Datenschutz- und Compliance-Bulletin – April 2023
Das Gesetz zum Schutz personenbezogener Daten und die sekundären Rechtsvorschriften sind seit ihrem Inkrafttreten bis heute ein häufig aktualisiertes und lebendiges Recht. Nicht nur Gesetze, Verordnungen und Bekanntmachungen, sondern auch Beschlüsse des Ausschusses, Grundsatzbeschlüsse und Zusammenfassungen der Beschlüsse des Ausschusses legen zahlreiche Verfahren und Grundsätze im Bereich des Datenschutzes fest. Daher zielen unsere monatlichen Newsletter darauf ab, die Betroffenen über die Praktiken des Ausschusses für den Schutz personenbezogener Daten zu informieren und sie auf dem Laufenden zu halten.
Im April 2023 hat die Datenschutzbehörde („Behörde“) ihre lange Schweigepause mit der Veröffentlichung von genau 40 Zusammenfassungen von Entscheidungen beendet, gleichzeitig ihren Tätigkeitsbericht für das Jahr 2022 veröffentlicht und am 7. April den Tag des Datenschutzes gefeiert. Den von uns geprüften Bericht finden Sie auf unserem GRC-Legal LinkedIn-Konto. In unserem Newsletter dieses Monats stellen wir 12 Entscheidungen aus den Zusammenfassungen der Entscheidungen der Kommission vor, die wir für besonders wichtig halten.
ZUSAMMENFASSUNGEN DER ENTSCHEIDUNGEN DER KOMMISSION
Um mit der Geschwindigkeit der Datenwelt Schritt halten zu können, waren die wichtigsten Quellen die Grundsatzentscheidungen der Kommission und die Zusammenfassungen der Entscheidungen zu Verwaltungsstrafen. Die Gesetzgebung wurde weitgehend im Einklang mit diesen Entscheidungen gestaltet, und neben vielen Verfahren und Grundsätzen werden hier auch Begriffe und Ausdrücke verwendet, die aus der Europäischen Datenschutz-Grundverordnung („DSGVO“) bekannt sind. In Artikel 22 des KVKK sind die Aufgaben und Befugnisse des Ausschusses aufgeführt, und die Verbindlichkeit der Zusammenfassungen der Entscheidungen basiert auf dieser Bestimmung.
ACHTEN SIE UNTER ALLEN UMSTÄNDEN AUF IHRE BEITRÄGE IN DEN SOZIALEN MEDIEN!
Zusammenfassend lässt sich sagen, dass die betroffene Person in ihrer Beschwerde geltend macht, dass ihr Arbeitsvertrag als Geschäftsführer des Datenverantwortlichen ungerechtfertigt gekündigt wurde und dass auf dem Social-Media-Konto des Datenverantwortlichen ein Beitrag mit folgendem Inhalt veröffentlicht wurde: „… Wir entschuldigen uns für die Unannehmlichkeiten, die Ihnen durch … verursacht wurden, der aufgrund seiner Unregelmäßigkeiten entlassen wurde …” gepostet wurde und dass der Datenverantwortliche trotz der Aufforderung, diesen Beitrag im Rahmen der geltenden Rechtsvorschriften zu entfernen und eine Korrektur zu veröffentlichen, nicht reagiert habe.
Der für die Datenverarbeitung Verantwortliche hat in seiner Stellungnahme gegenüber der Behörde angegeben, dass er in verschiedenen Streitigkeiten mit seinem ehemaligen Mitarbeiter Partei war, dass der Mitarbeiter böswillig handelte und dass er handelte, um zu verhindern, dass die Kunden in seinem Portfolio durch die böswilligen Handlungen des Mitarbeiters geschädigt werden.
Der für die Datenverarbeitung Verantwortliche verteidigte sich zwar mit dem Argument, dass er in dem Fall, der Gegenstand der Beschwerde war, gemäß den im Gesetz festgelegten Verarbeitungsbedingungen gehandelt habe, doch kam die Kommission nach ihrer Untersuchung zu dem Schluss, dass die Veröffentlichung der Anschuldigungen gegen die betreffende Person unter Angabe ihres vollständigen Namens auf einem Social-Media-Konto, das nicht nur für Kunden des Unternehmens, sondern für jedermann zugänglich war, Datenverarbeitung und dem mit der Verarbeitung verfolgten Zweck kein angemessenes Verhältnis bestand, und verhängte gegen den Datenverantwortlichen eine Verwaltungsstrafe in Höhe von 30.000 TL und wies ihn an, die Veröffentlichung zu entfernen. Bei der Festlegung der Höhe der Verwaltungsstrafe wurde die wirtschaftliche Lage des Datenverantwortlichen berücksichtigt.
PERSÖNLICHE DATEN DER BETROFFENEN PERSON, VERTRAGSRECHT DES DATENVERANTWORTLICHEN
In der Beschwerde der betroffenen Person wird zusammengefasst, dass die Werbung und Bilder der von einem Bekleidungsgeschäft zum Verkauf angebotenen Produkte auf der Website des Datenverantwortlichen geteilt wurden, dass die Fotos der betroffenen Person, die als Katalogmodel für den Datenverantwortlichen tätig war, trotz Beendigung des Arbeitsverhältnisses mit dem Datenverantwortlichen ohne ihre ausdrückliche Zustimmung weiterhin auf den Websites des Datenverantwortlichen veröffentlicht wurden und Obwohl die betroffene Person den Datenverantwortlichen aufgefordert habe, die Fotos zu entfernen, seien diese weiterhin veröffentlicht worden. Es wurde gefordert, dass die erforderlichen Maßnahmen ergriffen werden.
Der Datenverantwortliche hat in seiner Stellungnahme gegenüber der Behörde erklärt, dass zwischen ihm und der betroffenen Person ein mündlicher Werkvertrag über Fotomodelldienstleistungen bestanden habe und dass die betroffene Person für die Nutzung der Fotos durch den Datenverantwortlichen eine Vergütung erhalten und auf zusätzliche finanzielle Ansprüche verzichtet habe.
und auf zusätzliche finanzielle Rechte verzichtet habe, dass die betroffene Person, auch wenn sie keine schriftliche Einwilligung gegeben habe, durch das aktive Lassen von Fotos ihre Einwilligung gegeben habe.
In seiner endgültigen Entscheidung hat der Ausschuss festgestellt, dass die Fotos der betroffenen Person bis zum Aufbrauchen des Bekleidungsbestands geteilt wurden und die Verarbeitung auf der Erfüllung des Vertrags zwischen der betroffenen Person und dem Datenverantwortlichen beruhte, sodass im Rahmen des Gesetzes keine Maßnahmen gegen das datenverantwortliche Unternehmen zu ergreifen sind.
EINZIGE TEILUNG VON GESUNDHEITSDATEN: GEHEIMHALTUNGSPFLICHT
In ihren Beschwerden fassten die betroffenen Personen zusammen, dass alle betroffenen Personen, die bei ihrem Arbeitgeber beschäftigt waren, ohne Angabe von Gründen und ohne Erklärung unter Druck gesetzt wurden, sich einem Drogentest zu unterziehen, dass sie von zu Hause aus zu einer privaten Gesundheitseinrichtung des Datenverantwortlichen gerufen wurden, um sich dort testen zu lassen, In diesem Zusammenhang wird angegeben, dass während dieses Prozesses weder ihre Zustimmung eingeholt noch sie aufgeklärt worden seien und dass die Testergebnisse an die E-Mail-Adresse anderer Mitarbeiter („Dritte Personen“) am Arbeitsplatz der betroffenen Personen gesendet worden seien, sodass bei der Verarbeitung ihrer personenbezogenen Gesundheitsdaten Rechtsverstöße vorlägen.
In einer detaillierten Untersuchung, die speziell beim Arbeitgeber der betroffenen Personen, der für die Datenverarbeitung verantwortlichen Gesundheitseinrichtung und den Beschwerdeführern durchgeführt wurde, hat die Kommission nicht untersucht, ob der Arbeitgeber einen begründeten Verdacht für die Durchführung des Drogentests hatte, sondern warum die für die Datenverarbeitung verantwortliche Gesundheitseinrichtung alle Testergebnisse an Dritte weitergeleitet hat. Im Ergebnis der Untersuchung wurde festgestellt, dass die betroffenen Personen mündlich ihre Zustimmung gegeben hatten, dass die Testergebnisse an die E-Mail-Adresse der genannten dritten Person weitergeleitet werden, weshalb diese die E-Mail-Adresse der genannten dritten Person dem Klinikpersonal mitgeteilt hatte.
Im konkreten Fall hat die Kommission festgestellt, dass der Behörde keine Informationen oder Unterlagen übermittelt wurden, die diese ausdrückliche Zustimmung belegen, und dass der für die Datenverarbeitung Verantwortliche die Daten ohne eine Datenverarbeitungsmaßnahme gemäß Artikel 6 ohne jegliche Datenverarbeitungsaktivität weitergegeben hat und die weitergegebenen Daten von einer Person stammen, die nicht der Geheimhaltungspflicht unterliegt, und unter Berücksichtigung der Tatsache, dass der Datenverantwortliche mit fast 600 Mitarbeitern in vielen Provinzen Gesundheitsdienstleistungen erbringt, eine Verwaltungsstrafe in Höhe von 75.000 TL verhängt.
ACHTEN SIE AUF REFERENZSUCHEN, ANFRAGEN UND ARBEITGEBERRÜCKMELDUNGEN!
In der Beschwerde der betroffenen Person wird zusammengefasst, dass die Person, während sie bereits bei einem Unternehmen beschäftigt war, zu einem Vorstellungsgespräch bei einem anderen Unternehmen eingeladen wurde und das Vorstellungsgespräch stattfand. Das Unternehmen, das das Vorstellungsgespräch geführt hat, hat zahlreiche Aussagen gemacht, die den Ruf des Unternehmens, bei dem die betreffende Person beschäftigt ist, schädigen könnten. Diese Informationen wurden an den aktuellen Arbeitgeber der betreffenden Person weitergegeben und im Rahmen laufender Streitigkeiten mit dem aktuellen Arbeitgeber von diesem bestätigt.
In den dem Ausschuss vorgelegten Verteidigungserklärungen wurde geltend gemacht, dass die Mitteilung, die Gegenstand der Beschwerde ist, grundsätzlich keine personenbezogenen Daten enthält, und dass die betreffende Person bei der Staatsanwaltschaft Anzeige wegen „rechtswidriger Speicherung personenbezogener Daten, Verletzung der Privatsphäre, unrechtmäßige Beschaffung oder Verbreitung von Daten” eine Beschwerde eingereicht habe, jedoch entschieden worden sei, dass keine Strafverfolgung stattfinde und die Handlung keinen Verstoß gegen die Privatsphäre darstelle.
In seiner abschließenden Prüfung stellte der Ausschuss fest, dass die Strafanzeige im Rahmen des Strafrechts entschieden wurde und im Sinne des Privatrechts nicht an diese Strafrechtsentscheidung gebunden ist, dass im konkreten Fall eine Verletzung der Persönlichkeitsrechte vorliegt, dass die Information, dass die betroffene Person ein Vorstellungsgespräch geführt hat, sowie zahlreiche Angaben über den Arbeitsplatz der Person unrechtmäßig an das Unternehmen, bei dem die Person beschäftigt ist, weitergegeben wurden und die Übermittlung ohne Berufung auf eine der in Artikel 8 des Gesetzes genannten Bedingungen erfolgte und der für die Datenverarbeitung Verantwortliche nicht innerhalb der 30-tägigen gesetzlichen Frist auf den Antrag der betroffenen Person reagiert hat, und verhängte eine Verwaltungsstrafe in Höhe von 100.000 TL gegen den für die Datenverarbeitung Verantwortlichen.
ACHTEN SIE DARAUF, WEM DIE AUSDRÜCKLICHE ZUSTIMMUNG ERTEILT WURDE!
In der Beschwerde der betroffenen Person wird zusammengefasst, dass während einer Nasenoperation in einer Privatklinik, während sie bewusstlos war, ohne ihre ausdrückliche Einwilligung Fotos von ihr gemacht wurden, die als personenbezogene Daten gelten, und dass diese Fotos zu Werbezwecken auf dem Social-Media-Account des in der Klinik beschäftigten und die Operation durchführenden Arztes geteilt und etwa zwei Jahre lang auf diesem Account gespeichert wurden.
Im konkreten Fall wurde zwar geltend gemacht, dass das beanstandete Bild die betroffene Person nicht identifizierbar mache, da es lediglich die Nase vor und nach der Operation zeige und die identifizierbaren Merkmale durch den Aufnahmewinkel und Anonymisierungen entfernt worden seien, jedoch wurde festgestellt, dass andere identifizierende Merkmale in dem Foto dieses Foto zu personenbezogenen Daten machten. Gleichzeitig wurde geltend gemacht, dass die betroffene Person ihre Zustimmung zur Weitergabe gegeben habe.
Die Untersuchung der Kommission ergab, dass die betroffene Person die Verwendung ihrer personenbezogenen Daten ausdrücklich zugestimmt hat, jedoch handelte es sich in diesem konkreten Fall um einen Arzt, der im Krankenhaus tätig ist und die während der Operation aufgenommenen Bilder auf seinem Social-Media-Konto geteilt hat. Aus diesem Grund wurde sowohl gegen die für die Datenverarbeitung verantwortliche Gesundheitseinrichtung wegen der unrechtmäßigen Übermittlung personenbezogener Daten an einen in ihrer Einrichtung tätigen Arzt als auch wegen der Nichtdurchführung der erforderlichen technischen und administrativen Maßnahmen zur Verhinderung dieser Weitergabe 100.000 TL Verwaltungsstrafe verhängt.
RECHTLICHE VERPFLICHTUNG ZUR DATENVERARBEITUNG UND AUSGLEICH VON RECHTSKONFLIKTEN
In der Beschwerde der betroffenen Person wird zusammengefasst, dass Bilder der betroffenen Person ohne deren ausdrückliche Zustimmung an Nachrichtenagenturen und -websites weitergegeben wurden, dass aufgrund der Weitergabe der Bilder der betroffenen Person auf den genannten Nachrichtenwebsites beleidigende Kommentare über die betroffene Person abgegeben wurden und dass dies zu einer seelischen Belastung der betroffenen Person geführt hat, dass es am Arbeitsplatz des für die Datenverarbeitung Verantwortlichen keine Hinweisschilder gab, die auf die Bildaufzeichnung hinwiesen, und dass damit die Informationspflicht nicht erfüllt worden sei und personenbezogene Daten rechtswidrig weitergegeben worden seien.
Der Datenverantwortliche hat in seiner Stellungnahme, die von der Wechselstube eingeholt wurde, zusammengefasst dargelegt, dass Die betroffene Person habe aufgrund eines Fehlers des Kassierers bei der Durchführung einer Transaktion in der Wechselstube zu viel Geld erhalten, sei anschließend jedoch in keiner Weise erreichbar gewesen, woraufhin die Kameraaufnahmen, die nur teilweise und teilweise unscharf waren, über eine Agentur, die ein Standardverfahren durchführte, weitergegeben worden seien, und die betroffene Person habe davon durch ihre Tochter erfahren. Die Weitergabe der Bilder der betroffenen Person stelle keine Verletzung ihrer verfassungsmäßigen Rechte dar, und angesichts der Tatsache, dass keine andere Möglichkeit zur Identifizierung der Person bestanden habe, sei die Identifizierung der Person im Interesse der berechtigten Interessen des für die Datenverarbeitung Verantwortlichen erfolgt, sodass die konkurrierenden Rechte keine nachteilige Situation für die betroffene Person darstellten. In der vollständigen Zusammenfassung der Entscheidung des Ausschusses wird auch eine detaillierte Analyse der Frage der konkurrierenden Rechte dargelegt.
In der abschließenden Prüfung des Ausschusses wurde festgestellt, dass das Anbringen von Kameras in Wechselstuben eine gesetzliche Verpflichtung darstellt und daher die Aufzeichnung der Bilder der betroffenen Person durch Kamera-Videoaufnahmen rechtmäßig ist, sowie dass in der Wechselstube Kameraschilder angebracht sind.
Darüber hinaus wurde entschieden, dass die Übertragung der Kameraaufnahmen, auf denen die Augenpartie und die Silhouette der betroffenen Person zu sehen sind, an einen lokalen Nachrichtensender zu Werbezwecken, um die Rückerstattung der vom Datenverantwortlichen an die betroffene Person geleisteten überhöhten und ungerechtfertigten Zahlungen zu gewährleisten und wirtschaftliche Verluste zu verhindern, einen übergeordneten besonderen Nutzen darstellt, der mit den Grundsätzen der Fairness und den Bedingungen der Datenverarbeitung vereinbar ist, und dass daher keine Maßnahmen im Rahmen des Gesetzes erforderlich sind.
In der Beschwerde der betroffenen Person wurde zusammengefasst, dass ihr Bild nach der Kündigung des Arbeitsvertrags für Werbe- und Marketingzwecke verwendet wurde, dass die betroffene Person in den Verkaufs- und Inkassovorgängen des Datenverantwortlichen weiterhin als die Person erschien, die die Transaktion durchführte, dass die Telefonnummer der betroffenen Person weiterhin als Empfänger auf den Sendungen der an das Geschäft gelieferten Produkte angegeben war und dass diese Situation mit der Beendigung des Arbeitsvertrags rechtswidrig geworden war.
Der Datenverantwortliche wies darauf hin, dass in dem von der betroffenen Person unterzeichneten Informationsschreiben unter dem Punkt „Übertragung Ihrer verarbeiteten personenbezogenen Daten innerhalb des Landes” im sechsten Absatz der Hinweis enthalten ist, dass „Daten zum Zwecke der Erfüllung von Funktionen wie Software, Unternehmensressourcenplanung, Berichterstattung, Marketing usw. an Lieferanten und Lösungspartner weitergegeben werden können”. Aus diesem Grund wird davon ausgegangen, dass die betroffene Person durch ihre Darstellung in Unternehmenswerbungen ihre Zustimmung zur Verarbeitung ihrer personenbezogenen Daten zu Marketingzwecken gegeben hat, und die Behauptung der betroffenen Person, dass „die Verarbeitung ihrer Mobiltelefonnummer durch das Unternehmen aufgrund der Sichtbarkeit auf dem Versandpaket fortgesetzt wird”, stützt sich auf keinerlei Beweise.
Im konkreten Fall hat der Ausschuss festgestellt, dass es aufgrund der Kündigung des Arbeitsvertrags nicht dem normalen Lebensablauf entsprechen würde, die Bilder der betroffenen Person für Werbe- und Marketingzwecke zu verwenden, und dass der für die Datenverarbeitung Verantwortliche die Richtigkeit und Aktualität der von ihm verarbeiteten personenbezogenen Daten nicht gewährleisten konnte.
Aufgrund dieser Bewertung wurde unter Berücksichtigung der Tatsache, dass der Datenverantwortliche gegen den Grundsatz der „Richtigkeit und gegebenenfalls Aktualität” verstoßen hat, eine Verwaltungsstrafe in Höhe von 250.000 TL gegen den Datenverantwortlichen verhängt und beschlossen, die persönlichen Telefonnummern der betroffenen Person aus den Unterlagen des Transportunternehmens zu löschen und die Vor- und Nachnamen der betroffenen Person aus verschiedenen Dokumenten und Formularen zu entfernen.
DIE E-MAIL-ADRESSE EINES MITARBEITERS KANN UNTER EINHALTUNG DER GRENZEN ÜBERPRÜFT WERDEN!
Die bei der Behörde eingegangene Beschwerde betrifft im Wesentlichen die Verarbeitung personenbezogener Daten durch den Datenverantwortlichen durch Überwachung, Zugriff und Speicherung der Inhalte der seinen Mitarbeitern zugewiesenen Unternehmens-E-Mail-Adressen. Die betroffene Person behauptet, dass diese Überwachung in übermäßiger Weise erfolgt.
Der Datenverantwortliche hat bei einer Überprüfung festgestellt, dass die betroffene Person Unternehmensinformationen, die geschäftliche Daten enthalten, unter Verstoß gegen Datenschutzmaßnahmen an ihre private E-Mail-Adresse weitergeleitet und ein Telefongespräch mit einem Mitarbeiter des Unternehmens ohne dessen Wissen und Zustimmung heimlich aufgezeichnet hat.
Der Datenverantwortliche hat angegeben, dass er seine Mitarbeiter im Rahmen verschiedener Richtlinien und Informationsschreiben darüber informiert hat, dass er sowohl befugt als auch verpflichtet ist, die Einhaltung der gesetzlichen Bestimmungen, Unternehmensrichtlinien, Vertraulichkeitsverpflichtungen, Informationssicherheitsverfahren und Disziplinarvorschriften durch seine Mitarbeiter zu überwachen und zu kontrollieren, und dass er die Nutzungsdetails der seinen Mitarbeitern von ihren Unternehmen zugewiesenen Computer und Unternehmens-E-Mails -E-Mails, die den Mitarbeitern von ihren Unternehmen anvertraut wurden, in den entsprechenden Informationen, Disziplinar- und internen Verfahren angegeben hat, und erklärt, dass er dies im Rahmen der Datenverarbeitungsbedingungen „zum Schutz seiner berechtigten Interessen, sofern dies nicht die Grundrechte und Grundfreiheiten der betroffenen Person beeinträchtigt“ zu einem bestimmten, eindeutigen und rechtmäßigen Zweck getan hat.
Nach Abschluss der Untersuchung kam der Ausschuss in seiner Entscheidung vom 17.09.2020 mit der Antragsnummer 2016/13010 des Verfassungsgerichtshofs und unter Bezugnahme auf die vom Europäischen Gerichtshof für Menschenrechte (EGMR) am 12.01.2016 getroffene Entscheidung „Bărbulescu gegen Rumänien” vom 12.01.2016 bewerteten Kriterien auch im konkreten Fall zu berücksichtigen sind, und kam zu dem Schluss, dass der für die Datenverarbeitung Verantwortliche ein berechtigtes Interesse an der Durchführung der beanstandeten Überwachungsmaßnahme hatte.
Da nur durch die vom Datenverantwortlichen durchgeführte Überwachung festgestellt werden konnte, ob die betroffene Person einen Verstoß begangen hatte, und da die Verarbeitung personenbezogener Daten auf die betroffenen Mitarbeiter und den Zweck beschränkt war und nur im vorgesehenen Rahmen erfolgte, wurde entschieden, dass keine Maßnahmen gemäß dem Gesetz gegen den Datenverantwortlichen, also den Arbeitgeber, zu ergreifen sind.
AUSDRÜCKLICHE ZUSTIMMUNG BEI DATENÜBERMITTLUNGEN INS AUSLAND ERFORDERLICH!
In der an die Behörde übermittelten Beschwerde wird zusammengefasst Die betroffene Person habe sich über die Website als Mitglied im System des für die Datenverarbeitung Verantwortlichen registriert. In der Datenschutzerklärung sei zwar auf die Übermittlung ins Ausland hingewiesen worden, die betroffene Person habe jedoch keine ausdrückliche Einwilligung dazu erteilt. Daraufhin sei mit einem Antrag an die in der Datenschutzerklärung auf der Website angegebene E-Mail-Adresse um Auskunft gebeten worden, jedoch sei innerhalb der gesetzlichen Frist von 30 Tagen keine Antwort vom für die Datenverarbeitung Verantwortlichen eingegangen.
Der Datenverantwortliche habe eine E-Mail-Adresse für Anfragen der betroffenen Person eingerichtet, jedoch sei die an diese E-Mail-Adresse gesendete Anfrage der betroffenen Person versehentlich übersehen worden und daher unbeantwortet geblieben. Der in der Türkei ansässige Datenverantwortliche erbringe seine Dienstleistungen in vielen Ländern und nutze dafür Cloud-Technologien im Ausland. Die im Informationstext auf der Website enthaltene Mitteilung über die Übermittlung ins Ausland sei erfolgt, weil die Daten auf diesem Server gespeichert seien. Der Datenverantwortliche arbeite seit langem an einer Verpflichtungserklärung mit dem Unternehmen, von dem er Hosting-Dienstleistungen erhalte, und werde diese Verpflichtungserklärung so bald wie möglich dem Ausschuss zur Genehmigung vorlegen.
In seiner endgültigen Entscheidung stellte der Ausschuss fest, dass der Datenverantwortliche nicht alle erforderlichen administrativen und technischen Maßnahmen ergriffen hat, um die Anträge der betroffenen Personen wirksam, rechtmäßig und nach dem Grundsatz der Fairness zu bearbeiten, dass jedoch die Übermittlung personenbezogener Daten ins Ausland gemäß Artikel 9 des Gesetzes an bestimmte Bedingungen geknüpft ist und dass es, wenn die entsprechenden Bedingungen nicht erfüllt sind, außer der ausdrücklichen Einwilligung keinen anderen rechtlichen Grund gibt, damit die Übermittlung ins Ausland rechtmäßig ist, wurde beschlossen, gegen den Datenverantwortlichen eine Verwaltungsstrafe in Höhe von 950.000 TL zu verhängen und ihn zu ermahnen, die erforderlichen Maßnahmen zu ergreifen, da er die Übermittlung ins Ausland nicht mit dem Gesetz in Einklang gebracht hat.
E-MAIL-BESTÄTIGUNGSMECHANISMUS ALS TECHNISCHE MASSNAHME
Zusammenfassung der Beschwerde der betroffenen Person: Es wurde festgestellt, dass an die E-Mail-Adresse der betroffenen Person eine E-Mail gesendet wurde, die alle Bestellinformationen einschließlich der Absender- und Empfängerdaten einer dritten Person, die auf einer E-Commerce-Website eingekauft hatte, sowie Details zum Bestellinhalt enthielt und über eine aktive Schaltfläche zum Stornieren der Bestellung verfügte.
Der Datenverantwortliche verteidigte sich im Wesentlichen damit, dass die betreffende Bestellung von einem Nutzer aufgrund einer Namensähnlichkeit versehentlich unter Angabe einer zweiten E-Mail-Adresse, die nicht zu einer Mitgliedschaft der betreffenden Person gehörte, mit dem Kundenzugang erstellt worden sei und dass die ausdrückliche Zustimmung zum Versand von E-Mails und SMS gegeben worden sei. Der Datenverantwortliche habe keine Absicht gehabt, und es seien technische Entwicklungsarbeiten aufgenommen worden, um versehentliche fehlerhafte Vorgänge durch die E-Commerce-Website bestätigen zu können.
Nach Prüfung durch den Ausschuss wurde festgestellt, dass der Verantwortliche es versäumt hat, einen Bestätigungsmechanismus einzurichten, um die Kommunikationsdaten der Empfängergruppen, an die die E-Mails versandt werden sollen, zu überprüfen und damit sicherzustellen, dass der Grundsatz der Richtigkeit und gegebenenfalls Aktualität personenbezogener Daten Anwendung findet, und dass er seiner Verpflichtung zur Ergreifung administrativer und technischer Maßnahmen zur Verhinderung der unrechtmäßigen Verarbeitung personenbezogener Daten nicht nachgekommen ist. Aus diesem Grund wurde eine Verwaltungsstrafe in Höhe von 120. 000 TL Verwaltungsstrafe verhängt.
In der Beschwerde der betroffenen Person wurde zusammengefasst, dass die aus Suchanfragen in Internet-Suchmaschinen gewonnenen E-Mail-Adressen des Arbeitsplatzes von einem Marketingunternehmen ohne ausdrückliche Einwilligung der betroffenen Person durch den Versand kommerzieller elektronischer Nachrichten verarbeitet wurden.
In seiner Verteidigung führt der für die Datenverarbeitung Verantwortliche zusammenfassend aus, dass die E-Mail mit Marketinginhalt auf der Grundlage von Artikel 6 des Gesetzes Nr. 6563 über die Regulierung des elektronischen Handels („Kommerzielle elektronische Nachrichten können ohne vorherige Zustimmung an Gewerbetreibende und Händler versandt werden“) versandt wurde und dass die betreffende E-Mail der Werbung für ein Softwareprodukt diente, das mit dem Beruf der betroffenen Person in Zusammenhang steht.
Die Untersuchung des Ausschusses ergab, dass die geschäftliche E-Mail-Adresse der betreffenden Person nicht für Marketing-/Werbezwecke verwendet wurde, sondern im Rahmen der Kommunikation im Zusammenhang mit der Anwaltstätigkeit öffentlich zugänglich gemacht wurde, sodass die betreffenden Daten zwar im Internet zugänglich waren, jedoch nicht zum Zwecke der Veröffentlichung verwendet wurden und auch nicht damit in Zusammenhang standen.
Darüber hinaus können Rechtsanwälte gemäß Artikel 11 des Anwaltsgesetzes Nr. 1136 weder als Gewerbetreibende noch als Händler auftreten und daher ohne die Zustimmung der betroffenen Person keine kommerziellen Mitteilungen versenden dürfen. Ausgehend von diesen Feststellungen wurde gegen den für die Datenverarbeitung Verantwortlichen eine Verwaltungsstrafe in Höhe von 150.000 TL verhängt, da er ohne jegliche Voraussetzung für die Verarbeitung personenbezogener Daten rechtswidrige Datenverarbeitungsaktivitäten durchgeführt hat.
SANKTIONEN FÜR UNSICHERE ARBEITGEBER!
In der Beschwerde der betroffenen Person wurde zusammengefasst, dass der für die Datenverarbeitung Verantwortliche, mit dem bis zur Kündigung aus triftigen Gründen ein Arbeitsverhältnis bestand, die in der Strafakte enthaltenen Informationen über den Namen der betroffenen Person an die E-Mail-Adresse ihres Bruders weitergeleitet habe, obwohl diese Informationen in keiner Verbindung zu der Akte standen.
In den E-Mails, die vom Datenverantwortlichen an den Bruder der betroffenen Person gesendet worden sein sollen, sei auf die Zustellung des betreffenden Dokuments an die Adresse ihrer Familie hingewiesen worden, und im Anhang derselben E-Mail sei die Beschwerde enthalten gewesen, die mit der Begründung, die betroffene Person habe Software und Geschäftsgeheimnisse des Unternehmens gestohlen, an die Staatsanwaltschaft weitergeleitet worden sei. Aus dem Beschwerdeantrag geht hervor, dass im Abschnitt „Verdächtige” nicht nur Informationen über die betreffende Person, sondern auch über viele andere natürliche und juristische Personen enthalten sind. Da der für die Datenverarbeitung Verantwortliche jedoch nicht auf die Behauptung eingegangen ist, aus welchem rechtlichen Grund er die Beschwerde der Staatsanwaltschaft an die betroffene Person an deren Bruder weitergeleitet hat, wurde gegen den für die Datenverarbeitung Verantwortlichen eine Geldbuße in Höhe von 150.000 TL wegen rechtswidriger Datenverarbeitung ohne Vorliegen einer Voraussetzung für die Verarbeitung personenbezogener Daten verhängt.
MELDUNG VON DATENVERLETZUNGEN
Die KVKK-Bestimmung in Artikel 12/5 mit dem Titel „Verpflichtungen in Bezug auf die Datensicherheit” lautet: „Wenn verarbeitete personenbezogene Daten auf unrechtmäßige Weise von anderen Personen erlangt werden, muss der für die Datenverarbeitung Verantwortliche dies unverzüglich der betroffenen Person und der Kommission melden. Die Kommission kann diesen Sachverhalt gegebenenfalls auf ihrer Website oder auf andere Weise, die sie für angemessen hält, bekannt geben.”
Im April 2023 wurde auf der Website der Datenschutzbehörde unter der Domain www.kvkk.gov.tr eine Meldung über eine Datenverletzung veröffentlicht.
Beytıp Sağlık Hizmetleri Ltd. Şti.
Die Meldung über die Datenverletzung, die von Beytıp Sağlık Hizmetleri Ltd. Şti. in ihrer Eigenschaft als Datenverantwortliche an die Kommission übermittelt wurde, lautet zusammengefasst wie folgt: Am 18.02.2023 konnten einige Computer, auf denen das Programm zur Speicherung aller medizinischen Daten von Patienten und deren Angehörigen, die in der medizinischen Einrichtung behandelt wurden, installiert war, nicht gestartet werden. Unbekannte Personen verschafften sich unbefugt Zugang zu den Computern des Datenverantwortlichen und dem Netzwerk und IT-System, mit denen diese Computer verbunden waren. Der Zugriff auf das betreffende Programm wurde verschlüsselt, und es wurde angegeben, dass die von der Verletzung betroffenen personenbezogenen Daten Identitäts-, Kommunikations-, Personal-, Rechts-, Kunden-, Transaktionssicherheits-, Risikomanagement-, Finanz-, Marketing-, Bild- und Tonaufzeichnungen, Angaben zur ethnischen Herkunft und Gesundheitsdaten umfassen.
Die genaue Anzahl der von der Verletzung betroffenen Personen ist nicht bekannt, wird jedoch auf 5000 geschätzt, und die Aufzeichnungen des letzten Jahres sind betroffen. Es wurde angegeben, dass die von der Verletzung betroffene Personengruppe aus Mitarbeitern, Nutzern und Patienten besteht.