RGPD

Comparaison de la loi sur la protection des données personnelles "KVKK"et Règlement général sur la protection des données « RGPD »

Comparaison de la loi sur la protection des données personnelles (sera désignée par « KVKK ») et du règlement général sur la protection des données (sera désignée par « RGPD »)

INDICE

I.Portée

II.Comparaison

une. Obligation de tenue de dossiers du contrôleur et du sous-traitant

b. Délégué à la protection des données

c. Évaluation de l'impact sur la protection des données

ré. Mesures de protection pour les enfants

e. Avis de confidentialité

F. Politiques de conservation des données

III.Annonce publique du 08.11.2019

IV.Conclusion

I.PORTÉE

Étant donné que le champ d'application territorial de KVKK ne peut pas être déterminé à partir de son texte en raison de l'absence d'une disposition pertinente, il n'est pas clair si les personnes concernées ou les contrôleurs ou les sous-traitants non situés en Turquie seront soumis à KVKK. Cependant, le RGPD peut être appliqué dans le monde entier compte tenu de l'article stipulant que tous les contrôleurs et sous-traitants proposant des biens ou des services aux personnes concernées dans l'UE, ou surveillant leur comportement dans l'UE, seront soumis au RGPD, quel que soit leur emplacement. s'ils traitent les données personnelles de ces personnes concernées dans le cadre de ces activités. Dans le cadre de ces activités, ils traitent les données personnelles de ces propriétaires de données

Par ailleurs, le Règlement s'applique également lorsqu'un responsable de traitement ou un sous-traitant a un établissement dans l'Union européenne et traite des données à caractère personnel dans le cadre des activités de cet établissement, quel que soit le lieu du traitement. Néanmoins, il est important de se rappeler que KVKK s'appliquera à toutes les entreprises établies en vertu des lois turques et à toutes les personnes morales traitant des données personnelles à l'intérieur des frontières turques.

2. COMPARAISON

a.            PRINCIPES GÉNÉRAUX

b. CONDITIONS DE TRAITEMENT DES DONNÉES PERSONNELLES

Même si les différences susmentionnées entre ces deux législations concernant les principes généraux et les conditions de traitement des données sont apparemment très minimes, les communiqués et règlements énumérés dans la section « Lectures complémentaires » établissent des obligations étendues qui seront expliquées dans les sous-paragraphes suivants.

c. DEVOIR DE TENUE DES DOSSIERS DU CONTRLEUR ET DU PROCESSEUR

Une autre question à prendre en considération est la comparaison entre le registre national de données contenant des informations générales sur les responsables du traitement ainsi que leurs activités de traitement des données en vertu du KVKK et les obligations de tenue de dossiers du responsable du traitement et du sous-traitant en vertu du RGPD.

Les contrôleurs employant 250 personnes ou plus doivent conserver, en vertu du RGPD, un enregistrement détaillé de leurs activités de traitement et garder cet enregistrement disponible à tout moment pour une inspection plus approfondie par l'autorité de contrôle compétente si le traitement n'est pas occasionnel ou s'il inclut des données privées ou des catégories personnelles.

En vertu du KVKK, les contrôleurs qui remplissent les conditions spécifiées (50 employés ou plus, un certain nombre d'actifs de l'entreprise, etc.) sont tenus de s'inscrire à un registre national de données et de conserver un registre détaillé similaire répertoriant toutes les activités de traitement de données personnelles, et ils sont également tenus de mettre à jour toutes les modifications.

d.RESPONSABLE DE LA PROTECTION DES DONNÉES

Contrairement à KVKK, l'article 37 du RGPD prévoit que les responsables du traitement et les sous-traitants désignent un délégué à la protection des données si le traitement est effectué par une autorité ou un organisme public, à l'exception des tribunaux agissant en leur qualité judiciaire; ou leurs activités principales consistent en des opérations de traitement qui nécessitent un contrôle régulier et systématique des personnes concernées à grande échelle ou leurs activités principales consistent en un traitement à grande échelle de catégories particulières de données et de données à caractère personnel relatives à des condamnations pénales et à des infractions.

e. ÉVALUATION D'IMPACT SUR LA PROTECTION DES DONNÉES

L'analyse d'impact sur la protection des données telle que définie conformément à l'article 35 du RGPD est une évaluation de l'impact du traitement sur la protection des données personnelles, réalisée par le responsable du traitement avant d'employer de nouvelles technologies de traitement ou si le traitement, compte tenu de sa nature, de sa portée, le contexte et les finalités, est susceptible d'entraîner un risque élevé pour les droits et libertés des personnes physiques.

Bien que cette responsabilité du responsable du traitement ait été rédigée dans le RGPD sous la forme d'un article long et détaillé, KVKK n'impose aucune obligation de ce type aux responsables du traitement ou à toute autre personne, mentionnant seulement que toutes les mesures techniques et administratives pour assurer une sécurité adéquate doivent être prises.

f. MESURES DE PROTECTION POUR LES ENFANTS

Un autre sujet introduit par le RGPD mais pas par le KVKK est la protection des données des enfants, régie par l'article 8 du RGPD qui soumet le traitement de ces données à certaines conditions particulières. Puisqu'on ne peut pas s'attendre à ce que les enfants comprennent pleinement l'importance de questions telles que le traitement des données personnelles, les conséquences et les risques qui y sont associés ainsi que les mesures nécessaires, le RGPD exige qu'un enfant ait au moins 16 ans pour pouvoir donner son consentement. au traitement de ses données dans le cadre des services de la société de l'information proposés directement à l'enfant. Le traitement des données personnelles d'un enfant en dessous de cet âge dépend du consentement du titulaire de la responsabilité parentale à l'égard de l'enfant. Il n'y a pas de réglementation complète concernant les données des enfants sous KVKK.

g. AVIS DE CONFIDENTIALITÉ

Comme on le voit dans la section « Annonce publique du 08.11.2019 », l'obligation d'informer devrait être exercée principalement pour le KVKK en raison du « Communiqué sur les principes et les procédures à suivre pour remplir l'obligation d'informer ». Cette législation fixe des règles détaillées pour accomplir l'obligation d'être informé. Par exemple, la base juridique du traitement doit être mentionnée dans les avis de confidentialité en se référant aux alinéas de l'article 5 et 6.

Comme indiqué dans la décision du Conseil de protection des données personnelles en date du 30.10.2019 et numérotée 2019/315, les avis de confidentialité centrés sur le RGPD préparés par les contrôleurs de données ne suppriment pas les obligations des contrôleurs de données vis-à-vis de la loi sur la protection des données personnelles n° 6698 (KVKK) . À cet égard, il est utile de rappeler qu'en plus des références au RGPD, les politiques et règles spécifiées dans les avis de confidentialité doivent principalement indiquer qu'elles sont conformes à la loi sur la protection des données personnelles n°6698.

h. POLITIQUES DE CONSERVATION DES DONNÉES

Dans le cadre du KVKK, il y a quelques textes juridiques obligatoires à préparer tels que les avis de confidentialité, la politique concernant le traitement des données personnelles avec une nature spéciale, et si le contrôleur de données est tenu d'enregistrer le registre national des processeurs de données (50 ou plus employés, un certain nombre d'actifs de l'entreprise, etc.), les responsables du traitement sont également tenus d'avoir une politique de conservation des données. Le processus de conservation et de destruction des données personnelles est régi par le règlement sur l'effacement, la destruction ou l'anonymisation des données personnelles.

Le règlement administratif réglemente les périodes de conservation, la manière de conserver les enregistrements des données personnelles détruites, etc. Comme l'ensemble de ce processus est très détaillé et approfondi, l'utilisation d'une politique et d'une procédure centrée sur le RGPD ne serait pas en mesure de couvrir l'ensemble du processus et les problèmes de conformité légale peut monter.

3. ANNONCE PUBLIQUE DU 08.11.2019

Comme on le sait, l'article 10 de la loi sur la protection des données personnelles n° 6698, intitulé « Obligation d'information du responsable du traitement », stipule que « (1) Lors de la collecte de données à caractère personnel, le responsable du traitement ou la personne autorisée par lui est tenu informer les personnes concernées des éléments suivants:a) l'identité du responsable du traitement et de son représentant, le cas échéant, b) la finalité du traitement des données, c) à qui et à quelles fins les données traitées peuvent être transférées, ç) la méthode et la raison légale de la collecte des données personnelles, d) les autres droits visés à l'article 11.

Dans les examens effectués par notre institution, on constate que le Règlement général européen sur la protection des données (RGPD) est directement mentionné dans les explications concernant les politiques et règles appliquées concernant le traitement des données personnelles dans les textes de clarification présentés sur les pages internet de diverses institutions/organisations/entreprises, etc.

Dans ce cadre, conformément à la Décision de la Commission de protection des données personnelles en date du 30.10.2019 et numérotée 2019/315; L'inclusion de déclarations concernant le respect du RGPD dans les avis de confidentialité préparés par les responsables du traitement ne supprime pas les obligations des responsables du traitement vis-à-vis de la loi sur la protection des données à caractère personnel n° 6698. À cet égard, il est utile de rappeler qu'en plus de les références au RGPD, les politiques et règles spécifiées dans les avis de confidentialité doivent principalement indiquer qu'elles sont conformes à la loi sur la protection des données personnelles n° 6698.

Dans les avis de confidentialité publiés par les responsables du traitement, les éléments suivants doivent être clairement énoncés et les expressions vagues et ambiguës doivent être évitées conformément aux dispositions de l'article 10 de la loi et de l'article 4 du communiqué sur les procédures et principes à respecter. Respecté dans le respect de l'obligation d'avis de confidentialité;

• Identité du responsable du traitement et de son représentant, le cas échéant,
• Dans quel but les données personnelles seront-elles traitées,
• À qui et dans quel but les données personnelles peuvent être transférées,
• Méthode et raison légale de la collecte des données personnelles (en précisant explicitement sur laquelle des conditions de traitement des articles 5 et 6 de la Loi est fondée),
• Autres droits de la personne concernée tels que énumérés à l'article 11 de la loi.

 Il est annoncé au public avec respect.

4. CONCLUSION

Pour finaliser, il est entendu que KVKK, qui est la principale législation en matière de protection des données personnelles en Turquie, est largement conforme au RGPD lorsqu'il est évalué avec son objectif, sa portée et ses dispositions. Bien qu'il existe des similitudes importantes entre les réglementations européennes et turques sur les données, car toutes deux sont modelées autour des caractéristiques des systèmes juridiques pertinents, certaines différences techniques et administratives doivent être prises en compte lors de la mise en œuvre d'un programme de conformité juridique.