Résumé
La loi n° 6698 sur la protection des données personnelles a été publiée au Journal officiel du 7 avril 2016 et est entrée en vigueur. Dans son ensemble, cette loi définit les données personnelles, leur traitement et leur protection, en fixant le cadre général dans lequel elles doivent être traitées et protégées. Elle détermine également les sanctions applicables en cas de non-respect des règles de traitement et de protection et constitue le texte de référence dans ce domaine. Le texte prévoit une période transitoire jusqu’au 7 avril 2018, date d’entrée en vigueur de l’ensemble de ses dispositions. Cet article vise à informer nos confrères, qui assurent la défense indépendamment du pouvoir judiciaire, sur la mise en œuvre de cette loi, dont les conséquences sur la vie des citoyens seront importantes.
Introduction
La loi n° 6698 sur la protection des données personnelles a été adoptée par la Grande Assemblée nationale de Turquie le 24 mars 2016, puis publiée au Journal officiel n° 29677 du 7 avril 2016, date de son entrée en vigueur. Aujourd’hui, les outils de communication modernes, notamment les ordinateurs, Internet et les téléphones mobiles, permettent d’accéder facilement aux données personnelles et de les partager rapidement entre particuliers, entreprises et pays. Cette situation a atteint un niveau qui menace la sécurité juridique des personnes et porte atteinte au respect de leur vie privée.
Grâce aux progrès technologiques, les administrations publiques peuvent obtenir, traiter et utiliser plus facilement les données personnelles des personnes qui sont en relation avec l’État dans de nombreux domaines de leur vie. L’une des principales conséquences de ces évolutions est la crainte d’être surveillé en permanence.
Comme l’indique l’exposé des motifs de la loi, il est important que notre pays dispose d’une institution chargée de contrôler et de superviser le traitement des données personnelles. Sans réglementation ni surveillance suffisantes, de nombreuses personnes ou institutions pourraient utiliser ces données et porter ainsi atteinte à certains droits.
Loi sur la protection des données personnelles (PDPL)
Cette loi a été élaborée sur la base de la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, du protocole additionnel à cette convention datant de 2001 et de la directive 95/46/EC relative à la protection des données personnelles.
La protection des données personnelles a été reconnue comme un droit constitutionnel dans le dernier alinéa ajouté à l’article 20 de la Constitution de la République de Turquie par l’article 2 de la loi n° 5982 du 12 septembre 2010 modifiant certaines dispositions de la Constitution.
L’article 3/d de la PDPL définit les données personnelles comme toute information concernant une personne physique identifiée ou identifiable. Cette définition recouvre notamment le nom, l’adresse, la date de naissance, la situation familiale, la nationalité, la profession, l’image, les opinions, la photographie, l’adresse électronique, les coordonnées bancaires, l’adresse IP de l’ordinateur, le numéro d’identité, la pension, les numéros d’immatriculation institutionnelle et fiscale, les empreintes digitales, les informations relatives à la formation, les données de santé, les SMS, les contacts téléphoniques et les contenus partagés sur des réseaux sociaux comme Facebook et Twitter.
L’article 6/2 de la loi concerne également les catégories particulières de données personnelles dont le traitement est interdit sans le consentement explicite de la personne concernée. Il s’agit notamment de l’origine raciale ou ethnique, des opinions politiques, des convictions philosophiques, de la religion, de l’appartenance à une confession ou d’autres croyances, de l’apparence et de la tenue vestimentaire, de l’appartenance à des associations, fondations ou syndicats, des données de santé, de la vie sexuelle, des condamnations pénales et des mesures de sûreté, ainsi que des données biométriques et génétiques.
Les catégories particulières de données personnelles, à l’exception des données de santé et de vie sexuelle, peuvent être traitées sans le consentement explicite de la personne concernée lorsque la loi le prévoit. Les données de santé et de vie sexuelle ne peuvent être traitées sans consentement explicite que par des personnes ou institutions habilitées par la loi, aux fins prévues par la législation et sous le sceau de la confidentialité.
Le regroupement de données personnelles provenant de différentes sources peut donc permettre de constituer des profils individuels susceptibles de compromettre les droits et libertés fondamentaux. La dignité et les droits de la personnalité exigent la protection des données personnelles.
Les progrès technologiques, en particulier dans les technologies de communication et l’extension des réseaux, ont accru les possibilités d’échange et de collecte de données. Ils ont aussi fait naître des menaces pour la sécurité juridique. Les données personnelles sont enregistrées, traitées et utilisées, que l’organisme concerné soit ou non un responsable du traitement. Elles sont par exemple demandées lors d’un achat en ligne, de la création d’une adresse électronique ou de l’utilisation de services bancaires électroniques. Régler un repas par carte bancaire revient à accepter l’enregistrement de ses habitudes d’achat. Les entreprises d’Internet peuvent conserver des informations détaillées sur les centres d’intérêt des utilisateurs, les magasins et les produits, à partir de leurs achats comme de leur navigation.
Dans le domaine juridique, on peut citer les demandes de rapports d’examen de garde à vue adressées aux avocats, les procédures de changement de nom, les publications sur les réseaux sociaux, l’envoi de rapports judiciaires à l’institution de sécurité sociale, les contrôles d’identité dans les hôtels, les relevés d’empreintes digitales ou les scans rétiniens dans les hôpitaux et les prisons, ainsi que la communication de données personnelles lors de l’achat de billets d’avion.
Une personne qui s’approprie le droit à la protection de ses données personnelles demandera, dans de telles situations, que ses données restent confidentielles et ne soient ni enregistrées ni traitées.
Objet et champ d’application de la loi
L’article 1 de la loi, intitulé « Objet », dispose : « La présente loi a pour objet de protéger les droits et libertés fondamentaux des personnes, notamment le respect de la vie privée, dans le cadre du traitement des données personnelles, et de déterminer les obligations des personnes physiques et morales qui traitent ces données ainsi que les procédures et principes qu’elles doivent respecter. » L’article 2, intitulé « Champ d’application », précise que les dispositions de cette loi s’appliquent aux personnes physiques dont les données sont traitées ainsi qu’aux personnes morales et physiques qui les traitent de manière entièrement ou partiellement automatisée, ou non automatisée dès lors que ce traitement fait partie d’un système d’enregistrement de données.
Déroulement du traitement des données personnelles
De la collecte à la suppression, le traitement des données personnelles doit suivre les étapes prévues par la loi.
1. Inscription au registre des responsables du traitement : La personne, l’institution ou l’organisme qui traitera des données personnelles doit s’inscrire au registre des responsables du traitement avant de les collecter et de les traiter. Les modalités et principes de cette inscription sont fixés par voie réglementaire.
2. Préparation de la collecte des données : Ce n’est qu’après l’inscription que l’environnement destiné à la collecte des données personnelles peut être rendu accessible. Le système doit enregistrer le consentement explicite des personnes.
3. Information des personnes : Les personnes dont les données seront collectées doivent être informées de l’identité du responsable du traitement, des finalités de l’utilisation des données et de leur éventuel partage. Leur consentement doit être recueilli et elles doivent être informées de leurs droits sur ces données.
Consentement explicite : Le consentement doit être exprimé clairement et sans équivoque, être enregistré à titre de preuve et porter sur un sujet précis au sujet duquel des informations suffisantes ont été fournies. Les catégories particulières de données personnelles ne peuvent être traitées qu’avec un consentement explicite, dont la preuve incombe à la personne qui les collecte.
4. Traitement des données personnelles : Le traitement comprend aussi bien la conservation d’informations sur papier, par exemple des candidatures à un emploi, que leur traitement numérique. Dans certains cas prévus à l’article 5/2 de la loi, l’information préalable et le recueil d’un consentement explicite ne sont pas requis.
5. Modifications : Si les données, les finalités ou les destinataires changent après l’inscription, le registre doit être mis à jour. Si les circonstances diffèrent de celles dans lesquelles le consentement a été obtenu, celui-ci doit être renouvelé.
6. Suppression ou anonymisation des données : Lorsque le traitement est terminé ou que le consentement est retiré, les données doivent être supprimées ou anonymisées. Les modalités et principes applicables sont fixés par voie réglementaire.
Droits de la personne concernée
La personne concernée a le droit de demander des informations et une indemnisation en cas de traitement illicite de ses données personnelles. La procédure de demande est la suivante :
1. Demande au responsable du traitement : La personne concernée s’adresse au responsable du traitement pour obtenir des informations ou faire cesser une violation.
2. Réponse du responsable du traitement : La demande est traitée gratuitement dans un délai maximal de 30 jours. Le responsable du traitement l’accepte et corrige le problème, ou la rejette en motivant sa décision, puis en informe la personne concernée par écrit ou par voie électronique.
3. Réclamation auprès du Conseil de protection des données personnelles : Si la demande est rejetée, si la réponse est jugée insuffisante ou si aucune réponse n’est apportée dans le délai prévu, la personne concernée peut saisir le Conseil dans les 30 jours suivant la prise de connaissance de la réponse, ou dans les 60 jours suivant la date de sa demande. Les personnes dont les droits de la personnalité ont été violés conservent le droit de demander réparation conformément aux dispositions générales.
Examen par le Conseil de protection des données personnelles : Le Conseil examine les réclamations ou ouvre une enquête d’office lorsqu’il prend connaissance d’une violation. Il répond dans les 60 jours suivant la réclamation ; à défaut, celle-ci est réputée rejetée. Le responsable du traitement doit fournir les documents demandés, à l’exception des secrets d’État, dans un délai de 15 jours et permettre des contrôles sur place si nécessaire.
4. Notification au responsable du traitement : Lorsqu’une violation est constatée, le Conseil demande qu’il y soit mis fin. Le responsable du traitement doit s’exécuter sans délai et au plus tard dans les 30 jours. En cas de préjudice irréparable ou d’illégalité manifeste, le Conseil peut décider de suspendre le traitement ou le transfert de données à l’étranger.