Arcanus Hotels Sorgun
Политика защиты персональных данных
Уведомление об обработке данных для физических лиц, пользующихся доступом в интернет
ARCANUS SORGUN HOTELS
ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
(ПОЛИТИКА KVKK)
СОДЕРЖАНИЕ
1. ЦЕЛЬ
2. СФЕРА ПРИМЕНЕНИЯ
3. ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ
4. РОЛИ И ОТВЕТСТВЕННОСТЬ
5. ОСНОВНЫЕ ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
6. ПРАВОВЫЕ УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
7. УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ ОСОБОЙ КАТЕГОРИИ
8. УДАЛЕНИЕ, УНИЧТОЖЕНИЕ ИЛИ ОБЕЗЛИЧИВАНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
9. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ
10. ОБЯЗАННОСТИ ОПЕРАТОРА В ОТНОШЕНИИ БЕЗОПАСНОСТИ ДАННЫХ
11. ОБЯЗАННОСТЬ ОПЕРАТОРА ПО ИНФОРМИРОВАНИЮ
12. ОБЯЗАННОСТЬ ОТВЕЧАТЬ НА ОБРАЩЕНИЯ СУБЪЕКТОВ ДАННЫХ И ИСПОЛНЯТЬ РЕШЕНИЯ
13. ОБЯЗАННОСТЬ РЕГИСТРАЦИИ В РЕЕСТРЕ ОПЕРАТОРОВ
14. ОБЯЗАННОСТЬ УВЕДОМЛЕНИЯ
15. ПРАВА СУБЪЕКТА ДАННЫХ
16. ПОРЯДОК ЗАЩИТЫ ПРАВ СУБЪЕКТА ДАННЫХ
17. ОБНОВЛЕНИЕ
18. ВСТУПЛЕНИЕ В СИЛУ И ОТМЕНА
1. ЦЕЛЬ
Целью настоящей политики является определение — в рамках правил, предусмотренных национальными и международными правовыми нормами, прежде всего Законом о защите персональных данных (Закон KVK), — обязательств, обязанностей и ответственности ОПЕРАТОРА, обрабатывающего персональные данные, а также всех частных и государственных учреждений и организаций, физических и юридических лиц, вступающих с ОПЕРАТОРОМ в правовые, коммерческие и финансовые отношения, равно как и процессуальных и материальных правил и политик, подлежащих соблюдению, в целях защиты основных прав и свобод лиц, и прежде всего неприкосновенности частной жизни, при обработке персональных данных субъектов данных.
2. СФЕРА ПРИМЕНЕНИЯ
Настоящая политика применяется в рамках национальных и международных законов, уставов, положений, циркуляров, решений регулирующих и надзорных учреждений и организаций, директив, международных соглашений и договоров, и прежде всего Закона KVK, а также в рамках всех правовых, коммерческих и финансовых договоров и приложений к ним, заключённых или подлежащих заключению со всеми лицами, учреждениями и организациями — официальными, физическими или юридическими, — которые находятся с ОПЕРАТОРОМ в коммуникации, взаимодействии, сотрудничестве или отношениях партнёрства под любым наименованием, а также с партнёрами, клиентами, работниками и поставщиками ОПЕРАТОРА, — к физическим лицам, чьи персональные данные обрабатываются, и к ОПЕРАТОРУ, который обрабатывает такие данные полностью или частично автоматизированными либо неавтоматизированными средствами при условии, что они являются частью системы хранения данных.
3. ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ
В настоящей политике:
Конвенция № 108 — Конвенция о защите физических лиц при автоматизированной обработке персональных данных, подготовленная и подписанная Советом Европы и вступившая в силу 01.10.1985;
Директива 95/46/EC — Директива Европейского парламента и Совета о защите физических лиц при обработке персональных данных и о свободном обращении таких данных, принятая в 1995 году;
Явное согласие — согласие по конкретному вопросу, основанное на информировании и выраженное по свободной воле;
ЕКПЧ — Европейская конвенция по правам человека, подготовленная Советом Европы и вступившая в силу 03.09.1953;
Группа получателей — категория физических или юридических лиц, которым ОПЕРАТОР передаёт персональные данные;
Обезличивание — приведение персональных данных в состояние, при котором они никоим образом не могут быть соотнесены с определённым или определяемым физическим лицом даже путём сопоставления с другими данными;
Сообщение о порядке исполнения обязанности по информированию — «Сообщение о процедурах и принципах, подлежащих соблюдению при исполнении обязанности по информированию», опубликованное Управлением по защите персональных данных в Официальной газете от 10.03.2018;
Закон о праве на обращение — Закон об осуществлении права на обращение;
Взаимодействие и коммуникация — любые отношения ОПЕРАТОРА, письменные или устные, дистанционные или очные, порождающие ответственность и обязательства в правовом, коммерческом, финансовом, договорном и ином отношении;
GDPR — Регламент (ЕС) 2016/679, Общий регламент Европейского союза по защите данных, отменивший Директиву 95/46/EC 25.05.2018;
Субъект данных — физическое лицо, которому принадлежат данные и чьи персональные данные обрабатываются оператором;
Контактное лицо — физическое лицо, указываемое при регистрации в Реестре в целях обеспечения связи с Управлением по вопросам обязанностей, предусмотренных Законом и принимаемыми на его основе подзаконными актами, — оператором для физических и юридических лиц, зарегистрированных в Турции, и представителем оператора для лиц, не зарегистрированных в Турции, — и не обладающее полномочиями представлять оператора;
Персональные данные — любая информация, относящаяся к определённому или определяемому физическому лицу;
Оператор персональных данных — в настоящей политике компании в составе ARCANUS SORGUN HOTELS (ASBETON İNŞAAT TAAH GIDA TUR.SAN. VE TİC.A.Ş.), находящиеся в Турции и за её пределами, а также руководство и управление компанией; лицо и гостиничная группа, именуемые в тексте настоящей политики ARCANUS SORGUN HOTELS;
Обработка персональных данных — любая операция с данными, такая как получение, запись, хранение, сохранение, изменение, переработка, раскрытие, передача, принятие, обеспечение доступности, классификация или блокирование использования персональных данных, осуществляемая полностью или частично автоматизированными либо неавтоматизированными средствами при условии, что они являются частью системы хранения данных;
Реестр обработки персональных данных — реестр, в котором операторы подробно описывают осуществляемые ими в зависимости от бизнес-процессов действия по обработке персональных данных, соотнося их с целями и правовыми основаниями обработки, категорией данных, группой получателей и группой субъектов данных, и в котором разъясняются максимальные сроки хранения, необходимые для целей обработки, персональные данные, предполагаемые к передаче за рубеж, и принятые меры по обеспечению безопасности данных;
KVKK — Управление по защите персональных данных;
Закон KVK — Закон № 6698 о защите персональных данных, принятый 24.03.2016 и опубликованный в Официальной газете № 29677 от 07.04.2016;
Совет KVK — уполномоченный совет при Управлении по защите персональных данных;
Политика KVK — настоящая Политика защиты персональных данных, принятая и реализуемая ОПЕРАТОРОМ;
Политика ХУПД — Политика хранения и уничтожения персональных данных, подготовленная в рамках Положения об удалении, уничтожении или обезличивании персональных данных;
Положение об удалении — Положение об удалении, уничтожении или обезличивании персональных данных, изданное на основании Закона KVK;
Положение о передаче за рубеж — Положение о процедурах и принципах передачи персональных данных за рубеж;
Автоматизированная обработка — обработка персональных данных, осуществляемая взаимосвязанной и интерактивной электрической или электронной системой, сводящей к минимуму необходимость вмешательства или помощи человека;
Неавтоматизированная обработка — обработка персональных данных, осуществляемая вручную, то есть при вмешательстве или помощи человека;
Персональные данные особой категории — данные о расе, этническом происхождении, политических взглядах, философских убеждениях, религии, конфессии или иных убеждениях, внешнем виде и одежде, членстве в объединении, фонде или профсоюзе, здоровье, половой жизни, судимости и мерах безопасности, а также биометрические и генетические данные (в Законе такие данные определены исчерпывающим перечнем и не могут быть расширены по аналогии);
Краткий текст — тексты, документы и указания, заменяющие подготовленные ОПЕРАТОРОМ подробные тексты, книги и брошюры и содержащие их краткое изложение с той же служебной функцией, целью и назначением;
Периодическое уничтожение — операция удаления, уничтожения или обезличивания, осуществляемая по собственной инициативе через повторяющиеся промежутки времени, указанные в политике хранения и уничтожения персональных данных, в случае отпадения всех предусмотренных Законом условий обработки персональных данных;
ОГ — Официальная газета;
Реестр — реестр операторов, ведущийся Председательством Управления по защите персональных данных;
Удаление — операция, в результате которой персональные данные становятся недоступными и непригодными к повторному использованию для соответствующих пользователей;
УК — Уголовный кодекс Турции № 5237;
ГК — Гражданский кодекс Турции № 4721;
VERBİS — информационная система, известная как информационная система реестра операторов, созданная и управляемая Председательством Управления по защите персональных данных, доступная через интернет и используемая операторами при подаче заявления в Реестр и совершении иных связанных с Реестром действий;
Передающий данные — физическое или юридическое лицо, передающее персональные данные из своей системы другому оператору;
Получатель данных — физическое или юридическое лицо, в систему которого персональные данные передаются другим оператором;
Реестр данных — реестр, также именуемый реестром обработки персональных данных, в котором ОПЕРАТОР подробно описывает осуществляемые им в зависимости от бизнес-процессов действия по обработке персональных данных, соотнося их с целями обработки, категорией данных, группой получателей и группой субъектов данных, и разъясняет максимальный срок, необходимый для целей обработки, персональные данные, предполагаемые к передаче в иностранные государства, и принятые меры по обеспечению безопасности данных;
Обработчик данных — физическое или юридическое лицо, обрабатывающее персональные данные от имени оператора на основании предоставленных им полномочий;
Система хранения данных — система хранения, которая может быть создана в электронной или физической форме и в которой персональные данные обрабатываются структурированно по определённым критериям;
Представитель оператора — зарегистрированное в Турции юридическое лицо или являющееся гражданином Турецкой Республики физическое лицо, наделённое как минимум полномочиями: (a) получать или принимать от имени оператора уведомления и корреспонденцию Управления, (b) передавать оператору запросы Управления и направлять Управлению ответ оператора, (c) при отсутствии иного порядка, установленного Советом, принимать от имени оператора и передавать ему обращения, направляемые субъектами данных оператору в соответствии с частью 1 статьи 13 Закона KVK, (ç) при отсутствии иного порядка, установленного Советом, передавать субъектам данных ответ оператора в соответствии с частью 3 статьи 13 Закона KVK, (d) совершать от имени оператора действия, связанные с Реестром;
Сообщение о порядке обращения к оператору — Сообщение о процедурах и принципах обращения к оператору, изданное Управлением по защите персональных данных и опубликованное в Официальной газете от 10.03.2018;
Положение о реестре операторов — Положение о реестре операторов, изданное на основании Закона KVK;
Решение об адекватности — решение Совета KVK о том, что при наличии определённых условий страна, один или несколько секторов внутри страны либо международная организация обеспечивают достаточный уровень защиты применительно к передаче персональных данных за рубеж;
Уничтожение — операция, в результате которой персональные данные становятся никоим образом недоступными, невосстановимыми и непригодными к повторному использованию для кого бы то ни было.
В отношении терминов и понятий, не включённых в настоящую статью, применяются определения, содержащиеся в соответствующем законодательстве.
4. РОЛИ И ОТВЕТСТВЕННОСТЬ
Совет директоров
Настоящая Политика утверждена Советом директоров ASBETON İNŞAAT TAAH GIDA TUR.SAN. VE TİC.A.Ş. Он является уполномоченным механизмом утверждения, обеспечивающим создание, применение и при необходимости обновление Политики.
Юридическая служба
За подготовку, развитие, исполнение и обновление настоящей Политики отвечает Юридическая служба совместно с Дирекцией по информационным технологиям. Юридическая служба при необходимости оценивает настоящую Политику с точки зрения её актуальности и потребности в доработке.
Дирекция по информационным технологиям
За подготовку, развитие, исполнение и обновление настоящей Политики отвечает Дирекция по информационным технологиям совместно с Юридической службой. Дирекция при необходимости оценивает настоящую Политику с точки зрения её актуальности и потребности в доработке. Публикация подготовленного документа входит в обязанности руководителя отдела информационных технологий.
5. ОСНОВНЫЕ ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Общие положения
ОПЕРАТОР принимает в качестве основных принципов своей Политики защиты персональных данных: обрабатывать любые персональные данные на своих объектах и предприятиях прозрачно, в соответствии с нормами морали, национального и международного права, в рамках правил добросовестности, руководствуясь принципами открытости, доступности и подотчётности; действовать при этом сообразно цели, ограниченно, соразмерно и беспристрастно, в соответствии с объективными критериями; обеспечивать и поддерживать точность, актуальность и целостность персональных данных субъектов, с которыми оператор находится во взаимодействии и коммуникации; защищать и хранить эти персональные данные безопасно, в сроки, соответствующие цели обработки и законодательству, и в актуальных технологических условиях, в рамках коммерческой и профессиональной этики и уважения гарантированных международным и национальным правом основных прав и свобод человека, прежде всего личной тайны и неприкосновенности частной жизни; и по истечении срока, предусмотренного законодательством или необходимого для цели обработки, удалять, уничтожать или обезличивать их.
Правовые принципы
Принцип соответствия закону и правилам добросовестности
В рамках Закона KVK ОПЕРАТОР действует с осознанием того, что соблюдение действующего национального и международного законодательства, а также правила добросовестности, закреплённого в статье 2 Гражданского кодекса Турции, при обработке персональных данных является необходимостью и обязанностью.
В соответствии с принципом добросовестности ОПЕРАТОР признаёт, обязуется и заявляет, что при достижении своих целей обработки данных должны учитываться интересы и разумные ожидания субъектов данных; что он обязан действовать так, чтобы предотвращать наступление последствий, которых субъект данных не ожидает или не может ожидать; и что помимо ясности и понятности действий по обработке он обязан соблюдать обязанности по информированию и предупреждению субъекта данных.
ОПЕРАТОР также признаёт своей обязанностью и ответственностью при соблюдении правил добросовестности осуществлять свои права в отношении обработки персональных данных в соответствии с правилами доверия, так, как этого ожидают от разумного лица, в пределах предоставленного ему права и сообразно его назначению.
Принцип точности и, при необходимости, актуальности
ОПЕРАТОР, проводящий политику уважения права субъекта данных на исправление своих данных, которое защищено также Конституцией и Законом KVK, заявляет, признаёт и обязуется действовать осознанно, тщательно и внимательно в отношении поддержания обрабатываемых им персональных данных в точном и актуальном состоянии, обеспечения их актуальности на каждом этапе обработки и при необходимости, сохранения открытыми каналов, обеспечивающих точность и актуальность сведений о субъекте данных, а также с пониманием того, что причинение субъекту данных материального или морального вреда вследствие неактуальных или неверно хранимых персональных данных влечёт возмещение вреда.
С другой стороны, ОПЕРАТОР полагает, что действие в соответствии с этим принципом необходимо для защиты основных прав и свобод субъекта данных, прежде всего неприкосновенности частной жизни.
Зная и предвидя, что такой подход защищает не только права владельца персональных данных, но и его собственные интересы, ОПЕРАТОР принял за принцип принимать разумные меры в рамках настоящей политики и законодательства — уделяя внимание тому, чтобы источники получения персональных данных были определёнными или определяемыми, а их достоверность и надёжность проверялись и подтверждались, — учитывая при этом обращения, вызванные неточностью персональных данных.
Принцип обработки для определённых, явных и законных целей
В рамках Политики KVK и в соответствии с назначением данного принципа ОПЕРАТОР заявляет и признаёт, что создаст условия, обеспечивающие:
ясную понятность действий по обработке данных для субъекта данных,
возможность легко установить, на каком правовом основании обработки осуществляются действия по обработке данных,
изложение сведений, обеспечивающих определённость действия по обработке данных и цели его осуществления.
В соответствии с этим принципом ОПЕРАТОР заявляет и признаёт в качестве политики, что персональные данные субъекта обрабатываются и будут обрабатываться для определённых, явных и законных целей, соответствующих предусмотренным законом правилам, составляющим основу настоящей политики, связанных с предоставляемыми им работами и услугами и установленных в связи с необходимостью для них.
Также как требование принципа определённости и ясности ОПЕРАТОР принял и признал в качестве Политики KVK, что в правовых действиях, операциях и текстах в отношении лиц, с которыми он находится во взаимодействии и коммуникации и в которых разъясняются цели обработки персональных данных (явное согласие, информационный текст, ответы на обращения субъектов данных, заявление в реестр операторов, договоры и подобные документы), осуществлены надлежащие формулировки; что при их подготовке уделено внимание тому, чтобы не использовать непонятную для всех техническую и юридическую терминологию, и что они поддерживаются в актуальном состоянии; что данные не будут обрабатываться без согласия или разрешения для целей, отличных от заявленных субъекту данных; и что в случае обработки данных в иных целях возникает гражданско-правовая и уголовная ответственность.
Принцип связанности с целями обработки, ограниченности и соразмерности
ОПЕРАТОР действует с осознанием того, что данные лиц, с которыми он находится во взаимодействии и коммуникации, должны быть пригодны для достижения заранее определённых и разъяснённых целей, что следует избегать обработки персональных данных, не связанных с достижением цели или не требующихся для неё, и что обработка данных в целях удовлетворения возможных последующих потребностей недопустима.
Соответственно ОПЕРАТОР рассматривает как требование Политики KVK то, что обработка данных в расчёте на возможные потребности означала бы новое действие по обработке, что в таком случае должно иметься одно из условий обработки персональных данных, предусмотренных статьёй 5 Закона KVK, что обрабатываемые данные будут ограничены только персональными данными, необходимыми для достижения цели, и что обработка данных сверх необходимого для цели составляла бы нарушение принципа ограниченности.
ОПЕРАТОР знает и действует соответственно, что рассматриваемый в настоящей статье принцип соразмерности также означает установление разумного баланса между обработкой данных и преследуемой целью, иными словами, что обработка должна осуществляться в мере, соответствующей цели обработки и совместимой с ней.
Принцип хранения в течение срока, предусмотренного законодательством или необходимого для цели обработки
Как требование «принципа ограниченности целью» — одного из важнейших принципов Политики KVK — ОПЕРАТОР принял и продолжает принимать необходимые правовые и административные меры для хранения персональных данных в течение срока, соответствующего цели их обработки, в рамках положений национального или международного законодательства и с учётом сроков исковой давности и пресекательных сроков; при отсутствии такого установленного законом срока — для хранения их в течение разумного срока, необходимого для цели обработки; и при отсутствии действительного основания для более длительного хранения — для удаления, уничтожения или обезличивания таких данных.
Выполняя требования этого принципа хранения в соответствующие сроки, ОПЕРАТОР одновременно в рамках положения статьи 12 Закона KVK поддерживает надлежащий физический и технологический уровень безопасности в безопасном и актуальном состоянии с целью предотвращения неправомерной обработки персональных данных, предотвращения неправомерного доступа к ним и обеспечения их сохранности.
В указанных в настоящей статье целях и в рамках настоящей политики ОПЕРАТОРОМ созданы политика и принципы хранения и уничтожения персональных данных, определены сроки хранения и необходимые для хранения технические и административные меры, а также внедрены необходимые правовые, административные, физические и технологические меры для обеспечения хранения персональных данных в соответствии с этими принципами.
В соответствии со статьёй 16 Закона KVK при подаче заявления о регистрации в реестре ОПЕРАТОР определяет максимальный срок, необходимый для цели обработки персональных данных, с учётом статьи 9 Положения о реестре операторов, заявляет этот срок и уведомляет реестр о целях обработки заявленных категорий данных и о максимальных сроках хранения, необходимых для их обработки в этих целях, — при этом, поскольку эти сроки могут отличаться от предусмотренных законодательством либо могут действовать сроки исковой давности, за основу хранения принимаются сроки исковой давности или наиболее длительный срок.
Наконец, по истечении установленных и заявленных ОПЕРАТОРОМ сроков хранения — с учётом как сроков, предусмотренных законодательством, которому ОПЕРАТОР подчиняется в силу своих правовых обязанностей, так и сроков исковой давности — персональные данные удаляются, уничтожаются или обезличиваются ОПЕРАТОРОМ.
6. ПРАВОВЫЕ УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Явное согласие
В рамках статьи 5 Закона KVK перед началом обработки данных лиц, с которыми он находится во взаимодействии и коммуникации, ОПЕРАТОР проводит оценку того, может ли он опираться на одно из указанных ниже и предусмотренных законодательством условий обработки; если по результатам такой оценки ни одно из иных условий обработки не имеется, он получает явное согласие субъекта данных.
Именно с этой целью в физических и электронных средах, содержащих данные лиц, с которыми ОПЕРАТОР находится во взаимодействии и коммуникации, а также во всех правовых действиях, операциях и текстах (явное согласие, информационный текст, ответы на обращения субъектов данных, заявление в реестр операторов, формы, заявления, договоры и подобные документы) произведены соответствующие изменения, и весь процесс приведён в соответствие с законодательством.
Прямое указание в законах
Как и во всех сферах, в рамках Политики KVK ОПЕРАТОР является законопослушной организацией, действующей в соответствии с положениями и правилами национального и международного законодательства.
В рамках Закона KVK при наличии одного из прямо предусмотренных законодательством условий обработки или при наличии императивной нормы об обработке персональных данных ОПЕРАТОР осуществляет обработку персональных данных без необходимости получения явного согласия субъекта данных.
Фактическая невозможность
Если это необходимо для защиты жизни или телесной неприкосновенности самого лица или другого лица, ОПЕРАТОР может обрабатывать персональные данные лица, которое вследствие фактической невозможности не в состоянии выразить своё согласие, либо обладает правоспособностью, но по какой-либо причине не обладает дееспособностью, либо чьё согласие по иным причинам не признаётся юридически действительным, без получения его явного согласия.
Необходимость для заключения и исполнения договора
Для осуществления деятельности, связанной с услугами и продуктами, требуемыми отраслью, ОПЕРАТОР заключает договоры с физическими или юридическими лицами, с которыми он находится во взаимодействии и коммуникации, и принимает на себя в рамках этих договоров взаимные обязательства и ответственность.
В случае, когда обработка персональных данных сторон договора является необходимой при условии её непосредственной связи с заключением или исполнением договора, он обрабатывает данные субъектов в пределах этой цели. В связи с осуществляемой в этих рамках обработкой ОПЕРАТОРУ не требуется явное согласие субъекта данных.
Необходимость для исполнения правовой обязанности ОПЕРАТОРА
ОПЕРАТОР может обрабатывать персональные данные субъекта без обращения за его явным согласием, если это требуется в силу правовой ответственности или обязанности в рамках Закона KVK и иных норм национального или международного законодательства, либо в соответствии с требованиями официальных учреждений и организаций, прокуратуры, судов или иных государственных органов. Он может передавать такие данные этим учреждениям.
Обнародование персональных данных самим субъектом данных
ОПЕРАТОР может подвергать обработке в рамках предусмотренной цели персональные данные, которые субъект данных, находящийся с ним во взаимодействии и коммуникации, публично раскрыл, объявил, разместил в открытом для третьих лиц доступе или обнародовал по своей ясной и свободной воле. В таком случае обращение за явным согласием субъекта данных не требуется.
Необходимость обработки персональных данных для установления, осуществления или защиты права
ОПЕРАТОР обрабатывает персональные данные субъекта в случаях, когда это необходимо для установления, осуществления или защиты права — например, для документального подтверждения расследования, ведущегося в его пользу или против него, доказывания в судебном споре, хранения счетов и договоров для официальных действий в течение срока исковой давности. В таком случае обращение за явным согласием субъекта данных не требуется.
Необходимость обработки для законных интересов ОПЕРАТОРА при условии непричинения ущерба основным правам и свободам субъекта данных
В рамках Закона KVK обработка персональных данных субъекта возможна, если она необходима для законных интересов ОПЕРАТОРА при условии непричинения ущерба основным правам и свободам субъекта данных. В таком случае явное согласие субъекта данных не требуется.
Иными словами, если — наряду с защитой основных прав и свобод субъекта данных — у ОПЕРАТОРА имеется законный, достаточно действенный и реально существующий интерес, если этот интерес соответствует духу и цели законодательства и если обработка персональных данных необходима для осуществления текущей деятельности, то правовых препятствий для обработки ОПЕРАТОРОМ персональных данных субъекта не имеется.
7. УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ ОСОБОЙ КАТЕГОРИИ
ОПЕРАТОР относит к персональным данным особой категории данные о расе, этническом происхождении, политических взглядах, философских убеждениях, религии, конфессии или иных убеждениях, внешнем виде и одежде, членстве в объединении, фонде или профсоюзе, здоровье, половой жизни, судимости и мерах безопасности, а также биометрические и генетические данные.
По общему правилу обработка персональных данных особой категории запрещена законодательством. Однако обработка таких данных возможна, если:
a) имеется явное согласие субъекта данных,
b) это прямо предусмотрено законами,
c) это необходимо для защиты жизни или телесной неприкосновенности самого лица или другого лица, которое вследствие фактической невозможности не в состоянии выразить согласие либо чьё согласие не признаётся юридически действительным,
ç) это касается персональных данных, обнародованных субъектом данных, и соответствует его воле на обнародование,
d) это необходимо для установления, осуществления или защиты права,
e) это необходимо лицам, связанным обязанностью сохранения тайны, либо уполномоченным учреждениям и организациям в целях охраны общественного здоровья, профилактической медицины, медицинской диагностики, оказания лечебных и уходовых услуг, а также планирования, управления и финансирования услуг здравоохранения,
f) это необходимо для исполнения правовых обязанностей в сферах занятости, охраны труда и техники безопасности, социального обеспечения, социальных услуг и социальной помощи,
g) это относится к нынешним или бывшим членам и участникам фондов, объединений и иных некоммерческих организаций или образований, созданных в политических, философских, религиозных или профсоюзных целях, либо к лицам, регулярно контактирующим с такими организациями и образованиями, при условии соответствия применимому к ним законодательству и их целям, ограничения сферой их деятельности и неразглашения третьим лицам.
Если при обработке персональных данных особой категории дополнительно предусмотрено принятие достаточных мер, определённых Советом, соблюдаются и эти решения Совета.
8. УДАЛЕНИЕ, УНИЧТОЖЕНИЕ ИЛИ ОБЕЗЛИЧИВАНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
ОПЕРАТОР отдельно и прямо создал Политику ХУПД (хранения и уничтожения персональных данных) для определения порядка действий по удалению, уничтожению или обезличиванию персональных данных. Вместе с тем, кратко:
Согласно положению об удалении, уничтожении или обезличивании персональных данных, закреплённому в статье 7 Закона KVK, если основания для обработки персональных данных отпали, несмотря на то что данные были обработаны правомерно, такие данные удаляются, уничтожаются или обезличиваются ОПЕРАТОРОМ по собственной инициативе или по требованию субъекта данных.
Соответственно ОПЕРАТОР может удалить, уничтожить или обезличить персональные данные в случаях, когда:
изменены или отменены положения законодательства, являющиеся основанием для обработки персональных данных,
истёк срок исковой давности, исчисляемый после этапов, на которых договор между ОПЕРАТОРОМ и физическими или юридическими лицами, с которыми он находится во взаимодействии и коммуникации, не был заключён, был недействителен, прекратился сам собой, был расторгнут или от него отказались,
отпала цель, требующая обработки персональных данных,
установлено, что обработка персональных данных противоречит закону или правилам добросовестности,
субъект данных отозвал своё согласие в случаях, когда обработка осуществлялась исключительно на основании явного согласия,
ОПЕРАТОР удовлетворил обращение субъекта данных относительно обработки, поданное в рамках прав, предусмотренных пунктами (e) и (f) части 1 статьи 11 Закона KVK «Права субъекта данных»,
ОПЕРАТОР отклонил поданное ему субъектом данных требование об удалении или уничтожении персональных данных, его ответ признан недостаточным либо он не ответил в срок, предусмотренный Законом KVK; при этом подана жалоба в Совет KVK и это требование признано Советом KVK обоснованным,
отсутствует какое-либо условие, оправдывающее более длительное хранение персональных данных, несмотря на истечение максимального срока хранения или срока исковой давности,
отпали условия, требующие обработки персональных данных, предусмотренные статьями 5 и 6 Закона KVK.
При наличии одного из перечисленных выше условий удаление, уничтожение или обезличивание персональных данных является обязанностью и ответственностью ОПЕРАТОРА без необходимости обращения субъекта данных. Вместе с тем субъект данных также вправе требовать от ОПЕРАТОРА удаления, уничтожения или обезличивания своих персональных данных при наличии соответствующих условий.
Кроме того, ОПЕРАТОРОМ разработана Политика ХУПД в рамках положений статьи 7 и последующих статей Положения об удалении. Хранение, удаление, уничтожение или обезличивание обрабатываемых ОПЕРАТОРОМ персональных данных осуществляется в рамках принципов связанной с настоящей политикой Политики ХУПД.
Принципы, содержащиеся в Политике ХУПД, применяются и к вопросам приведения в соответствие с законом и актуализации, а при необходимости удаления, уничтожения или обезличивания данных, обработанных ОПЕРАТОРОМ до вступления в силу Закона KVK или, при наличии таковых, до изменений в законе.
9. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ
По общему правилу персональные данные не могут быть переданы без явного согласия субъекта данных.
Однако ОПЕРАТОР может передавать персональные данные, если:
это прямо предусмотрено законами;
это необходимо для защиты жизни или телесной неприкосновенности лица, которое вследствие фактической невозможности не в состоянии выразить согласие либо чьё согласие не признаётся юридически действительным, или другого лица;
необходима обработка персональных данных сторон договора при условии её непосредственной связи с заключением или исполнением договора;
это необходимо для исполнения правовой обязанности оператора;
данные обнародованы самим субъектом данных;
обработка необходима для установления, осуществления или защиты права;
обработка необходима для законных интересов оператора при условии непричинения ущерба основным правам и свободам субъекта данных;
при наличии одного из этих условий он может передавать персональные данные и без получения явного согласия субъекта данных.
Также при условии принятия достаточных мер ОПЕРАТОР может передавать персональные данные особой категории без получения явного согласия субъекта данных при наличии одного из следующих условий:
имеется явное согласие субъекта данных,
это прямо предусмотрено законами,
это необходимо для защиты жизни или телесной неприкосновенности самого лица или другого лица, которое вследствие фактической невозможности не в состоянии выразить согласие либо чьё согласие не признаётся юридически действительным,
это касается персональных данных, обнародованных субъектом данных, и соответствует его воле на обнародование,
это необходимо для установления, осуществления или защиты права,
это необходимо лицам, связанным обязанностью сохранения тайны, либо уполномоченным учреждениям и организациям в целях охраны общественного здоровья, профилактической медицины, медицинской диагностики, оказания лечебных и уходовых услуг, а также планирования, управления и финансирования услуг здравоохранения,
это необходимо для исполнения правовых обязанностей в сферах занятости, охраны труда и техники безопасности, социального обеспечения, социальных услуг и социальной помощи,
это относится к нынешним или бывшим членам и участникам фондов, объединений и иных некоммерческих организаций или образований, созданных в политических, философских, религиозных или профсоюзных целях, либо к лицам, регулярно контактирующим с ними, при условии соответствия применимому к ним законодательству и их целям, ограничения сферой их деятельности и неразглашения третьим лицам.
ОПЕРАТОР также осознаёт, что при передаче таких персональных данных особой категории он обязан и несёт ответственность за принятие достаточных мер, определённых Советом KVK.
Передача персональных данных за рубеж также возможна при следующих условиях.
Персональные данные могут передаваться за рубеж ОПЕРАТОРОМ и обработчиками данных при наличии одного из условий, указанных выше и в рамках настоящей статьи, и при наличии принятого Советом KVK и опубликованного в Официальной газете решения об адекватности в отношении страны, секторов внутри страны или международных организаций, куда будет осуществляться передача.
При отсутствии указанного решения об адекватности, при наличии одного из указанных выше в настоящей статье условий и при условии, что субъект данных имеет возможность осуществлять свои права и использовать эффективные средства правовой защиты и в стране, куда осуществляется передача, персональные данные могут передаваться за рубеж ОПЕРАТОРОМ или обработчиками данных, если сторонами обеспечена одна из следующих надлежащих гарантий:
наличие не являющегося международным договором соглашения, заключённого между зарубежными государственными учреждениями и организациями или международными организациями и государственными учреждениями и организациями Турции или профессиональными организациями, имеющими статус публичных учреждений, и разрешение на передачу со стороны Совета KVK;
наличие обязательных корпоративных правил, содержащих положения о защите персональных данных, одобренных Советом KVK и обязательных для соблюдения компаниями, входящими в группу предприятий, осуществляющих совместную экономическую деятельность;
наличие объявленного Советом KVK стандартного договора, содержащего такие сведения, как категории данных, цели передачи, получатели и группы получателей, технические и административные меры, принимаемые получателем данных, дополнительные меры в отношении персональных данных особой категории;
наличие письменного обязательства, содержащего положения, обеспечивающие достаточную защиту, и разрешение на передачу со стороны Совета KVK.
В случаях, когда применяется стандартный договор, он уведомляется ОПЕРАТОРОМ Управлению по защите персональных данных в течение пяти рабочих дней с момента подписания.
При отсутствии решения об адекватности и невозможности обеспечить какую-либо из надлежащих гарантий ОПЕРАТОР и обработчики данных могут передавать персональные данные за рубеж только временно и в порядке исключения при наличии одного из следующих случаев. Эти исключительные условия таковы:
субъект данных даёт явное согласие на передачу при условии его информирования о возможных рисках;
передача необходима для исполнения договора между субъектом данных и оператором либо для осуществления преддоговорных мер, принимаемых по требованию субъекта данных;
передача необходима для заключения или исполнения договора, заключаемого в интересах субъекта данных между оператором и другим физическим или юридическим лицом;
передача необходима в силу преобладающего общественного интереса;
передача персональных данных необходима для установления, осуществления или защиты права;
передача персональных данных необходима для защиты жизни или телесной неприкосновенности лица, которое вследствие фактической невозможности не в состоянии выразить согласие либо чьё согласие не признаётся юридически действительным, или другого лица;
передача осуществляется из реестра, открытого для общественности или для лиц, имеющих законный интерес, при условии соблюдения предусмотренных соответствующим законодательством условий доступа к реестру и наличия требования лица, имеющего законный интерес.
10. ОБЯЗАННОСТИ ОПЕРАТОРА В ОТНОШЕНИИ БЕЗОПАСНОСТИ ДАННЫХ
В рамках статьи 12 Закона № 6698 ОПЕРАТОР обязан принимать все необходимые технические и административные меры, с тем чтобы:
предотвратить неправомерную обработку ваших персональных данных,
предотвратить неправомерный доступ к вашим персональным данным,
обеспечить сохранность ваших персональных данных,
и он принял и продолжает принимать указанные здесь административные и технические меры для обеспечения надлежащего уровня безопасности.
С другой стороны, ОПЕРАТОР признаёт, что в случае обработки персональных данных от его имени другим физическим или юридическим лицом он несёт солидарную ответственность вместе с такими лицами за принятие указанных выше административных и технических мер; что он обязан проводить или обеспечивать проведение необходимых проверок в своём учреждении или организации для обеспечения применения положений законодательства; что ОПЕРАТОР и обработчики данных не вправе раскрывать ставшие им известными персональные данные третьим лицам вопреки положениям законодательства и использовать их вне целей обработки, и что эти обязанности сохраняются и после прекращения их полномочий; что в случае получения обрабатываемых персональных данных третьими лицами неправомерным путём он обязан в кратчайший срок уведомить об этом субъекта данных и Совет; и что Совет KVK при необходимости может обнародовать этот факт на своём сайте или иным способом, который сочтёт подходящим.
Кроме того, он выполняет требования нормативных актов, изданных Управлением по защите персональных данных в целях определения обязанностей по обеспечению безопасности данных. Подробности технических и административных мер, а также обрабатываемые и разграниченные по отраслям персональные данные с учётом минимальных критериев, определённых Советом KVK, отражены в таблицах, схемах и графиках, подготовленных в рамках Политики KVK.
ОПЕРАТОР знает и признаёт, что в случае обработки персональных данных от его имени другим физическим или юридическим лицом, то есть при наличии обработчика данных, он несёт солидарную ответственность вместе с такими лицами за принятие указанных выше мер.
ОПЕРАТОР обязан лично, через своего представителя или через назначенное им третье лицо проводить или обеспечивать проведение необходимых проверок в своём учреждении или организации для обеспечения применения положений Закона KVK. Кроме того, обработчики данных не раскрывают ставшие им известными персональные данные третьим лицам вопреки положениям Закона KVK и не используют их вне целей обработки. Это сохраняется и после прекращения их полномочий.
11. ОБЯЗАННОСТЬ ОПЕРАТОРА ПО ИНФОРМИРОВАНИЮ
В рамках статьи 10 Закона KVK ОПЕРАТОР обязан при получении персональных данных лично или через уполномоченное им лицо предоставить субъекту данных следующую информацию:
сведения об ОПЕРАТОРЕ и, факультативно, о его представителе при наличии такового,
с какой целью будут обрабатываться персональные данные,
кому и с какой целью могут передаваться персональные данные,
способ и правовое основание сбора персональных данных,
какие иные права предоставлены субъекту данных в рамках статьи 11 Закона KVK в отношении осуществления его прав на персональные данные.
С другой стороны, в рамках статей 5 и 6 Сообщения о порядке исполнения обязанности по информированию, опубликованного Управлением по защите персональных данных в отношении процедур и принципов, подлежащих соблюдению операторами, ОПЕРАТОР принял за принцип соблюдение следующих обязанностей.
ОПЕРАТОР принял указанные ниже процедуры и принципы при исполнении обязанности по информированию — им самим или уполномоченным им лицом, устно, письменно, посредством аудиозаписи, call-центра либо с использованием иной физической или электронной среды:
ОПЕРАТОР исполняет обязанность по информированию во всех случаях обработки персональных данных, как на основании явного согласия субъекта данных, так и на основании иных условий обработки, предусмотренных Законом KVK.
При изменении цели обработки персональных данных ОПЕРАТОР исполняет обязанность по информированию для этой цели до начала обработки.
В случае обработки персональных данных в разных подразделениях для разных целей ОПЕРАТОР исполняет обязанность по информированию отдельно в каждом подразделении.
При наличии обязанности регистрации в Реестре сведения, предоставляемые субъекту данных ОПЕРАТОРОМ в рамках обязанности по информированию, поддерживаются в соответствии со сведениями, раскрытыми Реестру.
ОПЕРАТОР знает, что обязанность по исполнению информирования не зависит от требования субъекта данных, и осуществляет это действие по собственной инициативе.
Бремя доказывания исполнения обязанности по информированию лежит на ОПЕРАТОРЕ.
В случае осуществления обработки персональных данных на основании явного согласия ОПЕРАТОР исполняет обязанность по информированию и получение явного согласия раздельно.
ОПЕРАТОР знает, что раскрываемая в рамках обязанности по информированию цель обработки персональных данных должна быть определённой, явной и законной. При исполнении этой обязанности ОПЕРАТОР не использует общие и расплывчатые формулировки, а также формулировки, создающие впечатление, что персональные данные могут обрабатываться для иных возможных целей.
В рамках обязанности по информированию ОПЕРАТОР осуществляет уведомление субъекта данных понятным, ясным и простым языком.
При исполнении обязанности по информированию ОПЕРАТОР прямо указывает правовое основание, цель передачи персональных данных и группы получателей, которым они будут переданы, а также то, получены ли эти данные полностью или частично автоматизированными либо неавтоматизированными способами в составе системы хранения данных.
Согласно статье 6 того же положения, в случае получения персональных данных не от самого субъекта данных, то есть при наличии персональных данных, полученных от третьего лица, ОПЕРАТОР информирует субъекта данных в рамках обязанности по информированию:
в разумный срок после получения персональных данных,
при первом контакте, если персональные данные будут использоваться для связи с субъектом данных,
не позднее момента первой передачи, если персональные данные подлежат передаче.
12. ОБЯЗАННОСТЬ ОТВЕЧАТЬ НА ОБРАЩЕНИЯ СУБЪЕКТОВ ДАННЫХ И ИСПОЛНЯТЬ РЕШЕНИЯ
Согласно статье 13 Закона KVK и изданному на её основании Сообщению о порядке обращения к оператору, опубликованному в Официальной газете от 10.03.2018, обращения субъектов данных по вопросам персональных данных, поданные письменно либо с использованием указанных в названном Сообщении зарегистрированного адреса электронной почты (KEP), защищённой электронной подписи, мобильной подписи или адреса электронной почты субъекта данных, зарегистрированного в системе ОПЕРАТОРА, либо посредством разработанного ОПЕРАТОРОМ для целей обращения программного обеспечения или приложения, рассматриваются ОПЕРАТОРОМ в зависимости от их характера в кратчайший срок и не позднее тридцати дней бесплатно.
Однако если действие требует дополнительных затрат, ОПЕРАТОР вправе требовать от обратившегося субъекта данных оплаты по тарифу, установленному Советом KVK.
Если ОПЕРАТОР удовлетворяет обращение субъекта данных либо отклоняет его с указанием оснований, он уведомляет субъекта данных о своём ответе письменно или в электронной форме. В случае удовлетворения требования, являющегося предметом обращения, ОПЕРАТОР исполняет его в кратчайший срок. Если обращение было вызвано ошибкой ОПЕРАТОРА, взысканная плата возвращается субъекту данных.
В случаях отклонения обращения ОПЕРАТОРОМ, признания данного ответа недостаточным либо отсутствия ответа в срок субъект данных вправе подать жалобу в Совет KVK в течение тридцати дней со дня, когда он узнал об ответе ОПЕРАТОРА, и в любом случае в течение шестидесяти дней с даты обращения.
13. ОБЯЗАННОСТЬ РЕГИСТРАЦИИ В РЕЕСТРЕ ОПЕРАТОРОВ
Согласно статье 16 Закона KVK, будучи организацией, зарегистрированной в общедоступной системе VERBİS, ведущейся Управлением по защите персональных данных, ОПЕРАТОР принял за принцип соблюдение установленных Положением о реестре операторов и определённых Советом KVK перечисленных ниже критериев обработки и передачи персональных данных.
Соответственно, эти критерии:
характер персональных данных,
количество персональных данных,
цель обработки персональных данных,
сфера деятельности, в которой обрабатываются персональные данные,
передаются ли персональные данные третьим лицам,
вытекает ли деятельность по обработке персональных данных из законов,
срок хранения персональных данных,
группа субъектов данных или категории данных.
14. ОБЯЗАННОСТЬ УВЕДОМЛЕНИЯ
В случае получения обрабатываемых персональных данных третьими лицами неправомерным путём ОПЕРАТОР в кратчайший срок уведомляет об этом субъекта данных и Совет KVK.
Совет KVK при необходимости вправе и уполномочен обнародовать этот факт на своём сайте или иным способом, который сочтёт подходящим.
15. ПРАВА СУБЪЕКТА ДАННЫХ
В рамках статьи 11 Закона KVK субъект данных вправе в любое время обратиться к ОПЕРАТОРУ, чтобы:
узнать, обрабатываются ли его персональные данные,
запросить информацию, если его персональные данные обрабатывались,
узнать цель обработки своих персональных данных и используются ли они сообразно цели,
знать третьих лиц внутри страны или за рубежом, которым передаются его персональные данные,
требовать исправления своих персональных данных в случае их неполной или неверной обработки,
требовать удаления или уничтожения своих персональных данных,
требовать уведомления третьих лиц, которым переданы персональные данные, о действиях по исправлению, удалению или уничтожению персональных данных,
возражать против наступления неблагоприятного для него результата вследствие анализа обрабатываемых данных исключительно автоматизированными системами,
требовать возмещения вреда в случае его причинения вследствие неправомерной обработки персональных данных.
16. ПОРЯДОК ЗАЩИТЫ ПРАВ СУБЪЕКТА ДАННЫХ
Для защиты своих прав в отношении персональных данных, хранящихся у ОПЕРАТОРА, субъекты данных помимо непосредственного обращения в суд могут использовать перечисленные ниже способы защиты, предусмотренные статьями 13, 14 и 15 Закона KVK.
Согласно статье 11 Закона KVK субъекты данных вправе обратиться к ОПЕРАТОРУ, чтобы узнать, обрабатываются ли касающиеся их персональные данные, запросить информацию о них в случае обработки, требовать их исправления при неполноте или неверности содержания данных, а при неправомерности — их удаления, уничтожения или обезличивания, требовать уведомления о соответствующих действиях третьих лиц, которым данные были раскрыты, и требовать возмещения вреда, причинённого вследствие неправомерной обработки данных.
Для осуществления права на жалобу субъекты данных обязаны прежде обратиться к ОПЕРАТОРУ. Без исчерпания этого пути подача жалобы в Совет KVK невозможна. Субъекты данных, не желающие подавать жалобу, могут обратиться непосредственно в суд.
Требование субъекта данных рассматривается ОПЕРАТОРОМ в зависимости от его характера в кратчайший срок и не позднее 30 дней.
Субъекты данных, чьё обращение отклонено, кто считает данный ответ недостаточным либо чьё обращение не было рассмотрено в срок, могут после этого воспользоваться правом на жалобу в Совет KVK либо обратиться непосредственно в суд.
Права субъектов данных на возмещение вреда сохраняются.
Субъект данных может обратиться по вопросам своих персональных данных письменно или по электронной почте по адресам и контактным данным ОПЕРАТОРА, указанным выше на первой странице.
Субъект данных может обратиться к ОПЕРАТОРУ по вопросам своих персональных данных письменным документом с собственноручной подписью либо с использованием защищённой электронной подписи или мобильной подписи.
Такие обращения могут подаваться ОПЕРАТОРУ письменно либо с использованием указанных в Сообщении о порядке обращения к оператору зарегистрированного адреса электронной почты (KEP), защищённой электронной подписи, мобильной подписи или ранее сообщённого ОПЕРАТОРОМ и зарегистрированного в VERBİS адреса электронной почты, либо посредством разработанного для целей обращения программного обеспечения или приложения. ОПЕРАТОР рассматривает поданные обращения в зависимости от их характера в кратчайший срок и не позднее тридцати дней бесплатно.
ОПЕРАТОР может удовлетворить направленные ему требования, а также вправе и уполномочен отклонить их с указанием оснований.
В случае удовлетворения направленного ОПЕРАТОРУ требования его условия исполняются непосредственно и незамедлительно. Неисполнение требований, несмотря на удовлетворение обращения, означает, что это требование отклонено ОПЕРАТОРОМ.
В случаях отклонения ОПЕРАТОРОМ обращения субъекта данных, признания данного ответа недостаточным либо отсутствия ответа в срок субъект данных может обратиться в Совет KVK.
Согласно статье 13 Закона KVK ОПЕРАТОР рассматривает обращения субъектов данных бесплатно. Однако если выполняемое действие требует дополнительных затрат, возможно взимание с субъекта данных платы по тарифу, установленному Советом KVK.
Согласно этому тарифу, если ОПЕРАТОР отвечает на обращение субъекта данных письменно, плата не взимается за первые 10 страниц; за каждую страницу свыше 10 взимается плата за обработку в размере 1 турецкой лиры. Если ответ предоставляется на носителе, таком как CD или флеш-накопитель, плата, которую может потребовать ОПЕРАТОР, не может превышать стоимости такого носителя.
Если в вопросе, по которому субъект данных обратился в связи с применением Закона KVK, имеется ошибка ОПЕРАТОРА, взысканная плата возвращается субъекту данных.
Субъекты данных, чьё обращение к ОПЕРАТОРУ отклонено, кто считает данный ответ недостаточным либо чьё обращение не было рассмотрено в срок, могут воспользоваться правом на жалобу в Совет KVK.
В случае неправомерной обработки персональных данных, то есть при любом нарушении, Совет KVK согласно статье 15 Закона KVK уполномочен проводить проверку.
Совет KVK может осуществлять это полномочие по жалобе либо по собственной инициативе без жалобы.
Для того чтобы заявления и жалобы, подаваемые в Совет KVK, были приняты к рассмотрению, они должны быть поданы в соответствии с положениями статьи 6 Закона № 3071 об осуществлении права на обращение и одновременно отвечать следующим условиям:
Обращение должно касаться определённого вопроса.
Обращение не должно касаться вопросов, отнесённых к компетенции судебных органов.
В обращении должны быть указаны имя и фамилия заявителя, его подпись и адрес места работы или места жительства.
Перед подачей жалобы в Совет KVK необходимо обратиться к ОПЕРАТОРУ.
После обращения к ОПЕРАТОРУ субъект данных для подачи жалобы должен также соблюсти определённые сроки. Соответственно, субъект данных может подать жалобу в Совет KVK в течение тридцати дней со дня, когда он узнал об ответе ОПЕРАТОРА. В любом случае подача жалобы в Совет KVK возможна в течение шестидесяти дней с даты обращения к ОПЕРАТОРУ.
При рассмотрении направленных субъектом данных требований Совет KVK вправе и уполномочен запрашивать у ОПЕРАТОРА все необходимые сведения и документы, проводить проверки на месте, требовать обеспечения возможности проведения таких проверок, а также требовать направления запрошенных документов — за исключением документов, составляющих государственную тайну, — в течение пятнадцати дней.
До завершения проверки Совет KVK при возникновении трудновосполнимого или невосполнимого вреда и при явной неправомерности может также принять решение о приостановлении обработки данных или передачи данных за рубеж.
Совет KVK обязан дать субъекту данных ответ в течение шестидесяти дней. Если в течение этого срока заявителю не дан ответ, требование считается отклонённым.
Для проверок, начатых Советом KVK по собственной инициативе, срок не ограничен.
Совет KVK принимает решение по результатам проверки, начатой по жалобе или по собственной инициативе. В рамках Закона KVK, если в течение шестидесяти дней с даты жалобы субъекта данных ответ не дан, жалоба субъекта данных и являющееся её предметом требование считаются отклонёнными.
Если по результатам проверки Совет KVK приходит к выводу о нарушении права, связанного с защитой персональных данных, он принимает решение об устранении ОПЕРАТОРОМ выявленных нарушений и направляет это решение как ОПЕРАТОРУ, так и субъекту данных.
ОПЕРАТОР исполняет требования принятого Советом KVK и направленного ему решения без промедления и не позднее тридцати дней с даты получения.
Принципиальные решения, принятые Советом KVK, обязательны для соблюдения как заинтересованными лицами, так и иными лицами в аналогичных случаях.
17. ОБНОВЛЕНИЕ
Настоящая политика пересматривается и обновляется не реже одного раза в год.
18. ВСТУПЛЕНИЕ В СИЛУ И ОТМЕНА
Настоящая Политика считается вступившей в силу после её публикации на веб-сайтах оператора персональных данных.
Настоящая политика может быть отменена только путём подготовки и вступления в силу другой письменной политики.