Bewertungen zur Verordnung über den Schutz und die Verarbeitung von Daten bei der Sozialversicherungsanstalt
Die Verordnung über den Schutz und die Verarbeitung von Daten bei der Sozialversicherungsanstalt („Verordnung“) wurde erlassen, um die Verfahren und Grundsätze für die Verarbeitung von Daten festzulegen, die von der Sozialversicherungsanstalt („Anstalt“) ganz oder teilweise automatisiert oder nicht automatisiert, jedoch als Teil eines Datenerfassungssystems erhoben werden.
Die betreffende Verordnung gilt für die Mitarbeiter der Anstalt und die natürlichen Personen, deren personenbezogene Daten verarbeitet werden, die im Rahmen der Tätigkeiten der Anstalt personenbezogene Daten im Namen der Anstalt verarbeiten oder an die Daten übermittelt werden, sowie für natürliche und juristische Personen des Privatrechts.
In Abschnitt 4 „Begriffsbestimmungen” fällt auf, dass die Definitionen in Bezug auf den Datenverantwortlichen und die Verarbeitung personenbezogener Daten wörtlich aus dem Gesetz Nr. 6698 zum Schutz personenbezogener Daten („Gesetz”) übernommen wurden. Darüber hinaus gehört auch das elektronische Informationssystem MEDULA, das von der Institution zum Sammeln von Daten über die Inanspruchnahme von Gesundheitsdienstleistungen und zur Rechnungsstellung auf der Grundlage dieser Daten eingesetzt und betrieben wird, zu den Definitionen.
MEDULA ist ein System, das in den Entscheidungen der Datenschutzbehörde („Behörde“) erwähnt wird und für die Tätigkeit von Bedeutung ist. In einigen Entscheidungen der Behörde wird deutlich, dass die Behörde der Ansicht ist, dass der Zugang der Ehefrau des Apothekers zu den MEDULA-Apothekenausdrucken der betreffenden Person einen Verstoß gegen das Strafgesetzbuch darstellt, da dies eine „rechtswidrige Weitergabe oder Beschaffung von Daten” darstellt. In einer anderen Mitteilung gibt es einen Verstoßantrag, weil ein ehemaliger Mitarbeiter der Apotheke Patientendaten ohne deren Wissen übertragen hat, um sie in das MEDUSA-System einzugeben und so Patienteninformationen von anderen Apotheken zu beschaffen. In diesem Zusammenhang hat das betreffende System eine Struktur, die hinsichtlich der intensiven Verarbeitung von besonders sensiblen Gesundheitsdaten mit Vorsicht behandelt werden muss, und ist auch in der Verordnung in diesem Zusammenhang aufgeführt.
- VERFAHREN UND GRUNDSÄTZE FÜR DIE VERARBEITUNG PERSONENBEZOGENER DATEN
Grundsätze für die Verarbeitung und den Zugriff auf personenbezogene Daten, personenbezogene Gesundheitsdaten und Geschäftsgeheimnisse
Wie aus Artikel 4 des Gesetzes hervorgeht, gelten für die Verarbeitung personenbezogener Daten bestimmte Grundsätze.
Diese Grundsätze sind auch in der Verordnung enthalten. Demnach gelten für die Verarbeitung personenbezogener Daten die Grundsätze der Rechtmäßigkeit und Fairness, der Richtigkeit und gegebenenfalls Aktualität, der Verarbeitung für bestimmte, eindeutige und rechtmäßige Zwecke, der Verhältnismäßigkeit und Beschränktheit im Hinblick auf den Verarbeitungszweck sowie der Aufbewahrung für den in den einschlägigen Rechtsvorschriften vorgesehenen oder für den Verarbeitungszweck erforderlichen Zeitraum.
Gesundheitsdienstleister, die einen Vertrag mit der Einrichtung abgeschlossen haben, sind verpflichtet, die von ihnen im Namen der Einrichtung verarbeiteten personenbezogenen Gesundheitsdaten in das genannte Datenerfassungssystem zu übertragen und dürfen diese Daten nicht an einen anderen Ort kopieren oder übertragen. Für den Zugriff auf das betreffende System ist eine Autorisierung erforderlich. Die Autorisierung, Erfassung und Speicherung der Daten obliegt den für die Datenverarbeitung Verantwortlichen. Eine weitere Verpflichtung der für die Datenverarbeitung Verantwortlichen, die wir ebenfalls aus dem Gesetz kennen, besteht darin, dass sie verpflichtet sind, alle administrativen und technischen Maßnahmen zu ergreifen, um die Sicherheit der personenbezogenen Daten zu gewährleisten. In dieser Phase ist der für die Datenverarbeitung Verantwortliche gemeinsam mit den Datenverarbeitern verantwortlich.
Ein weiterer wichtiger Punkt ist, dass die 72-Stunden-Frist für die Meldung von Datenschutzverletzungen, die nicht im Gesetz enthalten ist, aber durch Beschlüsse und Bekanntmachungen der Datenschutzbehörde („Kurul“) in der Praxis Anwendung findet, in der Verordnung enthalten ist.
Der Zugriff auf Daten durch autorisierte Mitarbeiter der Behörde gilt nicht als Datenübermittlung, sofern die Daten nicht an Dritte weitergegeben oder offengelegt werden und die entsprechenden Sicherheitsvorschriften eingehalten werden. In diesem Zusammenhang können die Mitarbeiter der Behörde in bestimmten Fällen, die in der Verordnung aufgeführt sind, wie z. B. bei Kontrollen, Datenverarbeitungsaktivitäten und der Festlegung von Gesundheits- und Sozialversicherungspolitiken, auf personenbezogene Daten im Sinne der Verordnung zugreifen.
Die Methoden und Bedingungen für diesen Zugriff sind ebenfalls in der Verordnung geregelt.
Anfragen von Personen zu ihren eigenen personenbezogenen Daten und personenbezogenen Gesundheitsdaten
Wie bereits erwähnt, entsprechen die Rechte von Personen bei der Antragstellung bei der Einrichtung den in Artikel 11 des Gesetzes geregelten „Rechten der betroffenen Person”. Darüber hinaus wurde eine Regelung getroffen, wonach die Anträge von Personen auf Löschung/Vernichtung ihrer Daten im System vorrangig von der „zuständigen Stelle” dahingehend geprüft werden, ob die Voraussetzungen für die Verarbeitung personenbezogener Daten vollständig entfallen sind. Nach dieser Prüfung muss der Person innerhalb von 30 Tagen mitgeteilt werden, welche der Maßnahmen (Löschung, Vernichtung oder Anonymisierung) angewendet wird, sowie die Methode und die Begründung dafür.
Die Einrichtung übermittelt personenbezogene Daten gemäß der entsprechenden Verordnung an durch Gerichtsbeschluss zum Zugriff auf die Gesundheitsdaten der Person befugte Personen, an die Person selbst oder mit deren notariell beglaubigter Zustimmung oder -mit einer über eine staatliche Anwendung erteilten Genehmigung nach Identitätsprüfung an andere natürliche oder juristische Personen und an den betreffenden Rechtsanwalt, sofern in der vom Mandanten erteilten Sondervollmacht angegeben ist, dass der Rechtsanwalt personenbezogene Daten und personenbezogene Gesundheitsdaten anfordern darf. Sie kann Datenanfragen auch mit einer Begründung ablehnen.
Anfragen an die Einrichtung werden unter Berücksichtigung der Art der Anfrage innerhalb von 30 Tagen kostenlos beantwortet, sofern dies keine zusätzlichen Kosten verursacht, andernfalls gegen eine von der Kommission festgelegte Gebühr.
Zugriffsberechtigung anhand der Autorisierungsmatrix gemäß den Entscheidungen des Ausschusses
Bekanntlich handelt es sich bei der Autorisierungsmatrix um ein System, mit dem die Zugriffsberechtigung für alle Arten von Daten, Dateien oder Informationen festgelegt wird, die geteilt werden, und das regelt, wer wann und auf welche Weise auf diese Daten zugreifen darf. Dieses System ist für die Datenverantwortlichen im Rahmen der Sicherheit personenbezogener Daten gemäß dem Gesetz für die Ergreifung aller technischen und administrativen Maßnahmen von großer Bedeutung, und der Ausschuss hat zahlreiche Beschlüsse zu diesem Thema gefasst. Kurz zusammengefasst:
In der Zusammenfassung der Entscheidung Nr. 2021/32 des Ausschusses heißt es: In einer Beschwerde wegen rechtswidriger Erlangung personenbezogener Daten und Verletzung der Privatsphäre, die aufgrund der Abfrage der personenbezogenen Daten der betroffenen Person über die Bank und der Vorlage dieser Daten in einem Gerichtsverfahren gegen die betroffene Person eingereicht wurde, stellte der Ausschuss fest, „Da die personenbezogenen Daten der betroffenen Person von einem Mitarbeiter des für die Datenverarbeitung Verantwortlichen abgefragt und vor Gericht vorgelegt wurden, haben andere Personen auf unrechtmäßige Weise Zugriff auf personenbezogene Daten erhalten, und die für die Datenverarbeitung verantwortliche Bank hat nicht die erforderlichen administrativen und technischen Maßnahmen ergriffen“. [3]
In einer anderen Entscheidung wurde festgestellt, dass der für die Verarbeitung Verantwortliche, der im Gesundheitswesen tätig ist und vor dem Verstoß ein Autorisierungsmatrixsystem eingerichtet hatte, nach dem Verstoß im Rahmen der Bewertung durch die Kommission angemessene administrative und technische Maßnahmen ergriffen hat.
Aus vielen ähnlichen Entscheidungen geht hervor, dass die Kommission im Rahmen der technischen und administrativen Maßnahmen, die auch in ihrem „Leitfaden zur Sicherheit personenbezogener Daten” enthalten sind, großen Wert auf die Autoritätsmatrix und die damit verbundene Zugriffsberechtigung legt und die für die Datenverarbeitung Verantwortlichen auffordert, die erforderlichen Systeme einzurichten.
Maßnahmen, die von den für die Verarbeitung verantwortlichen Stellen bei der Verarbeitung besonderer personenbezogener Daten zu ergreifen sind
Die Entscheidung Nr. 2018/10 des Ausschusses über „Maßnahmen, die von den für die Verarbeitung verantwortlichen Stellen bei der Verarbeitung besonderer personenbezogener Daten zu ergreifen sind” enthält äußerst wichtige Erläuterungen.
Die von uns untersuchte Verordnung betont nachdrücklich die Bedeutung von Vorsichtsmaßnahmen und Vorkehrungen. In diesem Zusammenhang ist es wichtig, auf den in der Grundsatzentscheidung enthaltenen Begriff „angemessene Maßnahmen” einzugehen. Das heißt:
- Festlegung einer systematischen, regelbasierten, nachhaltigen und verwaltbaren Politik und Vorgehensweise zur Sicherheit besonderer personenbezogener Daten,
- Schulungen für Personen, die an der Verarbeitung sensibler personenbezogener Daten beteiligt sind, Abschluss von Vertraulichkeitsvereinbarungen, Erteilung von Zugriffsberechtigungen wie oben erwähnt und regelmäßige Überprüfung der Berechtigungen, Entzug der Berechtigungen bei Aufgabenwechsel oder Ausscheiden aus dem Unternehmen und Rückgabe der ihnen zugewiesenen Bestände,
- Elektronisch gespeicherte und zugängliche personenbezogene Daten besonderer Art sind mit kryptografischen Methoden zu schützen, kryptografische Schlüssel sind sicher und in unterschiedlichen Umgebungen aufzubewahren, alle datenbezogenen Vorgänge sind sicher zu protokollieren, Sicherheitstests sind durchzuführen und ein mindestens zweistufiges Identitätsprüfungssystem ist bereitzustellen.
- Für physisch gespeicherte personenbezogene Daten besonderer Art sind die erforderlichen Sicherheitsmaßnahmen in Bezug auf die Umgebung, in der sich die Daten befinden, zu treffen (gegen Stromausfall, Überschwemmung, Feuer, Diebstahl usw.), und unbefugtes Betreten oder Verlassen der Umgebung zu verhindern.
- Bei der Übertragung von besonderen personenbezogenen Daten Versand der Daten über eine verschlüsselte Unternehmens-E-Mail-Adresse oder ein KEP-Konto (registrierte elektronische Post), Verschlüsselung bei der Übertragung auf tragbare Speichermedien, CV und DVD mit kryptografischen Methoden, Einrichtung eines VPN oder Verwendung der sFTP-Methode[6] bei der Übertragung zwischen Servern in unterschiedlichen physischen Umgebungen. Bei der Übertragung auf Papier sind Maßnahmen gegen Risiken wie Diebstahl, Verlust oder Einsichtnahme durch unbefugte Personen zu ergreifen und die Dokumente im Format „vertrauliche Dokumente” zu versenden. Dies sind einige der erforderlichen Maßnahmen.
- ANONYME DATEN
Anonymisierung bedeutet, wie auch in dem von der Datenschutzbehörde („Behörde”) veröffentlichten Leitfaden zur Löschung, Vernichtung oder Anonymisierung personenbezogener Daten („Leitfaden”) erläutert, dass personenbezogene Daten so behandelt werden, dass sie auch bei Abgleich mit anderen Daten in keiner Weise mit einer bestimmten oder bestimmbaren natürlichen Person in Verbindung gebracht werden können. Der genannte Leitfaden erläutert die Methoden zur Anonymisierung personenbezogener Daten und enthält einen Fahrplan.
Beispielsweise kann durch die Verwendung der Methode der „Verallgemeinerung” erreicht werden, dass die vorliegenden Daten durch die Umwandlung der betreffenden personenbezogenen Daten in einen allgemeinen Wert nicht mehr zu realen Personen zurückverfolgt werden können. Eine weitere Methode besteht darin, die eindeutigen Zeilen aus dem Datensatz zu entfernen, um die Anonymität der Daten zu verstärken. Daneben ist auch die heute häufig verwendete „Maskierung” eine Möglichkeit der Anonymisierung.
Bei der Anonymisierung von personenbezogenen Daten, personenbezogenen Gesundheitsdaten und Geschäftsgeheimnissen, die von den zuständigen Gesetzgebungsorganen festgelegt wurden, werden national und international anerkannte statistische Methoden angewendet. Anonyme Daten können in den in der Verordnung aufgeführten begrenzten Fällen übertragen werden, sofern sie den Bestimmungen der Verordnung entsprechen und von der Behörde als geeignet bewertet werden.
Anonyme Datenanfragen werden unter Berücksichtigung von Kriterien wie der Frage, ob die Daten durch separate oder spezielle Arbeiten, Forschungen, Untersuchungen oder Analysen erstellt werden können, der Komplexität des Anonymisierungsprozesses und der Frage, ob die Daten als Geschäftsgeheimnisse gelten, übertragen.
Die Veröffentlichung von Statistikbulletins, Statistikjahrbüchern und Tätigkeitsberichten der Behörde, die anonymisierte Daten und Geschäftsgeheimnisse enthalten, gilt nicht als Datenübertragung.
- GRUNDSÄTZE FÜR DATENANFRAGEN BESTIMMTER BEHÖRDEN UND EINRICHTUNGEN
Die Einrichtung gibt personenbezogene Gesundheitsdaten auf Anfrage an das Gesundheitsministerium weiter, um die öffentliche Gesundheit zu schützen, präventive Medizin zu betreiben, medizinische Diagnosen, Behandlungen und Pflegedienste durchzuführen, die Angemessenheit und Zweckmäßigkeit der erbrachten Gesundheitsdienstleistungen zu überwachen und deren Finanzierung zu planen.
- Bei Datenanfragen des Gesundheitsministeriums
- durch Gesundheitsdienstleister, die mit der Einrichtung einen Vertrag über die Erbringung von Gesundheitsdienstleistungen abgeschlossen haben, wenn Daten zu Dienstleistungen angefordert werden, die aufgrund höherer Gewalt nicht der Einrichtung in Rechnung gestellt werden können,
gelten die
allgemeinen Bestimmungen zur Datenübermittlung. Diese allgemeinen Bestimmungen werden in der Verordnung ausführlich erläutert, wobei als Rahmen festgelegt ist, dass Anträge auf Datenübermittlung schriftlich an die zuständige Rechtsabteilung zu richten sind, dass die Rechtsabteilung bei Bedarf zusätzliche Informationen und Unterlagen anfordern kann und dass bei Annahme der Datenanfragen ein Protokoll, das die Bedingungen für den Datenzugriff und die Vertraulichkeit enthält, von den Antragstellern unterzeichnet wird. Darüber hinaus wird darauf hingewiesen, dass Daten nicht telefonisch übermittelt werden dürfen, dass die Übermittlung anonymer Daten an öffentliche Einrichtungen und Organisationen auf Anfrage in verschlüsselter Form an eine E-Mail-Adresse mit der Endung „gov.tr” erfolgen kann und dass die Antragsteller die erhaltenen Daten nicht für andere als die beantragten Zwecke verwenden dürfen. In diesem Zusammenhang ist anzumerken, dass die Bestimmungen zur Übermittlung parallel zu den ausreichenden Maßnahmen sind, die von den für die Verarbeitung besonderer personenbezogener Daten Verantwortlichen zu ergreifen sind.
- VERANTWORTLICHKEITEN DER PERSONEN, INSTITUTIONEN UND ORGANISATIONEN, AN DIE DIE DATEN ÜBERMITTELT WERDEN
Natürliche und juristische Personen, die Zugang zu den Daten haben, einschließlich der Mitarbeiter der Institution, die Zugang zu den Daten haben, oder der Mitarbeiter öffentlicher Institutionen und Organisationen, an die die Daten übermittelt werden, sowie natürliche und juristische Personen, die die Software und Hardware für die Informationsverarbeitungssysteme der Gesundheitsdienstleister bereitstellen,
- Es ist ihre Pflicht, alle erforderlichen Maßnahmen zu ergreifen, um sicherzustellen, dass die Daten nicht für andere als die im Datenantrag angegebenen Zwecke verwendet oder weitergegeben werden,
- gemäß dem Grundsatz der Vertraulichkeit personenbezogener Daten zu handeln
und die vom Ausschuss erlassenen Vorschriften zur Gewährleistung der Sicherheit personenbezogener Daten einzuhalten.
Bei Verstößen gegen die einschlägigen Bestimmungen zum Schutz personenbezogener Daten wird unter Verweis auf das Gesetz in Artikel 18 festgelegt, dass die Bestimmungen zu Ordnungswidrigkeiten anzuwenden sind und der Fall dem Ausschuss gemeldet wird. Es wird darauf hingewiesen, dass gegen Personen, denen die Behörde Zugriffsrechte gewährt hat und die personenbezogene Daten ändern oder deren Integrität beeinträchtigen, gemäß den einschlägigen Bestimmungen des türkischen Strafgesetzbuchs Nr. 5237 Strafanzeige erstattet wird. Es ist bekannt, dass die Behörde als Aufsichts- und Regulierungsorgan des Gesetzes bei verschiedenen Verstößen Strafanzeige erstattet.
Die Behörde ist verpflichtet, die Sicherheit der Daten im Datenerfassungssystem vor jeglicher Gefahr zu gewährleisten. Allerdings wird natürlichen und juristischen Personen, die eine Datenübermittlung beantragen, kein direkter Zugriff auf das Datenerfassungssystem der Behörde gewährt, sondern die übermittelten Daten werden bereitgestellt.
Die Generaldirektion für Dienstleistungen der Behörde („HSGM“) ist eine weitere Behörde, die für die Umsetzung von Sicherheitsmaßnahmen im Zusammenhang mit Datenanfragen zuständig ist. Die HSGM ist im Allgemeinen die Behörde, an die Datenanfragen nach Prüfung durch die zuständigen Stellen weitergeleitet werden. Die zur Übermittlung vorbereiteten Daten werden von der HSGM weitergegeben, und bestimmte Datenanfragen im Rahmen der Verordnung werden direkt an die HSGM gerichtet.
Der passwortgeschützte Zugriff auf das Datenerfassungssystem der Behörde wird im Rahmen der Sicherheitsmaßnahmen der HSGM protokolliert. Um eine unbefugte Nutzung durch Mitarbeiter mit Zugriffsberechtigung aufgrund von Aufgabenwechseln oder Ausscheiden aus dem Dienst zu verhindern, müssen die Zugriffsberechtigungen der HSGM schriftlich mitgeteilt werden.
Vorbehaltlich der Einhaltung der von der Institution und dem Ausschuss festgelegten Sicherheitsmaßnahmen werden Anträge von externen Stakeholdern auf Integration ihrer Software in die Software der Institution zum Zwecke der Erfüllung ihrer Verpflichtungen gegenüber der Institution ebenfalls von der Institution entschieden. Personen, die einen Antrag stellen möchten, übermitteln ihre Anträge schriftlich an die HSGM.
- ERGEBNIS
Die Verordnung über den Schutz und die Verarbeitung von Daten bei der Sozialversicherungsanstalt enthält als eine Art Erweiterung des Gesetzes Nr. 6698 sehr ähnliche, ja sogar identische Bestimmungen. Der betreffende Text wird vom Präsidenten der Sozialversicherungsanstalt umgesetzt, enthält jedoch sekundäre Rechtsvorschriften, die dem Gesetz untergeordnet sind, und sieht in diesem Zusammenhang detaillierte Verpflichtungen für den Umgang mit personenbezogenen Daten vor, wodurch das System erheblich verändert wird, da die Mitarbeiter der Sozialversicherungsanstalt zur Geheimhaltung verpflichtet werden.
Es ist auch erwähnenswert, dass diese Verordnung nach der „Verordnung über personenbezogene Gesundheitsdaten” der erste Text ist, der detaillierte und ausschließliche Regelungen zu Gesundheitsdaten enthält. Angesichts dieser Regelungen ist klar ersichtlich, dass die SGK-Prozesse in der Praxis unter strengeren Bedingungen ablaufen werden, der Informationsaustausch eingeschränkt wird und der Prozess mit ernsthaften Sanktionen unterstützt wird.
