个人数据保护和隐私

1. 引言

在信息时代，个人数据已成为经济和政治权力的重要来源。然而，当这种权力被滥用而缺乏对个人隐私的法律约束时，就会破坏社会平衡。在土耳其， 《个人数据保护法》（第6698号） 和 《宪法》第20/3条将隐私权保障为一项基本权利。

本文将详细探讨个人数据的定义、保护原则、法律依据以及实践中遇到的违规行为。.

---

2. 个人数据的概念

2.1 定义

根据《个人数据保护法》（KVKK）第3条：

“个人数据是指与已识别或可识别的自然人有关的任何信息。”

这包括姓名、姓氏、土耳其国民身份证号码、电话号码、位置、录音、IP 地址、生物识别数据，甚至购物偏好。.

2.2 特殊类别数据

土耳其个人数据保护法（KVKK）第 6 条将“种族、健康、性生活和政治观点”等数据归类为敏感信息，并规定了更严格的保护。.

---

3. 隐私权和保密权的宪法基础

《宪法》第20条第3款:

“每个人都有权要求保护自己的个人数据。”

本文将隐私权不仅视为一种伦理价值，更视为 一项宪法权利 。
国家的义务体现在两个方面：

1. 公共机构对数据泄露负有负面责任。

2. 对私营公司进行有效监督和保护是一项积极的义务。.

宪法法院在其第 2016/13010 号裁决中指出，“未经同意分享个人数据侵犯了隐私权”。.

---

4. 个人数据保护法（KVKK）的基本原则

根据《个人数据保护法》（KVKK）第4条规定，数据处理活动必须遵循以下原则：

1. 遵守法律和诚实原则，

2. 准确且及时更新

3. 为特定、明确和合法目的进行处理

4. 与所致力于的目的相关、有限且适度，

5. 按照相关法律规定的期限或为实现处理目的所需的期限进行保存。.

这些原则应被视为每个数据处理过程中的“参考准则”。.

---

5. 处理个人数据的条件

数据处理必须基于《个人数据保护法》（KVKK）第5条和第6条规定的法律依据之一：

• 明确同意，

• 法律明确规定，

• 合同的订立或履行

• 数据控制者的法律义务，

• 权利的确立、行使或保护

• 相关人员已公开的数据。.

任何未经明确同意的行为 非法 。

---

6. 提供照明的义务

数据控制者有义务在收集数据前告知数据主体（《德国数据保护法》第10条）。
信息通知应包括数据控制者的身份、数据处理的目的、数据传输以及可以行使的权利。

未能履行此义务 最高 100 万土耳其里拉的行政罚款 。

---

7. 数据安全和技术措施

根据《个人数据保护法》（KVKK）第12条的规定，数据控制者必须采取以下措施：

• 防止未经授权的访问

• 加密和日志记录

• 门禁系统

• 员工培训

• 网络安全事件响应计划。.

如果不采取这些措施，并且发生数据泄露，董事会可以处以罚款并进行审计。.

---

8. 数据泄露和通知义务

如果发生数据泄露，

• 72小时内提交董事会,

• 尽快通知相关人员
  （第 12/5 条）。

2024 年至 2025 年间，未提交报告的机构平均被罚款750,000 土耳其里拉至 2,500,000 土耳其里拉。

---

9. 匿名化和删除的义务

当数据处理目的终止时，个人数据必须 被删除、 销毁 或 匿名化 （第7条）。
这一过程数据存储和销毁政策规定
在第2023/310号决定中，委员会强调“匿名化必须是不可逆的”。

---

10. 数据传输和隐私协议

当个人数据传输给第三方时，必须签订书面协议。
该协议必须包含以下内容：

• 处理目的和持续时间

• 各方的责任，

• 数据安全措施

• 违规报告程序。.

对于向国外传输数据，需要获得委员会的许可，或者根据《个人数据保护法》（KVKK）第 9 条规定，获得提供充分保护的国家的名单。.

---

11. 公共机构与私营部门的区别

公共机构也受《个人数据保护法》（KVKK）约束；但是，“安全和司法活动”除外。私营部门的义务更为繁重，尤其是在银行、保险、电子商务和医疗保健领域。对于银行业，适用银行监管局（BDDK）和《个人数据保护法》（KVKK）的指导方针；而对于医疗保健行业，则实施《健康数据指南》 。

---

12. GDPR与国际比较

12.1. 欧盟（GDPR）

欧盟的《通用数据保护条例》（GDPR）制定了全球标准。
土耳其已起草修订其《个人数据保护法》（KVKK），以期在2025年前使其更接近这一标准。

12.2. 美国

美国没有联邦数据保护法；适用的是州级法规（CCPA）。.

12.3. 土耳其的地理位置

土耳其已在其地区根据《个人数据保护法》(KVKK)和《数据登记和信息系统》(VERBİS)创建了一个示范应用程序；但是，在“国际数据传输和个人资料创建”方面仍然需要更新。.

---

13. 公平正义的途径

最高法院和宪法法院将个人数据泄露视为“侵犯个人权利”。.

• 最高法院第四民事庭，案件编号 2020/3106： “未经授权的数据共享构成精神损害赔偿的理由。”

• 宪法法院第 2018/14884 号裁决： “雇主对员工电子邮件的监控仅限于合法目的和比例原则。”

公平原则要求数据控制者在保护措施和个人隐私之间取得平衡。.

---

14. 行政制裁和处罚

根据《个人数据保护法》第18条，2025年将实施的处罚措施概述如下：

此外， 土耳其刑法典第 136-138 条， 可能引发刑事责任

---

15. 结论与评价

在现代民主国家，个人数据保护是保障个人自由和尊严的基石。在土耳其，随着《个人数据保护法》（KVKK）的颁布，隐私不再是抽象的概念，而成为一项受法律保护的权利。

综上所述：

• 数据控制者必须以透明和适当的方式处理数据。.

• 个人数据在处理目的结束后应当删除。.

• 数据泄露事件必须在72小时内报告。.

• 匿名化和明确同意政策是强制性的。.

• 隐私不仅是技术问题，也是道德义务。.