Приведённые ниже вопросы дают общее представление об обязанности информирования, правах субъекта данных и первых шагах при подозрении на нарушение персональных данных. В конкретном деле сроки, документы и действующие нормы оцениваются отдельно.
Показаны вопросы 1–6 из 6
Как исполняется обязанность информирования при обработке персональных данных?
При сборе персональных данных контролёр данных должен понятно проинформировать о своей личности, цели обработки, правовом основании, получателях передачи и правах субъекта данных.
Согласно статье 10 Закона № 6698, обязанность информирования является обязанностью, отдельной от правового основания обработки персональных данных. Явное согласие не является обязательным основанием любой обработки; если выполнены другие условия обработки, предусмотренные законом, можно использовать их. Одна лишь публикация уведомления об обработке данных на сайте сама по себе не доказывает, что в конкретный момент обработки данных информирование было проведено надлежащим образом. Для таких видов деятельности, как работники, клиенты, посетители, заявки на трудоустройство и файлы cookie, цели обработки должны быть конкретными и последовательными. В частности, при обработке, включающей персональные данные особой категории или передачу данных за границу, дополнительно необходимо изучить особые условия и требуемые гарантии.
Какими правами в отношении своих персональных данных может воспользоваться субъект данных?
Субъект данных может воспользоваться правом на информацию, исправление, удаление и другими правами, предусмотренными статьёй 11 KVKK, обратившись к контролёру данных; до жалобы в Совет по защите персональных данных (Kurul) этот путь должен быть исчерпан.
Контролёр данных в соответствии со статьёй 13 KVKK рассматривает обращение не позднее чем в течение 30 дней. В случае отказа или неполного ответа жалоба в Kurul может быть подана в течение 30 дней со дня, когда стало известно об ответе; следует также учитывать предусмотренный законом предельный срок в 60 дней и особые варианты, указанные в решении Kurul № 2019/9 об исчислении сроков. Если контролёр данных не ответил вовсе, значение имеет срок в 60 дней со дня обращения. В обращении следует разъяснить, о каких данных, какой обработке или какой неверной записи идёт речь. Требования о возмещении вреда и защите прав личности, по которым возможно непосредственное обращение в суд, и административная жалоба в Kurul — не один и тот же путь.
Какие первые шаги рассматриваются при подозрении на нарушение персональных данных?
При подозрении на нарушение данных прежде всего определяется масштаб случившегося, принимаются технические меры безопасности и незамедлительно оценивается обязанность уведомления в рамках KVKK.
В статье 12/5 KVKK и в решении Совета по защите персональных данных № 2019/10 принят принцип, что в случае получения данных третьими лицами незаконным путём уведомление Совета (Kurul) должно быть направлено без промедления, не позднее 72 часов с момента, когда об этом стало известно. Затронутые лица также информируются в порядке, соответствующем условиям. Необходимо задокументировать, какие данные затронуты, как произошла атака, время обнаружения, журналы доступа, принятые меры и продолжается ли нарушение. Сокрытие случившегося или необдуманное удаление записей затрудняет и техническое расследование, и защиту. Не каждый инцидент безопасности может быть нарушением данных в том же объёме; необходима конкретная правовая квалификация.
Удовлетворяется ли требование об удалении персональных данных во всех случаях?
Нет; если условия обработки отпали, встаёт вопрос об удалении, уничтожении или обезличивании.
В рамках статьи 7 KVKK и соответствующего положения отдельно рассматриваются обязанности по хранению, доказывание в правовом споре и основания обработки персональных данных. Контролёр данных должен дать мотивированный ответ и сообщить пути обращения.
Может ли работодатель читать рабочую электронную почту работников по своему усмотрению?
Нет; существуют пределы законной цели, информирования, необходимости и соразмерности.
Оцениваются политика электронной почты на рабочем месте, заранее данное работнику разъяснение, объём контроля и менее обременительные варианты. Необходимо учитывать тайну связи и защиту персональных данных в совокупности.
Можно ли в рамках KVKK сначала подать жалобу непосредственно в Kurul?
Как правило, сначала необходимо обратиться к контролёру данных.
Сроки жалобы в тридцать и шестьдесят дней, предусмотренные статьёй 14 KVKK, после ответа или неответа контролёра данных рассчитываются отдельно. Документы об отправке и вручении обращения следует сохранять.