Bewertungen zum Rundschreiben über die Verfahren und Grundsätze des Personalzertifizierungsmechanismus
Die Datenschutzbehörde („Behörde”) hat einen Zertifizierungsmechanismus eingeführt und die Bekanntmachung über die Verfahren und Grundsätze für den Personalzertifizierungsmechanismus („Bekanntmachung”) am 06.12.2021 im Amtsblatt veröffentlicht.
Gemäß der Bekanntmachung erhalten diejenigen, die das vom Ausschuss für den Schutz personenbezogener Daten („Ausschuss“) organisierte Schulungsprogramm absolviert haben, eine Teilnahmebescheinigung und können sich innerhalb von vier Jahren für die Zertifizierungsprüfung anmelden. Bei erfolgreichem Bestehen der Prüfung erhalten die Kandidaten den Titel „Datenschutzbeauftragter“.
Der Datenschutzbeauftragte wird mit dem Titel „Data Protection Officer” („DPO”) im Rahmen der Datenschutz-Grundverordnung der Europäischen Union („DSGVO”) verglichen, bezeichnet jedoch Personen, die für den Schutz der Daten des für die Verarbeitung Verantwortlichen zuständig sind. In diesem Punkt gibt es mehr Unterschiede als Gemeinsamkeiten zwischen dem DPO der DSGVO und dem Datenschutzbeauftragten der Behörde.
Alle Personen, die an den Zertifizierungsprogrammen teilnehmen und die vorgesehenen Prüfungen bestehen, erhalten den Titel eines Datenschutzbeauftragten. Tatsächlich kann man sagen, dass die von einigen privaten Unternehmen ausgestellten Zertifikate durch diese Ausgabe des Amtsblatts reguliert sind.
Die erste Institution, die Maßnahmen ergreifen wird, um Datenschutzbeauftragte auszubilden, ist die Türkische Akkreditierungsstelle („TÜRKAK”), die für die Auswahl der Bildungseinrichtungen zuständig sein wird, die die Schulungen durchführen und die Prüfungen abnehmen. Auf diese Weise werden bestimmte Bildungszentren für die Ausbildung von Datenschutzbeauftragten zugelassen. Die Zertifizierung der erfolgreichen Absolventen der Zertifizierungsprüfung wird von Personalzertifizierungsstellen durchgeführt, die von der TÜRKAK gemäß der Norm (TS) EN ISO/IEC 17024 akkreditiert sind.
Mit dieser Maßnahme der Behörde soll in der Türkei die Ausbildung von Datenschutzbeauftragten nach ISO-Normen erreicht werden.
Die Gültigkeitsdauer der Zertifikate beträgt vier Jahre ab Bekanntgabe der Prüfungsergebnisse, und Datenschutzbeauftragte dürfen ihren Titel nur während der Gültigkeitsdauer ihres Zertifikats führen. Die Einführung der Vierjahresfrist kann als implizite Aussage der Behörde verstanden werden, dass ein einmalig durchgeführtes Projekt zum Schutz personenbezogener Daten nicht ausreicht und dass Aktualität für die Einhaltung der Vorschriften von entscheidender Bedeutung ist.
Im Rahmen des Programms, in dessen Rahmen der Datenschutzbeauftragte zertifiziert wurde, wird davon ausgegangen, dass er über ausreichende Kenntnisse im Bereich des Datenschutzrechts verfügt. Darüber hinaus wurde die Bedingung eingeführt, dass die Personalzertifizierungsstelle über das erforderliche und ausreichende Personal, die Ressourcen sowie die physische, technische und administrative Infrastruktur verfügen muss, um Mängel und Störungen während der Zertifizierungsaktivitäten zu vermeiden.
Die Beschäftigung eines Datenschutzbeauftragten durch den für die Datenverarbeitung Verantwortlichen und/oder den Datenverarbeiter entbindet den für die Datenverarbeitung Verantwortlichen und den Datenverarbeiter nicht von ihrer Verantwortung, das Gesetz Nr. 6698 zum Schutz personenbezogener Daten („Gesetz”) und die einschlägigen Rechtsvorschriften einzuhalten.
Das Zertifikatsverfolgungs- und -überprüfungssystem („SERTABİS“) ist ein öffentlich zugängliches System, das von der Institution verwaltet wird und die transparente und effektive Durchführung der Zertifizierung gewährleisten soll. SERTABİS enthält die in der Teilnahmebescheinigung enthaltenen Informationen, die Informationen der Personalzertifizierungsstelle und Änderungen ihres Status sowie die Informationen der Zertifikatsinhaber, die Termine der im Rahmen des Programms durchgeführten Prüfungen sowie die Informationen zu den erfolgreichen Prüfungsteilnehmern, den Zertifikatsdaten, den Zertifikatsnummern, den Gültigkeitsdauern der Zertifikate und dem Status der Zertifikate.
Gemäß Artikel 16 der Mitteilung mit dem Titel „Übermittlung von Informationen und Unterlagen an die Behörde” kann die Behörde von den betroffenen Parteien alle Informationen und Unterlagen im Rahmen des Programms anfordern. An dieser Stelle stellt sich die Frage, inwieweit es richtig ist, dass eine Behörde, die den für die Datenverarbeitung Verantwortlichen Datenminimierung empfiehlt und andernfalls administrative Sanktionen verhängt, in ihrer eigenen Praxis nicht so vorgeht. Die Frist für die von den Parteien angeforderten Unterlagen beträgt fünfzehn Tage, und die Formulierung „alle Informationen und Unterlagen” macht es angesichts dieser Frist unmöglich, die erforderlichen Vorbereitungen zu treffen, was zu Verzögerungen bei der Umsetzung der Bekanntmachung führt.
Ein weiterer Widerspruch und eine weitere Unklarheit besteht darin, dass nicht angegeben wird, welche Sanktionen in Fällen, in denen die Zulassung einer Personalzertifizierungsstelle widerrufen wird, für die Personen gelten, denen diese Stelle den Titel eines Datenschutzbeauftragten verliehen hat.
„Personen, die in den letzten vier Jahren vor dem Prüfungstermin eine Teilnahmebescheinigung erhalten haben oder über ein gültiges Datenschutzbeauftragten-Zertifikat verfügen und die die im Programm festgelegten Bedingungen erfüllen, sind berechtigt, sich für die Prüfung zum Datenschutzbeauftragten anzumelden.“
Gemäß Absatz 11/1 der Bekanntmachung müssen Personen, die sich für die Prüfung anmelden möchten, innerhalb der letzten vier Jahre vor dem Prüfungstermin eine Teilnahmebescheinigung erhalten haben oder über ein gültiges Zertifikat verfügen. In diesem Fall ist davon auszugehen, dass einige der Organisationen, die diesen Dienst derzeit anbieten, über ein gültiges Zertifikat verfügen. Nach den durchgeführten Bewertungen wurde keine Erklärung zur Gültigkeit des Titels von Datenschutzbeauftragten abgegeben, die an der Prüfung teilgenommen und den Titel erworben haben, falls die spätere Zulassung von Organisationen, die ein „gültiges Zertifikat“ vorweisen können, widerrufen wird.
Wie bereits zuvor in ähnlichen Fällen zu beobachten war, ist zu erwarten, dass der Ausschuss bestimmte Erklärungen und Klarstellungen abgeben wird, und es wird erforderlich sein, die tatsächliche Umsetzung zu verfolgen.
Datenschutzbeauftragter vs. Data Protection Officer
DPO ist ein Begriff, der im Rahmen der im Mai 2018 in der Europäischen Union in Kraft getretenen DSGVO definiert wurde. Ziel dieser Regelung ist es, die Ernennung einer Person sicherzustellen, die für die Einhaltung der Vorschriften durch die für die Datenverarbeitung Verantwortlichen zuständig ist. Die DSGVO verpflichtet Datenverantwortliche, die bestimmte Kriterien erfüllen, einen Datenschutzbeauftragten zu benennen, und legt die Aufgaben und Pflichten dieses Datenschutzbeauftragten detailliert fest.
Die Hauptaufgabe des Datenschutzbeauftragten besteht darin, sicherzustellen, dass die Mitarbeiter, Kunden, Lieferanten oder andere Personen (betroffene Personen) der Organisation personenbezogene Daten in Übereinstimmung mit den Datenschutzbestimmungen verarbeiten.
Gemäß Artikel 37 der DSGVO ist die Ernennung eines Datenschutzbeauftragten in den Institutionen und Einrichtungen der Europäischen Union obligatorisch.
Entgegen der landläufigen Meinung ist für die gesetzliche Verpflichtung zur Ernennung eines Datenschutzbeauftragten nicht die Größe des Unternehmens ausschlaggebend, sondern die grundlegenden Verarbeitungstätigkeiten, die für die Erreichung der Unternehmensziele erforderlich sind. Wenn diese grundlegenden Tätigkeiten die Verarbeitung sensibler personenbezogener Daten in großem Umfang oder insbesondere eine umfassende Datenverarbeitung in Bezug auf die Rechte der betroffenen Personen umfassen, muss das Unternehmen einen Datenschutzbeauftragten ernennen. Andererseits sind öffentliche Einrichtungen, mit Ausnahme von Gerichten, die im Rahmen ihrer gerichtlichen Zuständigkeit handeln, immer verpflichtet, einen Datenschutzbeauftragten zu benennen.
Wenn keine gesetzliche Verpflichtung besteht, können Unternehmen freiwillig einen Datenschutzbeauftragten benennen, um die Einhaltung der Datenschutzbestimmungen zu unterstützen (dies wird beispielsweise von der französischen Datenschutzbehörde CNIL empfohlen).
Unternehmen haben zwei Möglichkeiten, ihrer Verpflichtung zur Ernennung eines Datenschutzbeauftragten nachzukommen. Entweder wird ein Mitarbeiter zum Datenschutzbeauftragten ernannt oder es wird ein externer Datenschutzbeauftragter beauftragt. Es ist wichtig, dass ein interner Datenschutzbeauftragter aufgrund seiner Aufgaben in der IT- oder Personalabteilung oder in der Geschäftsleitung keinem Interessenkonflikt ausgesetzt ist und sich selbst kontrolliert.
Unabhängig davon, für welche Option man sich entscheidet, muss ein DPO je nach Komplexität der Datenverarbeitung und Größe des Unternehmens über fachliche Kenntnisse in den Bereichen Datenschutzrecht und technische Sicherheitsmaßnahmen verfügen. Die Aufgaben und Qualifikationen des DPO sind in Artikel 39 der DSGVO ausführlich beschrieben.
Das Vereinigte Königreich sieht die Ernennung eines Datenschutzbeauftragten vor, wenn es sich um eine öffentliche Einrichtung oder Organisation handelt oder wenn bestimmte Arten von Verarbeitungsaktivitäten durchgeführt werden. Der zuständige Datenschutzbeauftragte berät bei Datenschutz-Folgenabschätzungen (Data Protection Impact Assessments, DPIA) und fungiert als Ansprechpartner für die Dateninhaber und das Information Commissioner’s Office (ICO).
Das 2018 in Kraft getretene Gesetz sah keinen Datenschutzbeauftragten vor. In der Türkei wurde der Titel „Kontaktperson”, der ebenfalls nicht im Gesetz erwähnt wird, aber im Rahmen der Anwendungen des Registersystems für Datenverantwortliche („VERBİS”) in der Verordnung über das Register für Datenverantwortliche geregelt ist und zunehmend verwendet wird, so konzipiert, dass er dem Titel „DSB” in den GDPR-Anwendungen entspricht. Wie im Beispiel des Vereinigten Königreichs erwähnt, waren die Kontaktpersonen sowohl gegenüber den betroffenen Personen als auch gegenüber der Datenschutzbehörde (Behörde) verantwortlich und galten als Ansprechpartner für die erste Kontaktaufnahme.
Wie zu sehen ist, hat der Titel „Kontaktperson” die Eigenschaft, dass er die in der DSGVO vorgesehene erste Ansprechperson und Kontaktperson für die betroffenen Personen und Datenschutzbehörden ist. Der wichtigste Unterschied zum DPO besteht jedoch darin, dass keine Fachkenntnisse im Bereich Datenschutz und keine Verpflichtung zur Bereitstellung dieser Informationen erforderlich sind. Mit der aktuellen Regelung kann man sagen, dass die DPO-Anwendung in der Türkei nur darauf abzielt, die Lücke in Bezug auf die erforderlichen Fachkenntnisse zu schließen, und dass sie keine Verantwortung für die Kommunikation trägt, da für diese Verantwortung Kontaktpersonen benannt werden.
In Bezug auf die in der DSGVO festgelegte Verpflichtung zur Ernennung eines Datenschutzbeauftragten ist festzustellen, dass die Ernennung eines Datenschutzbeauftragten für öffentliche Einrichtungen und Organisationen ohne Ausnahme in der Bekanntmachung nicht erwähnt wird.
In der Begründung (Erwägungsgrund) zu Artikel 37 der DSGVO wird darauf hingewiesen, dass nicht nur öffentliche Einrichtungen und Organisationen, sondern auch Personen des privaten Sektors, die öffentliche Aufgaben wahrnehmen (als Beispiele werden Unternehmen genannt, die öffentliche Verkehrsmittel, Straßen, Wasser und Energie bereitstellen), dieser Verpflichtung unterliegen.
In der entsprechenden Verordnung wird die Verpflichtung zur Ernennung eines Datenschutzbeauftragten nicht erwähnt und bleibt unklar. Wir sind der Ansicht, dass diese Fragen im Laufe der Zeit durch die Weiterentwicklung der in der Verordnung genannten Anwendung geklärt werden.
Zertifizierungsprogramm für Datenschutzbeauftragte
Im Zusammenhang mit den im Rahmen der Bekanntmachung durch die Behörde durchzuführenden Zertifizierungsmaßnahmen wurde das Zertifizierungsprogramm für Datenschutzbeauftragte („Programm”) erstellt und am 07.12.2021 auf der Website der Behörde veröffentlicht.
Der Zweck des Programms besteht darin, „die Bewerbungen der Kandidaten, die sich bei der von der Behörde autorisierten Personalzertifizierungsstelle bewerben, zu bewerten, Prüfungen durchzuführen und zu bewerten, die Zertifizierung oder Rezertifizierung von Datenschutzbeauftragten oder Datenschutzbeauftragten-Kandidaten vorzunehmen und alle Grundsätze in Bezug auf das Zertifizierungsverfahren festzulegen“.
Die Aussetzung und/oder Aufhebung der Zertifikate von Datenschutzbeauftragten, die über die oben erläuterte Zertifizierung verfügen, wird in diesem Programm geregelt.
Demnach gilt Folgendes: (i) auf Antrag des Datenschutzbeauftragten, (ii) wenn festgestellt wird, dass er eine der erforderlichen Voraussetzungen nicht erfüllt und eine falsche Erklärung abgegeben hat, (iii) wenn festgestellt wird, dass er das Dokument in böswilliger oder irreführender Weise verwendet hat, (iv) wenn nach der Prüfung einer gegen den Datenschutzbeauftragten eingereichten Beschwerde eine Entscheidung gegen ihn durch die Behörde oder die zuständigen Gerichte getroffen wird, (v) wenn festgestellt wird, dass das Dokument manipuliert wurde, sind die Bedingungen nach dem Prinzip der begrenzten Anzahl (numerus clausus) vorgesehen.
Als Voraussetzung für die Zulassung zur Prüfung zum Datenschutzbeauftragten gilt, dass Absolventen von Fakultäten inländischer Universitäten oder ausländischer Universitäten, deren Diplome vom Hochschulrat anerkannt sind, die mindestens ein vierjähriges Bachelorstudium absolviert haben und in den letzten vier Jahren vor dem Prüfungstermin eine Teilnahmebescheinigung erhalten haben oder über ein gültiges Zertifikat als Datenschutzbeauftragter verfügen.
Bei der Betrachtung der Prüfungsthemen fällt auf, dass auch internationale Rechtsvorschriften im Bereich des Schutzes personenbezogener Daten behandelt werden und dass für den Erwerb des Zertifikats Kenntnisse über die DSGVO, das Übereinkommen Nr. 108 und die Richtlinie 95/46/EG erforderlich sind.
ERGEBNIS
In den obigen Erläuterungen zu den Vorschriften für Datenschutzbeauftragte wurde festgestellt, dass sich die Mitteilung auf den Zertifizierungsprozess konzentriert und dass die Erläuterungen zur Bedeutung des Titels lückenhaft sind.
Das vorrangige Ziel besteht weniger darin, die Position des Datenschutzbeauftragten im Rechtssystem zu bestimmen, als vielmehr darin, die Informationsverwirrung und die falschen Praktiken bei der derzeitigen Beratung zum Schutz personenbezogener Daten zu beseitigen.
Daher ist die Erläuterung der in der Mitteilung und dem darauf basierenden Programm genannten Punkte nicht nur eine Notwendigkeit, sondern eine Dringlichkeit.
In diesem Artikel werden die Beziehung zwischen dem Datenschutzbeauftragten und dem Datenschutzbeauftragten, die bisher in der Praxis eine Rolle gespielt haben, sowie die GDPR-Anwendungen kurz erläutert. Ausgehend von der Formulierung „über ausreichende Kenntnisse verfügen” in der Bekanntmachung, die sich auf die im Rahmen der DSGVO geforderte Fachkompetenz bei der Bestimmung von Datenschutzbeauftragten bezieht, wurde in diesem Artikel nicht auf die Tatsache eingegangen, dass es keine Regelungen für Rechtsanwälte als Rechtsbegriffshersteller gibt und dass die in diesem Zusammenhang möglichen Rechtsverluste einer eingehenderen Prüfung bedürfen. Wir sind jedoch der Meinung, dass die entsprechenden Regelungen so schnell wie möglich mit bestimmten Verfahren und Grundsätzen für Rechtsanwälte geregelt werden sollten.
In diesem Zusammenhang möchten wir allen Akteuren des Ökosystems unseren Informationstext zur Bekanntmachung zur Kenntnis bringen, von der wir uns einen Fortschritt für die Kultur unseres Landes im Bereich des Datenschutzrechts erhoffen.
