Resumo
A Lei de Proteção de Dados Pessoais n.o 6698 foi publicado no Diário Oficial datado de 7 de abril de 2016, e entrou em vigor. Esta lei define, no seu conjunto, os dados pessoais, o seu tratamento e a proteção, delineando o quadro geral para o tratamento e a proteção dos dados pessoais. Determina igualmente as sanções por incumprimento das regras de tratamento e de proteção e serve de lei regulamentar fundamental neste domínio. O texto da lei contém disposições que explicam o período de transição até 7 de abril de 2018, quando todos os seus artigos entrarão em vigor. Este artigo tem como objetivo fornecer aos nossos colegas, que representam a defesa independentemente do poder judiciário, informações sobre o processo de implementação desta lei, que terão impactos significativos na vida dos cidadãos.
Introdução
A Lei de Proteção de Dados Pessoais n.o 6698 foi adotado pela Grande Assembleia Nacional Turca em 24 de março de 2016, e foi publicado no Diário Oficial em 7 de abril de 2016, com número 29677, entrando em vigor. Hoje, com a ajuda de modernas ferramentas de comunicação, como computadores, internet e telefones celulares, os dados pessoais pertencentes a indivíduos podem ser facilmente acessados e compartilhados rapidamente entre indivíduos, empresas e países. Essa situação atingiu um nível que ameaça a segurança jurídica dos indivíduos e viola a privacidade de suas vidas particulares.
Os indivíduos que interagem com o estado em muitas áreas de suas vidas têm seus dados pessoais mais facilmente obtidos, processados e utilizados pelas administrações públicas através de avanços tecnológicos. Um dos principais efeitos da evolução tecnológica sobre os indivíduos é a preocupação de ser constantemente monitorado.
Como se afirma no preâmbulo da lei, é importante ter uma instituição em nosso país para controlar e supervisionar o processo de tratamento de dados pessoais. Caso contrário, os dados pessoais podem ser utilizados por muitas pessoas ou instituições sem regulamentação e supervisão adequadas, levando a certas violações de direitos.
Lei de Proteção de Dados Pessoais (PDPL)
Esta lei foi elaborada com base na Convenção do Conselho da Europa n.o 108, de 28 de janeiro de 1981, sobre a “Proteção das Pessoas no que diz respeito ao Tratamento Automático de Dados Pessoais”, o “Protocolo Adicional à Convenção” de 2001 e a Diretiva 95/46/CE relativa à “Proteção de Dados Pessoais”.
A proteção dos dados pessoais foi reconhecida como um direito constitucional no âmbito do último parágrafo, adicionado ao artigo 20 da Constituição da República da Turquia pelo artigo 2 da Lei n.o 5982 sobre a Emenda de determinados artigos da Constituição, datada de 12 de setembro de 2010.
Artigo.o 3/d da PDPL define “dados pessoais” como “qualquer informação relativa a uma pessoa singular identificada ou identificável”. Nesta definição, exemplos de dados pessoais incluem o nome, endereço, data de nascimento, estado civil, nacionalidade, profissão, imagem, opiniões, fotografia, endereço de e-mail, dados bancários, computador IP endereço, número de identidade, pensão, registro institucional e número de imposto, impressões digitais, informações sobre educação, dados sobre saúde, mensagens de texto, contatos telefónicos e conteúdos partilhados em plataformas de redes sociais, como Facebook e Twitter.
O artigo 6/2 da lei também abrange “categorias especiais de dados pessoais” que são proibidas de serem processadas sem o consentimento explícito do titular dos dados. Estes incluem raça, origem étnica, opiniões políticas, crenças filosóficas, religião, seita ou outras crenças, aparência e vestuário, associação em associações, fundações ou sindicatos, dados de saúde, vida sexual, convicções criminais e medidas de segurança, bem como dados biométricos e genéticos.
Categorias especiais de dados pessoais, excluindo saúde e vida sexual, podem ser processadas sem o consentimento explícito do titular dos dados, se estipulado por lei. Os dados de saúde e de vida sexual só podem ser tratados sem consentimento explícito por pessoas ou instituições autorizadas por lei para fins previstos na legislação e sob a obrigação de confidencialidade.
Como se pode ver, a compilação de dados pessoais de diferentes fontes pode resultar na criação de perfis de personalidade que possam pôr em perigo os direitos e liberdades fundamentais. Os direitos de dignidade e personalidade da pessoa requerem a proteção de dados pessoais.
Os desenvolvimentos tecnológicos, especialmente nas tecnologias de comunicação e nas redes de comunicação em expansão, têm aumentado as possibilidades de intercâmbio e coleta de dados. No entanto, também provocaram ameaças à segurança jurídica. Os dados pessoais dos indivíduos, quer a entidade seja ou não um controlador de dados, são registrados, processados e utilizados. Por exemplo, os dados pessoais são solicitados durante as compras online, obtendo um endereço de e-mail ou usando serviços bancários eletrônicos. Pagar uma refeição por cartão de crédito significa que o indivíduo aceita que seus hábitos de compra são registrados. As empresas de Internet podem armazenar informações detalhadas sobre interesses, lojas e produtos baseados tanto na atividade de compras quanto na navegação.
Na perspectiva da profissão jurídica, exemplos incluem solicitar relatórios de exames de custódia de advogados, processos de mudança de nome, postagens nas redes sociais, envio de relatórios judiciais para a Instituição de Segurança Social, verificação de identificação em hotéis, digitalização de impressões digitais ou retina em hospitais e prisões, e fornecimento de informações pessoais dados relativos à compra de bilhetes de avião.
Um indivíduo que internalize o direito à proteção de dados pessoais exigirá que seus dados permaneçam confidenciais, não sejam registrados e não sejam processados em tais situações.
Objetivo e Âmbito da Lei
Artigo.o 1 da lei, intitulada “Purpose”, afirma: “O objetivo desta lei é proteger os direitos e liberdades fundamentais das pessoas, em particular a privacidade da vida privada, no tratamento de dados pessoais, e determinar as obrigações das pessoas reais e coletivas que processam dados pessoais e os procedimentos e princípios que seguirão.” Artigo 2, intitulado “Escope”, explica que “as disposições desta lei se aplicam às pessoas singulares cujos dados pessoais são tratados e às pessoas singulares e colectivas que processam dados pessoais, total ou parcialmente, automaticamente ou não, desde que façam parte de qualquer sistema de registro de dados.”
Fluxo de trabalho no processamento de dados pessoais
O tratamento de dados pessoais, da recolha à eliminação, deve seguir o fluxo estipulado na lei.
1. Registro no Registro de Controladores de Dados: A pessoa, instituição ou organização que processará os dados pessoais deve se registrar no “Registro de Controladores de Dados” antes de coletar e processar os dados. Os procedimentos e princípios relativos ao registro são regulamentados pela regulamentação.
2. Preparação para a coleta de dados: Só após o registro é que o ambiente para a coleta de dados pessoais pode ser aberto para acesso. O sistema deve registar o consentimento explícito dos indivíduos.
3. Informar os indivíduos: Os indivíduos cujos dados pessoais serão recolhidos devem ser informados sobre a identidade do responsável pelo tratamento de dados, sobre os fins de utilização dos dados e sobre se os dados serão partilhados. O seu consentimento deve ser obtido e ser informado sobre os seus direitos sobre os dados.
Autorização explícita: O consentimento deve ser dado de forma clara e sem dúvida, para comprovação, e estar relacionado com um assunto específico com informações suficientes. Categorias especiais de dados pessoais só podem ser processadas com consentimento explícito, e o ónus da prova cabe ao coletor.
4. Tratamento de dados pessoais: O processamento de dados inclui armazenar informações em papel, como aplicações de emprego, bem como processamento digital. Em alguns casos, não é necessário informar e obter consentimento explícito, conforme descrito no artigo 5/2 da lei.
5. Alterações: Se houver alterações nos dados, propósitos ou destinatários após o registro, o registro deve ser atualizado. Se as circunstâncias diferem de quando o consentimento foi obtido, o consentimento deve ser renovado.
6. Supressão ou anonimização dos dados: Quando o processamento estiver completo, ou o consentimento for retirado, os dados devem ser apagados ou anonimizados. Procedimentos e princípios são regulados pela regulamentação.
Direitos do titular dos dados
O titular dos dados tem o direito de solicitar informações e compensações em caso de tratamento ilegal de dados pessoais. O processo de aplicação é o seguinte:
1. Aplicação ao controlador de dados: O titular dos dados aplica-se ao responsável pelo tratamento para obter informações ou corrigir uma violação.
2. Resposta do controlador de dados: O pedido é finalizado gratuitamente no prazo máximo de 30 dias. O responsável pelo tratamento aceita e corrige o problema ou rejeita-o com razões, notificando o titular dos dados por escrito ou por via eletrônica.
3. Queixa ao Conselho de Proteção de Dados Pessoais: Se o pedido for rejeitado, considerado insuficiente ou não respondido dentro do prazo, o titular dos dados pode apresentar queixa ao Conselho de Administração no prazo de 30 dias a contar da data da resposta ou no prazo de 60 dias a contar da data da candidatura. O direito à indemnização, de acordo com as disposições gerais, é reservado àqueles cujos direitos de personalidade são violados.
Exame pelo Conselho de Proteção de Dados Pessoais: O Conselho de Administração examina as queixas ou inicia uma investigação ex officio se souber de uma violação. O Conselho de Administração responde no prazo de 60 dias após a reclamação; caso contrário, é considerado rejeitado. O responsável pelo tratamento de dados deve fornecer documentos solicitados, exceto segredos de estado, no prazo de 15 dias e permitir inspeções no local, se necessário.
4. Notificação ao controlador de dados: Se for encontrada uma violação, o Conselho de Administração solicita a sua eliminação. O responsável pelo tratamento deve cumprir o mais rapidamente possível e no prazo máximo de 30 dias. Em casos de dano irreparável ou ilegalidade clara, o Conselho de Administração pode decidir suspender o tratamento ou a transferência de dados no estrangeiro.