Podstawy GDPR i KVKK

GDPR (unijne ogólne rozporządzenie o ochronie danych, 2018) oraz turecka KVKK (Kanun No. 6698, 2016) to dwa akty prawne omawiane w tej lekcji. KVKK w dużej mierze oparto na podejściu unijnym, dlatego podstawowe zasady są bardzo zbliżone.

Oba akty regulują sposób przetwarzania danych osobowych i przyznają osobom fizycznym szerokie prawa, których przestrzeganie jest egzekwowane za pomocą dotkliwych kar.

Oba akty prawne definiują podstawowe role:

• Osoba, której dane dotyczą (KVKK: ilgili kisi): osoba, której dotyczą dane
• Administrator (KVKK: veri sorumlusu): decyduje, dlaczego i jak dane są przetwarzane
• Podmiot przetwarzający (KVKK: veri isleyen): przetwarza dane w imieniu administratora

Administrator ponosi główną odpowiedzialność, nawet jeśli praca zostaje zlecona podmiotowi przetwarzającemu.

Artykuł 5 GDPR określa zasady odzwierciedlone w KVKK:

• Zgodność z prawem, rzetelność i przejrzystość
• Ograniczenie celu: wykorzystywanie danych wyłącznie do określonych celów
• Minimalizacja danych: zbieranie tylko tego, co jest potrzebne
• Prawidłowość
• Ograniczenie przechowywania: przechowywanie danych nie dłużej, niż jest to konieczne
• Integralność i poufność (bezpieczeństwo)
• Rozliczalność: możliwość wykazania zgodności z przepisami

Nie wolno przetwarzać danych osobowych bez podstawy prawnej. Artykuł 6 GDPR wymienia sześć takich podstaw:

• Zgoda
• Umowa
• Obowiązek prawny
• Żywotne interesy
• Zadanie realizowane w interesie publicznym
• Prawnie uzasadnione interesy

KVKK zawiera podobny zestaw podstaw. Zgoda jest tylko jedną z możliwości i często nie jest najlepszym rozwiązaniem, ponieważ można ją wycofać w dowolnym momencie.

Jeśli przetwarzanie opiera się na zgodzie, musi ona być:

• Dobrowolna
• Jednoznacznie związana z określonym celem
• Świadoma
• Jednoznaczna, wyrażona poprzez wyraźne działanie potwierdzające

Wstępnie zaznaczone pola, zgoda łączona i milczenie nie są ważne. Wycofanie zgody musi być równie łatwe jak jej udzielenie.

Osobom fizycznym przysługują prawa, których mogą skutecznie dochodzić:

• Dostęp: kopia swoich danych
• Sprostowanie: poprawienie nieścisłości
• Usunięcie (prawo do bycia zapomnianym)
• Ograniczenie przetwarzania
• Przenoszenie: otrzymanie danych w formacie nadającym się do odczytu maszynowego
• Sprzeciw, w tym wobec profilowania

Na wnioski zazwyczaj należy odpowiedzieć w określonym terminie (GDPR: jeden miesiąc).

Rozliczalność wymaga dokumentacji. Administratorzy prowadzą rejestr czynności przetwarzania (RoPA), opisujący, jakie dane są przetwarzane, w jakim celu, dokąd trafiają i jak długo są przechowywane.

W Turcji administratorzy przekraczający określone progi muszą zarejestrować się w rejestrze administratorów danych VERBIS. Rejestry te są pierwszą rzeczą, o którą prosi organ nadzorczy.

Wysyłanie danych osobowych poza UE/EOG (lub poza Turcję) podlega ograniczeniom. Mechanizmy obejmują:

• Decyzje stwierdzające odpowiedni stopień ochrony (miejsce docelowe zapewnia równoważną ochronę)
• Standardowe klauzule umowne (SCCs)
• Wyraźną zgodę na konkretny transfer

Wcześniejsze przepisy KVKK wymagały zgody Rady KVKK lub wyraźnej zgody na transfery transgraniczne, dlatego przed przeniesieniem danych za granicę należy sprawdzić aktualne zasady.

Organy egzekwujące przepisy:

• UE: krajowe organy ochrony danych; kary na podstawie GDPR sięgają 20 milionów euro lub 4% globalnego rocznego obrotu
• Turcja: Rada KVKK (Kurul), która może nakładać kary administracyjne i nakazać zaprzestanie przetwarzania

Poza karami organy nadzorcze mogą nakazać podjęcie działań naprawczych i podawać naruszenia do publicznej wiadomości.

Niektóre organizacje muszą wyznaczyć inspektora ochrony danych (DPO), na przykład organy publiczne lub organizacje prowadzące monitorowanie na dużą skalę albo przetwarzające dane szczególnych kategorii zgodnie z GDPR.

DPO doradza w zakresie zgodności z przepisami, monitoruje ją i pełni funkcję punktu kontaktowego dla organu nadzorczego oraz osób, których dane dotyczą. Musi działać niezależnie.

Gdy administrator korzysta z usług podmiotu przetwarzającego (dostawcy SaaS, dostawcy usług chmurowych lub podwykonawcy), pisemna umowa powierzenia przetwarzania danych (DPA) jest obowiązkowa. Zobowiązuje ona podmiot przetwarzający do:

• Przetwarzania danych wyłącznie na podstawie udokumentowanych instrukcji
• Zapewnienia poufności i bezpieczeństwa
• Korzystania z dalszych podmiotów przetwarzających wyłącznie za zgodą
• Pomocy w realizacji żądań osób, których dane dotyczą, oraz w zgłaszaniu naruszeń

Wybór dostawcy niespełniającego wymogów nie zwalnia administratora z obowiązku rozliczalności.

Sprawdź, czy rozumiesz podstawy prawne przetwarzania.

Omówiono najważniejsze zagadnienia dotyczące GDPR i KVKK:

• Role administratora i podmiotu przetwarzającego oraz rozliczalność
• Podstawowe zasady, w szczególności ograniczenie celu i minimalizację danych
• Sześć podstaw prawnych; zgoda musi być dobrowolna i możliwa do wycofania
• Prawa osób, których dane dotyczą (dostęp, usunięcie, przenoszenie danych, sprzeciw)
• Rejestry RoPA/VERBIS i ograniczenia dotyczące międzynarodowych transferów danych
• Organy nadzorcze, wysokie kary i rola DPO

Następnie: klasyfikowanie i minimalizowanie przechowywanych danych.