Datenschutz- und Compliance-Bulletin – August 2024
Das Gesetz zum Schutz personenbezogener Daten („Gesetz“) und die sekundären Rechtsvorschriften sind seit ihrem Inkrafttreten bis heute ein häufig aktualisiertes und lebendiges Recht.
Nicht nur das Gesetz und die in Verbindung mit dem Gesetz in Kraft getretenen sekundären Vorschriften, sondern auch die Beschlüsse, Grundsatzbeschlüsse und Zusammenfassungen der Beschlüsse der Datenschutzbehörde („Behörde“) legen viele Verfahren und Grundsätze im Bereich des Datenschutzes fest. Daher zielen unsere monatlichen Bulletins darauf ab, die Betroffenen über die Praktiken der Behörde zu informieren und sie auf dem Laufenden zu halten.
Im August 2024 veröffentlichte die Kommission neben Meldungen über Datenschutzverletzungen auch die Zusammenfassung der Entscheidung Nr. 2024/1176 vom 18.07.2024 über die „Rechtswidrige Verarbeitung personenbezogener Daten zum Zwecke der Einrichtung eines Abonnements”, die in diesem Jahr zum ersten Mal auf ihrer Website veröffentlicht wurde, sowie „Verarbeitung personenbezogener Daten durch Forschungsunternehmen zum Zweck der statistischen Forschung mittels zufälliger Nummernwahl und Telefoninterviews” veröffentlicht.
Darüber hinaus gab die Kommission bekannt, dass ein Kooperationsprotokoll mit dem Handelsministerium unterzeichnet wurde, und erklärte in der entsprechenden Mitteilung, dass das Kooperationsprotokoll mit dem Ziel unterzeichnet wurde, das Bewusstsein aller Gesellschaftsschichten für gezielte Werbung und irreführende kommerzielle Designpraktiken zu schärfen, internationale Vorschriften und Praktiken in gemeinsamen Bereichen im Zusammenhang mit digitaler Werbung und Anwendungen sowie der Verwendung personenbezogener Daten zu verfolgen und eine gemeinsame Politik gegen bestehende oder mögliche Verstöße zu entwickeln. Mit anderen Worten, mit dem unterzeichneten Protokoll soll das Bewusstsein der Verbraucher für digitale Werbung und Anwendungen geschärft und die Kontrolle der Verbraucher über ihre personenbezogenen Daten gestärkt werden.
MELDUNGEN VON DATENVERLETZUNGEN
In Artikel 12/5 des KVKK mit dem Titel „Verpflichtungen in Bezug auf die Datensicherheit” heißt es: „Wenn verarbeitete personenbezogene Daten auf unrechtmäßige Weise von anderen Personen erlangt werden, muss der für die Datenverarbeitung Verantwortliche dies unverzüglich der betroffenen Person und der Kommission melden. Die Kommission kann diesen Sachverhalt gegebenenfalls auf ihrer Website oder auf andere Weise, die sie für angemessen hält, bekannt geben.”
Im August 2024 wurden auf der Website der Kommission unter der Domain kvkk.gov.tr zwei Meldungen über Datenschutzverletzungen veröffentlicht.
Gündoğdu Mobilya Sanayi Ticaret Ltd. Şti.
Gündoğdu Mobilya Sanayi Ticaret Ltd. Şti. hat in der Meldung über die Datenverletzung, die es in seiner Eigenschaft als Datenverantwortlicher an die Kommission übermittelt hat, angegeben, dass die auf seinen Servern befindlichen Daten verschlüsselt sind, die Verletzung am 9. August 2024 begonnen hat und am selben Tag festgestellt wurde. Es wurde angegeben, dass die von der Verletzung betroffenen Kategorien personenbezogener Daten Identitäts-, Kommunikations-, Standort-, Personal-, Rechts- und Kundendaten seien und dass die von der Verletzung betroffene Personengruppe aus Mitarbeitern, Nutzern und Kunden bestehe. Die Anzahl der von der Verletzung betroffenen Personen konnte aufgrund des fehlenden Zugriffs auf das System nicht ermittelt werden. Den betroffenen Personen wurde mitgeteilt, dass sie sich an das Callcenter des für die Datenverarbeitung Verantwortlichen wenden können, um Informationen über die Datenverletzung zu erhalten.
Maltepe-Universität
Die Maltepe-Universität hat in ihrer Meldung der Datenverletzung an die Kommission als Datenverantwortlicher angegeben, dass ein Cyberangreifer am 19. Juni 2024 zwischen 01:27 und 06:35 Uhr das Passwort eines Benutzerkontos in den Systemen des Datenverantwortlichen gestohlen und einen Ransomware-Angriff durchgeführt hat. Der Angreifer forderte vom Datenverantwortlichen Lösegeld, jedoch wurde angegeben, dass keine Daten aus den Systemen des Datenverantwortlichen nach außen gelangt seien. In der Meldung des Datenverantwortlichen wurden keine Informationen über die von der Verletzung betroffenen Personengruppen, die Anzahl der Personen und die personenbezogenen Daten weitergegeben.
Kommentar von GRC LEGAL
Bei der Prüfung der im August veröffentlichten Meldungen über Datenschutzverletzungen zeigt sich, dass diese Verletzungen aufgrund von Sicherheitslücken und Datenlecks durch Cyberangriffe auf die Server der für die Datenverarbeitung Verantwortlichen verursacht wurden.
Aufgrund der Verschlüsselung der Daten auf den Servern von Gündoğdu Mobilya Sanayi Ticaret Ltd. Şti. und der Cyberangriffe auf die Maltepe-Universität kam es zu Datenverletzungen bei den Datenverantwortlichen. In diesem Zusammenhang sind die Maßnahmen der für die Datenverarbeitung Verantwortlichen, die verpflichtet sind, alle technischen und administrativen Maßnahmen zu ergreifen, insbesondere die Sicherung der Daten und die Anwendung starker Verschlüsselungsmethoden, von entscheidender Bedeutung, insbesondere in Fällen, in denen Ransomware verwendet wird.
Regelmäßige Cybersicherheitsschulungen, Systemaktualisierungen, starke Verschlüsselungsprotokolle und die Entwicklung von Notfallplänen sorgen für proaktive Maßnahmen sowohl in technischer als auch in administrativer Hinsicht und können so solche Verstöße verhindern.
Darüber hinaus können Meldungen über Datenverstöße auf der Website der Kommission zu einem Reputationsverlust bei den namentlich genannten Datenverantwortlichen führen. In diesem Zusammenhang ist es sowohl für den Schutz der Rechte der Datenverantwortlichen als auch der betroffenen Personen von Bedeutung, die betroffenen Personen so schnell und transparent wie möglich zu informieren, um den Reputationsverlust und rechtliche Probleme so gering wie möglich zu halten.
ZUSAMMENFASSUNGEN DER BESCHLÜSSE DER KOMMISSION
Die wichtigsten Quellen, um mit der Geschwindigkeit der Datenwelt Schritt zu halten, sind die Grundsatzbeschlüsse der Kommission und die Zusammenfassungen der Beschlüsse zu Verwaltungsstrafen. Die Gesetzgebung wurde in Übereinstimmung mit diesen Beschlüssen weitgehend gestaltet, und neben vielen Verfahren und Grundsätzen werden hier auch Begriffe und Ausdrücke verwendet, die aus der Europäischen Datenschutz-Grundverordnung („GDPR“) bekannt sind. In Artikel 22 des KVKK sind die Aufgaben und Befugnisse des Ausschusses aufgeführt, und die Verbindlichkeit der Zusammenfassungen der Entscheidungen basiert auf dieser Bestimmung.
In der Entscheidung des Ausschusses vom 18.07.2024 mit der Nummer 2024/1176 heißt es: Die betroffene Person, die eine Beschwerde bei der Datenschutzbehörde („Behörde“) eingereicht hat, gab an, dass sie nach Ablauf der Vertragslaufzeit für Internetdienste beim Suchen nach neuen Tarifen im Internet versehentlich auf eine Website gelangt sei, die die gleichen/sehr ähnliche Bilder wie die Website von Türk Telekom zeige, und dass sie nach Eingabe ihrer Mobiltelefonnummer von einem Vertreter, den sie für einen Mitarbeiter von Türk Telekom hielt, angerufen worden sei und diesem auch ihre sonstigen personenbezogenen Daten mitgeteilt habe. Anschließend habe sie am selben Tag eine SMS erhalten, in der ihr mitgeteilt wurde, dass sie zu Demirören İnternet ve İletişim Hizmetleri Ticaret Anonim Şirketi („D-Smart“) gewechselt sei, und sie habe festgestellt, dass der Anrufer kein Kundendienstmitarbeiter von Türk Telekom war und ihre Daten unter Verletzung ihres Willens und rechtswidrig erhoben worden waren.
Im Rahmen der zu diesem Thema durchgeführten Untersuchung wurde im Rahmen der Kontrollen der D-Smart-Systeme festgestellt, dass die Daten der betreffenden Person im Rahmen der operativen Abläufe von D-Smart, dessen alleiniger Anteilseigner D-Smart ist, an die Andromeda TV Dijital Platform İşletmeciliği Anonim Şirketi („Andromeda”) und die İkra İletişim Telekomünikasyon ve Danışmanlık Hizmetleri Sanayi Ticaret Limited Şirketi („İkra İletişim”) im Rahmen der operativen Abläufe für alle Geschäfte und Transaktionen der D-Smart-Abonnenten zuständig ist, und dass in diesem Zusammenhang die Eingabe der betreffenden Daten durch İkra İletişim, das als Vermittler für die D-Smart-Prozesse fungiert, erfolgt ist und dass İkra İletişim die Daten der betreffenden Person, die nicht in den D-Smart-Systemen registriert ist, ohne Anweisung oder Kenntnis von D-Smart die Daten potenzieller Abonnenten unabhängig als Datenverantwortlicher selbst beschafft und in das entsprechende System übertragen hat.
Nach Auswertung der Ergebnisse wurde entschieden, dass keine Maßnahmen im Rahmen des Gesetzes gegen D-Smart und Andromeda zu ergreifen sind. Obwohl İkra İletişim gemäß dem mit Andromeda geschlossenen Vertrag den Status eines Datenverarbeiters hat, hat es potenzielle Kunden durch die Verwendung von Bildern eines anderen Unternehmens getäuscht und auf diese Weise personenbezogene Daten der betroffenen Person beschafft und verarbeitet. Da diese Tätigkeit gegen die Vertragsbestimmungen verstößt, hat İkra İletişim im konkreten Fall als Datenverantwortlicher gehandelt und die in Artikel 5 , und dass es nicht auf der Bedingung der ausdrücklichen Zustimmung beruhte, da es die Grundvoraussetzung der freien Willensäußerung nicht erfüllte, und dass es gegen Artikel 12/1-a des Gesetzes verstieß, wurde beschlossen, gegen İkra İletişim eine Verwaltungsstrafe in Höhe von 450.000 Türkischen Lira zu verhängen.
GRC LEGAL Kommentar
Wie in Artikel 3 des KVKK definiert, bezeichnet der Begriff „Datenverarbeiter” eine natürliche oder juristische Person, die auf der Grundlage der vom Datenverantwortlichen erteilten Befugnis personenbezogene Daten in dessen Namen verarbeitet. Datenverarbeiter sind separate natürliche oder juristische Personen, die personenbezogene Daten im Rahmen der ihnen erteilten Anweisungen verarbeiten und vom Datenverantwortlichen durch den Abschluss eines Vertrags über die Verarbeitung personenbezogener Daten bevollmächtigt wurden.
Allerdings muss auf der Grundlage des konkreten Sachverhalts jeder einzelne Prozess und jede einzelne Tätigkeit gesondert bewertet werden, um die rechtliche Stellung der Vertragsparteien im Rahmen des KVKK zu bestimmen. Wenn Datenverarbeiter über die ihnen übertragenen Befugnisse und Anweisungen hinaus handeln, werden sie zu Datenverantwortlichen und unterliegen im Falle der Rechtswidrigkeit ihrer Tätigkeiten zur Verarbeitung personenbezogener Daten verwaltungsrechtlichen Geldstrafen. In diesem Sinne ist es unerlässlich, dass die Datenverarbeiter den Rahmen ihrer vertraglichen Beziehung zu den Datenverantwortlichen klar definieren und im Rahmen ihrer vertraglichen Verpflichtungen und Pflichten handeln.
ÖFFENTLICHE BEKANNTMACHUNG
Da Forschungsunternehmen mithilfe der „Methode der Telefonbefragung mit zufälliger Nummernwahl” durch die Verarbeitung personenbezogener Daten mit vielen betroffenen Personen in Kontakt treten und die Zahl der bei der Behörde eingegangenen Beschwerden gestiegen ist, sah sich der Ausschuss veranlasst, eine öffentliche Bekanntmachung zu veröffentlichen.
Gemäß Artikel 28 des KVKK sind die Fälle aufgeführt, in denen das Gesetz keine Anwendung findet, und gemäß Absatz 1 Buchstabe b ist die Ausnahme „kVerarbeitung personenbezogener Daten für Zwecke wie Forschung, Planung und Statistik, indem diese Daten durch offizielle Statistiken anonymisiert werden” geregelt.
- In der entsprechenden öffentlichen Bekanntmachung vom 08.2024 hat die Kommission erklärt, dass die Aktivitäten im Rahmen von Telefoninterviews mit zufälliger Nummernwahl nicht als Ausnahme im Sinne von Artikel 28 des KVKK („Verarbeitung personenbezogener Daten für offizielle statistische Zwecke“) angesehen werden können, da die für die Datenverarbeitung Verantwortlichen keine konkreten Informationen oder Unterlagen zur Bestätigung vorgelegt haben. unter Berücksichtigung der einschlägigen Rechtsvorschriften festgestellt, dass die Verarbeitung gemäß Artikel 28 des KVKK nicht als Ausnahme im Sinne der „Verarbeitung personenbezogener Daten für amtliche statistische Zwecke“ angesehen werden kann.
- Gemäß der Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten werden anonyme Daten als Daten definiert, die von Anfang an nicht mit einer bestimmten Person in Verbindung gebracht werden können, während anonymisierte Daten als Daten definiert werden, die zuvor mit einer Person in Verbindung gebracht wurden, nun aber nicht mehr zugeordnet werden können.
- Der Ausschuss hat diese Erklärung zu dieser Definition abgegeben, nachdem er festgestellt hatte, dass die im Rahmen der betreffenden Suchanfragen verarbeiteten personenbezogenen Daten durch Pseudonymisierung für einen Zeitraum von zwei Jahren gespeichert wurden, und erklärt, dass dieser Vorgang nicht unter die Ausnahme „Verarbeitung personenbezogener Daten zu Forschungs-, Planungs- und statistischen Zwecken durch Anonymisierung” fällt.
In diesem Zusammenhang wurde festgestellt, dass der betreffende Vorgang nicht zu den im Gesetz aufgeführten Ausnahmefällen zählt und daher bei der Verarbeitung personenbezogener Daten mittels zufälliger Nummernwahl und Telefoninterviews die Bestimmungen des Gesetzes Nr. 6698 einzuhalten sind.
Der Ausschuss stellte fest, dass die Telefonnummern im Rahmen der Methode „Telefoninterviews mit zufälliger Nummernwahl” bei öffentlichen Umfragen generiert und nicht von einer bestimmten Stelle bezogen wurden, dass die generierten Nummern für die Mitarbeiter, die die Interviews führten, nicht sichtbar waren, dass die Verarbeitung personenbezogener Daten durch Anrufen der Telefonnummern der betreffenden Personen begann Darüber hinaus werden die für die Umfrage erforderlichen und auf das erforderliche Maß beschränkten Daten wie das Datum und die Dauer des Anrufs, die Rufnummer des Anrufers und die angerufene Nummer in einem Verkehrsprotokoll erfasst. Im Falle eines Antrags der betroffenen Person, nicht erneut angerufen zu werden, werden ihre Telefonnummern in eine Liste aufgenommen, die nicht mehr angerufen wird. Die Verarbeitung der persönlichen Daten erfolgt durch die Aufzeichnung des Gesprächs. Die Qualität der Umfrage wird im Rahmen einer Qualitätskontrolle überprüft. Es wurde anerkannt, dass dies im Sinne von Artikel 5 Absatz 2 Buchstabe f des Gesetzes als rechtmäßig angesehen werden kann, um die Pflichten des Forschers zu erfüllen und im Falle eines Rechtsstreits nachzuweisen, dass die Pflichten erfüllt wurden, „sofern die Grundrechte und Grundfreiheiten der betroffenen Person nicht beeinträchtigt werden und die Datenverarbeitung für die berechtigten Interessen des für die Verarbeitung Verantwortlichen erforderlich ist”.
Darüber hinaus wurde festgelegt, dass bei der ersten Kontaktaufnahme mit der betroffenen Person Informationen darüber gegeben werden müssen, wer den Anruf tätigt, welche personenbezogenen Daten verarbeitet werden, dass die Telefonnummer durch Zufallswahl generiert wurde und zu welchem Zweck die Verarbeitung erfolgt, und dass die Datenverarbeitung nach der Aufklärung mit ausdrücklicher Einwilligung fortgesetzt werden muss.