关于第6698号《个人数据保护法》常见误解指南 - 第二部分

土耳其个人数据保护机构（Personal Data Protection Authority）于2022年1月3日在其官方网站发布了题为《关于第6698号〈个人数据保护法〉常见误解 - 2》的指南。

该指南旨在总结第6698号《个人数据保护法》（以下简称“《法律》”）实施过程中涉及的多个重要因素的实际适用情况，包括明确同意、告知义务、向数据控制者登记系统注册等内容。

现将该指南中的主要问题及答复摘要如下：

A. 个人数据

问题答案说明声音、影像、照片等所有数据是否均属于生物识别数据？否判断标准在于是否能够对个人进行唯一识别或身份验证。例如，生物识别照片属于生物识别数据，而使用手机拍摄的一般照片并不属于生物识别数据。生物识别签名是否属于特殊类别个人数据？是生物识别签名包含个人特有的信息，例如签署时施加的压力大小、书写角度、笔的速度及加速度等，因此属于特殊类别个人数据。使用化名的数据是否属于《法律》的适用范围？是使用化名并不会使个人数据实现匿名化，因此此类数据仍属于《法律》的适用范围。

B. 个人数据处理活动与明确同意

问题答案说明一项个人数据处理活动是否可以同时依据《法律》规定的多个处理条件进行？是基本原则是不应在存在其他合法处理依据的情况下，以明确同意作为数据处理依据。在不需要明确同意的情况下要求取得同意，可能会对数据主体产生误导。《法律》规定的个人数据处理条件中，明确同意是否优先于其他处理条件？否如果存在其他数据处理合法依据，向数据主体取得明确同意可能会造成误导。因此，在实践中，应优先审查《法律》第5条和第6条规定的其他处理条件。如果不提供“主动选择同意（Opt-in）”，而仅提供“退出选择（Opt-out）”，个人数据处理是否可以被视为合法？否有效的明确同意必须基于数据主体主动作出的意思表示。个人数据是否可以依据第108号公约进行跨境传输？否向第108号公约缔约国进行个人数据传输，仅可在符合《法律》第5条第2款或第6条第3款规定的处理条件，并且个人数据保护委员会（以下简称“委员会”）认定目的地国家具有充分保护水平，或者数据传输双方以书面形式承诺提供充分保护并取得委员会许可的情况下进行。

C. 告知义务

问题答案说明在告知过程中，如果列明《法律》第5条和第6条的全部规定，是否可以认为已经履行告知义务？否必须明确说明个人数据处理活动所依据的具体法律依据，而不能仅笼统列举全部规定。在告知过程中取得书面确认，是否可以代替明确同意？否在告知文本中取得“我同意”等确认表述，可能会与明确同意产生混淆，因此不建议取得此类书面确认。在告知文本中说明法律依据，是否意味着同时说明了数据处理目的？否法律依据说明数据处理活动基于《法律》第5条或第6条中的哪一项规定；而处理目的说明数据处理活动为何进行。二者必须分别说明。

D. 向数据控制者提出申请

问题答案说明如果数据控制者并未处理相关人员的个人数据，是否可以不回应该人员的申请？否根据《法律》，数据控制者必须接受数据主体的申请，或者说明理由后予以拒绝。数据控制者是否可以通过合同将个人数据保护法律框架下的义务转移给数据处理者？此后数据控制者是否不再承担责任？否数据控制者可以授权数据处理者履行部分具体义务，但该授权并不会消除数据控制者自身的法律责任。数据控制者是否可以以申请程序不符合要求为由不予回应？否根据《法律》，数据控制者必须接受申请，或者说明理由后拒绝。是否可以通过此前已向数据控制者提供的电子邮箱地址提交申请？是通过电子邮件提交申请时，应使用此前已通知数据控制者并已记录在其系统中的电子邮箱地址。

E. 数据泄露通知、向委员会投诉及行政处罚

问题答案说明如果数据控制者已经掌握相关人员的联系方式，仅在网站公布数据泄露事件，是否意味着已经履行通知义务？否如果能够获取数据主体的联系方式，应直接向相关人员进行数据泄露通知；若无法联系，则可以通过数据控制者的网站进行通知。如果数据主体向数据控制者提出的申请内容与向委员会提交的投诉内容不同，委员会是否会审查投诉事项的实体内容？否对于未曾向数据控制者提出的问题，委员会不会进行实体审查。委员会在确定违反《法律》的数据控制者行政罚款金额时，是否存在明确统一的标准？否委员会会根据每一项违法行为具体评估，包括违法行为的不当程度、责任人的过错程度、经济状况、违法方式、受到影响的人员范围以及涉及个人数据的性质等因素。数据控制者遵守欧盟《通用数据保护条例》（GDPR），是否足以满足《法律》的要求？否数据控制者无论如何仍必须遵守土耳其国内法律规定，以确保履行《法律》规定的义务。

结论

如上所述，《个人数据保护法》的实施实践正在通过土耳其个人数据保护委员会（以下简称“委员会”）的决定不断发展，同时，数据控制者在实际执行过程中遇到的问题也正在通过个人数据保护机构发布的指南和公告得到解决。

除少数关键问题外，本指南中的问题及答案主要由委员会此前在其官方网站公布的决定中形成的原则构成。因此，持续关注委员会的相关决定，对于理解和塑造个人数据保护法律的实际适用具有重要意义。