KVKK 2022 TÄTIGKEITSBERICHT
Die Datenschutzbehörde („Behörde“) hat kürzlich ihren Tätigkeitsbericht für das Jahr 2022 („Bericht“) veröffentlicht. Bei der Prüfung der Informationen und Bewertungen zu den Aktivitäten wird festgestellt, dass
in Bezug auf die Datenübermittlung ins Ausland die in der Türkei für die Datenverarbeitung Verantwortlichen und die für die Datenverarbeitung Verantwortlichen und/oder Datenverarbeiter im jeweiligen Ausland sich schriftlich zu einem angemessenen Schutz verpflichten müssen, wobei die „Verpflichtungserklärungen” von der Datenschutzbehörde („Ausschuss“) angenommen und veröffentlicht werden können, jedoch wurde festgestellt, dass von den 75 vorgelegten Verpflichtungserklärungen nur fünf der 45 geprüften Verpflichtungserklärungen angenommen wurden.
Angesichts der äußerst strengen Beschränkungen des Gesetzes in Bezug auf die Übermittlung von Daten ins Ausland und der Tatsache, dass die Übermittlung von Daten ins Ausland als sehr weit gefasst angesehen wird, wird in diesem Bericht erneut darauf hingewiesen, dass den für die Datenverarbeitung Verantwortlichen bei der Übermittlung von Daten ins Ausland meist keine andere Möglichkeit als die Einholung der ausdrücklichen Einwilligung bleibt und dass die im Gesetz vorgesehenen Methoden in der Praxis keine Anwendung finden.
Die Tatsache, dass keine Gründe für die Annahme oder Ablehnung der dem Ausschuss vorgelegten Verpflichtungserklärungen im Zusammenhang mit der Übermittlung ins Ausland angegeben werden, ist zwar nicht wegweisend, führt jedoch unweigerlich zu einer Sackgasse für die Datenverantwortlichen.
Die Tatsache, dass die im Gesetz als Möglichkeit für Datenverantwortliche definierte Verpflichtungserklärung bei der Kommission auf sehr geringe Resonanz stößt, könnte dazu führen, dass Datenverantwortliche diesen Weg, dessen Erfolgsaussichten sehr gering erscheinen, gar nicht erst einschlagen.
Wie bekannt ist, wurde die Frist für die Erfüllung der Registrierungs- und Meldepflicht durch die Datenverantwortlichen im Datenverantwortlichenregister („VERBİS“) durch den Beschluss Nr. 2021/238 der Kommission vom 11.03.2021 auf den 37. Dezember 2027 festgelegt. Am 21. April 2022 wurde bekannt gegeben, dass gegen Datenverantwortliche, bei denen festgestellt wurde, dass sie dieser Verpflichtung nicht nachgekommen sind, gemäß Artikel 18 des Gesetzes von Amts wegen Verwaltungsstrafen verhängt werden.
In diesem Zusammenhang ist festzustellen, dass im Gegensatz zu den Vorjahren allein aufgrund der Nichteinhaltung der VERBİS-Verpflichtung vom Ausschuss eine Verwaltungsstrafe in Höhe von 29.790.000 TL verhängt wurde.
Es ist bemerkenswert, dass die Kommission, die die Höhe der gegen die Datenverantwortlichen verhängten Verwaltungsstrafen, die Gründe für die Strafen und sogar gelegentlich die Namen der betreffenden Datenverantwortlichen auf ihrer Website veröffentlicht, im Jahr 2022 keine Entscheidungen zu diesen Verwaltungsstrafen veröffentlicht hat.
2017 2018 2019 2020 2021 2022
Verwaltungsstrafen für Beschwerden und Meldungen 30.000 TL 670.000 TL 1.905.000 TL 11.497.000 TL 16.351.000 TL 20.738.000 TL
Verwaltungsstrafen für Meldungen von Datenschutzverletzungen 95.000 TL 200.000 TL 11.200.828 TL 9.893.000 TL 15.395.000 TL 34.955.000 TL
Verstoß gegen die VERBİS-Registrierungs- und Meldepflicht – – – – – 29.790.000 TL
GESAMT 125.000 TL 870.000 TL 13.105.828 TL 21.390.000 TL 31.746.000 TL 85.483.000 TL
Im Jahr 2022 beliefen sich die Verwaltungsstrafen gegen insgesamt 268 Datenverantwortliche, darunter 134 Meldungen und Beschwerden, 98 Meldungen von Datenschutzverletzungen und 36 Meldungen im Rahmen der Registrierungspflicht und Meldepflicht im Register der Datenverantwortlichen, auf insgesamt 85.483.000 TL.
Die Tatsache, dass die vom Ausschuss verhängten Verwaltungsstrafen
offen gelegt werden, motiviert die Datenverantwortlichen
dazu, aktiver Maßnahmen zu ergreifen, um einen Reputationsverlust zu vermeiden. Die öffentliche Bekanntgabe der Namen trägt dazu bei, dass die betroffenen Personen, die bei den genannten Institutionen und Organisationen Dateninhaber sind, sich informieren können, und dass auch Dateninhaber, die zwar keine Beziehung zu diesen Institutionen und Organisationen haben, aber möglicherweise zu betroffenen Personen werden könnten, bewusstere Entscheidungen treffen können.
Während sogar noch nicht abgeschlossene, dem Ausschuss zur Prüfung gemeldete Datenverstöße zusammen mit dem Namen der Einrichtung veröffentlicht werden, gibt es keine Informationen darüber, an welche Einrichtungen die Verwaltungsstrafen, die bis 2022 85 Millionen erreicht haben und sich 2021 zusammen mit den VERBİS-Strafen fast verdreifacht haben, verhängt wurden, was in diesem Zusammenhang als kritikwürdig angesehen wird.
Bei der Untersuchung der Verteilung der Meldungen und Beschwerden ist zu beobachten, dass im Jahr 2021 mit deutlichem Abstand die meisten Meldungen und Beschwerden den öffentlichen Sektor betrafen, während im Jahr 2022 der Dienstleistungssektor mit einem Anteil von 48 % der Sektor mit den meisten Meldungen und Beschwerden war und die Meldungen und Beschwerden an die Öffentlichkeit von 56 % auf 14 % deutlich zurückgingen.
Gegenstand der Meldung Anzahl der Meldungen Anteil der Meldungen
Rechtswidrige Verarbeitung personenbezogener Daten durch den Datenverantwortlichen
4.139 45,68
Unbefugte SMS/Anrufe 1.750 19,31
Rechtswidrige Weitergabe/Übermittlung personenbezogener Daten durch den Datenverantwortlichen an Dritte 1.545 17,05 %
Nichtbeachtung der Anträge der betroffenen Personen durch den Datenverantwortlichen im Rahmen des Gesetzes 957 10,56 %
Nichtlöschung, Nichtvernichtung oder Nichtanonymisierung der Daten durch den Datenverantwortlichen
447 %4,93
Anfragen im Rahmen des Rechts auf Vergessenwerden 100 %1,10
Anfragen zur Nichtübermittlung personenbezogener Daten ins Ausland 84 %0,92
Nichtbeachtung der Informationspflicht 37 %0,45
GESAMT 9.059 %100
İhbar ve şikayetlerin konu bazlı dağılımında ise yurt dışına veri aktarılmaması taleplerinin 2021 yılında %4l’lik bir oran ile sıralamada en üstte iken 2022 yılında %0,92 ile oldukça azaldığı; bununla birlikte kişisel verilerin hukuka aykırı olarak işlenmesinde %18’den %45’e ciddi bir artış bulunduğu gözlemlenmiştir.
İzinsiz SMS/Arama başlığının 2022 Raporu’nda yeni başlık olarak listeye girmesi ve %19,31 ile kişisel verilerin hukuka aykırı işlenmesinden sonra en çok ihbar ve şikayete konu olan başlık olması da önemli bir noktadır.
Bu başlıkların genel olarak değerlendirilmesi ışığında ilgili kişilerin kişisel veri farkındalığının ve bilincinin artması ile doğru orantılı olarak yapılan başvuru sayısının da arttığı, bununla birlikte veri sorumlusu bünyelerinde de özellikle kamu sektöründe gözle görülür bir farkındalık artışının olduğu rahatlıkla söylenebilecektir.
