Sintesi
La legge sulla protezione dei dati personali n. 6698 è stato pubblicato nella Gazzetta ufficiale il 7 aprile 2016, ed è entrato in vigore. La presente legge, nel suo complesso, definisce i dati personali, il suo trattamento e la tutela, delineando il quadro generale per il trattamento e la tutela dei dati personali. Essa determina anche le sanzioni per la non conformità alle norme di trattamento e protezione e funge da legge regolamentare fondamentale in questo campo. Il testo della legge contiene disposizioni che spiegano il periodo di transizione fino al 7 aprile 2018, quando tutti i suoi articoli entreranno in vigore. Questo articolo mira a fornire ai nostri colleghi, che rappresentano la difesa indipendentemente dalla magistratura, con informazioni sul processo di attuazione di questa legge, che avrà effetti significativi sulla vita dei cittadini.
Introduzione
La legge sulla protezione dei dati personali n. Il 24 marzo 2016, la Gran Assemblea Nazionale Turca ha adottato il 6698 ed è stata pubblicata nella Gazzetta Ufficiale il 7 aprile 2016, con numero di emissione 29677, entrata in vigore. Oggi, con l'aiuto di strumenti di comunicazione moderni come computer, internet e telefoni cellulari, i dati personali appartenenti a persone possono essere facilmente accessibili e condivisi rapidamente tra individui, aziende e paesi. Questa situazione ha raggiunto un livello che minaccia la sicurezza legale degli individui e viola la privacy della loro vita privata.
Gli individui che interagiscono con lo stato in molte aree della loro vita hanno i loro dati personali più facilmente ottenuti, trattati e utilizzati dalle pubbliche amministrazioni attraverso progressi tecnologici. Uno dei principali effetti dell'evoluzione tecnologica sugli individui è la preoccupazione di essere costantemente monitorati.
Come indicato nel preambolo della legge, è importante che un'istituzione del nostro paese controlli e controlli il processo di trattamento dei dati personali. In caso contrario, i dati personali possono essere utilizzati da molti individui o istituzioni senza un adeguato regolamento e supervisione, portando a determinate violazioni dei diritti.
Diritto di protezione dei dati personali (PDPL)
La presente legge è stata preparata sulla base della Convenzione del Consiglio d’Europa n. 108 del 28 gennaio 1981, sulla “Protezione delle persone in materia di trattamento automatico dei dati personali”, il “Protocollo aggiuntivo alla Convenzione” del 2001, e la Direttiva 95/46/CE sulla “Protezione dei dati personali”.
La tutela dei dati personali è stata riconosciuta come diritto costituzionale nell'ambito dell'ultimo paragrafo aggiunto all'articolo 20 della Costituzione della Repubblica di Turchia dall'articolo 2 della legge n. 5982 sull'emendamento di alcuni articoli della Costituzione, datato 12 settembre 2010.
Articolo 3/d del PDPL definisce “dati personali” come “qualsiasi informazione relativa a una persona fisica identificata o identificabile”. In questa definizione, esempi di dati personali includono il nome, l’indirizzo, la data di nascita, lo stato civile, la nazionalità, la professione, l’immagine, le opinioni, la fotografia, l’indirizzo e-mail, i dettagli bancari, il computer IP indirizzo, numero di identità, pensione, registrazione istituzionale e numero di imposta, impronte digitali, informazioni sull'istruzione, dati sulla salute, messaggi di testo, contatti telefonici e contenuti condivisi su piattaforme di social media come Facebook e Twitter.
L’articolo 6/2 della legge riguarda anche “ categorie speciali di dati personali” vietate di essere trattate senza il consenso esplicito dell’interessato. Tra questi figurano razza, origine etnica, opinioni politiche, convinzioni filosofiche, religione, setta o altre convinzioni, apparenza e abbigliamento, appartenenza a associazioni, fondazioni, o sindacati, dati sanitari, vita sessuale, convinzioni criminali, e misure di sicurezza, così come dati biometrici e genetici.
Le categorie particolari di dati personali, escluse la vita sanitaria e sessuale, possono essere trattati senza il consenso esplicito dell'interessato, se previsto dalla legge. I dati sulla vita sessuale e la salute possono essere trattati senza un esplicito consenso solo da persone o istituzioni autorizzate dalla legge per scopi previsti dalla legislazione e in base all'obbligo di riservatezza.
Come si può vedere, la compilazione di dati personali da diverse fonti può portare alla creazione di profili di personalità che possono mettere in pericolo i diritti e le libertà fondamentali. La dignità e i diritti di personalità dell'individuo richiedono la protezione dei dati personali.
Gli sviluppi tecnologici, soprattutto nelle tecnologie di comunicazione e nelle reti di comunicazione in espansione, hanno aumentato le possibilità di scambio e raccolta dei dati. Tuttavia, hanno anche causato minacce alla sicurezza legale. I dati personali degli individui, che siano o meno soggetti a trattamento dei dati, vengono registrati, trattati e utilizzati. Ad esempio, i dati personali vengono richiesti durante lo shopping online, ottenendo un indirizzo e-mail o utilizzando servizi bancari elettronici. Pagare un pasto con carta di credito significa che l'individuo accetta che le loro abitudini di acquisto sono registrati. Le aziende di Internet possono memorizzare informazioni dettagliate sull'utente su interessi, negozi e prodotti basati sia sull'attività di shopping che di navigazione.
Dal punto di vista della professione legale, gli esempi includono la richiesta di rapporti di esame di custodia da avvocati, azioni di cambio di nome, post di social media, l'invio di rapporti giudiziari all'istituto di previdenza sociale, controlli di identificazione presso alberghi, impronte digitali o scansioni retina presso ospedali e prigioni, e la fornitura di personale dati quando si acquistano biglietti aerei.
Un individuo che internizza il diritto alla protezione dei dati personali esigerà che i propri dati rimangano riservati, non registrati e non vengano trattati in tali situazioni.
Finalità e Ambito della Legge
Articolo 1 della legge, intitolato “Purpose,” afferma: “Lo scopo di questa legge è quello di proteggere i diritti fondamentali e le libertà degli individui, in particolare la privacy della vita privata, nel trattamento dei dati personali, e di determinare gli obblighi di persone reali e legali che trattano i dati personali e le procedure e i principi che seguiranno.” 2, intitolato “Scope”, spiega che “le disposizioni di questa legge si applicano a persone fisiche i cui dati personali sono trattati e a persone giuridiche e naturali che trattano dati personali, in tutto o in parte, automaticamente o non automaticamente, a condizione che siano parte di qualsiasi sistema di registrazione dei dati”.
Flusso di lavoro nel trattamento dei dati personali
Il trattamento dei dati personali, dalla raccolta alla cancellazione, deve seguire il flusso sancito dalla legge.
1. Registrazione al Registro dei Responsabili del trattamento: La persona, l'istituzione o l'organizzazione che tratterà i dati personali deve registrarsi al Registro dei titolari dei dati prima di raccogliere e trattare i dati. Le procedure e i principi relativi alla registrazione sono regolati dal regolamento.
2. Preparazione per la raccolta dei dati: Solo dopo la registrazione, l'ambiente per la raccolta dei dati personali è aperto per l'accesso. Il sistema deve registrare il consenso esplicito delle persone.
3. Informare gli individui: Le persone i cui dati personali saranno raccolti devono essere informati sull'identità del titolare del trattamento, sulle finalità dell'utilizzo dei dati e sulla condivisione dei dati. Il loro consenso deve essere ottenuto e devono essere informati sui loro diritti sui dati.
Consenso esplicito: Il consenso deve essere dato chiaramente e senza dubbio, registrato per la prova e riguarda un soggetto specifico con informazioni sufficienti. Le categorie particolari di dati personali possono essere trattati solo con esplicito consenso, e l'onere della prova è con il collezionista.
4. Trattamento dei dati personali: Il trattamento dei dati include la memorizzazione di informazioni in forma cartacea, come ad esempio le domande di lavoro, nonché il trattamento digitale, in alcuni casi non è richiesto l'informazione e l'ottenimento di un consenso esplicito, come indicato nell'articolo 5/2 della legge.
5. Modifiche: Se sono presenti modifiche dei dati, delle finalità o dei destinatari dopo la registrazione, il registro deve essere aggiornato. Se le circostanze differiscono da quando il consenso è stato ottenuto, il consenso deve essere rinnovato.
6. Cancellazione o anonimizzazione dei dati: Quando il trattamento è completo, o il consenso viene revocato, i dati devono essere cancellati o anonimi.
Diritti dell'interessato
L'interessato ha il diritto di richiedere informazioni e risarcimenti in caso di trattamento illecito dei dati personali.
1. Applicazione al titolare del trattamento: L'interessato si applica al titolare del trattamento per ottenere informazioni o correggere una violazione.
2. Risposta del titolare del trattamento: La richiesta è finalizzata gratuitamente entro 30 giorni al più tardi, il titolare del trattamento accetta e corregge il problema o lo rifiuta con motivi, notificando l'interessato per iscritto o elettronicamente.
3. La denuncia al Personal Data Protection Board: Se la domanda viene rifiutata, considerata insufficiente o non risponde entro il termine di tempo, l'interessato può lamentarsi al Consiglio entro 30 giorni dall'apprendimento della risposta o entro 60 giorni dalla data di applicazione. Il diritto al risarcimento in base alle disposizioni generali è riservato a coloro i cui diritti di personalità sono violati.
Esame da parte del Consiglio di protezione dei dati personali: Il Consiglio esamina le denunce o avvia un'indagine ex officio se impara una violazione. Il Consiglio risponde entro 60 giorni dalla denuncia; altrimenti, viene ritenuto respinto. Il titolare del trattamento deve fornire documenti richiesti, salvo i segreti di stato, entro 15 giorni e consentire ispezioni in loco, se necessario.
4. Notifica al titolare del trattamento: Se si trova una violazione, il Consiglio chiede la sua eliminazione, il Titolare deve conformarsi senza indugio e entro 30 giorni al più tardi. In caso di danno irreparabile o di chiara illegalità, il Consiglio può decidere di sospendere il trattamento o il trasferimento dei dati all'estero.