ЗАКОН О ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

Цель

СТАТЬЯ 1- (1) Целью настоящего Закона является защита основных прав и свобод лиц, особенно права на неприкосновенность частной жизни, при обработке персональных данных, а также регулирование обязанностей и процедур, которым должны следовать физические и юридические лица, обрабатывающие персональные данные.

Область применения

СТАТЬЯ 2- (1) Положения настоящего Закона применяются к физическим лицам, чьи персональные данные обрабатываются, а также к физическим и юридическим лицам, обрабатывающим эти данные полностью или частично автоматически, либо неавтоматически, но будучи частью любой системы записи данных.

Определения

СТАТЬЯ 3- (1) В применении настоящего Закона:

a) Явное согласие: Согласие, основанное на информировании и выраженное свободной волей по конкретному вопросу.

b) Анонимизация: Приведение персональных данных в такое состояние, при котором они ни в коем случае не могут быть связаны с идентифицированным или идентифицируемым физическим лицом, даже при сопоставлении с другими данными.

c) Председатель: Председатель Агентства по защите персональных данных.

ç) Заинтересованное лицо: Физическое лицо, чьи персональные данные обрабатываются.

d) Персональные данные: Любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу.

e) Обработка персональных данных: Любая операция, выполняемая с персональными данными автоматически или неавтоматически, являясь частью любой системы записи данных, такая как сбор, запись, хранение, сохранение, изменение, реструктурирование, раскрытие, передача, получение, доступ, классификация или предотвращение использования персональных данных.

f) Совет: Совет по защите персональных данных.

g) Агентство: Агентство по защите персональных данных.

ğ) Обработчик данных: Физическое или юридическое лицо, обрабатывающее персональные данные от имени ответственного за обработку данных на основании его полномочий.

h) Система записи данных: Система записи, в которой персональные данные обрабатываются в соответствии с определенными критериями.

ı) Ответственный за обработку данных: Физическое или юридическое лицо, определяющее цели и средства обработки персональных данных, ответственное за создание и управление системой записи данных.

РАЗДЕЛ ВТОРОЙ

Обработка персональных данных

Общие принципы

СТАТЬЯ 4- (1) Персональные данные могут обрабатываться только в соответствии с процедурами и принципами, предусмотренными в настоящем Законе и других законах.

(2) При обработке персональных данных необходимо соблюдать следующие принципы:

a) Соответствие закону и правилам честности.

b) Достоверность и актуальность при необходимости.

c) Обработка для определенных, явных и законных целей.

ç) Связь, ограниченность и соразмерность цели обработки.

d) Хранение в течение срока, предусмотренного соответствующим законодательством или необходимого для целей обработки.

Условия обработки персональных данных

СТАТЬЯ 5- (1) Персональные данные не могут обрабатываться без явного согласия заинтересованного лица.

(2) В следующих случаях персональные данные могут обрабатываться без явного согласия заинтересованного лица:

a) Если это явно предусмотрено законом.

b) Если лицо, которое не может выразить свое согласие из-за фактической невозможности или чье согласие не имеет юридической силы, нуждается в защите жизни или физической целостности самого этого лица или другого лица.

c) Если обработка персональных данных необходима для заключения или выполнения договора, стороной которого является заинтересованное лицо.

ç) Если обработка данных необходима для выполнения юридического обязательства ответственного за обработку данных.

d) Если персональные данные были явно обнародованы самим заинтересованным лицом.

e) Если обработка данных необходима для установления, использования или защиты права.

f) Если обработка данных необходима для законных интересов ответственного за обработку данных, при условии, что это не наносит ущерба основным правам и свободам заинтересованного лица.

Условия обработки специальных категорий персональных данных

СТАТЬЯ 6- (1) Персональные данные, касающиеся расы, этнического происхождения, политических взглядов, философских убеждений, религиозных или других убеждений, внешности, членства в ассоциациях, фондах или профсоюзах, здоровья, сексуальной жизни, уголовных судимостей и мер безопасности, а также биометрические и генетические данные являются специальными категориями персональных данных.

(2) Обработка специальных категорий персональных данных без явного согласия заинтересованного лица запрещена.

(3) Персональные данные, перечисленные в первой части, за исключением данных о здоровье и сексуальной жизни, могут обрабатываться без явного согласия заинтересованного лица в случаях, предусмотренных законом. Данные о здоровье и сексуальной жизни могут обрабатываться без явного согласия заинтересованного лица только лицами или уполномоченными учреждениями, обязанными соблюдать конфиденциальность, для целей охраны общественного здоровья, превентивной медицины, медицинской диагностики, лечения и оказания медицинских услуг или управления их финансированием.

(4) Обработка специальных категорий персональных данных требует принятия достаточных мер, определенных Советом.

Удаление, уничтожение или анонимизация персональных данных

СТАТЬЯ 7- (1) Несмотря на то, что персональные данные обрабатываются в соответствии с положениями настоящего Закона и других соответствующих законов, они должны быть удалены, уничтожены или анонимизированы ответственным за обработку данных по собственной инициативе или по запросу заинтересованного лица, если причины, требующие их обработки, больше не существуют.

(2) Положения других законов об удалении, уничтожении или анонимизации персональных данных сохраняются.

(3) Порядок и условия удаления, уничтожения или анонимизации персональных данных регулируются постановлением.

Передача персональных данных

СТАТЬЯ 8- (1) Персональные данные не могут передаваться без явного согласия заинтересованного лица.

(2) Персональные данные могут передаваться без явного согласия заинтересованного лица в случаях, указанных в части 2 статьи 5 и части 3 статьи 6, при условии принятия достаточных мер.

(3) Положения других законов о передаче персональных данных сохраняются.

Передача персональных данных за границу

СТАТЬЯ 9- (1) Персональные данные не могут передаваться за границу без явного согласия заинтересованного лица.

(2) Персональные данные могут передаваться за границу без явного согласия заинтересованного лица в случаях, указанных в части 2 статьи 5 и части 3 статьи 6, при наличии одного из следующих условий:

a) Наличие достаточной защиты в стране, куда передаются данные.

b) В случае отсутствия достаточной защиты, при наличии письменного обязательства от ответственного за обработку данных в Турции и в соответствующей зарубежной стране обеспечить достаточную защиту данных и получения разрешения Совета.

(3) Страны, в которых имеется достаточная защита, определяются и объявляются Советом.

(4) Совет принимает решение о наличии достаточной защиты в зарубежной стране и о предоставлении разрешения на основании следующих критериев:

a) Международные договоры, участником которых является Турция.

b) Взаимность в передаче данных между страной, запрашивающей персональные данные, и Турцией.

c) Природа персональных данных, цели и продолжительность их обработки.

ç) Законодательство и практика страны, куда передаются данные.

d) Меры, предложенные ответственным за обработку данных в стране, куда передаются данные.

Совет также может учитывать мнения соответствующих органов и учреждений, если это необходимо.

(5) В случае угрозы существенного ущерба интересам Турции или заинтересованного лица, персональные данные могут передаваться за границу только с разрешения Совета и при условии получения мнения соответствующего государственного органа.

(6) Положения других законов о передаче персональных данных за границу сохраняются.

РАЗДЕЛ ТРЕТИЙ

Права и обязанности

Обязанность информирования ответственного за обработку данных

СТАТЬЯ 10- (1) При сборе персональных данных ответственный за обработку данных или уполномоченное лицо обязаны информировать заинтересованное лицо о:

a) Личности ответственного за обработку данных и его представителя, если имеется.

b) Целях обработки персональных данных.

c) Получателях персональных данных и целях их передачи.

ç) Методы и правовые основания сбора персональных данных.

d) Других правах, указанных в статье 11.

**Права заинтересованного лица**

СТАТЬЯ 11-

 (1) Каждый имеет право обратиться к ответственному за обработку данных и:

a) Узнать, обрабатываются ли его персональные данные.

b) Получить информацию об обработке своих персональных данных.

c) Узнать цель обработки персональных данных и их использование по назначению.

ç) Узнать третьих лиц, которым передаются персональные данные в стране или за границей.

d) Требовать исправления своих персональных данных, если они были обработаны неполно или неверно.

e) Требовать удаления или уничтожения своих персональных данных в рамках условий, предусмотренных статьей 7.

f) Требовать уведомления третьих лиц, которым были переданы персональные данные, о действиях, выполненных в соответствии с пунктами (d) и (e).

g) Возражать против анализа своих персональных данных исключительно автоматическими средствами, приводящего к неблагоприятным последствиям для него самого.

ğ) Требовать возмещения ущерба, понесенного в результате незаконной обработки персональных данных.

Обязанности по обеспечению безопасности данных

СТАТЬЯ 12- (1) Ответственный за обработку данных обязан принять все необходимые технические и административные меры для обеспечения надлежащего уровня безопасности данных, чтобы:

a) Предотвратить незаконную обработку персональных данных.

b) Предотвратить незаконный доступ к персональным данным.

c) Обеспечить сохранность персональных данных.

(2) В случае обработки персональных данных от имени ответственного за обработку данных, обработчик данных совместно с ответственным за обработку данных несет ответственность за принятие мер, указанных в первой части.

(3) Ответственный за обработку данных обязан проводить или организовывать необходимые проверки в своем учреждении или организации для обеспечения выполнения положений настоящего Закона.

(4) Ответственные за обработку данных и лица, обрабатывающие данные, обязаны не раскрывать персональные данные, которые они узнали в результате своей деятельности, и не использовать их для других целей, кроме как для обработки данных. Эта обязанность продолжается после окончания их работы.

(5) В случае незаконного получения персональных данных третьими лицами, ответственный за обработку данных обязан уведомить об этом заинтересованное лицо и Совет в кратчайшие сроки. Совет может объявить об этом на своем сайте или другим способом, если считает это необходимым.

РАЗДЕЛ ЧЕТВЕРТЫЙ

Обращения, жалобы и Реестр ответственных за обработку данных

Обращение к ответственному за обработку данных

СТАТЬЯ 13-(1) Заинтересованное лицо направляет свои требования, касающиеся применения настоящего Закона, ответственному за обработку данных в письменной форме или другим способом, определенным Советом.

(2) Ответственный за обработку данных обязан удовлетворить требования, изложенные в обращении, в кратчайший срок, но не позднее тридцати дней, бесплатно. Однако если выполнение требования требует дополнительных затрат, может взиматься плата в соответствии с тарифом, установленным Советом.

(3) Ответственный за обработку данных принимает решение о принятии или отказе в удовлетворении требований, объясняя свои причины, и уведомляет заинтересованное лицо в письменной форме или в электронном виде. Если требования удовлетворены, ответственный за обработку данных обязан выполнить необходимые действия. В случае ошибки ответственного за обработку данных, взятая плата возвращается заинтересованному лицу.

Жалоба в Совет

СТАТЬЯ 14- (1) В случае отказа в удовлетворении обращения, недостаточности ответа или отсутствия ответа в течение установленного срока, заинтересованное лицо может подать жалобу в Совет в течение тридцати дней с момента получения ответа, но не позднее шестидесяти дней с момента обращения.

(2) Жалоба не может быть подана без предварительного обращения к ответственному за обработку данных в соответствии с статьей 13.

(3) Право на возмещение ущерба лиц, чьи права были нарушены, сохраняется в соответствии с общими положениями.

Процедуры и принципы рассмотрения жалоб и расследований по собственной инициативе**

СТАТЬЯ 15- (1) Совет рассматривает жалобы или начинает расследование по собственной инициативе, если становится известно о нарушении.

(2) Жалобы и сообщения, не соответствующие условиям, указанным в статье 6 Закона № 3071 о праве на подачу жалоб от 1 ноября 1984 года, не рассматриваются.

(3) За исключением сведений, составляющих государственную тайну, ответственный за обработку данных обязан предоставить Совету запрашиваемую информацию и документы в течение пятнадцати дней и обеспечить возможность проведения проверки на месте, если это необходимо.

(4) Совет рассматривает жалобы и дает ответ заявителям. Если ответ не дан в течение шестидесяти дней с момента подачи жалобы, требования считаются отклоненными.

(5) Если в результате рассмотрения жалобы или расследования по собственной инициативе установлено, что нарушение имело место, Совет принимает решение об устранении нарушения ответственным за обработку данных и уведомляет об этом заинтересованные стороны. Это решение должно быть выполнено в течение тридцати дней с момента уведомления.

(6) Если в результате рассмотрения жалобы или расследования по собственной инициативе установлено, что нарушение имеет системный характер, Совет принимает принципиальное решение и публикует его. Перед принятием принципиального решения Совет может запросить мнение соответствующих органов и учреждений, если это необходимо.

(7) Совет может принять решение о приостановке обработки данных или передачи данных за границу в случаях, когда существует явное нарушение закона и потенциальные серьезные или необратимые последствия.

Реестр ответственных за обработку данных

СТАТЬЯ 16- (1) Реестр ответственных за обработку данных ведется в открытом для общественности порядке под надзором Совета.

(2) Физические и юридические лица, обрабатывающие персональные данные, обязаны зарегистрироваться в Реестре до начала обработки данных. Однако, в зависимости от характера обрабатываемых персональных данных, их количества, источника обработки данных из закона или передачи третьим лицам, Совет может установить исключения из обязательства регистрации в Реестре.

(3) Заявка на регистрацию в Реестре должна содержать следующую информацию:

a) Имя и адрес ответственного за обработку данных и его представителя, если имеется.

b) Цели обработки персональных данных.

c) Описание категорий субъектов данных и категории данных, относящихся к ним.

ç) Получатели или категории получателей персональных данных.

d) Страны, в которые планируется передача персональных данных.

e) Меры, принятые для обеспечения безопасности персональных данных.

f) Максимальный срок хранения персональных данных, необходимый для целей обработки.

(4) Изменения в информации, предоставленной в соответствии с частью 3, должны быть немедленно сообщены Совету.

(5) Порядок и условия ведения Реестра ответственных за обработку данных регулируются постановлением.

РАЗДЕЛ ПЯТЫЙ

Преступления и административные правонарушения

Преступления

СТАТЬЯ 17- (1) В отношении преступлений, связанных с персональными данными, применяются статьи 135-140 Уголовного кодекса Турции № 5237 от 26 сентября 2004 года.

(2) Лица, не выполняющие требования статьи 7 настоящего Закона по удалению или анонимизации персональных данных, подлежат наказанию в соответствии со статьей 138 Уголовного кодекса Турции № 5237.

Административные правонарушения

СТАТЬЯ 18- (1) За нарушения настоящего Закона налагаются следующие административные штрафы:

a) От 5 000 до 100 000 турецких лир за невыполнение обязанности по информированию, предусмотренной статьей 10.

b) От 15 000 до 1 000 000 турецких лир за невыполнение обязанностей по обеспечению безопасности данных, предусмотренных статьей 12.

c) От 25 000 до 1 000 000 турецких лир за невыполнение решений, принятых Советом в соответствии со статьей 15.

ç) От 20 000 до 1 000 000 турецких лир за нарушение обязанности регистрации и уведомления в Реестре ответственных за обработку данных, предусмотренной статьей 16.

(2) Административные штрафы, предусмотренные настоящей статьей, применяются к физическим лицам и частным юридическим лицам, ответственным за обработку данных.

(3) В случае совершения правонарушений, указанных в части 1, сотрудниками государственных учреждений и организаций, а также профессиональных организаций, обладающих публичными полномочиями, дисциплинарные меры принимаются в соответствии с соответствующими положениями и результаты сообщаются Совету.

РАЗДЕЛ ШЕСТОЙ

Агентство по защите персональных данных и его организация

Агентство по защите персональных данных

СТАТЬЯ 19- (1) Для выполнения задач, возложенных на него настоящим Законом, создано Агентство по защите персональных данных с административной и финансовой автоном

ией и юридическим статусом публичного органа.

(2) Агентство связано с министром, назначенным Президентом.

(3) Штаб-квартира Агентства находится в Анкаре.

(4) Агентство состоит из Совета и Председателя. Совет является органом, принимающим решения Агентства.

Задачи Агентства

СТАТЬЯ 20- (1) Задачи Агентства включают:

a) Наблюдение за применением и развитием законодательства в области защиты персональных данных, проведение оценок и предложений, проведение или заказ исследований и расследований.

b) В случае необходимости сотрудничество с государственными учреждениями и организациями, неправительственными организациями, профессиональными ассоциациями или университетами по вопросам, относящимся к сфере деятельности Агентства.

c) Наблюдение за международными развитием в области защиты персональных данных, участие в международных организациях и сотрудничество с ними по вопросам, относящимся к сфере деятельности Агентства.

ç) Представление ежегодного отчета о деятельности Агентства Президенту, Великому Национальному Собранию Турции и Комиссии по правам человека Великого Национального Собрания Турции.

d) Выполнение других задач, возложенных на Агентство законами.

Совет по защите персональных данных

СТАТЬЯ 21- (1) Совет выполняет свои обязанности и использует свои полномочия независимо и под свою ответственность в соответствии с настоящим Законом и другим законодательством. Никакие органы, должностные лица, учреждения или лица не могут давать указания, рекомендации или советы Совету по вопросам, входящим в его компетенцию.

(2) Совет состоит из девяти членов. Пять членов Совета избираются Великим Национальным Собранием Турции, а четыре члена назначаются Президентом.

(3) Для избрания в Совет требуются следующие квалификации:

a) Наличие знаний и опыта в области, относящейся к задачам Агентства.

b) Соответствие требованиям, указанным в пунктах (1), (4), (5), (6) и (7) части 1 статьи 48 Закона № 657 о государственных служащих от 14 июля 1965 года.

c) Отсутствие членства в какой-либо политической партии.

ç) Наличие диплома о высшем образовании не менее четырех лет.

(4) Президент и Совет формируются в течение шести месяцев с момента вступления в силу настоящего Закона.

(5) Избранные члены Совета принимают присягу перед Высшим апелляционным судом Турции: "Клянусь выполнять свои обязанности в соответствии с Конституцией и законами, с полной беспристрастностью, честностью, справедливостью и добросовестностью."

(6) Члены Совета не могут занимать какие-либо другие должности в государственных или частных учреждениях, выполнять обязанности руководителей или администраторов в ассоциациях, фондах или кооперативах, заниматься коммерческой деятельностью, участвовать в профессиональных или консультативных мероприятиях, кроме научных публикаций и лекций, и получать доходы от них.

(7) Члены Совета назначаются на срок четыре года. Члены могут быть переизбраны по окончании срока полномочий.

(8) Члены Совета не могут быть освобождены от должности до истечения срока полномочий, за исключением случаев, предусмотренных в настоящем Законе.

Права и обязанности Председателя

СТАТЬЯ 22- (1) Председатель является высшим руководителем Агентства и отвечает за руководство Агентством в соответствии с законодательством, политикой и стратегическим планом Агентства, показателями эффективности и стандартами качества услуг.

(2) Председатель представляет Агентство и отвечает за организацию, проведение, контроль, оценку и при необходимости оглашение результатов работы Агентства.

(3) Обязанности Председателя включают:

a) Руководство заседаниями Совета.

b) Обеспечение выполнения решений Совета и их публикацию.

c) Назначение заместителей Председателя, начальников управлений и сотрудников Агентства.

ç) Представление предложений, поступающих от управлений, Совету.

d) Обеспечение выполнения стратегического плана, определение политики в области кадров и работы в соответствии со стандартами качества услуг.

e) Подготовка бюджета Агентства в соответствии с целями и задачами.

f) Обеспечение координации работы Совета и управлений для достижения эффективного, дисциплинированного и согласованного выполнения задач.

g) Ведение отношений Агентства с другими организациями.

ğ) Определение обязанностей и полномочий сотрудников, подписывающих документы от имени Председателя Агентства.

h) Выполнение других обязанностей, связанных с управлением и функционированием Агентства.

(4) В отсутствие Председателя его обязанности исполняет заместитель Председателя.

Организация Агентства

СТАТЬЯ 23- (1) Агентство состоит из заместителя Председателя и управлений. Управления выполняют свои задачи через подразделения, организованные в форме департаментов.

(2) Председатель назначает заместителя Председателя, который помогает ему в выполнении задач Агентства.

(3) Заместитель Председателя и начальники департаментов назначаются из числа лиц с высшим образованием не менее четырех лет и не менее десяти лет опыта работы в государственных учреждениях.

(4) Задачи Агентства включают:

a) Ведение Реестра ответственных за обработку данных.

b) Ведение делопроизводства и секретариата Совета и Агентства.

c) Представление Агентства в судах и других юрисдикционных органах.

ç) Ведение кадровых дел сотрудников Агентства.

d) Выполнение задач, возложенных на финансовые и стратегические подразделения законами.

e) Обеспечение работы информационных систем Агентства.

f) Подготовка ежегодных отчетов о деятельности Агентства и представление их Совету.

g) Подготовка стратегического плана Агентства.

ğ) Определение кадровой политики Агентства и разработка планов карьеры и обучения сотрудников.

h) Ведение делопроизводства и других административных дел.

ı) Определение этических норм для сотрудников Агентства и проведение соответствующего обучения.

i) Выполнение закупок, аренды, обслуживания, ремонта и других административных задач Агентства.

j) Ведение учета движимого и недвижимого имущества Агентства.

k) Выполнение других задач, возложенных Советом или Председателем.

Персонал и его права

СТАТЬЯ 24- (1) Сотрудники Агентства подчиняются Закону о государственных служащих № 657, если иное не предусмотрено настоящим Законом.

(2) Руководство и сотрудники Агентства получают денежное вознаграждение и социальные выплаты в соответствии с Законом о заработной плате и льготах.

(3) Руководство и сотрудники Агентства подлежат социальному страхованию в соответствии с Законом о социальном обеспечении и общем медицинском страховании № 5510. Периоды службы в Агентстве учитываются при расчете пенсий.

(4) Сотрудники государственных учреждений могут быть временно назначены в Агентство с согласия их учреждений и сохраняют свои должности и заработную плату.

РАЗДЕЛ СЕДЬМОЙ

Заключительные положения

Исключения

СТАТЬЯ 25- (1) Положения настоящего Закона не применяются в следующих случаях:

a) Обработка персональных данных физическими лицами для личных или семейных нужд, при условии, что данные не передаются третьим лицам и соблюдаются меры по безопасности данных.

b) Обработка персональных данных для статистических или научных целей путем анонимизации данных.

c) Обработка персональных данных для защиты национальной безопасности, общественного порядка или экономической безопасности, при условии, что это не нарушает права на неприкосновенность частной жизни и права личности.

ç) Обработка персональных данных в рамках официальных статистических и аналитических исследований, планирования и статистики.

d) Обработка персональных данных судами и другими юридическими органами в рамках расследований, судебных разбирательств и исполнения приговоров.

(2) Положения статей 10, 11 и 16 настоящего Закона не применяются, если:

a) Обработка персональных данных необходима для предотвращения преступлений или расследования преступлений.

b) Персональные данные были явно обнародованы самим заинтересованным лицом.

c) Обработка персональных данных необходима для выполнения законных обязанностей государственных учреждений и профессиональных организаций, обладающих публичными полномочиями.

ç) Обработка персональных данных необходима для защиты экономических и финансовых интересов государства в вопросах бюджета, налогов и финансов.

Бюджет и доходы Агентства

СТАТЬЯ 26- (1) Бюджет Агентства составляется и утверждается в соответствии с Законом о государственном бюджете № 5018.

(2) Доходы Агентства включают:

a) Субсид

ии из государственного бюджета.

b) Доходы от движимого и недвижимого имущества Агентства.

c) Пожертвования и взносы.

ç) Доходы от инвестиций.

d) Другие доходы.

Заключительные и переходные положения

СТАТЬЯ 27- (1) Переходные положения настоящего Закона регулируются отдельными постановлениями.

Вступление в силу

СТАТЬЯ 28- (1) Настоящий Закон вступает в силу со дня его опубликования в Официальном вестнике Турции.