Protezione dei dati personali e privacy

1. Introduzione

Nell'era dell'informazione, i dati personali sono diventati una fonte fondamentale di potere economico e politico. Tuttavia, quando questo potere viene utilizzato senza limiti legali per la tutela della privacy individuale, si compromette l'equilibrio sociale. In Turchia, la Legge n. 6698 sulla protezione dei dati personali (KVKK) e l'articolo 20/3 della Costituzionegarantiscono la privacy come diritto fondamentale.

Questo articolo esaminerà in dettaglio la definizione di dati personali, i principi di protezione, la base giuridica e le violazioni riscontrate nella pratica.

---

2. Il concetto di dati personali

2.1. Definizione

Secondo l'articolo 3 della KVKK (Legge sulla protezione dei dati personali):

"Per dati personali si intende qualsiasi informazione riguardante una persona fisica identificata o identificabile."

Ciò include nome, cognome, numero di identificazione nazionale turco, numero di telefono, posizione, registrazioni vocali, indirizzo IP, dati biometrici e persino preferenze di acquisto.

2.2. Categorie speciali di dati

L'articolo 6 della legge turca sulla protezione dei dati personali (KVKK) classifica dati quali "razza, salute, vita sessuale e opinioni politiche" come informazioni sensibili e prevede una protezione più rigorosa.

---

3. Le basi costituzionali del diritto alla privacy e alla riservatezza

Articolo 20/3 della Costituzione:

"Ognuno ha il diritto di richiedere la protezione dei propri dati personali."

Con questo articolo, la privacy è diventata non solo un valore etico ma anche un diritto costituzionale .
L'obbligo dello Stato è duplice:

1. Le autorità pubbliche hanno una responsabilità negativa in caso di violazione dei dati

2. Garantire un'efficace supervisione e protezione nei confronti delle imprese private è un obbligo positivo.

Nella sentenza numero 2016/13010, la Corte Costituzionale ha affermato che "la condivisione di dati personali senza consenso viola il diritto alla privacy".

---

4. Principi fondamentali della legge sulla protezione dei dati personali (KVKK)

Ai sensi dell'articolo 4 della KVKK (Legge sulla protezione dei dati personali), le attività di trattamento dei dati devono basarsi sui seguenti principi:

1. Rispetto della legge e del principio di onestà,

2. Essere accurato e aggiornato,

3. Trattamento per finalità specifiche, esplicite e legittime,

4. Essendo pertinenti allo scopo per cui sono destinati, limitati e proporzionati,

5. Conservazione per il periodo previsto dalla normativa vigente o per il periodo necessario al raggiungimento delle finalità per cui i dati sono stati trattati.

Questi principi dovrebbero essere considerati come un "codice di riferimento" in ogni processo di elaborazione dei dati.

---

5. Condizioni per il trattamento dei dati personali

Il trattamento dei dati deve essere basato su uno dei fondamenti giuridici specificati negli articoli 5 e 6 della KVKK (Legge sulla protezione dei dati personali):

• Consenso esplicito,

• Esplicitamente previsto dalla legge,

• Formazione o esecuzione del contratto,

• L'obbligo legale del titolare del trattamento,

• L'istituzione, l'esercizio o la tutela di un diritto,

• Dati resi pubblici dalla persona interessata.

Qualsiasi azione intrapresa senza esplicito consenso illegale .

---

6. Obbligo di fornire l'illuminazione

Il titolare del trattamento è tenuto a informare l'interessato prima della raccolta dei dati (articolo 10 della legge tedesca sulla protezione dei dati personali, KVKK).
L'informativa deve includere l'identità del titolare del trattamento, le finalità del trattamento, il trasferimento dei dati e i diritti che possono essere esercitati.

La mancata osservanza di tale obbligo sanzioni amministrative fino a 1 milione di lire turche .

---

7. Sicurezza dei dati e misure tecniche

Ai sensi dell'articolo 12 della KVKK (Legge sulla protezione dei dati personali), i titolari del trattamento dei dati devono adottare le seguenti misure:

• Prevenire l'accesso non autorizzato,

• Crittografia e registrazione,

• Sistema di controllo accessi,

• Formazione del personale,

• Piano di risposta agli incidenti informatici.

Qualora tali misure non vengano adottate e si verifichi una violazione dei dati, il Consiglio può imporre sanzioni e condurre verifiche.

---

8. Violazione dei dati e obbligo di notifica

In caso di violazione dei dati,

• Al Consiglio entro 72 ore,

• la persona competente il prima possibile
  (articolo 12/5).

Gli istituti che non hanno presentato la segnalazione sono stati multati in media tra 750.000 e 2.500.000 lire turche tra il 2024 e il 2025

---

9. Obbligo di anonimizzare ed eliminare

Quando lo scopo del trattamento dei dati viene meno, i dati personali devono essere cancellati , distrutti o anonimizzati (articolo 7). Tale processo è disciplinato dal documento " Politica di conservazione e distruzione dei dati ". Nella sua decisione n. 2023/310, il Comitato ha sottolineato che "l'anonimizzazione deve essere irreversibile".

---

10. Accordi sul trasferimento dei dati e sulla privacy

Quando i dati personali vengono trasferiti a terzi, è obbligatorio un accordo scritto.
L'accordo deve includere quanto segue:

• Finalità e durata del trattamento,

• Le responsabilità delle parti,

• Misure di sicurezza dei dati,

• Procedura di segnalazione delle violazioni.

Per i trasferimenti di dati all'estero, è necessaria l'autorizzazione del Consiglio o l'inclusione in un elenco di paesi che garantiscono un livello di protezione adeguato, ai sensi dell'articolo 9 della KVKK (Legge sulla protezione dei dati personali).

---

11. Distinzione tra istituzioni pubbliche e settore privato

Anche le istituzioni pubbliche sono soggette alla legge sulla protezione dei dati personali (KVKK); tuttavia, le "attività di sicurezza e giudiziarie" costituiscono un'eccezione.
Nel settore privato, gli obblighi sono più stringenti, soprattutto nei settori bancario, assicurativo, dell'e-commerce e sanitario.
Per le banche le linee guida dell'Agenzia di regolamentazione e vigilanza bancaria (BDDK) e della KVKK, mentre per il settore sanitario la Guida sui dati sanitari .

---

12. GDPR e confronto internazionale

12.1. UE (GDPR)

Il Regolamento generale sulla protezione dei dati (GDPR) dell'UE ha stabilito standard globali.
La Turchia ha predisposto una bozza di revisione della propria legge sulla protezione dei dati personali (KVKK) per allinearla a tale struttura entro il 2025.

12.2. USA

Negli Stati Uniti non esiste una legge federale sulla protezione dei dati; si applicano le normative statali (CCPA).

12.3. Posizione della Turchia

La Turchia ha creato un modello applicativo a livello regionale con la KVKK (Legge sulla protezione dei dati personali) e il VERBİS (Sistema di registrazione e informazione dei dati); tuttavia, è ancora necessario un aggiornamento per quanto riguarda il "trasferimento internazionale dei dati e la creazione di profili".

---

13. L'approccio dell'equità e della giustizia

La Corte Suprema e la Corte Costituzionale considerano le violazioni dei dati personali come "violazioni dei diritti personali".

• Corte Suprema, Quarta Sezione Civile, Caso n. 2020/3106: "La condivisione non autorizzata di dati costituisce motivo di risarcimento per danni morali".

• Sentenza n. 2018/14884 della Corte Costituzionale: "Il monitoraggio delle email dei dipendenti da parte dei datori di lavoro è limitato a scopi legittimi e al principio di proporzionalità".

Il principio di equità impone al titolare del trattamento di trovare un equilibrio tra le misure di protezione e la privacy dell'individuo.

---

14. Sanzioni e pene amministrative

Le sanzioni previste nel 2025 ai sensi dell'articolo 18 della legge sulla protezione dei dati personali sono riassunte come segue:

Inoltre, a causa della violazione dei dati , potrebbe sorgere una responsabilità penale ai sensi degli articoli 136-138 del codice penale turco

---

15. Conclusione e valutazione

La tutela dei dati personali è garanzia di libertà e dignità individuale nelle democrazie moderne. In Turchia, con la Legge sulla protezione dei dati personali (KVKK), la privacy ha cessato di essere un concetto astratto ed è diventata un diritto giuridicamente tutelabile

Insomma:

• I titolari del trattamento dei dati devono trattare i dati in modo trasparente e proporzionato.

• I dati personali devono essere cancellati quando viene meno lo scopo del loro trattamento.

• Le violazioni dei dati devono essere segnalate entro 72 ore.

• Le politiche di anonimizzazione e di consenso esplicito sono obbligatorie.

• La privacy non è solo un obbligo tecnico, ma anche etico.