Leitfaden zu den bei der Verarbeitung genetischer Daten zu beachtenden Punkten

LEITFADEN ZU DEN BEACHTUNGSPUNKTEN BEI DER VERARBEITUNG GENETISCHER DATEN

1. EINLEITUNG

Genetische Daten, die gemäß Artikel 6 des Gesetzes Nr. 6698 zum Schutz personenbezogener Daten („Gesetz“) als personenbezogene Daten besonderer Art definiert sind, sind zwar bislang in unserer Gesetzgebung nicht definiert, jedoch gemäß Artikel 4/13 der Datenschutz-Grundverordnung der Europäischen Union („General Data Protection Regulation“, „GDPR“) Artikel 4/13 als personenbezogene Daten, die einzigartige Informationen über die Physiologie oder Gesundheit einer natürlichen Person liefern und insbesondere aus der Analyse einer von dieser natürlichen Person entnommenen biologischen Probe stammen und sich auf die vererbten oder erworbenen Eigenschaften dieser Person beziehen.

Die Datenschutzbehörde hat am 13.10.2023 einen Leitfaden zu den bei der Verarbeitung genetischer Daten zu beachtenden Punkten („Leitfaden”) vom 13.10.2023 veröffentlicht hat, den Prozess der Datenverarbeitung, die Verarbeitung und Grundsätze genetischer Daten, die Pflichten des für die Datenverarbeitung Verantwortlichen und die Sicherheit genetischer Daten behandelt und damit den betroffenen Personen und den für die Datenverarbeitung Verantwortlichen eine Orientierungshilfe bieten soll.

1. BEGRIFFE „VERANTWORTLICHER FÜR DIE DATENVERARBEITUNG“, „DATENVERARBEITER“ UND „BETROFFENE PERSON“ IM ZUSAMMENHANG MIT GENETISCHEN DATEN

Gemäß der Verordnung über Zentren zur Bewertung genetischer Erkrankungen („Verordnung“) dürfen Tests zur Diagnose genetischer Erkrankungen und zur Bestimmung der Reaktion auf die Behandlung verschiedener Erkrankungen oder zur Feststellung, ob eine Person ein für eine Erkrankung verantwortliches Gen trägt oder nicht, oder zur Feststellung einer genetischen Veranlagung oder Anfälligkeit für eine Erkrankung nur in medizinisch notwendigen Fällen oder für wissenschaftliche Forschungszwecke und unter der Voraussetzung, dass eine angemessene genetische Beratung angeboten wird, ausschließlich in Zentren zur Bewertung genetischer Erkrankungen durchgeführt werden dürfen. In diesem Zusammenhang wurden die relevanten Einrichtungen im Hinblick auf die Verarbeitung genetischer Daten bewertet:

Datenverantwortliche: Die natürlichen und juristischen Personen (Ministerien, Universitäten, juristische Personen des Privatrechts), denen die Zentren für die Bewertung genetischer Erkrankungen unterstehen, sind für die Datenverarbeitung verantwortlich.

Datenverarbeiter: Die Cloud-Systeme, in denen genetische Daten gespeichert werden, sind Datenverarbeiter.

Betroffene Personen: Natürliche Personen, deren genetische Daten verarbeitet werden, + Verwandte, die im Rahmen der Verarbeitung genetischer Daten genetisch miteinander verbunden sind, können als Beispiele für betroffene Personen angeführt werden.

Darüber hinaus können auch, ohne darauf beschränkt zu sein, Bildungs- und Rehabilitationszentren, Kommunen, Einrichtungen und Organisationen, die Gesundheitsdienstleistungen anbieten, öffentliche Einrichtungen und Organisationen, Versicherungsgesellschaften usw., die über genetische Informationen der betroffenen Personen verfügen, auch wenn sie keine genetische Datenanalyse durchführen, Es ist sinnvoll, daran zu erinnern, dass auch natürliche und juristische Personen auf der Grundlage konkreter Fälle im Rahmen der Definitionen des Datenverantwortlichen oder Datenverarbeiters im Gesetz bewertet werden müssen.

1. VERARBEITUNG GENETISCHER DATEN UND GRUNDSÄTZE

Bei der Verarbeitung genetischer Daten zu beachtende Grundsätze

Der Leitfaden legt fest, dass der für die Datenverarbeitung Verantwortliche genetische Daten gemäß den allgemeinen Grundsätzen in Artikel 4 des Gesetzes und den in Artikel 6 festgelegten Bedingungen sowie den folgenden Grundsätzen verarbeiten darf:

• Unverletzlichkeit der Grundrechte und Grundfreiheiten: Da das Recht auf Schutz personenbezogener Daten zu den in der Verfassung der Republik Türkei verankerten Grundrechten und Grundfreiheiten gehört, muss die Verarbeitung personenbezogener Daten durch die Verarbeitung genetischer Daten im Einklang mit dem Grundsatz der Verhältnismäßigkeit erfolgen, ohne das Wesen dieses Rechts zu beeinträchtigen.
• Die Verarbeitung genetischer Daten muss für den angestrebten Zweck geeignet sein: In seiner Entscheidung vom 28.09.2017, E.2016/125, K.2017/143 definiert das Verfassungsgericht die Eignung als „die Eignung der eingeführten Regel für den angestrebten Zweck”.
• Bei der Verarbeitung genetischer Daten sollten nach Erlangung der für die Erreichung des Zwecks geeigneten Menge und Art genetischer Daten keine zusätzlichen personenbezogenen Daten verarbeitet werden.
• Die genetische Datenverarbeitungsmethode muss für den angestrebten Zweck erforderlich sein: Gemäß der Entscheidung des Verfassungsgerichts vom 09.2017 mit der Nummer E.2016/125, K.2017/143 bedeutet Erforderlichkeit, dass die eingeführte Regel für den angestrebten Zweck erforderlich sein muss. In diesem Sinne sollte, wenn mehrere Mittel/Methoden zur Erreichung desselben Zwecks zur Verfügung stehen, das/die am wenigsten eingreifende(n) Mittel/Methode(n) ausgewählt werden.

• Verhältnismäßigkeit zwischen dem mit der Verarbeitung genetischer Daten angestrebten Zweck und dem Mittel: In der Entscheidung des Verfassungsgerichts vom 09.2017 mit der Nummer E.2016/125, K.2017/143 wird Verhältnismäßigkeit als „das erforderliche Maß zwischen der eingeführten Regel und dem angestrebten Zweck” definiert. Wenn für die Erreichung des Zwecks der Verarbeitung genetischer Daten mehrere Mittel zur Verfügung stehen, bedeutet Verhältnismäßigkeit, dass das am besten geeignete Mittel ausgewählt wird.

• Die verarbeiteten genetischen Daten sind so lange wie erforderlich aufzubewahren und nach Wegfall der Notwendigkeit unverzüglich gemäß der Richtlinie zur Speicherung und Vernichtung personenbezogener Daten zu vernichten: Im Rahmen der allgemeinen Grundsätze des Gesetzes sind personenbezogene Daten so lange aufzubewahren, wie dies in den einschlägigen Rechtsvorschriften vorgesehen oder für den Zweck ihrer Verarbeitung erforderlich ist. [1] Die Dauer der Speicherung der betreffenden Daten und die Gründe dafür müssen vom für die Verarbeitung Verantwortlichen in der Richtlinie zur Speicherung und Vernichtung personenbezogener Daten erläutert werden.

Verarbeitung genetischer Daten im Rahmen des Gesetzes

Gemäß Artikel 6 des Gesetzes ist die Verarbeitung genetischer Daten auf die in den Gesetzen genannten Fälle beschränkt und ohne die ausdrückliche Zustimmung der betroffenen Personen möglich.

Darüber hinaus gilt, dass die Verarbeitung genetischer Daten nur aus gesundheitlichen Gründen erfolgen darf, wobei gemäß Absatz 3 des genannten Artikels die Verarbeitung von Daten über Gesundheit und Sexualleben nur zum Schutz der öffentlichen Gesundheit, zur Durchführung von Vorsorge-, Diagnose-, Behandlungs- und Pflegeleistungen sowie die Planung und Verwaltung von Gesundheitsdienstleistungen und deren Finanzierung, genetische Daten zwar weiterhin als solche gelten, jedoch den Bedingungen für die Verarbeitung personenbezogener Gesundheitsdaten unterliegen und nur von Personen oder autorisierten Institutionen oder Organisationen verarbeitet werden dürfen, die der Geheimhaltungspflicht unterliegen.

Auch wenn genetische Daten im Sinne der Definition des Gesetzes getrennt von Daten über Gesundheit oder Sexualleben behandelt werden, wird in den Leitlinien darauf hingewiesen, dass die Verarbeitung genetischer Daten nur aus gesundheitlichen Gründen im Sinne von Artikel 6/3 des Gesetzes erfolgen darf, wobei in einigen Fällen auch auf die Verordnung über personenbezogene Gesundheitsdaten Bezug genommen wird, was eine sehr wichtige Feststellung ist. In diesem Zusammenhang können genetische Daten im Gegensatz zu Gesundheitsdaten in den gesetzlich ausdrücklich vorgesehenen Fällen ohne Einholung der ausdrücklichen Zustimmung der betroffenen Personen verarbeitet werden, aber auch je nach Art des Verfahrens als Gesundheitsdaten eingestuft werden und somit den Bedingungen für die Verarbeitung von Gesundheitsdaten unterliegen.

Übermittlung genetischer Daten ins Ausland

Im Rahmen von Artikel 9 des Gesetzes müssen für die Übermittlung genetischer Daten ins Ausland entweder die ausdrückliche Zustimmung der betroffenen Personen eingeholt werden oder, wenn die Verarbeitung personenbezogener Daten gemäß Artikel 6 des Gesetzes gesetzlich vorgesehen ist, die in Artikel 9/2-a und b des Gesetzes genannten Bedingungen erfüllt sein, wobei die Bestimmungen anderer Gesetze unberührt bleiben.

Ausnahmen gemäß Artikel 28 des Gesetzes

Artikel 28 des Gesetzes mit dem Titel „Ausnahmen” regelt die Fälle, in denen das Gesetz keine Anwendung findet, und Absatz (c) des betreffenden Artikels enthält die Bestimmung „Verarbeitung personenbezogener Daten … zu wissenschaftlichen Zwecken …”. In diesem Zusammenhang muss die Verarbeitung genetischer Daten den folgenden Kriterien entsprechen:

• Die Zusammenführung einer Vielzahl individueller genetischer Merkmale verschiedener Personen und deren Umwandlung in kumulative Variantenfrequenzlisten, sodass sie nicht mehr mit einer bestimmten Person in Verbindung gebracht werden können.
• Die Verarbeitung genetischer Daten muss als letztes Mittel erforderlich sein, um das erwartete Ergebnis der wissenschaftlichen Forschung zu erzielen.
• Es müssen die erforderlichen Sicherheitsmaßnahmen getroffen werden, und die Verarbeitung personenbezogener Daten muss im Einklang mit den Grundsätzen der Zweckbindung, der Beschränkung und der Verhältnismäßigkeit erfolgen.
• Die Notwendigkeit der weiteren Aufbewahrung der verwendeten personenbezogenen Daten muss sorgfältig geprüft werden, und wenn man zu dem Schluss kommt, dass die betreffenden Daten nicht weiter aufbewahrt werden müssen, müssen die erforderlichen Mechanismen für die Vernichtung der Daten gemäß der Richtlinie zur Aufbewahrung und Vernichtung personenbezogener Daten bereitgestellt werden.

1. VERPFLICHTUNGEN DER DATENVERANTWORTLICHEN

Informationspflicht

Gemäß der Bekanntmachung über die Einhaltung der gesetzlichen Bestimmungen und der Informationspflicht („Bekanntmachung“) sind die Datenverantwortlichen oder die von ihnen bevollmächtigten Personen verpflichtet, die betroffenen Personen bei der Erhebung personenbezogener Daten zu informieren.

Der Leitfaden enthält neben den Mindestangaben, die gemäß Artikel 4 der Bekanntmachung in der Information enthalten sein müssen (Identität des Datenverantwortlichen und gegebenenfalls seines Vertreters, Zweck der Verarbeitung personenbezogener Daten, an wen und zu welchem Zweck personenbezogene Daten weitergegeben werden dürfen, Methode der Erhebung personenbezogener Daten, Rechtsgrundlage und Rechte der betroffenen Personen), die Bedeutung genetischer Daten und die möglichen Folgen einer Verletzung dieser Daten zusätzlich angegeben werden müssen.

Darüber hinaus wurde festgestellt, dass die Informationspflicht der für die Datenverarbeitung Verantwortlichen oder der Datenverarbeiter aufgrund der Tatsache, dass genetische Daten auch Informationen über die Familie der betroffenen Person enthalten, erweitert werden muss und dass den betroffenen Personen, deren genetische Daten verarbeitet werden, eine Vorabberatung angeboten werden muss, damit sie die Gründe, Ergebnisse und möglichen Risiken der Datenverarbeitung verstehen können. Daher muss klargestellt werden, dass die Verarbeitung genetischer Daten nicht nur der betroffenen Person selbst, sondern auch anderen Familienmitgliedern Zugang zu den Daten verschaffen kann.

Gemäß dem Gesetz sind die für die Aufklärung der betroffenen Personen verantwortlichen Personen die für die Datenverarbeitung Verantwortlichen, während die Datenverarbeiter verpflichtet sind, die ihnen übermittelten personenbezogenen Daten nicht an Dritte weiterzugeben und nicht für andere Zwecke als die Verarbeitung zu verwenden. Darüber hinaus sieht der Leitfaden vor, dass neben den für die Verarbeitung der genetischen Daten Verantwortlichen auch die Datenverarbeiter eine vorherige Beratungspflicht haben. Angesichts des Anwendungsbereichs genetischer Daten wird die Ausweitung des Umfangs der Informationspflicht und der auferlegten Verpflichtungen als durchaus angemessen im Sinne des Zwecks der Datenschutzgesetzgebung angesehen. Es ist jedoch fraglich, ob die Information der von der Verarbeitung genetischer Daten betroffenen Personen darüber, dass auch Familienangehörige Zugang zu den Daten erhalten können, demselben Zweck dient. Da die Verarbeitung genetischer Daten dazu führen kann, dass auch Daten über Familienangehörige/Verwandte der betroffenen Person vorliegen, wodurch diese ebenfalls zu betroffenen Personen werden können, erscheint es zwar ideal, alle betroffenen Personen, einschließlich der Familienangehörigen, über die Verarbeitung ihrer genetischen Daten zu informieren, doch wirft dies Fragen hinsichtlich der Durchführbarkeit auf.

Pflicht zur Eintragung in das Register der Datenverantwortlichen

Gemäß Artikel 16 des Gesetzes sind Datenverantwortliche, die die Kriterien der Entscheidung Nr. 2023/1154 vom 06.07.2023 erfüllen, verpflichtet, sich vor Beginn ihrer Datenverarbeitungsaktivitäten in das Register der Datenverantwortlichen eintragen zu lassen.

Darüber hinaus sind Datenverantwortliche, deren Haupttätigkeit die Verarbeitung besonderer personenbezogener Daten ist, ausnahmslos verpflichtet, sich in das Register der Datenverantwortlichen eintragen zu lassen.

Sicherheit genetischer Daten

Die Sicherheit genetischer Daten ist aufgrund der Art der Daten für Datenverantwortliche von großer Bedeutung. Da genetische Daten als personenbezogene Daten besonderer Art gelten, ist bei der sicheren Verarbeitung und Speicherung der Daten sowie bei der Ergreifung der erforderlichen Maßnahmen besondere Sorgfalt geboten. In diesem Zusammenhang ist insbesondere die vom Ausschuss für den Schutz personenbezogener Daten („Ausschuss“) am 31.01.2016 veröffentlichte Richtlinie Nr. 2018/10 mit dem Titel „Von den für die Verarbeitung Verantwortlichen zu treffende ausreichende Maßnahmen bei der Verarbeitung besonderer Kategorien personenbezogener Daten“ zu beachten.

Es wird dringend empfohlen, dass die für die Datenverarbeitung Verantwortlichen zusätzlich zu den in den genannten Rechtsvorschriften und Leitfäden enthaltenen Maßnahmen zum Schutz personenbezogener Daten auch die unten aufgeführten Maßnahmen zur Verarbeitung genetischer Daten ergreifen.

IM RAHMEN DER VERARBEITUNG GENETISCHER DATEN

SICHERHEITSMASSNAHMEN

VERWALTUNGSTECHNISCHE MASSNAHMEN

TECHNISCHE MASSNAHMEN

Die Sicherheit personenbezogener Daten und insbesondere die Vertraulichkeit genetischer Daten müssen bereits in der Entwurfsphase berücksichtigt werden, sodass alle Mechanismen auf dieser Grundlage vorgesehen und vorbereitet werden. Die Einrichtung und Verwaltung muss nach dem Grundsatz „Privacy by Design” (Privacy by Design) erfolgen. Auch wenn es sich hierbei um einen Begriff handelt, der derzeit in unserer Gesetzgebung nicht vorhanden ist, wurde festgestellt, dass die Datenverantwortlichen ihre Verpflichtung zur Ergreifung technischer und administrativer Maßnahmen leichter und erfolgreicher erfüllen können, wenn sie sich an diesen Grundsatz halten.

Es ist vorzuziehen, genetische Daten nicht in Cloud-Systemen zu speichern. Wenn jedoch die in Geräten zur Verarbeitung genetischer Daten enthaltenen Rohdaten in Analyseprogrammen verarbeitet werden müssen, um analysierbar zu sein, und eine Verbindung zum Server, auf dem sich das Analyseprogramm befindet, erforderlich ist, sollten die in der Cloud gespeicherten genetischen Daten detailliert protokolliert außerhalb der Cloud gesichert werden, und für den Fernzugriff auf die in der Cloud gespeicherten genetischen Daten sollte eine zweistufige Identitätsprüfung durchgeführt werden. Genetische Daten sollten mit kryptografischen Methoden verschlüsselt werden, die dem aktuellen Stand der Technik entsprechen und ausreichende Sicherheit bieten. Der Zugriff auf kryptografische Schlüssel sollte auf autorisiertes zugelassenes (Kryptosicherheitszertifikat) Personal beschränkt sein.

Der für die Datenverarbeitung Verantwortliche muss durch interne stichprobenartige und regelmäßige Kontrollen sowie Risikoanalysen im Zusammenhang mit der Verarbeitung genetischer Daten kontinuierlich die Bereitschaft für den Fall einer möglichen Datenverletzung messen und überwachen.

Die für die Verarbeitung genetischer Daten Verantwortlichen müssen eine Datenschutz-Folgenabschätzung hinsichtlich der Art der Daten und der möglichen Risiken der Datenverarbeitung für die betroffene Person durchführen.

Bei der Übergabe von Geräten an autorisierte Unternehmen zur Wartung, Reparatur usw. oder bei der Rückgabe von gemieteten Geräten an die entsprechenden Unternehmen müssen die auf den Geräten befindlichen Datenspeichereinheiten entfernt oder alle Daten auf einer Festplatte an das Labor übergeben werden, und es muss eine schriftliche Verpflichtungserklärung des Unternehmens eingeholt werden, dass sich keine Daten auf den Geräten oder Servern des Unternehmens befinden.

Es muss ein Verzeichnis der Verarbeitung personenbezogener Daten erstellt und eine Meldung an das Register der für die Datenverarbeitung Verantwortlichen (VERBİS) erfolgen.

Wenn der Datenverantwortliche bei der Verarbeitung genetischer Daten einen Datenverarbeiter für einen bestimmten Zweck auswählt, müssen in den Dienstleistungsverträgen mit den Datenverarbeitern die erforderlichen Sicherheitsmaßnahmen festgelegt werden, und es müssen in bestimmten Abständen Kontrollen durchgeführt oder veranlasst werden, um sicherzustellen, dass der ausgewählte Datenverarbeiter die erforderlichen technischen und administrativen Maßnahmen getroffen hat.

Die für die Datenverarbeitung Verantwortlichen müssen die Benutzeraktivitäten auf der Software zur Verarbeitung genetischer Daten überwachen und einschränken können. Alle Aktivitäten, die auf dem Programm/System zur Verarbeitung genetischer Daten durchgeführt werden, müssen in einem separaten System regelmäßig protokolliert und sicher gespeichert werden. Es ist darauf zu achten, dass die für das Protokollierungssystem verantwortliche Person und die für andere Systeme verantwortlichen Personen nicht identisch sind.

Genetische Daten müssen so aufbewahrt werden, dass sie nur von befugten, in diesem Bereich geschulten und einer Vertraulichkeitsvereinbarung unterliegenden Mitarbeitern zugänglich sind.

Die Hardware und Software von Systemen, die genetische Daten verarbeiten, müssen regelmäßig Sicherheitstests unterzogen werden. Änderungen an den Systemen dürfen erst nach Durchführung der erforderlichen Sicherheitstests in Betrieb genommen werden.

Es müssen separate Verarbeitungsrichtlinien, Notfallverfahren und Berichtsmechanismen für die Verarbeitung genetischer Daten erstellt werden. Genetische Daten in elektronischer Form müssen regelmäßig mit einem sicheren Backup-System gesichert werden. Die Datensätze müssen unbedingt außerhalb des Netzwerks aufbewahrt werden.

Die für die Daten verantwortlichen Personen müssen im System zertifizierte Geräte, lizenzierte und aktuelle Software verwenden, ein Patch-Management sicherstellen, nach Möglichkeit Open-Source-Software bevorzugen und die erforderlichen Aktualisierungen des Systems rechtzeitig vornehmen.

Vor Datenverarbeitungsaktivitäten, die die Verarbeitung genetischer Daten umfassen, müssen die betroffenen Personen gemäß Artikel 10 des Gesetzes und den Bestimmungen der Bekanntmachung durch detaillierte Informationsschriften umfassend informiert werden und gegebenenfalls muss die ausdrückliche Zustimmung der betroffenen Person eingeholt werden. Es ist zu beachten, dass die genetischen Daten der betroffenen Personen nur für die Verarbeitung personenbezogener Daten verwendet werden dürfen, für die eine ausdrückliche Einwilligung eingeholt wurde, und dass bei einer Verwendung dieser Daten für andere Zwecke als die Erhebung erneut eine Aufklärung der betroffenen Person erforderlich ist, um deren ausdrückliche Einwilligung einzuholen.

Vor der Einrichtung des Systems und nach jeder Änderung sollten die für die Datenverarbeitung Verantwortlichen das System nach Möglichkeit in Testumgebungen mit synthetischen (nicht realen) Daten testen. Die für die Datenverarbeitung Verantwortlichen sollten Maßnahmen ergreifen, die den Systemadministrator bei unbefugten Zugriffsversuchen und trotz aller erforderlichen Sicherheitsvorkehrungen benachrichtigen und/oder die genetischen Daten schützen und melden.

Es wird davon ausgegangen, dass die Maßnahmen im Rahmen der Allgemeinen Verordnung über Informations- und Kommunikationssicherheitsmaßnahmen Nr. 2019/12 und des unter der Koordination des Büros für digitale Transformation der Präsidentschaft erstellten Leitfadens für Informations- und Kommunikationssicherheit einzuhalten sind.

Die Einhaltung aller oben genannten Grundsätze und Kriterien muss vom Datenverantwortlichen aufgezeichnet, dokumentiert und der Öffentlichkeit bekannt gegeben werden.

EMPFEHLUNGEN UND RATSCHLÄGE

Die Verarbeitung genetischer Daten ist aufgrund der Art der dabei gewonnenen Informationen äußerst sensibel und kann nationale strategische Konsequenzen haben, die sich auf die gesamte Gesellschaft auswirken können. Daher ist es wichtig, die Verarbeitung genetischer Daten an bestimmte Regeln und Verfahren zu binden und gleichzeitig das Bewusstsein in der Gesellschaft zu schärfen. Denn die Verarbeitung der genetischen Daten der betroffenen Personen kann nicht nur sie selbst, sondern auch ihre genetisch verwandten Angehörigen, zukünftige Generationen und sogar die nationale Sicherheit und Wirtschaft beeinflussen.

Unter Berücksichtigung der Tatsache, dass insbesondere in Bereichen wie Gesundheit, Landwirtschaft und Bioenergie mit hoher Effizienz wirtschaftliche Ergebnisse erzielt werden können und dass der Wirtschaftssektor genetische Daten als wichtigsten wirtschaftlichen Input nutzt, enthält der Leitfaden eine Reihe von Empfehlungen und Maßnahmen, die vom Ausschuss auf nationaler Ebene ergriffen werden können, um das Risiko von Datenverstößen zu bewältigen:

• Da die Verarbeitungszwecke genetischer Daten unterschiedlich sind, kann es sinnvoll sein, die Verfahren und Regeln entsprechend den Verarbeitungszwecken zu behandeln. Beispielsweise wird gemäß Artikel 25/2 der Verordnung davon ausgegangen, dass Proben, die ins Ausland versandt werden, einer detaillierteren Regelung gemäß Artikel 4 und 9 des Gesetzes unterliegen können.
• Angesichts der Notwendigkeit, Tests oder Untersuchungen, die genetische Daten enthalten, im Ausland durchzuführen, müssen für wissenschaftliche Forschungs- oder Untersuchungszwecke verarbeitete genetische Daten gemäß der „Internationalen Erklärung über menschliche genetische Daten” der UNESCO-Generalkonferenz vom 16. Oktober 2003 vertraulich behandelt und die erforderlichen Maßnahmen getroffen werden, um zu verhindern, dass die erhobenen genetischen Daten für andere Zwecke als die, für die sie erhoben wurden, verwendet werden.
• Um zu vermeiden, dass Tests mit genetischen Daten möglichst nicht ins Ausland geschickt werden, können nationale Labore unterstützt, die erforderlichen medizinischen Geräte aus heimischer Produktion beschafft und die Fachkräfte in diesem Bereich gestärkt werden.
• Für die Speicherung genetischer Daten im Inland können die erforderlichen Verwaltungsvorschriften erlassen und die dafür erforderlichen lokalen, nationalen und akkreditierten IT-Infrastrukturmaßnahmen unterstützt werden.
• Für wissenschaftliche Zwecke kann die Entwicklung einer nationalen Gen-Datenbank und die Einrichtung eines Gen-Datenzentrums gefördert werden.
• Bei der Verarbeitung genetischer Daten, einschließlich der in diesem Bereich durchgeführten Forschungen und Arbeiten, kann die Entwicklung von Praktiken der Transparenz, Offenheit und Rechenschaftspflicht gefördert werden.
• Organisationen, die Forschungs- oder Testaktivitäten durchführen, die die Verarbeitung genetischer Daten erfordern, müssen den betroffenen Personen über die von ihnen erhobenen personenbezogenen Daten zu informieren und die Bearbeitung von Anfragen der betroffenen Personen zu gewährleisten, indem sie über eine Abteilung verfügen, deren Mitarbeiter über die erforderliche Ausbildung im Bereich des Schutzes personenbezogener Daten verfügen, oder indem sie diese Aufgabe durch Mitarbeiter der Gesundheitseinrichtungen wahrnehmen lassen, die ebenfalls über die erforderliche Ausbildung im Bereich des Schutzes personenbezogener Daten verfügen, und zwar durch die „Abteilung für Patientenrechte”.
• Durch die Aufklärung der betroffenen Personen über die möglichen Folgen einer Übermittlung ihrer genetischen Daten ins Ausland kann das gesellschaftliche Bewusstsein durch öffentliche Spots, Versammlungen und ähnliche Maßnahmen geschärft und so eine Verringerung der Zahl der Personen erreicht werden, die ihre genetischen Daten ins Ausland übermitteln.

1. GRC LEGAL KOMMENTAR

Die Verarbeitung und der Schutz genetischer Daten sind sowohl für die Privatsphäre des Einzelnen als auch für die nationale Sicherheit und wirtschaftliche Interessen von großer Bedeutung. In diesem Sinne sollte die Verarbeitung und Speicherung genetischer Daten nicht nur im Rahmen der Datenschutzgesetzgebung, sondern auch im Rahmen der Gesetzgebung zu genetischen Daten ganzheitlich betrachtet werden. Darüber hinaus müssen die in diesem Leitfaden genannten technischen und administrativen Maßnahmen von den für die Datenverarbeitung Verantwortlichen berücksichtigt und die gesetzlichen Verpflichtungen eingehalten werden.

Dieser Leitfaden, der speziell für genetische Daten veröffentlicht wurde, die aufgrund ihrer Beschaffenheit ein hohes Schutzniveau erfordern, enthält nicht nur die in unseren Rechtsvorschriften enthaltenen Regelungen, sondern sondern auch die in der DSGVO festgelegten Konzepte der Datenschutz-Folgenabschätzung und des datenschutzorientierten Designs enthält. Damit unterstützt er die Angleichung des türkischen Rechts an die Rechtsvorschriften der Europäischen Union und bietet in dieser Zeit, in der das Bewusstsein für personenbezogene Daten wächst, viele wegweisende Orientierungshilfen.

[1] In Artikel 24 Absatz 4 der Verordnung über Zentren zur Bewertung genetischer Erkrankungen mit dem Titel „Registrierungssystem” heißt es: „Berichte und Aufzeichnungen werden mindestens dreißig Jahre, elektronische Aufzeichnungen zusammen mit Sicherungskopien, Proben und Objektträger unter geeigneten Bedingungen, die eine Beschädigung verhindern, mindestens zwei Jahre lang aufbewahrt.”