Zusammenfassung

 

Das Datenschutzgesetz Nr. 6698 wurde am 7. April 2016 im Amtsblatt veröffentlicht und trat in Kraft. Dieses Gesetz definiert als Ganzes personenbezogene Daten, deren Verarbeitung und Schutz und legt den allgemeinen Rahmen fest, wie personenbezogene Daten verarbeitet und geschützt werden. Es bestimmt außerdem die Sanktionen bei Nichteinhaltung von Verarbeitungs- und Schutzvorschriften und dient als grundlegendes Regulierungsrecht in diesem Bereich. Der Gesetzestext enthält Bestimmungen, die die Übergangszeit bis zum 7. April 2018 erklären, wenn alle Artikel in Kraft treten. Dieser Artikel soll unseren Kolleginnen und Kollegen, die die Verteidigung unabhängig von der Justiz vertreten, Informationen über den Umsetzungsprozess dieses Gesetzes vermitteln, der erhebliche Auswirkungen auf das Leben der Bürger haben wird.

 

Einleitung

 

Das Datenschutzgesetz Nr. 6698 wurde am 24. März 2016 von der Großen Nationalversammlung der Türkei verabschiedet und am 7. April 2016 im Amtsblatt veröffentlicht, wobei die Ausgabenummer 29677 in Kraft trat. Heute können mit Hilfe moderner Kommunikationsmittel wie Computer, Internet und Mobiltelefone persönliche Daten von Einzelpersonen leicht abgerufen und schnell zwischen Einzelpersonen, Unternehmen und Ländern geteilt werden. Diese Situation hat ein Niveau erreicht, das die rechtliche Sicherheit von Einzelpersonen bedroht und die Privatsphäre ihres Privatlebens verletzt.

 

Personen, die in vielen Lebensbereichen mit dem Staat interagieren, erhalten durch technologische Fortschritte leichter Zugang zu öffentlichen Verwaltungen, deren persönliche Daten erhalten, verarbeitet und genutzt werden. Eine der Hauptauswirkungen technologischer Entwicklungen auf Menschen ist die Sorge, ständig überwacht zu werden.

 

Wie in der Präambel des Gesetzes dargelegt, ist es wichtig, in unserem Land über eine Institution zu verfügen, die den Prozess der Verarbeitung personenbezogener Daten kontrolliert und überwacht. Andernfalls können personenbezogene Daten von vielen Einzelpersonen oder Institutionen ohne angemessene Regulierung und Aufsicht verwendet werden, was zu bestimmten Rechtsverletzungen führen kann.

 

Datenschutzgesetz (PDPL)

 

Dieses Gesetz wurde auf Grundlage des Übereinkommens Nr. 108 vom 28. Januar 1981 des Europarats erstellt, das auf der “-Protokoll von Einzelpersonen bezüglich der automatischen Verarbeitung personenbezogener Daten ” dem “A-Protokoll zur Konvention (”) von 2001 und der Richtlinie 95/46/EG über die “-Regelung personenbezogener Daten erarbeitet wurde ”

 

Der Schutz personenbezogener Daten wurde als verfassungsmäßiges Recht im Rahmen des letzten Absatzes anerkannt, der Artikel 20 der Verfassung der Republik Turkey durch Artikel 2 des Gesetzes Nr. 5982 über die Änderung bestimmter Artikel der Verfassung vom 12. September 2010 hinzugefügt wurde.

 

Artikel 3/d der PDPL definiert “personenbezogene Daten” als “jede Information, die sich auf eine identifizierte oder identifizierbare natürliche Person bezieht.” Beispiele für personenbezogene Daten im Rahmen dieser Definition sind der Name, die Adresse, das Geburtsdatum, der Familienstand, die Nationalität, der Beruf, das Bild, die Meinungen, das Foto, E-Mail-Adresse, Bankdaten, Computer-IP-Adresse, Identitätsnummer, Rente, institutionelle Registrierungs- und Steuernummer, Fingerabdrücke, Bildungsinformationen, Gesundheitsdaten, Textnachrichten, Telefonkontakte und Inhalte, die auf Social-Media-Plattformen wie Facebook und Twitter geteilt werden.

 

Artikel 6/2 des Gesetzes gilt auch für “spezielle Kategorien personenbezogener Daten”, die ohne ausdrückliche Zustimmung der betroffenen Person nicht verarbeitet werden dürfen. Dazu gehören Rasse, ethnische origin, politische Ansichten, philosophische Überzeugungen, Religion, Sekte oder andere Überzeugungen, Aussehen und Kleidung, Mitgliedschaft in Verbänden, Stiftungen oder Gewerkschaften, Gesundheitsdaten, Sexualleben, Vorstrafen und Sicherheitsmaßnahmen sowie biometrische und genetische Daten.

 

Sonderkategorien personenbezogener Daten, ausgenommen Gesundheit und Sexualleben, können ohne ausdrückliche Zustimmung des betreffenden Personen verarbeitet werden, sofern dies gesetzlich vorgeschrieben ist. Gesundheits- und Sexuallebensdaten dürfen ohne ausdrückliche Zustimmung nur von Personen oder Institutionen verarbeitet werden, die gesetzlich zu den im Gesetz vorgesehenen Zwecken und unter der Vertraulichkeitspflicht autorisiert sind.

 

Wie zu sehen ist, kann die Zusammenstellung persönlicher Daten aus verschiedenen Quellen zur Erstellung von Persönlichkeitsprofilen führen, die Grundrechte und Freiheiten gefährden können. Die Würde und Persönlichkeitsrechte des Einzelnen erfordern den Schutz personenbezogener Daten.

 

Technologische Entwicklungen, insbesondere in den Kommunikationstechnologien und die wachsenden Kommunikationsnetze, haben die Möglichkeiten des Datenaustauschs und der Datenerfassung erweitert. Allerdings haben sie auch Gefahren für die Rechtssicherheit mit sich gebracht. Es werden personenbezogene Daten natürlicher Personen erfasst, verarbeitet und genutzt, unabhängig davon, ob das Unternehmen ein Datenverantwortlicher ist oder nicht. Beispielsweise werden personenbezogene Daten beim Online-Einkauf, bei der Beantragung einer E-Mail-Adresse oder bei der Nutzung von E-Banking-Diensten abgefragt. Mit der Bezahlung einer Mahlzeit per Kreditkarte erklärt sich die Person damit einverstanden, dass ihr Kaufverhalten erfasst wird. Internetunternehmen können detaillierte Benutzerinformationen über Interessen, Geschäfte und Produkte basierend auf Einkaufs- und Browsing-Aktivitäten speichern.

 

Aus Sicht des juristischen Berufs sind Beispiele das Anfordern von Sorgerechtsuntersuchungsberichten von Anwälten, Namensänderungsklagen, Beiträge in sozialen Medien, das Einsenden von Gerichtsberichten an die Sozialversicherung, Identifikationskontrollen in Hotels, Fingerabdruck- oder Netzhautscans in Krankenhäusern und Gefängnissen sowie die Angabe persönlicher Daten beim Kauf von Flugtickets.

 

Eine Person, die das Recht auf Schutz personenbezogener Daten verinnerlicht, wird in solchen Situationen verlangen, dass ihre Daten vertraulich bleiben, nicht aufgezeichnet und nicht verarbeitet werden.

 

Zweck und Umfang des Gesetzes

 

Artikel 1 des Gesetzes, betitelt “Purpose, ” lautet: “ Zweck dieses Gesetzes ist es, die Grundrechte und Freiheiten des Einzelnen, insbesondere die Privatsphäre des Privatlebens, bei der Verarbeitung personenbezogener Daten zu schützen und die Pflichten realer und juristischer Personen, die personenbezogene Daten verarbeiten, sowie die Verfahren und Grundsätze, denen sie folgen werden, festzulegen. ” Artikel 2 mit dem Titel “Scope, erklärt ”, dass “ die Bestimmungen dieses Gesetzes für natürliche Personen gelten, deren personenbezogene Daten verarbeitet werden, sowie für juristische und natürliche Personen, die personenbezogene Daten ganz oder teilweise, automatisch oder nicht-automatisch verarbeiten, sofern sie Teil eines Datenerfassungssystems sind. ”

 

Arbeitsablauf bei der Verarbeitung personenbezogener Daten

 

Die Verarbeitung personenbezogener Daten von der Sammlung bis zur Löschung muss dem im Gesetz festgelegten Ablauf folgen.

 

1.   Registration im Data Controllers Registry: Die Person, Institution oder Organisation, die personenbezogene Daten verarbeiten wird, muss sich vor der Sammlung und Verarbeitung der Daten im “Data Controllers Registry” registrieren. Verfahren und Grundsätze zur Registrierung werden durch eine Verordnung geregelt.

 

2.   Preparation für Datenerhebung: Erst nach der Registrierung kann die Umgebung zur Sammlung personenbezogener Daten für den Zugriff geöffnet werden. Das System muss die ausdrückliche Zustimmung der Einzelpersonen aufzeichnen.

 

3.   Informende Personen: Personen, deren personenbezogene Daten erhoben werden, müssen über die Identität des Verantwortlichen, die Zwecke der Datennutzung und darüber, ob die Daten geteilt werden, informiert werden. Ihre Zustimmung muss eingeholt werden, und sie müssen über ihre Rechte an den Daten informiert werden.

 

Ausdrückliche Zustimmungen: Die Zustimmung muss klar und zweifelsfrei gegeben, als Beweis aufgezeichnet und sich auf ein bestimmtes Thema mit ausreichenden Informationen beziehen. Spezielle Kategorien personenbezogener Daten können nur mit ausdrücklicher Zustimmung verarbeitet werden, und die Beweislast liegt beim Sammler.

 

4.   Pozezierung personenbezogener Daten: Die Datenverarbeitung umfasst die Speicherung von Informationen in Papierform, wie zum Beispiel bei Bewerbungen, sowie die digitale Verarbeitung. In einigen Fällen ist eine Auskunft und das Einholen einer ausdrücklichen Zustimmung nicht erforderlich, wie in Artikel 5/2 des Gesetzes festgelegt.

 

5.   Changes: Wenn sich nach der Registrierung Daten, Zwecke oder Empfänger ändern, muss das Register aktualisiert werden. Wenn die Umstände von der Einholung der Zustimmung abweichen, muss die Zustimmung erneuert werden.

 

6.   Deletion oder Anonymisierung von Daten: Wenn die Verarbeitung abgeschlossen ist oder die Zustimmung widerrufen wird, müssen die Daten gelöscht oder anonymisiert werden. Verfahren und Grundsätze werden durch Vorschriften geregelt.

 

Rechte der betroffenen Person

 

Die betroffene Person hat das Recht, im Falle unrechtmäßiger Verarbeitung personenbezogener Daten Informationen und Entschädigung zu verlangen. Der Antragsprozess ist wie folgt:

 

1.   Application an den Datencontroller: Die betroffene Person bittet den Verantwortlichen, Informationen zu erhalten oder einen Verstoß zu korrigieren.

 

2.   Re vom Datencontroller: Der Antrag wird spätestens innerhalb von 30 Tagen kostenlos abgeschlossen. Der Verantwortliche akzeptiert und korrigiert das Problem entweder oder lehnt es mit begründeten Gründen ab und benachrichtigt die betroffene Person schriftlich oder elektronisch.

 

3.   Keine Beschwerde beim Personal Data Protection Board: Wird der Antrag abgelehnt, als unzureichend angesehen oder nicht innerhalb der Frist beantwortet, kann der betroffene Person innerhalb von 30 Tagen nach Erhalt der Antwort oder innerhalb von 60 Tagen nach dem Bewerbungsdatum eine Beschwerde beim Board einreichen. Das Recht auf Entschädigung nach allgemeinen Bestimmungen ist denjenigen vorbehalten, deren Persönlichkeitsrechte verletzt werden.

 

Prüfung durch das Personal Data Protection Board: Der Vorstand prüft Beschwerden oder leitet von Amts wegen eine Untersuchung ein, wenn ihm ein Verstoß bekannt wird. Der Vorstand antwortet innerhalb von 60 Tagen nach der Beschwerde; andernfalls gilt es als abgelehnt. Der für die Datenverarbeitung Verantwortliche muss angeforderte Dokumente, mit Ausnahme von Staatsgeheimnissen, innerhalb von 15 Tagen bereitstellen und gegebenenfalls Inspektionen vor Ort ermöglichen.

 

4.   Notifikation an den Datencontroller: Wird ein Verstoß festgestellt, beantragt der Vorstand dessen Beseitigung. Der Kontrolle muss sich unverzüglich und spätestens innerhalb von 30 Tagen daran halten. Bei irreparablen Schäden oder klarer Illegalität kann das Board entscheiden, die Verarbeitung oder Übertragung von Daten ins Ausland auszusetzen.