?НетСогласно Закону оператор данных обязан либо принять обращение субъекта данных, либо отклонить его с указанием причин.Может ли оператор данных передать свои обязанности в сфере защиты персональных данных обработчику данных посредством договора? Устраняет ли это ответственность оператора данных?НетВ рамках договорных отношений оператор данных может поручить обработчику выполнение определённых обязанностей, однако такая передача полномочий не освобождает оператора данных от ответственности.Может ли оператор данных оставить обращение без ответа, сославшись на его несоответствие процедурным требованиям?НетСогласно Закону оператор данных обязан рассмотреть обращение либо отклонить его с объяснением причин.Может ли обращение быть направлено через адрес электронной почты, ранее сообщённый оператору данных?ДаПри подаче обращения посредством электронной почты необходимо использовать адрес электронной почты, который ранее был сообщён оператору данных и зарегистрирован в его системе.

E. Уведомление об утечке данных, жалобы в Совет и санкции

ВопросОтветРазъяснениеЕсли контактные данные субъектов имеются у оператора данных, достаточно ли только опубликовать информацию об утечке данных на веб-сайте для выполнения обязанности уведомления?НетЕсли контактные данные субъекта данных доступны, уведомление об утечке должно быть направлено непосредственно соответствующему лицу. Если связаться с лицом невозможно, уведомление может быть размещено на веб-сайте оператора данных.Если предмет жалобы, направленной в Совет, отличается от обращения, поданного оператору данных, рассматривается ли такая жалоба по существу?НетСовет не рассматривает по существу вопросы, которые ранее не были направлены оператору данных.Существует ли чёткий критерий для определения административных штрафов, применяемых Советом к операторам данных, нарушающим Закон?НетПри оценке каждого нарушения индивидуально учитываются такие факторы, как степень общественной опасности нарушения, вина нарушителя, экономическое положение, способ совершения нарушения, количество затронутых лиц и характер персональных данных.Достаточно ли соблюдения оператором данных Общего регламента ЕС по защите данных (GDPR) для выполнения требований Закона?НетВо всех случаях оператор данных обязан также выполнять требования национального законодательства для обеспечения соответствия Закону.

Заключение

Как видно, практика применения Закона формируется решениями Совета по защите персональных данных («Совет»), а проблемы, возникающие в практической реализации законодательства, стремятся устраняться посредством публикаций Управления.

За исключением нескольких критически важных вопросов, ответы, содержащиеся в данном руководстве, в основном основаны на принципах, ранее сформированных в решениях Совета, опубликованных на официальном сайте Управления.

В связи с этим отслеживание решений Совета имеет большое значение для понимания и формирования практики применения законодательства.

Полный текст соответствующего руководства:

https://kvkk.gov.tr/SharedFolderServer/CMSFiles/ca752cda-c3df-4645-8d5e-e2a507e63200.pdf

Представляется для вашего сведения и оценки.