Удаление, уничтожение и обезличивание персональных данных в Турции

Что происходит с персональными данными в вашей компании после того, как заканчивается договор с клиентом, увольняется сотрудник или отзывается согласие на маркетинг? Турецкий закон о защите персональных данных (KVKK, Закон № 6698) не допускает бессрочного хранения. Как только исчезают основания, требовавшие обработки, оператор обязан удалить, уничтожить или обезличить эти данные. Эта обязанность вытекает из статьи 7 KVKK и из специально принятого «Положения об удалении, уничтожении или обезличивании персональных данных» (Официальная газета от 28.10.2017). В этом руководстве разъясняются различия между тремя методами утилизации, требование о политике хранения и уничтожения, а также сроки, которые должны соблюдать компании.

Когда возникает обязанность по утилизации?

Статья 7(1) KVKK однозначна: даже если данные обрабатывались правомерно, как только исчезают основания, требовавшие их обработки, оператор обязан удалить, уничтожить или обезличить их — либо по собственной инициативе, либо по требованию субъекта данных. Положение конкретизирует это как исчезновение всех условий обработки, предусмотренных статьями 5 и 6 закона. Эти условия обычно отпадают, когда:

• цель обработки данных достигнута или отпала,
• отозвано явное согласие, на котором основывалась обработка,
• истёк максимальный срок хранения, установленный соответствующим законодательством,
• данные больше не нужны в связи с прекращением договора.

Обязанности по хранению, предусмотренные другими законами (например, минимальные сроки хранения в налоговом или торговом законодательстве), сохраняются; до истечения этих сроков утилизация не допускается.

Три метода и их различия

Положение использует термин «утилизация» (imha) как общее понятие, охватывающее три самостоятельные операции, каждая из которых определена отдельно:

• Удаление (ст. 8): приведение персональных данных в состояние, при котором они никоим образом недоступны и не могут быть повторно использованы соответствующими пользователями. Технически данные могут ещё некоторое время оставаться в системе; главное — что пользователи, уполномоченные на обработку, больше не имеют к ним доступа.
• Уничтожение (ст. 9): приведение данных в состояние, при котором они никоим образом недоступны, невосстановимы и не могут быть повторно использованы никем. Сюда относятся уничтожение бумажных документов или необратимое разрушение магнитных носителей.
• Обезличивание (ст. 10): приведение данных в состояние, при котором их даже при сопоставлении с другими данными невозможно связать с определённым или определяемым физическим лицом. Надлежаще обезличенные данные перестают быть персональными, поэтому этот метод предпочтителен для статистики и аналитики.

Политика хранения и уничтожения персональных данных

Статья 5 Положения обязывает операторов, которые должны регистрироваться в Реестре операторов (VERBİS), разработать Политику хранения и уничтожения персональных данных. Как минимум она должна охватывать (ст. 6):

• носители записи и правовые или технические причины для хранения,
• принятые технические и организационные меры,
• должности и обязанности лиц, участвующих в хранении и уничтожении,
• таблицу сроков хранения и уничтожения,
• сроки периодического уничтожения.

Важный момент: наличие политики само по себе не означает, что данные действительно были уничтожены правомерно (ст. 5(2)). Более того, обязанность по удалению, уничтожению и обезличиванию сохраняется и у оператора, который не обязан разрабатывать политику (ст. 5(3)).

Периодическое уничтожение и сроки

Сроки различаются в зависимости от того, есть ли у оператора политика:

• Оператор с политикой утилизирует данные при первом периодическом уничтожении после даты возникновения обязанности. Интервал устанавливается в политике, но ни в коем случае не может превышать шесть месяцев (ст. 11(2)) — то есть периодическое уничтожение должно проводиться не реже одного раза в шесть месяцев.
• Оператор без обязанности иметь политику проводит утилизацию в течение трёх месяцев с даты возникновения обязанности (ст. 11(3)).
• Если утилизация проводится по требованию субъекта данных и все условия обработки отпали, требование должно быть исполнено в течение тридцати дней (ст. 12).

Совет может сократить эти сроки, если существует угроза трудновозместимого или невозместимого вреда и налицо явная противоправность (ст. 11(4)).

Документирование соответствия

Положение требует не только утилизировать данные, но и документировать это. Все операции по удалению, уничтожению и обезличиванию подлежат регистрации, а эти записи должны храниться — без ущерба для иных правовых обязанностей — не менее трёх лет (ст. 7(3)). Оператор также обязан раскрывать применяемые методы в своих политиках и процедурах. На практике компаниям рекомендуется:

1. Составить реестр операций обработки персональных данных и установить максимальный срок хранения для каждой категории данных.
2. Разработать политику хранения и уничтожения и установить интервал периодического уничтожения (не более шести месяцев).
3. Оформлять каждую операцию утилизации протоколом и хранить его не менее трёх лет.
4. Обрабатывать требования субъектов данных в течение тридцатидневного срока.
5. Регулярно пересматривать и обновлять политику и реестр.

Часто задаваемые вопросы

В чём разница между удалением и уничтожением? При удалении данные становятся недоступными для соответствующих пользователей, уполномоченных на обработку, но технически могут ещё некоторое время оставаться в системе. При уничтожении данные устраняются так, что никто не может восстановить их никакими средствами.

Обязана ли каждая компания разрабатывать политику хранения и уничтожения? Нет. Эта обязанность распространяется на операторов, которые должны регистрироваться в VERBİS. Однако компании, не обязанные разрабатывать политику, всё равно должны утилизировать данные по истечении срока их хранения.

Не позднее какого срока должно проводиться периодическое уничтожение? Интервал свободно устанавливается в политике, но ни в коем случае не может превышать шесть месяцев. Поэтому оператор, имеющий политику, обязан проводить периодическое уничтожение не реже одного раза в шесть месяцев.

Подпадают ли обезличенные данные под действие KVKK? Надлежаще обезличенные данные больше не могут быть связаны с конкретным лицом и тем самым утрачивают статус персональных данных, выходя за рамки KVKK. Однако если личность всё же можно установить путём сопоставления, обезличивание считается недействительным.

Как может помочь Mona Hukuk

В Mona Hukuk мы помогаем компаниям составлять реестры персональных данных, разрабатывать политики хранения и уничтожения, выстраивать процессы периодического уничтожения и документировать операции утилизации в соответствии с законом. Благодаря нашему опыту в области IT-права и права в сфере ИИ мы обеспечиваем полное соответствие вашей компании обязанностям KVKK по утилизации данных.

Для консультации в Анталье вы можете написать на contact@monahukuk.com или позвонить по номеру +90 (242) 606 14 32.