Контролёр данных

Сфера применения

Критерий, определяющий контролёра данных, — это полномочие решать, «зачем» и «как» осуществляется деятельность по обработке. Согласно разъяснению Управления по защите персональных данных (Kişisel Verileri Koruma Kurumu), юридические лица сами являются контролёрами данных в рамках своей деятельности, и правовая ответственность возникает в лице юридического лица; в этом отношении различие между юридическими лицами публичного и частного права не проводится. Основные обязанности контролёра данных таковы: обрабатывать персональные данные в соответствии с принципами и условиями обработки, предусмотренными Законом (ст. 4–6); удалять, уничтожать или анонимизировать данные, основание обработки которых отпало (ст. 7); информировать субъекта данных при получении данных (ст. 10); принимать технические и административные меры для обеспечения надлежащего уровня безопасности и, если данные получены другими лицами незаконным путём, как можно скорее уведомлять об этом субъекта данных и Совет по защите персональных данных (Kişisel Verileri Koruma Kurulu) (ст. 12); а также, как правило, рассматривать обращения субъектов данных не позднее чем в течение тридцати дней (ст. 13). За исключениями, установленными Советом, до начала обработки данных обязательна регистрация в Реестре контролёров данных (Veri Sorumluları Sicili) (ст. 16).

Значение на практике

Кто является контролёром данных в той или иной операции, оценивается не столько по названию, использованному в договоре, сколько по тому, кто фактически определяет цели и средства обработки. Контролёр данных совместно с лицами, обрабатывающими данные от его имени, несёт ответственность за принятие мер безопасности (ст. 12/2); поэтому выбор поставщика услуг и условия договора имеют значение. Нарушение обязанностей по информированию, обеспечению безопасности данных, выполнению решений Совета и регистрации может повлечь административный штраф (ст. 18); поскольку суммы, указанные в Законе, могут обновляться, применимую сумму следует проверять отдельно.

Понятия, которые часто путают

Контролёра данных не следует путать с обработчиком данных: контролёр данных определяет цели и средства обработки, а обработчик данных действует от его имени на основании полномочия, предоставленного контролёром данных. Контролёр данных отличается и от «субъекта данных» — физического лица, данные которого обрабатываются (ст. 3/1-ç). Даже если в компании обработку фактически осуществляют работники, контролёром данных по смыслу Закона, как правило, является юридическое лицо компании.