Процессы приведения в соответствие с Законом о защите персональных данных (KVKK), уведомления о конфиденциальности и явное согласие, управление утечками данных и обращения субъектов данных.
Сегодня законная сборка, обработка, хранение, передача и защита персональных данных являются важной сферой правовых обязательств для компаний, государственных учреждений, работодателей, предприятий электронной коммерции, медицинских организаций и всех иных физических и юридических лиц, обрабатывающих данные.
Соответствующее законодательство, прежде всего Закон № 6698 «О защите персональных данных» (KVKK), устанавливает различные обязательства, связанные с обработкой персональных данных. Общий регламент по защите данных (GDPR), применяемый в Европейском союзе, также может иметь особое значение в процессах обработки данных, связанных с лицами, проживающими в Европейском союзе, или с деятельностью на рынке ЕС.
Незаконная обработка персональных данных или необеспечение их защиты может повлечь административные санкции, а также компенсацию материального и морального вреда, утрату репутации и различные правовые споры.
Наша компания оказывает юридические консультации и адвокатские услуги в сфере процессов соответствия KVKK, реестра обработки данных, уведомлений о конфиденциальности, текстов явного согласия, политик обработки персональных данных, отношений между оператором и обработчиком данных, процессов VERBIS, нарушений безопасности персональных данных, обращений субъектов данных, специальных категорий персональных данных, данных работников, процессов коммерческих электронных сообщений, передачи данных и соответствия GDPR.
Персональные данные могут охватывать любую информацию, относящуюся к определённому или поддающемуся определению физическому лицу. Имя и фамилия, контактная информация, идентификационные данные, информация о клиентах, записи работников, видеозаписи с камер, IP-адреса, данные о местоположении и множество аналогичных сведений могут являться персональными данными. При обработке персональных данных компании должны обращать внимание не только на стадию сбора данных, но и на цель их обработки, правовое основание обработки, срок хранения данных, лиц, с которыми они передаются, факт передачи за рубеж, способ обеспечения безопасности данных, а также на процессы, связанные с правами субъектов данных.
Закон № 6698 «О защите персональных данных» — основной нормативный акт, направленный на защиту основных прав и свобод физических лиц при обработке их персональных данных, а также на установление принципов, которые должны соблюдать физические и юридические лица, обрабатывающие данные. В рамках KVKK на операторов и обработчиков данных возложены различные обязательства, такие как законная обработка персональных данных, обязанность информирования, обеспечение безопасности данных, ответы на обращения субъектов данных, хранение персональных данных в течение необходимого срока, недопущение хранения излишних данных и осуществление передачи данных в соответствии с законом.
Для приведения деятельности компании по обработке персональных данных в соответствие с KVKK необходимо провести правовую экспертизу её текущей практики. В рамках работ по обеспечению соответствия изучаются процедуры обработки данных, категории данных, цели обработки, условия обработки, процессы передачи данных, практика хранения и уничтожения, а также технические и административные меры, на основании чего может быть разработан план соответствия, учитывающий специфику бизнеса.
Реестр обработки персональных данных — важный инструмент соответствия, показывающий, какие персональные данные собирает организация, с какими целями, на каком правовом основании, от кого, какими способами и кому она их передаёт. В рамках реестра могут быть определены категории данных, субъекты данных, цели обработки, правовые основания обработки, передача данных, сроки хранения и деятельность по обработке данных.
Информационная система реестра операторов данных (VERBIS), созданная Управлением по защите персональных данных, — это система, посредством которой операторы данных, отвечающие определённым условиям, исполняют обязанность по регистрации. Оцениваются наличие обязанности по регистрации в VERBIS, применимость исключения, сведения, подлежащие уведомлению, категории данных, цели обработки, информация о передаче и сроки хранения, после чего может быть проведён необходимый правовой процесс.
Информирование субъектов данных при обработке персональных данных — важное обязательство в рамках KVKK. В зависимости от сферы деятельности бизнеса может потребоваться подготовка различных уведомлений, таких как уведомление о конфиденциальности для работников, для клиентов, для посетителей, для веб-сайта, уведомление, касающееся видеозаписей с камер, и уведомление при приёме на работу. Важно, чтобы уведомления о конфиденциальности отражали фактическую деятельность по обработке данных.
Не каждая деятельность по обработке персональных данных должна основываться на явном согласии. Прежде всего необходимо оценить, какое из правовых оснований обработки, указанных в KVKK, может применяться к обработке персональных данных. В случаях, когда требуется явное согласие, важно, чтобы оно было получено в соответствии с такими условиями, как относимость к конкретному вопросу, основанность на информировании и свободное волеизъявление.
В целях систематизации деятельности по обработке персональных данных компаниям может потребоваться разработка различных политик и процедур, таких как политика обработки персональных данных, политика хранения и уничтожения, процедура реагирования на нарушение данных, процедура безопасности данных работников, процедура авторизации доступа и процедура передачи данных.
Хранение персональных данных в течение неограниченного срока, как правило, не является надлежащим подходом. Необходимо определить, с какой целью хранятся данные, каков срок их хранения, предусмотрен ли соответствующим законодательством обязательный срок хранения, а также что произойдёт по истечении срока хранения. В отношении данных, срок хранения которых истёк и для которых отсутствует иное правовое основание, могут применяться такие процессы, как стирание (лишение персональных данных доступности и возможности использования соответствующими пользователями), уничтожение (лишение данных доступности, невозможности восстановления и использования кем-либо каким-либо образом) или обезличивание (лишение данных возможности быть связанными с определённым или поддающимся определению физическим лицом даже при сопоставлении с другими данными).
Специальные категории персональных данных означают группы данных, требующие более высокого уровня защиты. К ним могут относиться раса, этническое происхождение, политические взгляды, философские убеждения, религия, секта или иные убеждения, внешний вид и одежда, членство в ассоциации, фонде или профсоюзе, здоровье, сексуальная жизнь, судимость и меры безопасности, а также биометрические и генетические данные. К обработке специальных категорий персональных данных применяются более строгие правовые условия.
Работодатели могут обрабатывать большое количество персональных данных своих работников, таких как идентификационные данные, контактная информация, кадровая информация, информация о заработной плате и выплатах, записи об отпусках, информация о результативности, видеозаписи с камер, записи о входе и выходе, а также информация о здоровье. При обработке данных работников необходимо соблюдать баланс между законными интересами работодателя и основными правами и свободами работника. Применительно к резюме, контактной и образовательной информации, получаемой от кандидатов в ходе трудоустройства, также должно оцениваться соответствие KVKK такой практики, как хранение резюме, обмен информацией о кандидатах, проверка рекомендаций, тесты при приёме на работу, видеособеседования и обработка специальных категорий данных.
Поскольку видеозаписи с камер, используемых в целях безопасности на предприятиях, в магазинах, жилых комплексах, офисах и иных местах, могут являться персональными данными, необходимо оценить такие вопросы, как цель использования камер, срок хранения записей, права доступа, с кем могут передаваться записи, и обязанность информирования. Соответствие KVKK также должно быть обеспечено применительно к файлам cookie, IP-адресам, контактным формам, информации о членстве, аналитическим инструментам, рекламным технологиям и маркетинговой деятельности, связанным с персональными данными пользователей и их онлайн-активностью через веб-сайты. Необходимо определить тип файлов cookie, используемых на веб-сайтах, цель их использования, срок хранения и связь с третьими лицами, а также надлежащим образом информировать пользователей.
Передача персональных данных лицам или организациям, находящимся за рубежом, — вопрос, требующий отдельной оценки в рамках KVKK. В частности, при использовании облачных сервисов, программного обеспечения, базирующегося за рубежом, услуг электронной почты, CRM-систем, серверов, а также платформ социальных сетей и рекламы важно определить, происходит ли передача персональных данных за рубеж. Правовой механизм, применимый к трансграничной передаче данных, должен определяться в соответствии с действующим законодательством.
Важно правильно определить понятия оператора и обработчика данных в рамках KVKK. Бизнес может рассматриваться как оператор данных, если он обрабатывает персональные данные, определяя собственные цели и средства; поставщики услуг, обрабатывающие данные от имени другой организации и в соответствии с её указаниями, могут занимать положение обработчика данных. Это различие важно с точки зрения ответственности, договоров, безопасности данных, передачи данных и аудита. В случаях, когда компании передают на аутсорсинг такие услуги, как бухгалтерский учёт, кадровое администрирование, облачные услуги, колл-центры, курьерские компании и техническое обслуживание, важно, чтобы ответственность сторон была чётко закреплена в договорах.
Незаконное завладение персональными данными, их утрата, несанкционированный доступ или направление ненадлежащим получателям может привести к нарушению безопасности данных. Кибератаки, программы-вымогатели, ошибочная отправка электронных писем, утрата компьютера или телефона, несанкционированный доступ, утечки из базы данных и передача данных по вине работников могут являться нарушением данных. При возникновении нарушения данных компании должны действовать оперативно не только в отношении технических мер безопасности, но и в отношении своих правовых обязательств; могут потребоваться такие процессы, как выявление нарушения, определение его масштаба, установление затронутых данных, оценка рисков, оценка необходимости уведомления соответствующих органов и субъектов данных, а также определение мер по предотвращению повторения нарушения.
Физические лица, персональные данные которых обрабатываются, обладают такими правами в рамках KVKK, как право узнать, обрабатываются ли их персональные данные, запросить информацию об обрабатываемых данных, узнать цель обработки, узнать третьих лиц, которым передаются данные, потребовать исправления неполных или неточных данных, а также, при соблюдении предусмотренных законом условий, потребовать стирания или уничтожения данных. При поступлении таких обращений в компанию необходимо оценить, кто подал обращение, каких данных оно касается, правовое основание требования и обрабатывает ли компания соответствующие данные, а также подготовить соответствующий законодательству ответ в порядке и в сроки, предусмотренные законом.
В процессах, проходящих в Управлении по защите персональных данных и Совете по защите персональных данных, важно правильно определить правовое положение компании. Наша компания может оказать юридическую поддержку в изучении решений Совета, обращений в Управление, ответов на проверки Совета, уведомлений о нарушении данных, жалоб субъектов данных и правовой оценки административных санкций. В случае несоблюдения обязательств, предусмотренных KVKK, могут возникать различные административные санкции; размер и объём применимой санкции должны оцениваться исходя из характера нарушения и законодательства, действующего на соответствующую дату.
Некоторые компании, действующие в Турции, могут также обрабатывать данные физических лиц, находящихся в Европейском союзе. В таких случаях применимость положений GDPR должна отдельно оцениваться с учётом особенностей конкретного дела. Соответствие GDPR может возникать, в частности, применительно к продажам в Европейский союз, клиентам в Европе, работникам за рубежом, деловым отношениям с компаниями, базирующимися в ЕС, цифровым услугам и международной передаче данных.
При слияниях и поглощениях компаний данные клиентов, работников и поставщиков могут передаваться новой компании; в этих процессах необходимо отдельно оценивать соответствие KVKK применительно к правовому основанию передачи данных, изменению оператора данных, безопасности данных, срокам хранения, трансграничной передаче и договорам. Предприятиям электронной коммерции также может потребоваться комплексный процесс обеспечения соответствия KVKK применительно к записям о клиентах, информации о заказах, адресной информации, платёжной информации, файлам cookie, маркетинговым данным, системам членства и процессам доставки.
В маркетинговой деятельности, осуществляемой посредством SMS, электронной почты и иных электронных средств связи, необходимо учитывать не только KVKK, но и законодательство о коммерческих электронных сообщениях. Необходимые правовые условия для отправки клиентам коммерческих сообщений посредством SMS, электронной почты, телефонного звонка или уведомления должны оцениваться отдельно.
Мобильные приложения могут обрабатывать различные данные пользователей, такие как местоположение, информация об устройстве, IP-адрес, привычки использования и контактная информация; необходимо провести правовую оценку того, какие данные собирает приложение и с какими целями оно их использует. С распространением систем искусственного интеллекта передача и обработка персональных данных в системах искусственного интеллекта также порождают новые правовые риски; особенно важна оценка законодательства о защите данных применительно к обучающим данным, данным пользователей и работников, автоматизированному принятию решений, профилированию, безопасности данных и сторонним сервисам искусственного интеллекта. Для бизнеса соответствие требованиям защиты данных не является разовой процедурой подготовки документов; эффективный процесс обеспечения соответствия, как правило, состоит из таких этапов, как составление карты данных, определение деятельности по обработке данных, анализ правовых оснований, выявление рисков, подготовка необходимых политик и текстов, оформление договоров, оценка технических и административных мер, информирование работников, разработка процедур реагирования на нарушение данных и регулярное обновление процессов.
Наша компания может провести комплексный проект по обеспечению соответствия KVKK, адаптированный к сфере деятельности компании: посредством анализа текущего состояния изучаются деятельность компании по обработке персональных данных и имеющиеся документы; посредством картирования данных определяется, какие персональные данные собираются, от кого, какими способами и с какими целями; посредством анализа правовых оснований оцениваются правовые основания обработки, применимые к каждой деятельности по обработке данных; на этапе документирования подготавливаются уведомления о конфиденциальности, тексты явного согласия, политики, процедуры и договоры, либо пересматриваются имеющиеся документы; в рамках безопасности данных оцениваются правовые требования к техническим и административным мерам; оценивается наличие обязанности по регистрации в VERBIS и проводятся необходимые процессы; работникам могут быть предоставлены обучающие программы по правовой осведомлённости в сфере защиты персональных данных; и процесс обеспечения соответствия постоянно обновляется в соответствии с законодательством, решениями Совета и изменениями в процессах обработки данных компании.
Персональные данные — это любая информация, относящаяся к определённому или поддающемуся определению физическому лицу. Имя, фамилия, номер телефона, адрес электронной почты, идентификационные данные, видеозаписи с камер и некоторые онлайн-данные могут являться персональными данными.
Нет. В рамках KVKK существует несколько правовых оснований для обработки персональных данных. Необходимость явного согласия должна оцениваться исходя из конкретной деятельности по обработке данных.
Нет. Обязанность информирования и явное согласие — разные правовые понятия. Информирование означает уведомление субъекта данных об обработке его персональных данных, тогда как явное согласие означает согласие, относящееся к конкретной деятельности по обработке данных.
Прежде всего необходимо определить, какие персональные данные обрабатывает компания. Затем, изучив цели обработки, правовые основания, процессы передачи данных и сроки хранения, необходимо подготовить необходимые политики, договоры, уведомления о конфиденциальности и процедуры.
Обязанность по регистрации в VERBIS не одинакова для каждого оператора данных. Обязанность по регистрации и исключения должны оцениваться в рамках соответствующего законодательства и решений Совета.
В зависимости от характера нарушения могут возникать административные санкции и иные правовые последствия. Кроме того, у лица, чьи персональные данные были нарушены, также могут возникать правовые требования о компенсации материального или морального вреда.
Прежде всего необходимо определить масштаб и характер нарушения, установить затронутые данные и провести оценку рисков. Затем необходимо оценить, в рамках соответствующего законодательства, требуется ли уведомление Управления и, при необходимости, субъектов данных.
Использование видеозаписей с камер само по себе не противоречит KVKK. Однако цель использования системы видеонаблюдения, соразмерность, информирование субъектов данных, срок хранения, доступ и иные правовые условия должны соответствовать законодательству.
В некоторых случаях да. Если компания, находящаяся в Турции, обрабатывает данные лиц из Европейского союза либо осуществляет деятельность, подпадающую под действие GDPR, применимость GDPR должна оцениваться исходя из конкретного случая.
Важно получить профессиональную юридическую поддержку для того, чтобы начать процесс обеспечения соответствия KVKK для компании, обрабатывающей персональные данные, провести правовой аудит её текущей практики, отреагировать на нарушение данных или оценить обращения субъектов данных. Если вам необходима юридическая поддержка по вопросам консультирования по соответствию KVKK, VERBIS, реестра обработки персональных данных, уведомлений о конфиденциальности, процессов явного согласия, данных работников, видеозаписей с камер, файлов cookie, электронной коммерции, передачи данных, нарушений данных, специальных категорий персональных данных, обращений субъектов данных, процессов Совета по защите персональных данных или GDPR, вы можете связаться с нами для оценки процессов обработки данных вашей компании.