Datenschutz- und Compliance-Bulletin – Juli 2023
Das Gesetz zum Schutz personenbezogener Daten und die sekundären Rechtsvorschriften sind seit ihrem Inkrafttreten bis heute ein häufig aktualisiertes und lebendiges Recht. Nicht nur durch Gesetze, Verordnungen und Bekanntmachungen, sondern auch durch Beschlüsse des Ausschusses, Grundsatzbeschlüsse und Zusammenfassungen der Beschlüsse des Ausschusses werden viele Verfahren und Grundsätze im Bereich des Datenschutzes festgelegt. Daher zielen unsere monatlichen Newsletter darauf ab, die Betroffenen über die Praktiken der Datenschutzbehörde zu informieren und sie auf dem Laufenden zu halten.
Im Juli 2023 veröffentlichte die Behörde eine öffentliche Bekanntmachung zur VERBİS-Registrierungspflicht und neun Meldungen über Datenschutzverletzungen, darunter auch von branchenführenden Unternehmen.
DATENVERLETZUNGSMELDUNGEN
„Verpflichtungen in Bezug auf die Datensicherheit“ gemäß KVKK Art. 12/5. „Wenn verarbeitete personenbezogene Daten auf unrechtmäßige Weise von anderen Personen erlangt werden, muss der für die Datenverarbeitung Verantwortliche dies unverzüglich den Betroffenen und der Behörde melden. Die Kommission kann diesen Sachverhalt gegebenenfalls auf ihrer Website oder auf andere Weise, die sie für angemessen hält, bekannt geben.“
Im Juli 2023 wurden auf der Website der Datenschutzbehörde unter der Adresse www.kvkk.gov.tr neun Meldungen über Datenverstöße veröffentlicht.
In der Meldung über die Datenverletzung, die der Ausschuss von Oden İnşaat Turizm ve Tic. AŞ (Çeşme Ilıca Hotel SPA&Wellness Resort) in seiner Eigenschaft als Datenverantwortlicher erhalten hat, heißt es zusammengefasst:
Die Verletzung erfolgte durch einen Phishing-Angriff per E-Mail auf den Datenverantwortlichen, wobei die Angreifer Zugriff auf den booking.com-Extranet-Bildschirm erhielten. auf dem betreffenden Bildschirm die Vor- und Nachnamen, Reservierungsdaten, Telefonnummern und E-Mail-Adressen der Kunden des Datenverantwortlichen zu sehen waren, die Angreifer von diesem Bildschirm aus E-Mails an die Kunden des Datenverantwortlichen verschickten und versuchten, an Kreditkartendaten zu gelangen, und dass 155 Personen von der Verletzung betroffen waren.
Kommentar von GRC LEGAL:
Bei der Prüfung der Meldung über die Datenverletzung lässt sich insbesondere in der aktuellen Sommersaison mit Sicherheit sagen, dass touristische Einrichtungen das Ziel von Angreifern sind.
Angesichts der Art und Weise, wie die Verletzung stattgefunden hat, ist es äußerst wichtig, die Mitarbeiter darauf hinzuweisen, dass sie vor dem Anklicken von Links in E-Mails, die sie erhalten, die erforderlichen Kontrollen durchführen und ihr Bewusstsein für Datensicherheit schärfen. Angesichts der Tatsache, dass die Verletzung über booking.com erfolgte, sind wir außerdem der Ansicht, dass auch die Geschäftspartner, mit denen wir bei Reservierungen usw. zusammenarbeiten, die KVKK-Konformitätsprozesse befolgen und die erforderlichen Kontrollen zur Gewährleistung der Datensicherheit durchführen müssen.
-KVKK Artikel 12/2-
Bevor wir zu den acht weiteren Datenverstöße kommen, die von der Kommission veröffentlicht wurden, möchten wir auf Artikel 12/2 des KVKK eingehen. Gemäß diesem Artikel ist der für die Datenverarbeitung Verantwortliche, wenn personenbezogene Daten in seinem Namen von einer anderen natürlichen oder juristischen Person verarbeitet werden, gemeinsam mit diesen Personen für die Ergreifung der in Absatz 1 genannten Maßnahmen verantwortlich.
Allen unten näher beschriebenen Meldungen über Datenschutzverletzungen ist gemeinsam, dass diese Unternehmen mit dem Datenverarbeiter Mivento Bilişim Hizmetleri ve Ticaret A.Ş. zusammenarbeiten, von dem sie eine Infrastrukturdienstleistung für die Verwaltung von Geschenk-/Werbeaktionen für ihre Vertriebsmitarbeiter erwerben, und dass infolge eines Cyberangriffs auf die Server dieses Unternehmens bestimmte personenbezogene Daten von der Verletzung betroffen sind.
Die gemeldeten Datenschutzverletzungen sind ein konkretes Beispiel für diese Regelung, wobei bei Datenschutzverletzungen durch Datenverarbeiter unabhängig von der Identität oder dem Verschulden des Datenverantwortlichen auch die Datenverantwortlichen verpflichtet sind, die Datenschutzverletzung zu melden, und die Datenverantwortlichen erneut auf die Gefahr eines Reputationsverlusts hingewiesen werden, die mit der Veröffentlichung ihrer Namen auf der Website der Kommission auf ihrer Website veröffentlicht werden, was zu einem Reputationsverlust führen kann.
Bei der Untersuchung der Meldungen der von der Verletzung betroffenen Datenverantwortlichen im Zusammenhang mit dem Cyberangriff auf die Datenserver der Mivento Bilişim Hizmetleri ve Ticaret Anonim Şirketi wurde Folgendes festgestellt:
Vestel Ticaret Anonim Şirketi Mitarbeiter waren von der Verletzung ihrer „TCKN, Vor- und Nachname, E-Mail-Adresse und Telefonnummer” betroffen,
Anadolu Isuzu Otomotiv Sanayi Ticaret Anonim Şirketi Mitarbeiter waren von der Verletzung ihrer „TCKN, Vor- und Nachname und Telefonnummer” betroffen,
Çelik Motor Ticaret Anonim Şirketi Mitarbeiter waren von der Verletzung ihrer „TCKN, Vor- und Nachname und E-Mail-Adresse” betroffen.
Geberit Tesisat Sistemleri Ticaret Limited Şirketi Mitarbeiter waren von der Verletzung ihrer „Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Geschlecht und Geburtsdatum” betroffen.
Mais Motorlu Araçlar İmal ve Satış Anonim Şirketi Mitarbeiter: „TCKN, Vor- und Nachname, E-Mail-Adresse und Telefonnummer“
Schneider Elektrik Sanayi ve Ticaret Anonim Şirketi Mitarbeiter: „TCKN, Vor- und Nachname, E-Mail-Adresse und Telefonnummer“
Toyota Türkiye Pazarlama ve Satış Anonim Şirketi Mitarbeiter: „Name, Nachname und Telefonnummer“
Vodafone Dağıtım Servis ve İçerik Hizmetleri Anonim Şirketi Mitarbeiter: „verschlüsselte TCKN, Name, Nachname und Datum des Arbeitsantritts“
In diesem Zusammenhang ist es erforderlich, dass mit den Strukturen, mit denen in Zusammenarbeit als Datenverarbeiter zusammengearbeitet wird, zusätzlich zu den zu schließenden Verträgen ein Datenverarbeitungsprotokoll unterzeichnet wird, das, falls es bereits unterzeichnet wurde, auf seine Aktualität überprüft wird. Bei jedem neuen Datenverarbeitungsanbieter sollte eine Bewertung der Datensicherheit mithilfe von Instrumenten wie dem Partnerbewusstseinsformular durchgeführt werden. Dadurch werden Maßnahmen ergriffen, die das Risiko von Verstößen durch Datenverarbeiter minimieren und gegebenenfalls sogar Regressansprüche ermöglichen.
Bei der Prüfung der von den Datenverantwortlichen gemeldeten Verstöße zeigt sich, dass die durchgesickerten Daten Mitarbeiter der Unternehmen selbst betreffen. Wie in Artikel 75/2 des Arbeitsgesetzes Nr. 4857 ausdrücklich festgelegt, ist „der Arbeitgeber verpflichtet, die über den Arbeitnehmer erlangten Informationen in Übereinstimmung mit den Grundsätzen der Redlichkeit und dem Gesetz zu verwenden und Informationen, deren Geheimhaltung im berechtigten Interesse des Arbeitnehmers liegt, nicht offenzulegen“ und alle erforderlichen technischen und administrativen Maßnahmen zu ergreifen, um diese Informationen zu schützen. In diesem Zusammenhang müssen die Datenverantwortlichen die Übertragungskanäle für die Daten ihrer Mitarbeiter sowie die Kontrolle und Bewertung dieser Kanäle sicherstellen, wobei die Durchführung der entsprechenden Formular- und Protokollprozesse von großer Bedeutung ist.
ÖFFENTLICHE BEKANNTMACHUNG
Mit dem im Amtsblatt vom 25.07.2023 veröffentlichten Beschluss der Datenschutzbehörde („Beschluss“) wurden die Ausnahmekriterien für die Registrierungspflicht im Register der Datenverantwortlichen („VERBİS“) aufgrund einer Neubewertung der wirtschaftlichen Bedingungen in unserem Land geändert. In diesem Zusammenhang wurde die Formulierung „natürliche oder juristische Personen, deren Haupttätigkeit nicht die Verarbeitung personenbezogener Daten besonderer Art ist und deren jährliche Mitarbeiterzahl weniger als 50 und deren jährliche Bilanzsumme weniger als 25 Millionen türkische Lira beträgt“ geändert in „natürliche oder juristische Personen, deren Haupttätigkeit nicht die Verarbeitung personenbezogener Daten besonderer Art ist und deren jährliche Mitarbeiterzahl weniger als 50 und eine Jahresbilanzsumme von weniger als 100 Millionen türkischen Lira haben und deren Haupttätigkeit nicht die Verarbeitung besonderer personenbezogener Daten ist, geändert, und die betreffenden Datenverantwortlichen sind von der Registrierungspflicht bei VERBİS ausgenommen. Mit der Veröffentlichung des
Beschlusses werden natürliche oder juristische Personen, die Datenverantwortliche sind, , da für die Berechnung der Jahresbilanz ein vollendetes Jahr erforderlich ist, das Ende des Jahres 2023 abwarten und werden, sofern die Bilanzsumme in der für April 2024 festzulegenden Körperschaftsteuererklärung weniger als 100 Millionen türkische Lira beträgt und sie auch die anderen Kriterien nicht erfüllen, nicht zur Registrierung bei VERBİS verpflichtet sein.
Gemäß der neuen Situation, die durch den am 25.07.2023 in Kraft getretenen Beschluss geschaffen wurde, können Unternehmen, deren Jahresbilanzsumme mehr als 25 Millionen türkische Lira beträgt und die nur aufgrund des Kriteriums der Aktivsumme zur VERBİS-Registrierung verpflichtet sind, ihre VERBİS-Registrierung beibehalten oder ihre Registrierung in den passiven Stand versetzen lassen.