Resumen
La Ley de Protección de Datos Personales No. 6698 fue publicado en el Boletín Oficial de fecha 7 de abril de 2016, y entró en vigor. Esta ley, en su conjunto, define los datos personales, su procesamiento y protección, destacando el marco general para la forma en que se procesarán y protegerán los datos personales. También determina las sanciones por incumplimiento de las normas de procesamiento y protección y sirve de ley reglamentaria fundamental en este ámbito. El texto de la ley contiene disposiciones que explican el período de transición hasta el 7 de abril de 2018, cuando todos sus artículos entrarán en vigor. Este artículo pretende proporcionar a nuestros colegas, que representan la defensa independientemente del poder judicial, información sobre el proceso de implementación de esta ley, que tendrá impactos significativos en la vida ciudadana.
Introducción
La Ley de Protección de Datos Personales No. 6698 fue aprobada por la Gran Asamblea Nacional de Turquía el 24 de marzo de 2016, y fue publicada en el Boletín Oficial el 7 de abril de 2016, con número 29677, entrando en vigor. Hoy, con la ayuda de herramientas modernas de comunicación como computadoras, Internet y teléfonos móviles, los datos personales pertenecientes a personas pueden ser fácilmente accesibles y compartidos rápidamente entre individuos, empresas y países. Esta situación ha alcanzado un nivel que amenaza la seguridad jurídica de las personas y viola la privacidad de sus vidas privadas.
Las personas que interactúan con el estado en muchas áreas de su vida tienen sus datos personales más fácilmente obtenidos, procesados y utilizados por las administraciones públicas a través de los avances tecnológicos. Uno de los principales efectos de los avances tecnológicos en las personas es la preocupación de ser constantemente vigilados.
Como se indica en el preámbulo de la ley, es importante que una institución de nuestro país controle y supervise el proceso de procesamiento de datos personales. De lo contrario, muchos individuos o instituciones pueden utilizar datos personales sin una regulación y supervisión adecuadas, lo que puede dar lugar a ciertas violaciones de los derechos.
Ley de protección de datos personales (PDPL)
Esta ley se preparó sobre la base del Convenio No 108 del Consejo de Europa, de 28 de enero de 1981, sobre la “Protección de las Personas con respecto al procesamiento automático de datos personales”, el “Protocolo Adicional a la Convención” de 2001, y la Directiva 95/46/CE sobre la “Protección de Datos Personales”.
La protección de los datos personales se reconoció como un derecho constitucional en el ámbito del último párrafo, que se añadió al artículo 20 de la Constitución de la República de Turquía en virtud del artículo 2 de la Ley No 5982 sobre la enmienda de ciertos artículos de la Constitución, de fecha 12 de septiembre de 2010.
Artículo 3/d del PDPL define “datos personales” como “cualquier información relacionada con una persona física identificada o identificable”. Dentro de esta definición, ejemplos de datos personales incluyen el nombre de la persona, dirección, fecha de nacimiento, estado civil, nacionalidad, profesión, imagen, opiniones, fotografía, dirección de correo electrónico, datos bancarios, computadora IP dirección, número de identidad, pensión, registro institucional y número de impuestos, huellas dactilares, información educativa, datos de salud, mensajes de texto, contactos telefónicos y contenidos compartidos en plataformas de redes sociales como Facebook y Twitter.
El artículo 6/2 de la ley también contempla las «categorías especiales de datos personales», cuyo tratamiento está prohibido sin el consentimiento explícito del titular. Estas incluyen la raza, el origen étnico, las opiniones políticas, las convicciones filosóficas, la religión, la confesión u otras creencias, la apariencia y la vestimenta, la pertenencia a asociaciones, fundaciones o sindicatos, los datos de salud, la vida sexual, las condenas penales y las medidas de seguridad, así como los datos biométricos y genéticos.
Las categorías especiales de datos personales, excluidas la salud y la vida sexual, pueden ser procesadas sin el consentimiento explícito del interesado si lo estipula la ley. Los datos sobre la salud y la vida sexual sólo podrán ser tratados sin consentimiento explícito por personas o instituciones autorizadas por la ley con fines previstos en la legislación y en virtud de la obligación de confidencialidad.
Como se puede ver, recopilar datos personales de diferentes fuentes puede dar lugar a la creación de perfiles de personalidad que puedan poner en peligro los derechos y libertades fundamentales. Los derechos de dignidad y personalidad del individuo requieren la protección de datos personales.
Los acontecimientos tecnológicos, especialmente en las tecnologías de la comunicación y las redes de comunicación en expansión, han aumentado las posibilidades de intercambio y reunión de datos. Sin embargo, también han provocado amenazas a la seguridad jurídica. Los datos personales de las personas, ya sea que la entidad sea un controlador de datos, se registran, procesan y utilizan. Por ejemplo, se solicitan datos personales durante las compras en línea, la obtención de una dirección de correo electrónico o el uso de servicios bancarios electrónicos. Pagar por una comida mediante tarjeta de crédito significa que el individuo acepta que sus hábitos de compra son registrados. Las empresas de Internet pueden almacenar información detallada sobre los intereses, las tiendas y los productos basados en la actividad de compra y navegación.
Desde la perspectiva de la profesión jurídica, los ejemplos incluyen la solicitud de informes de exámenes de custodia de abogados, demandas de cambio de nombre, puestos de redes sociales, envío de informes judiciales a la Institución de la Seguridad Social, cheques de identificación en hoteles, huellas dactilares o retinas en hospitales y prisiones, y la entrega de informes personales datos cuando compra boletos de avión.
Una persona que integre el derecho a la protección de datos personales exigirá que sus datos sean confidenciales, no se registren y no se tramiten en tales situaciones.
Propósito y alcance de la ley
Artículo 1 de la ley, titulada “Purpose”, afirma: “El propósito de esta ley es proteger los derechos y libertades fundamentales de las personas, en particular la privacidad de la vida privada, en el tratamiento de datos personales, y determinar las obligaciones de las personas reales y jurídicas que procesan datos personales y los procedimientos y principios que seguirán.” 2, titulado “Scope”, explica que “las disposiciones de esta ley se aplican a las personas naturales cuyos datos personales se procesan y a las personas jurídicas y naturales que procesan datos personales, total o parcialmente, automáticamente o no automatizados, siempre que sean parte de cualquier sistema de registro de datos”.
Flujo de trabajo en procesamiento de datos personales
El tratamiento de los datos personales, desde la recogida hasta la eliminación, debe seguir el flujo estipulado en la ley.
1. Registro en el Registro de Controladores de Datos: La persona, institución u organización que procesará datos personales debe registrarse en el Registro de Controladores de Datos antes de recopilar y procesar los datos. Los procedimientos y principios relativos al registro se regulan por reglamento.
2. Preparación para la recopilación de datos: Sólo después de la inscripción puede abrirse el entorno para la recopilación de datos personales para su acceso. El sistema debe registrar el consentimiento explícito de las personas.
3. Informar a las personas: Los individuos cuyos datos personales serán recopilados deben ser informados sobre la identidad del controlador de datos, los fines del uso de datos y si los datos serán compartidos. Su consentimiento debe obtenerse, y deben ser informados sobre sus derechos sobre los datos.
Consentimiento explícito: El consentimiento debe darse claramente y sin duda, registrarse para la prueba, y relacionarse con un tema específico con suficiente información. Las categorías especiales de datos personales sólo pueden ser procesadas con consentimiento explícito, y la carga de la prueba recae en el coleccionista.
4. Procesamiento de datos personales: El procesamiento de datos incluye el almacenamiento de información en forma de papel, como las aplicaciones de empleo, así como el procesamiento digital. En algunos casos, no se requiere la información y la obtención de consentimiento explícito, como se indica en el artículo 5/2 de la ley.
5. Cambios: Si hay cambios en los datos, propósitos o destinatarios después del registro, el registro debe actualizarse. Si las circunstancias difieren de cuando se obtuvo el consentimiento, debe renovarse el consentimiento.
6. Eliminación o anonimato de datos: Cuando el procesamiento es completo o el consentimiento se retira, los datos deben ser eliminados o anónimos. Los procedimientos y principios están regulados por la regulación.
Derechos del interesado
El interesado tiene derecho a solicitar información e indemnización en caso de tratamiento ilícito de datos personales, y el proceso de solicitud es el siguiente:
1. Aplicación al controlador de datos: El interesado se aplica al controlador para obtener información o corregir una violación.
2. Respuesta del controlador de datos: La solicitud se completa gratuitamente en un plazo de 30 días a más tardar. El controlador acepta y corrige el problema o lo rechaza con razones, notificando el sujeto de datos por escrito o por vía electrónica.
3. Quejas a la Junta de Protección de Datos Personales: Si la solicitud es rechazada, considerada insuficiente o no respondida dentro del plazo, el interesado puede quejarse ante la Junta dentro de los 30 días desde el aprendizaje de la respuesta o dentro de los 60 días siguientes a la fecha de la solicitud. El derecho a la indemnización se reserva para aquellos cuyos derechos de personalidad se violan.
Examen de la Junta de Protección de Datos Personales: La Junta examina las denuncias o inicia una investigación de oficio si se entera de una violación. La Junta responde dentro de los 60 días siguientes a la denuncia; de lo contrario, se considera rechazada. El responsable deberá proporcionar documentos solicitados, salvo secretos estatales, dentro de los 15 días y permitir inspecciones in situ si es necesario.
4. Notificación al controlador de datos: Si se encuentra una violación, la Junta solicita su eliminación, el responsable deberá cumplir sin demora y dentro de los 30 días siguientes a la fecha. En los casos de daño irreparable o ilegalidad clara, la Junta podrá decidir suspender el procesamiento o la transferencia de datos en el extranjero.