Datenschutz- und Compliance-Bulletin – April 2022
Das Gesetz zum Schutz personenbezogener Daten („KVKK“) und die sekundären Rechtsvorschriften sind seit ihrem Inkrafttreten bis heute ein häufig aktualisiertes und lebendiges Recht. Nicht nur Gesetze, Verordnungen und Bekanntmachungen, sondern auch Beschlüsse des Ausschusses, Grundsatzbeschlüsse und Zusammenfassungen der Beschlüsse des Ausschusses legen zahlreiche Verfahren und Grundsätze im Bereich des Datenschutzes fest. Daher zielen unsere monatlichen Newsletter darauf ab, die Betroffenen über die Praktiken des Ausschusses für den Schutz personenbezogener Daten („Ausschuss“) zu informieren und sie auf dem Laufenden zu halten.
Am 7. April, dem Tag des Datenschutzes, wurde das sechste Jahr seit Inkrafttreten des Datenschutzgesetzes gefeiert. In einer Erklärung der Kommission wurden die Sensibilisierung für die Bedeutung personenbezogener Daten, die Verbreitung des Datenschutzbewusstseins und die Weitergabe dieses Bewusstseins an künftige Generationen als vorrangige Ziele des Tages genannt.
Wir sind der Meinung, dass die Beendigung der Veranstaltung zum Tag des Datenschutzes am 7. April mit der Podiumsdiskussion „Privatsphäre im digitalen Zeitalter: Schutz der personenbezogenen Daten von Kindern” den Eindruck erweckt, dass Aspekte wie die Zustimmung des Kindes und die elterliche Erlaubnis, die in der DSGVO enthalten sind, aber nicht im KVKK zu finden sind, mit der neuen Aktualisierung in die Gesetzgebung aufgenommen werden könnten.
Bei der Veranstaltung wurde betont, dass trotz der Bedeutung der technologischen Entwicklungen im digitalen Zeitalter und der grundlegenden Herangehensweise, dass Algorithmen bei der Auswahl helfen können, insbesondere bei Technologien, die sich noch in der Entwicklung befinden, wie künstliche Intelligenz und insbesondere Metaverse, die endgültige Entscheidung immer noch beim Einzelnen liegen muss.
ÖFFENTLICHE BEKANNTMACHUNG
In der öffentlichen Bekanntmachung vom 1. April 2022 wurden Erläuterungen zu den VERBİS-Einträgen und Sanktionen gegeben.
Bekanntlich regelt Artikel 16 des KVKK die Führung eines öffentlich zugänglichen Registers der Datenverantwortlichen. Die Eintragung in dieses als VERBİS bezeichnete Register muss innerhalb der vom Ausschuss festgelegten und bekannt gegebenen Frist erfolgen.
Auf der Grundlage dieser Bestimmung wurde den in der Entscheidung Nr. 2021/238 des Ausschusses vom 11.03.2021 genannten Datenverantwortlichen eine Frist bis zum 31.12.2021 eingeräumt, um ihrer Registrierungs- und Meldepflicht nachzukommen.
Gemäß Artikel 18 des KVKK kann der Ausschuss von Amts wegen administrative Sanktionen gegen Datenverantwortliche verhängen, die ihrer Registrierungs- und Meldepflicht nicht nachkommen. In diesem Zusammenhang wurden gemäß Artikel 18 des KVKK administrative Sanktionen gegen Datenverantwortliche verhängt, bei denen festgestellt wurde, dass sie ihrer Registrierungs- und Meldepflicht nicht nachgekommen sind.
Angesichts dieser Maßnahme kann man mit Fug und Recht sagen, dass der Anpassungsprozess des KVKK, dessen sechstes Jahr wir gerade feiern, abgeschlossen ist und nun der Sanktionsprozess beginnt. In der ersten Phase hat die Kommission die Verpflichtung zur Registrierung bei VERBİS festgelegt und wird in den kommenden Tagen zweifellos auch von Amts wegen Sanktionen für andere Verpflichtungen verhängen.
GRUNDSATZENTSCHEIDUNG
Grundsatzentscheidung des Ausschusses vom 21.04.2022 mit der Nummer 2022/388 über die Zahlungs- und Schuldenabfragedienste der Gemeinden
Es wurde gemeldet, dass es im Hinblick auf den Schutz personenbezogener Daten problematisch ist, dass auf den von den Gemeinden online angebotenen Seiten zur Zahlung/Schnellzahlung von Grundsteuern oder zur Schuldenabfrage die Immobilieninformationen der Bürger allein durch Eingabe der türkischen Identitätsnummer abgerufen werden können, und es wurde beantragt, die Angelegenheit im Rahmen des KVKK zu prüfen.
Im Leitfaden zur Sicherheit personenbezogener Daten (technische und administrative Maßnahmen) wird die Anwendung einer zweistufigen Identitätsprüfung bei Fernzugriff auf personenbezogene Daten in bestimmten Fällen als eine der Maßnahmen genannt, die zur Gewährleistung der Sicherheit erforderlich sind. Anstelle von einstufigen Authentifizierungssystemen, die das Risiko eines leichten Zugriffs auf personenbezogene Daten bergen, ist es wichtig, zweistufige Authentifizierungsmethoden einzuführen, die dieses Risiko erheblich verringern oder beseitigen.
Im Rahmen der von den Gemeinden online angebotenen Dienstleistungen wie Grundsteuerzahlung/Schnellzahlung oder Schuldenabfrage usw. über entsprechende Seiten müssen gemäß den Verpflichtungen in Artikel 12 des KVKK und zur Verhinderung von Datenverstößen: Die erste Überprüfung für die zweistufige Authentifizierung erfolgt anhand von Daten wie der türkischen Identitätsnummer, dem Vor- und Nachnamen, der Steuernummer und der Registernummer, während die zweite Überprüfung anhand eines individuell generierten Passworts erfolgt, das per SMS oder E-Mail an die betreffende Person gesendet wird. Anstelle von Informationen auf der zweiten Ebene, auf die auch andere Personen Zugriff haben, wie Telefonnummer, Geburtsdatum, Namen der Eltern, Registrierungsnummer, werden nur personenbezogene Daten, die nur von der betreffenden Person abgerufen werden können, oder ein Mitgliedersystem verwendet, um die entsprechenden Dienste anzubieten.
Vor dem Hintergrund dieser Bewertungen ist es erforderlich, dass die Gemeinden bei ihren Dienstleistungen zur Zahlung/Schnellzahlung von Grundsteuern und zur Abfrage von Schulden die erforderlichen technischen und administrativen Maßnahmen gemäß Artikel 12 des KVKK ergreifen, indem sie Mitgliedschaften und Passwörter oder eine zweistufige Authentifizierung verwenden. Bei Beschwerden/Meldungen über Gemeinden, die diese Maßnahmen nicht ergreifen, werden die entsprechenden Gemeinden gemäß den Bestimmungen von Artikel 18 informiert. 18 zu ergreifen. Die Öffentlichkeit ist darüber zu informieren, dass die Gemeinden bei der Erbringung von Dienstleistungen im Zusammenhang mit der Zahlung/Schnellzahlung von Grundsteuern und der Abfrage von Schulden gemäß Art. 12 im Rahmen von Art. 12 „Mitgliedschaft und Passwort” oder „zweistufige Authentifizierung” verwenden müssen, und dass dies im Rahmen von Art. 15/6 als Grundsatzbeschluss im Amtsblatt und auf der Website der Behörde veröffentlicht wird.
MELDUNGEN VON DATENVERLETZUNGEN
„Verpflichtungen in Bezug auf die Datensicherheit“ gemäß KVKK m. 12/5. „Wenn verarbeitete personenbezogene Daten auf unrechtmäßige Weise von anderen Personen erlangt werden, muss der für die Datenverarbeitung Verantwortliche dies unverzüglich den Betroffenen und dem Ausschuss melden. Der Ausschuss kann diesen Sachverhalt gegebenenfalls auf seiner Website oder auf andere Weise, die er für angemessen hält, bekannt geben.“
Im April 2022 wurden auf der Website der Datenschutzbehörde unter der Domain www.kvkk.gov.tr fünf Meldungen über Datenschutzverletzungen veröffentlicht.
Yıldızlar Yatırım Holding AŞ, Yıldız Demir Çelik Sanayi AŞ, Yıldız Entegre Ağaç Sanayi AŞ, İstanbul Gübre Sanayi AŞ (İGSAŞ)
Unbekannte Cyberangreifer haben mit einer noch nicht identifizierten Methode die Server der für die Daten verantwortlichen Personen verschlüsselt, das Administratorpasswort für die Verwaltung des physischen Servers geändert und den Zugriff auf den Server unmöglich gemacht, eine Nachricht mit einer Lösegeldforderung im Bereich des Dateiservers hinterlassen und -Bücher, Buchhaltung, Logistik, Lager, Personal, Personalwesen, Produktion, Verwaltung und ähnliche Systeme verschlüsselt. Alle verschlüsselten Dateien sind unbrauchbar und unzugänglich. In der Meldung wurden jedoch weder die von der Verletzung betroffenen Kategorien personenbezogener Daten noch die betroffenen Personengruppen und die Anzahl der betroffenen Personen angegeben.
Villacım Emlak Turizm İnşaat Sanayi ve Ticaret Limited ŞTİ.
Über die Website des Datenverantwortlichen (www.villacim.com.tr) wurde ein Cross-Site-Scripting-Angriff durchgeführt, bei dem die Telefonnummern der Kunden gestohlen wurden und die Angreifer den Kunden eine Werbenachricht schickten. Anschließend wurde vom Datenverantwortlichen Lösegeld gefordert. Es wurde angegeben, dass der Datenverantwortliche die Namen, Nachnamen, türkischen Identitätsnummern, Telefonnummern und Adressen der betroffenen Personen verarbeitet hat, wobei nicht genau festgestellt werden konnte, über welche Daten die Angreifer verfügen. Die Zahl der von der Verletzung betroffenen Personen wird auf 35.956 geschätzt, wobei es sich um Kunden handelt. Die Untersuchungen zu diesem Thema dauern noch an.
Paketman E-Ticaret Sanayi Ticaret A.Ş.
Cyberangreifer haben einen Cyberangriff auf das Datenbanksystem des Datenverantwortlichen durchgeführt, die Daten in der Datenbank gelöscht, die betreffenden Daten in ihren Besitz gebracht und anschließend Lösegeld gefordert, wodurch es zu einer Datenverletzung gekommen ist. Die von der Verletzung betroffenen personenbezogenen Daten umfassen die Identität (Vor- und Nachname), Kontaktdaten (E-Mail, Telefon) und Standortdaten (Adresse) der betroffenen Personen umfassen. Die Zahl der betroffenen Personen beträgt 1.362, wobei es sich um Nutzer handelt. Die Untersuchungen zu diesem Thema dauern noch an.
Magna Ventures Yazılım ve Teknoloji Girişimleri Ticaret A.Ş.
Es wurde festgestellt, dass Unbefugte auf die Poda Mobile App, eines der Produkte des Datenverantwortlichen, zugegriffen haben, die über einen Internetzugang an verschiedenen Standorten einen personalisierten Arbeitsbereich bietet. Die Datenbank-Passwörter wurden von den Personen, die sich unbefugt Zugang zum System verschafft haben, gestohlen. Es ist nicht bekannt, wann die am 20.04.2022 festgestellte Verletzung stattgefunden hat. Die Namen, Nachnamen, E-Mail-Adressen E-Mail-Adressen und Telefonnummern der in der Anwendung registrierten Nutzer, die Mitglieder der von der Verletzung betroffenen Personengruppe sind und 7823 Mitglieder registriert sind, die von der Verletzung betroffenen Personen nicht identifiziert werden konnten, die erforderlichen Meldungen im Falle einer Identifizierung erfolgen werden, und die Untersuchung zu diesem Thema wird fortgesetzt.
Keyubu Internet- und IT-Dienstleistungen
Aufgrund einer Sicherheitslücke in der OnatWeb Auto VM-Software zur Verwaltung virtueller Server, die auf den vom Datenverantwortlichen verwendeten Servern installiert ist, wurde ein Cyberangriff durchgeführt und alle Daten auf den Servern wurden vernichtet. Die von der Verletzung betroffene Personengruppe umfasst Kunden, wobei es sich bei den personenbezogenen Daten um Identitäts-, Kommunikations-, Kunden- und Transaktionssicherheitsdaten handelt. Die Daten der Nutzer, die über Keyubu Webhosting und virtuelle Server nutzen, wurden ebenfalls zerstört, jedoch konnte der Datenverantwortliche nicht feststellen, um welche Art von Daten es sich dabei handelt und wie viele Personen davon betroffen sind. Die Untersuchungen zu diesem Thema dauern an.