Закон о защите персональных данных Турции № 6698
ЗАКОН О ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ ТУРЦИИ
Номер закона: 6698
Дата принятия24.03.2016
Официальный вестник: 07.04.2016 Номер: 29677
ЗАКОН О ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
ГЛАВА ПЕРВАЯ
Цель, сфера действия и определения
Цель
СТАТЬЯ 1 – (1) Целью настоящего Закона является защита основных прав и свобод людей, особенно права на неприкосновенность частной жизни, в отношении обработки персональных данных, а также установление обязанностей, принципов и процедур, которые обязательны для физических или юридических лиц, обрабатывающих персональные данные.
Сфера действия
СТАТЬЯ 2 – (1) Положения настоящего Закона применяются к физическим лицам, чьи персональные данные обрабатываются, а также к физическим или юридическим лицам, которые обрабатывают такие данные полностью или частично с помощью автоматических средств или, если процесс является частью любой системы регистрации данных, с помощью неавтоматических средств.
Определения
СТАТЬЯ 3 – (1) Для целей настоящего Закона применяются следующие определения:
а) Явное согласие: свободно данное, конкретное и информированное согласие,
б) Анонимизация: обеспечение невозможности связывания персональных данных с идентифицированным или идентифицируемым физическим лицом, даже путем сопоставления их с другими данными,
в) Президент: Президент Управления по защите персональных данных,
г) Субъект данных: физическое лицо, чьи персональные данные обрабатываются,
д) Персональные данные: вся информация, относящаяся к идентифицированному или идентифицируемому физическому лицу,
е) Обработка персональных данных: любая операция, выполняемая с персональными данными, такая как сбор, запись, хранение, сохранение, изменение, реорганизация, раскрытие, передача, получение, обеспечение доступности, классификация или предотвращение их использования полностью или частично с помощью автоматических средств или, если процесс является частью любой системы регистрации данных, с помощью неавтоматических средств,
ж) Совет: Совет по защите персональных данных,
з) Управление: Управление по защите персональных данных,
и) Обработчик: физическое или юридическое лицо, которое обрабатывает персональные данные от имени контролера по его уполномочию,
й) Система регистрации данных: система регистрации, в которую персональные данные заносятся в структурированном виде по определенным критериям,
к) Контролер: физическое или юридическое лицо, которое определяет цели и средства обработки персональных данных и несет ответственность за создание и управление системой регистрации данных.
ГЛАВА ВТОРАЯ
Обработка персональных данных
Общие принципы
СТАТЬЯ 4 – (1) Персональные данные могут обрабатываться только в соответствии с процедурами и принципами, установленными в настоящем Законе и других законах.
(2) При обработке персональных данных должны соблюдаться следующие принципы:
а) Законность и соответствие принципам добросовестности.
б) Точность и актуальность, если это необходимо.
в) Обработка для конкретных, явных и законных целей.
г) Соответствие целям обработки, ограничение и пропорциональность.
д) Хранение в течение срока, установленного соответствующим законодательством или целью обработки.
Условия обработки персональных данных
СТАТЬЯ 5- (1) Персональные данные не могут обрабатываться без явного согласия субъекта данных.
(2) Персональные данные могут обрабатываться без получения явного согласия субъекта данных только в случаях, когда выполняется одно из следующих условий:
а) это прямо предусмотрено законами.
б) это необходимо для защиты жизни или физической неприкосновенности человека или любого другого лица, который физически не способен дать свое согласие или чье согласие не считается юридически действительным.
в) обработка персональных данных сторон договора необходима, если это непосредственно связано с заключением или выполнением данного договора.
г) это необходимо для выполнения контролером его юридических обязательств.
д) данные были сделаны общедоступными самим субъектом данных.
е) обработка данных необходима для установления, осуществления или защиты любого права.
ж) это необходимо для законных интересов контролера, при условии, что такая обработка не нарушает основные права и свободы субъекта данных.
Условия обработки персональных данных особого характера
СТАТЬЯ 6- (1) Персональные данные, касающиеся расы, этнического происхождения, политических взглядов, философских убеждений, религии, секты или других убеждений, одежды, членства в ассоциациях, фондах или профсоюзах, здоровья, половой жизни, судимостей и мер безопасности, а также биометрических и генетических данных, считаются персональными данными особого характера.
(2) Запрещается обработка персональных данных особого характера без явного согласия субъекта данных.
(3) Персональные данные, за исключением данных о здоровье и половой жизни, перечисленные в первом абзаце, могут обрабатываться без получения явного согласия субъекта данных в случаях, предусмотренных законами. Персональные данные, касающиеся здоровья и половой жизни, могут обрабатываться без получения явного согласия субъекта данных только лицами или уполномоченными государственными учреждениями и организациями, имеющими обязательство о неразглашении, в целях защиты общественного здравоохранения, проведения профилактической медицины, медицинской диагностики, лечения и ухода, планирования и управления медицинскими услугами, а также их финансирования.
(4) Устанавливается, что при обработке персональных данных особого характера принимаются адекватные меры, определенные Советом.
Удаление, уничтожение или анонимизация персональных данных
СТАТЬЯ 7- (1) Несмотря на обработку в соответствии с положениями настоящего Закона и других связанных законов, персональные данные должны быть удалены, уничтожены или анонимизированы контролером по собственной инициативе или по требованию субъекта данных при исчезновении причин, требующих обработки.
(2) Положения других законов, касающиеся удаления, уничтожения или анонимизации персональных данных, сохраняются.
(3) Процедуры и принципы удаления, уничтожения или анонимизации персональных данных устанавливаются нормативным актом.
Передача персональных данных
СТАТЬЯ 8- (1) Персональные данные не могут передаваться без явного согласия субъекта данных.
(2) Персональные данные могут передаваться без получения явного согласия субъекта данных при наличии одного из условий, предусмотренных в:
а) втором абзаце статьи 5,
б) третьем абзаце статьи 6, при условии принятия достаточных мер.
(3) Положения других законов, касающиеся передачи персональных данных, сохраняются.
Передача персональных данных за границу
СТАТЬЯ 9- (1) Персональные данные не могут передаваться за границу без явного согласия субъекта данных.
(2) Персональные данные могут передаваться за границу без явного согласия субъекта данных при наличии одного из условий, предусмотренных во втором абзаце статьи 5 и третьем абзаце статьи 6, а также при условии, что:
(а) в иностранном государстве, куда передаются данные, обеспечивается достаточная защита,
(б) контролеры в Турции и в соответствующем иностранном государстве гарантируют достаточную защиту в письменной форме, и Совет разрешил такую передачу, если достаточная защита не обеспечивается.
(3) Совет определяет и объявляет страны, в которых обеспечивается достаточный уровень защиты.
(4) Совет решает, обеспечивается ли достаточная защита в соответствующем иностранном государстве и может ли быть разрешена такая передача в соответствии с подпунктом (б) второго абзаца, оценивая следующие факторы и получая мнения соответствующих государственных учреждений и организаций, если это необходимо:
а) международные конвенции, участником которых является Турция,
б) взаимность в отношении передачи данных между запрашивающим государством и Турцией,
в) характер данных, цель и срок обработки в отношении каждого конкретного случая передачи данных,
г) соответствующее законодательство и его применение в стране, куда передаются персональные данные,
д) меры, гарантируемые контролером в стране, куда передаются персональные данные,
(5) В случаях, когда интересы Турции или субъекта данных могут быть серьезно нарушены, персональные данные могут передаваться за границу только с разрешения Совета после получения мнений соответствующих государственных учреждений и организаций, без ущерба для положений международных соглашений.
(6) Положения других законов, касающиеся передачи персональных данных за границу, сохраняются.
ГЛАВА ТРЕТЬЯ
Права и обязанности
Обязанность контролера по информированию
СТАТЬЯ 10- (1) При сборе персональных данных контролер или уполномоченное им лицо обязано информировать субъектов данных о следующем:
а) личности контролера и его представителя, если таковой имеется,
б) цели обработки данных;
в) о том, кому и для каких целей могут передаваться обрабатываемые данные,
г) о методе и правовом основании сбора персональных данных,
д) о других правах, упомянутых в статье 11.
Права субъекта данных
СТАТЬЯ 11- (1) Каждый человек имеет право обратиться к контролеру и
а) узнать, обрабатываются ли его персональные данные,
б) запросить информацию, если его персональные данные обрабатываются,
в) узнать цель обработки его данных и используются ли они в соответствии с назначением,
г) знать, кому передаются его персональные данные внутри страны или за границу,
д) запросить исправление неполных или неточных данных, если таковые имеются,
е) запросить удаление или уничтожение его персональных данных в соответствии с условиями, изложенными в статье 7,
ж) запросить уведомление третьих лиц, которым были переданы его персональные данные, о выполнении операций, предусмотренных в подпунктах (д) и (е),
з) возражать против обработки его персональных данных исключительно автоматическими средствами, если это приводит к неблагоприятным последствиям для субъекта данных,
и) запросить компенсацию за ущерб, причиненный незаконной обработкой его персональных данных.
Обязанности по обеспечению безопасности данных
СТАТЬЯ 12- (1) Контролеры обязаны принять все необходимые технические и административные меры для обеспечения достаточного уровня безопасности с целью:
а) предотвращения незаконной обработки персональных данных,
б) предотвращения несанкционированного доступа к персональным данным,
в) обеспечения сохранности персональных данных.
(2) В случае обработки персональных данных физическим или юридическим лицом от имени контролера, контролер несет совместную ответственность с этими лицами за принятие мер, предусмотренных в первом абзаце.
(3) Контролер обязан проводить необходимые проверки или обеспечивать их проведение в своей организации или учреждении с целью выполнения положений настоящего Закона.
(4) Контролеры и обработчики не имеют права разглашать персональные данные, ставшие им известными, третьим лицам в нарушение настоящего Закона, а также использовать такие данные для целей, не связанных с обработкой. Это обязательство сохраняется и после прекращения их полномочий.
(5) В случае, если обрабатываемые данные были получены другими лицами незаконными методами, контролер обязан уведомить об этом субъекта данных и Совет в кратчайшие сроки. При необходимости Совет может объявить о таком нарушении на своем официальном веб-сайте или другими способами, которые он сочтет целесообразными.
ГЛАВА ЧЕТВЕРТАЯ
Обращение, жалоба и регистрация
Обращение к контролеру
СТАТЬЯ 13- (1) Субъект данных должен подать письменное обращение к контролеру о своих требованиях, связанных с выполнением настоящего Закона, или через другие способы, установленные Советом.
(2) Контролер должен рассмотреть требования, содержащиеся в обращениях, в кратчайшие сроки в зависимости от характера требования, но не позднее тридцати дней, и бесплатно. Однако, если действие, о котором идет речь, влечет за собой дополнительные расходы, может взиматься плата, установленная Советом.
(3) Контролер должен принять обращение или отклонить его по обоснованным причинам и уведомить об этом субъекта данных в письменной форме или в электронном виде. Если требование, содержащееся в обращении, признано обоснованным, оно должно быть удовлетворено контролером. Субъекту данных должна быть возмещена плата за обращение, если оно было подано из-за ошибки, допущенной контролером.
Жалоба в Совет
СТАТЬЯ 14- (1) Если обращение отклонено, ответ не удовлетворил субъекта данных или ответ не был дан в установленный срок, субъект данных может подать жалобу в Совет в течение тридцати дней с момента, когда он узнал об ответе контролера, или в течение шестидесяти дней с момента подачи обращения, в любом случае.
(2) Жалоба не может быть подана до исчерпания средств обращения к контролеру в соответствии со статьей 13.
(3) Сохраняется право на компенсацию в соответствии с общими положениями для тех, чьи личные права были нарушены.
Порядок и принципы рассмотрения по собственной инициативе или по жалобе
СТАТЬЯ 15- (1) Совет должен провести необходимое рассмотрение по вопросам, входящим в его компетенцию, по жалобе или по собственной инициативе, если ему стало известно о предполагаемом нарушении.
(2) Уведомления и жалобы, не соответствующие требованиям, установленным в статье 6 Закона № 3071 от 1/11/1984 о праве на обращение, не рассматриваются.
(3) За исключением информации и документов, имеющих статус государственной тайны, контролер обязан предоставить в течение пятнадцати дней информацию и документы, связанные с предметом рассмотрения, запрошенные Советом, и при необходимости обеспечить проведение проверки на месте.
(4) Совет должен завершить рассмотрение жалобы и дать ответ субъектам данных. Если Совет не ответит на обращение субъекта данных в течение шестидесяти дней с момента подачи, оно считается отклоненным.
(5) По результатам рассмотрения по жалобе или по собственной инициативе, если выясняется, что имело место нарушение, Совет должен принять решение об устранении выявленных нарушений соответствующим контролером и уведомить об этом решении всех, кого это касается. Это решение должно быть выполнено незамедлительно и не позднее чем через тридцать дней после уведомления.
(6) По результатам рассмотрения по жалобе или по собственной инициативе, если выясняется, что нарушение носит массовый характер, Совет должен принять и опубликовать соответствующее решение. Перед принятием решения Совет может также запросить мнения соответствующих учреждений и организаций, если это необходимо.
(7) Совет может принять решение о прекращении обработки данных или их передачи за границу, если такие действия могут привести к ущербу, который трудно или невозможно возместить, и если они явно незаконны.
Реестр контролеров
СТАТЬЯ 16– (1) Президиум ведет общедоступный Реестр контролеров под надзором Совета.
(2) Физические или юридические лица, обрабатывающие персональные данные, обязаны зарегистрироваться в Реестре контролеров данных до начала обработки данных. Однако, учитывая объективные критерии, установленные Советом, такие как характер и объем обрабатываемых данных, юридическая необходимость обработки данных или передача данных третьим лицам, Совет может освободить от обязанности регистрации в Реестре контролеров данных.
(3) Заявка на регистрацию в Реестре контролеров данных подается с уведомлением, включающим:
а) личность и адрес контролера и его представителя, если таковой имеется,
б) цели, для которых будут обрабатываться персональные данные,
в) объяснения о группах субъектов персональных данных, а также о категориях данных, относящихся к этим лицам,
г) получателей или группы получателей, которым могут передаваться персональные данные,
д) персональные данные, которые планируется передавать за границу,
е) меры, принятые для обеспечения безопасности персональных данных.
(ф) максимальный срок, необходимый для цели обработки персональных данных.
(4) Любые изменения в предоставленной информации в соответствии с третьим абзацем должны быть незамедлительно уведомлены Президиуму.
(5) Другие процедуры и принципы, регулирующие Реестр контролеров данных, устанавливаются нормативным актом.
ГЛАВА ПЯТАЯ
Преступления и правонарушения
Преступления
СТАТЬЯ 17 (1) Статьи 135-140 Уголовного кодекса Турции № 5237 от 26/9/2004 применяются в отношении преступлений, связанных с персональными данными.
(2) Лица, не удалившие или не анонимизировавшие персональные данные в нарушение статьи 7 настоящего Закона, подлежат наказанию в соответствии со статьей 138 Закона № 5237.
Правонарушения
СТАТЬЯ 18 (1) Для целей настоящего Закона:
а) лица, не выполнившие обязанность по информированию, предусмотренную статьей 10 настоящего Закона, подлежат административному штрафу в размере от 5.000 до 100.000 турецких лир,
б) лица, не выполнившие обязанности по обеспечению безопасности данных, предусмотренные статьей 12 настоящего Закона, подлежат административному штрафу в размере от 15.000 до 1.000.000 турецких лир,
в) лица, не выполнившие решения, принятые Советом в соответствии со статьей 15 настоящего Закона, подлежат административному штрафу в размере от 25.000 до 1.000.000 турецких лир,
г) лица, не выполнившие обязанности по регистрации в Реестре контролеров данных и уведомлению, предусмотренные статьей 16 настоящего Закона, подлежат административному штрафу в размере от 20.000 до 1.000.000 турецких лир.
(2) Административные штрафы, указанные в настоящей статье, применяются к физическим лицам и частным юридическим лицам, являющимся контролерами.
(3) В случае совершения указанных в первом абзаце действий в государственных учреждениях и организациях, а также в профессиональных ассоциациях, имеющих статус государственного учреждения, к государственным служащим и другим должностным лицам, работающим в соответствующих государственных учреждениях и организациях, а также к лицам, работающим в профессиональных ассоциациях, имеющих статус государственного учреждения, применяются дисциплинарные меры по уведомлению Совета, и результаты передаются в Совет.
ГЛАВА ШЕСТАЯ
Управление по защите персональных данных и его организация
Управление по защите персональных данных
СТАТЬЯ 19 (1) Управление по защите персональных данных, являющееся государственным органом с правами юридического лица, административной и финансовой автономией, создано для выполнения обязанностей, предусмотренных настоящим Законом.
(2) Управление подчиняется аппарату Премьер-министра.
(3) Штаб-квартира Управления находится в Анкаре.
(4) Управление состоит из Совета и Президиума. Органом, принимающим решения в Управлении, является Совет.
Обязанности Управления
СТАТЬЯ 20 (1) Обязанности Управления следующие:
(а) отслеживать последние изменения в законодательстве и практике, давать оценки и рекомендации, проводить исследования и анализы или поручать их выполнение в рамках своей компетенции.
(б) сотрудничать с государственными учреждениями и организациями, НКО, профессиональными ассоциациями или университетами в рамках своей компетенции, если это необходимо.
(в) отслеживать и оценивать последние международные изменения в области персональных данных; в рамках своей компетенции сотрудничать с международными организациями и участвовать в их мероприятиях.
(г) представлять свой ежегодный отчет о деятельности в офис Президента Турецкой Республики, Комитет по правам человека Великого национального собрания Турции и аппарат Премьер-министра.
(д) выполнять другие обязанности, предусмотренные законами.
Совет по защите персональных данных
СТАТЬЯ 21 (1) Совет выполняет и осуществляет свои обязанности и полномочия, предусмотренные настоящим законом и другими законами, независимо и под свою ответственность. Никакие органы, учреждения, должностные лица или физические лица не имеют права отдавать приказы, давать указания, рекомендации или советы Совету по вопросам, входящим в его компетенцию.
(2) Совет состоит из девяти членов. Пять членов Совета избираются Великим национальным собранием Турции, два члена избираются Президентом Турции, и два члена избираются Советом министров.
(3) Для избрания в Совет должны выполняться следующие условия:
а) быть информированным и иметь опыт в вопросах, входящих в компетенцию Управления,
б) соответствовать требованиям, установленным в пунктах (1), (4), (5), (6) и (7) подпункта (А) первого абзаца статьи 48 Закона о государственных служащих № 657 от 14/7/1965,
в) не быть членом политической партии,
г) иметь диплом о высшем образовании не ниже четырехлетнего,
д) иметь стаж работы в государственных учреждениях и организациях, международных организациях, неправительственных организациях, профессиональных ассоциациях, имеющих статус государственного учреждения, или в частном секторе не менее десяти лет в общей сложности.
(4) Избранные в члены Совета должны выразить свое согласие. Выборы проводятся с учетом плюралистического представительства лиц, информированных и имеющих опыт в вопросах, входящих в компетенцию Управления.
(5) Члены Совета избираются Великим национальным собранием Турции следующим образом:
а) лица, число которых вдвое превышает количество членов, подлежащих избранию, пропорционально числу депутатов от политических партий, выдвигаются для избрания, и члены Совета избираются пленарным заседанием Великого национального собрания из числа этих кандидатов пропорционально числу депутатов, распределенных между политическими партиями. Однако политические партии не имеют права договариваться или принимать решения о том, за кого голосовать на выборах, проводимых в Великом национальном собрании Турции.
б) члены Совета избираются в течение десяти дней после определения и объявления кандидатов. Для кандидатов, выдвинутых политическими партиями, составляется комбинированный бюллетень в виде отдельных списков. Голосование осуществляется путем проставления отметки напротив имен кандидатов. Голоса, отданные за большее число кандидатов, чем количество членов, подлежащих избранию от квот политических партий, считаются недействительными.
в) кандидаты, число которых соответствует числу вакансий и получившие наибольшее количество голосов, считаются избранными при условии наличия кворума.
г) выборы для обновления состава членов проводятся за два месяца до истечения их срока полномочий; если вакансия возникла по какой-либо причине, выборы проводятся в течение одного месяца с момента возникновения вакансии; если дата возникновения вакансии совпадает с перерывом в работе Великого национального собрания Турции, выборы проводятся в течение одного месяца после окончания перерыва, с использованием той же процедуры. Во время этих выборов распределение вакантных мест между политическими партиями осуществляется с учетом числа членов, избранных от квот политических партий на первых выборах, и текущих пропорций политических партий.
(6) За сорок пять дней до истечения срока полномочий или в случае их прекращения по какой-либо причине членов, избранных Президентом Турции или Советом министров, Управление уведомляет об этом аппарат Премьер-министра для передачи в офис Президента Турции или Совет министров; новые выборы проводятся за один месяц до истечения срока полномочий членов. Если вакансия возникает до истечения срока полномочий, выборы проводятся в течение пятнадцати дней с момента уведомления.
(7) Совет назначает Председателя и Заместителя Председателя из числа своих членов. Председатель Совета также является Президентом Управления.
(8) Срок полномочий членов Совета составляет четыре года. Члены могут быть переизбраны после истечения их срока полномочий. Лицо, избранное вместо члена, чьи полномочия прекратились до истечения срока по какой-либо причине, завершает оставшийся срок полномочий.
(9) Члены Совета приносят следующую присягу перед Верховным судом: “Клянусь своей честью и достоинством, что буду выполнять свои обязанности с абсолютной беспристрастностью, добросовестностью, справедливостью и чувством правосудия в соответствии с Конституцией и соответствующим законодательством.” Обращение в Верховный суд для принесения присяги считается одним из срочных дел.
(10) За исключением случаев, предусмотренных специальными законами, члены не имеют права занимать государственные или частные должности, не связанные с выполнением их официальных обязанностей в Совете; не имеют права занимать руководящие должности в ассоциациях, фондах, кооперативах и подобных органах; не имеют права заниматься коммерческой деятельностью, заниматься частной практикой, быть арбитрами и экспертами. Однако члены Совета могут готовить научные публикации, читать лекции и участвовать в конференциях, не нарушая своих основных обязанностей, и могут получать авторские гонорары и вознаграждения, связанные с этим.
(11) Расследования по жалобам на преступления, якобы совершенные членами при исполнении своих обязанностей, проводятся в соответствии с Законом № 4483 от 2/12/1999 о судебном разбирательстве государственных служащих и других государственных работников, а разрешение на расследование выдается Премьер-министром.
(12) Дисциплинарные расследования и преследования в отношении членов Совета регулируются Законом № 657.
(13) Члены не могут быть освобождены от своих обязанностей по какой-либо причине до истечения срока их полномочий. Однако члены Совета могут быть освобождены от должности по решению Совета, если:
а) выяснится, что они не соответствуют условиям, необходимым для их избрания,
б) приговор, вынесенный за преступления, совершенные ими при исполнении своих обязанностей, вступил в законную силу,
в) медицинская комиссия вынесла заключение о их непригодности к исполнению обязанностей,
г) установлено, что они отсутствовали на работе в течение пятнадцати дней подряд или в течение тридцати дней в течение года без уважительной причины и разрешения,
д) установлено, что они пропустили три заседания Совета в течение одного месяца или десять заседаний в течение одного года без разрешения и уважительной причины.
(14) Лица, назначенные членами Совета, освобождаются от своих предыдущих должностей на время работы в Совете. При истечении срока их полномочий или в случае их отставки и подачи заявления в прежнее учреждение в течение тридцати дней, они назначаются на должности, соответствующие их прежним позициям и званиям, в течение одного месяца. До назначения Управление продолжает выплачивать им положенные выплаты. До получения другой должности или трудоустройства Управление продолжает выплачивать выплаты тем, кто был назначен членами Совета, не являясь государственными служащими, чьи полномочия истекли, как указано выше; выплаты не могут превышать трех месяцев. В отношении прав и льгот периоды работы в Управлении считаются проведенными в прежних учреждениях или организациях.
Обязанности и полномочия Совета
СТАТЬЯ 22 (1) Обязанности и полномочия Совета следующие:
а) обеспечивать обработку персональных данных в соответствии с основными правами и свободами,
б) рассматривать жалобы лиц, чьи права в отношении защиты персональных данных были нарушены,
в) проверять, обрабатываются ли персональные данные в соответствии с законами, по жалобе или по собственной инициативе, если стало известно о предполагаемом нарушении, и принимать временные меры, если это необходимо,
г) определять адекватные меры, необходимые для обработки данных особого характера,
д) обеспечивать ведение Реестра контролеров,
е) разрабатывать нормативные акты по вопросам, входящим в компетенцию Совета и функционирование Управления,
ж) разрабатывать нормативные акты для определения обязанностей по обеспечению безопасности данных,
з) разрабатывать нормативные акты по вопросам обязанностей, полномочий и ответственности контролера и его представителя,
и) принимать решения об административных санкциях, предусмотренных настоящим Законом,
й) выражать свое мнение о законодательных актах, разработанных другими учреждениями или организациями, содержащих положения о персональных данных,
к) принимать Стратегический план Управления; определять цели, задачи, стандарты качества обслуживания и критерии оценки деятельности Управления,
л) обсуждать и принимать решения по Стратегическому плану и бюджетному предложению Управления, соответствующим его целям и задачам,
м) утверждать и публиковать проекты отчетов о деятельности, финансовом положении, ежегодных мероприятиях и других вопросах, связанных с Управлением,
н) обсуждать и принимать решения по рекомендациям в отношении покупки, продажи и аренды недвижимого имущества,
о) выполнять другие задачи, предусмотренные законами.
Принципы работы Совета
СТАТЬЯ 23 (1) Председатель Совета определяет даты и повестку дня заседаний. Совет может быть созван на внеочередное заседание Председателем, если это необходимо.
(2) Совет собирается на заседание не менее чем с шестью членами, включая Председателя Совета, и принимает решения простым большинством голосов от общего числа членов. Члены Совета не имеют права воздерживаться при голосовании.
(3) Члены не имеют права присутствовать и голосовать на заседаниях, касающихся их самих, их родственников по крови до третьей степени и родственников по браку до второй степени, их усыновленных детей и их супругов, даже если брак расторгнут.
(4) Члены Совета не имеют права разглашать секреты, ставшие им известными в отношении субъектов данных и третьих лиц в ходе выполнения своих обязанностей, никому, кроме уполномоченных органов, а также использовать такие секреты в своих интересах. Это обязательство сохраняется и после истечения срока их полномочий.
(5) Результаты обсуждения повестки дня Совета оформляются письменно. Решения и особые мнения, если таковые имеются, оформляются в письменном виде в течение пятнадцати дней. Совет объявляет публично решения, которые считает необходимыми.
(6) Заседания Совета являются конфиденциальными, если не решено иначе.
(7) Порядок работы Совета, порядок оформления решений и другие вопросы регулируются нормативным актом.
Президент
СТАТЬЯ 24 (1) Президент, являясь высшим должностным лицом Управления и Совета, организует и руководит работой Управления в соответствии с законодательством, целями и политикой Управления, Стратегическим планом, критериями оценки деятельности и стандартами качества обслуживания, а также обеспечивает координацию между подразделениями Управления.
(2) Президент несет ответственность за общее управление и представительство Управления. Эта ответственность включает обязанности и полномочия по регулированию, выполнению, контролю, оценке деятельности Управления и информированию общественности, если это необходимо.
(3) Обязанности Президента следующие:
а) председательствовать на заседаниях Совета,
б) обеспечивать уведомление о решениях Совета и их публичное объявление, если это необходимо, а также контролировать их выполнение,
в) назначать Заместителя Президента, руководителей департаментов и сотрудников Управления,
г) утверждать рекомендации, поступившие от подразделений Управления, и представлять их в Совет,
д) обеспечивать выполнение Стратегического плана и формировать кадровую политику и политику работы в соответствии со стандартами качества обслуживания,
е) подготавливать ежегодный бюджет и финансовые таблицы Управления в соответствии с установленными стратегиями, ежегодными целями и задачами,
ж) обеспечивать координацию для эффективной, дисциплинированной и организованной работы Совета и подразделений Управления,
з) поддерживать отношения Управления с другими учреждениями,
и) определять объем обязанностей и полномочий сотрудников, уполномоченных подписывать документы от имени Президента,
к) выполнять другие обязанности, связанные с управлением и функционированием Управления.
Состав и обязанности Президиума
СТАТЬЯ 25 (1) Президиум состоит из Заместителя Президента и подразделений. Президиум выполняет свои обязанности, указанные в четвертом абзаце, через подразделения, организованные в виде департаментов. Число департаментов не может превышать семи.
(2) Заместитель Президента назначается Президентом для помощи в административных обязанностях.
(3) Заместитель Президента и руководители департаментов назначаются Президентом из числа лиц, имеющих высшее образование не ниже четырехлетнего и проработавших в государственных учреждениях не менее десяти лет.
(4) Обязанности Президиума следующие:
а) вести Реестр контролеров,
б) выполнять канцелярские функции для Управления и Совета,
в) представлять Управление через адвокатов в судебных разбирательствах и исполнительных производствах, в которых Управление является стороной; следить за ходом дел или поручать это другим лицам, а также выполнять юридические функции,
г) выполнять кадровые функции для членов Совета и сотрудников Управления,
д) выполнять обязанности, предусмотренные законами в отношении финансовых служб и подразделений стратегического развития,
е) обеспечивать создание и использование информационных систем для выполнения действий и операций Управления,
ж) подготавливать отчеты о ежегодной деятельности Управления или по другим вопросам, если это необходимо, и представлять их в Совет,
з) подготавливать Стратегический план Управления,
и) определять кадровую политику Управления, разрабатывать и внедрять планы обучения и карьерного роста для сотрудников,
й) выполнять процедуры назначения, перевода, дисциплинарного производства, оценки, повышения, увольнения и другие аналогичные процедуры в отношении сотрудников,
к) определять этические принципы для сотрудников и проводить необходимое обучение,
л) выполнять обязанности, связанные с закупками, арендой, обслуживанием, ремонтом, строительством, архивом, здравоохранением и социальными вопросами и другими аналогичными вопросами в рамках Закона о государственном финансовом управлении и контроле № 5018 от 10/12/2003,
м) вести учет движимого и недвижимого имущества Управления,
н) выполнять другие обязанности, возложенные на него Советом или Президентом.
Эксперты и помощники экспертов по защите персональных данных
СТАТЬЯ 26 (1) Управление может нанимать экспертов и помощников экспертов по защите персональных данных. Эксперты и помощники экспертов, назначенные в качестве экспертов по защите персональных данных в рамках дополнительной статьи 41 Закона № 657, получают повышение на одну ступень.
Положения о персонале и правах персонала
СТАТЬЯ 27 (1) Персонал Управления подчиняется Закону № 657, за исключением вопросов, регулируемых настоящим Законом.
(2) Президент и члены Совета, а также сотрудники Управления получают вознаграждения, установленные для предыдущих сотрудников, в рамках финансовых и социальных прав, в соответствии с дополнительной статьей 11 Указа № 375 от 27/6/1989, в рамках тех же процедур и принципов.
(3) Президент и члены Совета, а также сотрудники Управления подчиняются подпункту (с) первого абзаца статьи 4 Закона о социальном страховании и всеобщем медицинском страховании № 5510 от 31/5/2006. Президент и члены Совета, а также сотрудники Управления считаются равными с предыдущими сотрудниками в отношении пенсионных прав. Из прав, приобретенных лицами, назначенными Президентом и членами Совета, будучи застрахованными в соответствии с подпунктом (с) первого абзаца статьи 4 Закона № 5510, сроки их работы на этих должностях учитываются при определении приобретенных прав, заработной платы, ступеней и классов. Лица, которые попадают в сферу действия Временной статьи 4 Закона № 5510 в процессе работы, имеют право на выплату компенсации за должность и представительство в течение соответствующего периода. Лица, назначенные Президентом и членами Совета, будучи застрахованными в соответствии с подпунктом (а) первого абзаца статьи 4 Закона № 5510, не имеют права на выходное пособие или компенсацию при увольнении. В таких случаях срок работы, дающий право на выходное пособие или компенсацию при увольнении, добавляется к периодам работы в прежних учреждениях и организациях, и считается периодом, дающим право на пенсионное пособие.
(4) Государственные служащие, работающие в государственных учреждениях, социальных страховых учреждениях, местных органах власти, учреждениях, подчиненных местным органам власти, объединениях местных органов власти, предприятиях с оборотными фондами, фондах, созданных в соответствии с законами, государственных организациях, организациях, более 50% капитала которых принадлежит государству, государственных экономических предприятиях, государственных коммерческих предприятиях, а также ассоциациям и учреждениям, подчиненным этим организациям, а также другие государственные служащие могут быть направлены в Управление с согласия их учреждений, при условии, что их заработная плата, надбавки, индексация, компенсации и другие социальные и финансовые права и льготы выплачиваются их учреждениями. Такие запросы Управления рассматриваются в приоритетном порядке соответствующими учреждениями и организациями. Сотрудники, направленные таким образом, считаются находящимися в оплачиваемом отпуске. В течение этого отпуска сохраняются права сотрудников и их связь с государственной службой, этот период учитывается при повышении и выходе на пенсию, и они повышаются без дополнительных процедур. Периоды работы в Управлении лицами, направленными в соответствии с настоящей статьей, считаются проведенными в их прежних учреждениях. Число сотрудников, направленных таким образом, не может превышать десяти процентов от общего числа должностей экспертов по защите персональных данных и помощников экспертов по защите персональных данных, а срок направления не может превышать двух лет. Однако при необходимости этот срок может быть продлен на один год.
(5) Названия и количество должностей для персонала, которое будет работать в Управлении, указаны в прилагаемой таблице (I). Изменения в названиях и классах должностей, добавление новых названий и аннулирование вакантных должностей осуществляются по решению Совета при условии, что общее количество должностей не превышает установленного, и ограничиваются названиями, указанными в прилагаемых таблицах Указа № 190 о должностях и процедурах от 13/12/1983.
ГЛАВА СЕДЬМАЯ
Разное
Исключения
СТАТЬЯ 28 (1) Положения настоящего Закона не применяются в следующих случаях:
а) при обработке персональных данных физическими лицами в рамках исключительно личных или семейных дел субъекта данных или членов его семьи, проживающих с ним в одном домохозяйстве, при условии, что эти данные не передаются третьим лицам и соблюдаются обязательства по обеспечению безопасности данных,
б) при обработке персональных данных в целях официальной статистики и для исследований, планирования и статистических целей после их анонимизации,
в) при обработке персональных данных в художественных, исторических, литературных или научных целях или в рамках свободы слова, при условии, что не нарушаются национальная оборона, национальная безопасность, общественная безопасность, общественный порядок, экономическая безопасность, право на неприкосновенность частной жизни или личные права, а также если такая обработка не является преступлением,
г) при обработке персональных данных в рамках превентивных, защитных и разведывательных мероприятий, проводимых государственными учреждениями и организациями, уполномоченными и назначенными для обеспечения национальной обороны, национальной безопасности, общественной безопасности, общественного порядка или экономической безопасности,
д) при обработке персональных данных судебными или исполнительными органами в рамках расследования, судебного преследования, судебных процессов или исполнительных производств.
(2) При условии соответствия и пропорциональности целям и основным принципам настоящего Закона, статья 10 о обязанности контролера информировать, статья 11 о правах субъекта данных, за исключением права на компенсацию, и статья 16 о требовании регистрации в Реестре контролеров данных не применяются в следующих случаях:
а) если обработка данных необходима для предотвращения преступления или расследования преступления,
б) если обработка данных осуществляется в отношении данных, сделанных общедоступными самим субъектом данных,
в) если обработка данных необходима для проведения инспекций или регулирования, а также для дисциплинарных расследований и преследований, проводимых государственными учреждениями и организациями и профессиональными ассоциациями, имеющими статус государственного учреждения, в рамках полномочий, предоставленных им законом,
г) если обработка данных необходима для защиты экономических и финансовых интересов государства в отношении бюджетных, налоговых и финансовых вопросов.
Бюджет и доходы Управления
СТАТЬЯ 29 (1) Бюджет Управления составляется и утверждается в соответствии с процедурами и принципами, установленными Законом № 5018.
(2) Доходы Управления состоят из следующих источников:
а) грантов из государственного бюджета,
б) доходов от движимого и недвижимого имущества Управления,
в) пожертвований и грантов,
г) доходов от использования доходов,
д) других доходов.
Изменения и дополнения
СТАТЬЯ 30 (1) В таблицу (III), прилагаемую к Закону № 5018, была добавлена следующая строка:
“10) Управление по защите персональных данных”
(2) Фраза “Любое лицо” во втором абзаце статьи 135 Закона № 5237 была изменена на “Любые персональные данные, любое лицо”; а фраза “Любое лицо, записывающее информацию как персональные данные, подлежит наказанию в соответствии с положениями вышеуказанного подпункта” была изменена на “наказание, предусмотренное в первом абзаце, увеличивается на половину”.
(3) Слово “и” в первом абзаце статьи 243 Закона № 5237 было изменено на “или”, и был добавлен следующий абзац:
“(4) Лицо, которое с использованием технических средств незаконно отслеживает передачу данных внутри информационной системы или между информационными системами без входа в систему, подлежит наказанию в виде лишения свободы на срок от одного года до трех лет”.
(4) К Закону № 5237 была добавлена следующая статья после статьи 245:
“Запрещенные устройства или программы”
Статья 245/A- В случае, если устройство, компьютерная программа, пароль или другой код безопасности созданы для совершения преступлений, предусмотренных исключительно в настоящем разделе, или преступлений, которые могут быть совершены с использованием информационной системы в качестве средства, лицо, создавшее, импортировавшее, отправившее, передавшее, хранившее, принявшее, продавшее, поставившее, купившее, одолжившее другому лицу или владеющее этими предметами, подлежит наказанию в виде лишения свободы на срок от одного года до трех лет и штрафа в размере до пяти тысяч дней.
(5) Подпункт (ф) первого абзаца статьи 3 Основного закона о здравоохранении № 3359 от 7/5/1987 был изменен следующим образом:
“ф) С целью отслеживания состояния здоровья каждого и обеспечения более эффективного и быстрого оказания медицинских услуг Министерство здравоохранения и его подчиненные учреждения создадут необходимую систему регистрации и уведомлений. Эта система может также быть создана в электронной среде в соответствии с практиками электронного государства. Для этой цели может быть создана национальная информационная система Министерством здравоохранения”.
(6) Статья 47 Указа № 663 от 11/10/2011 об организации и обязанностях Министерства здравоохранения и его подчиненных учреждений была изменена следующим образом:
“СТАТЬЯ 47- (1) Из лиц, обращающихся в государственные или частные медицинские учреждения и к медицинским работникам для получения медицинских услуг, персональные данные, предоставляемые обязательно как условие получения медицинских услуг или предоставляемые в связи с полученными услугами, могут обрабатываться.
(2) Министерство может обрабатывать данные, полученные в рамках первого абзаца, для целей оказания медицинских услуг, защиты общественного здравоохранения, выполнения мероприятий профилактической медицины, медицинской диагностики, лечения и ухода, а также для планирования медицинских услуг и расчета их стоимости. Эти данные не могут передаваться, за исключением случаев, предусмотренных Законом о защите персональных данных.
(3) Министерство создаст систему, позволяющую лицам или их уполномоченным представителям получать доступ к персональным данным, собранным и обработанным в соответствии со вторым абзацем,
(4) Стандарты, касающиеся безопасности и надежности систем, созданных в соответствии с третьим абзацем, будут определены Министерством в соответствии с принципами, установленными Советом по защите персональных данных. Министерство примет необходимые меры для обеспечения безопасности персональных данных о здоровье, полученных в соответствии с настоящим Законом. Для этой цели Министерство создаст систему безопасности, позволяющую контролировать должностных лиц и цели использования зарегистрированных в системе данных.
(5) Государственные учреждения и организации, физические и юридические лица, нанимающие медицинский персонал, обязаны информировать Министерство о нанятых сотрудниках и изменениях в штате.
(6) Другие вопросы, касающиеся обработки и безопасности персональных данных о здоровье, а также выполнение настоящей статьи будут регулироваться указом, который вступит в силу по решению Министерства.”
Подзаконные акты
СТАТЬЯ 31 (1) Подзаконные акты, касающиеся выполнения настоящего Закона, вступают в силу по решению Управления.
Переходные положения
ПЕРЕХОДНАЯ СТАТЬЯ (1) Члены Совета будут избраны, а организационная структура Президиума будет создана в течение шести месяцев после даты вступления в силу настоящего Закона в порядке, предусмотренном статьей 21.
(2) Контролеры обязаны зарегистрироваться в Реестре контролеров данных в срок и в порядке, установленные и объявленные Советом.
(3) Персональные данные, обработанные до даты вступления в силу настоящего Закона, должны быть приведены в соответствие с положениями настоящего Закона в течение двух лет с даты его вступления в силу. Персональные данные, которые не соответствуют положениям настоящего Закона, должны быть немедленно удалены, уничтожены или анонимизированы. Однако согласия, полученные до даты вступления в силу настоящего Закона, считаются соответствующими положениям настоящего Закона, если не будет заявлено иное в течение одного года.
(4) Подзаконные акты, предусмотренные настоящим Законом, вступят в силу в течение одного года с даты вступления в силу настоящего Закона.
(5) Высокопоставленный должностный лицо для координации выполнения Закона в государственных учреждениях и организациях будет назначен и уведомлен Президиуму в течение одного года с даты вступления в силу настоящего Закона.
(6) Срок полномочий первого избранного Президента, Заместителя Президента и двух членов, определенных по жребию, составит шесть лет; этот срок для остальных пяти членов составит четыре года.
(7) До выделения бюджета Управления:
а) расходы Управления будут компенсироваться из бюджета аппарата Премьер-министра,
б) аппарат Премьер-министра обеспечит Управление всеми необходимыми услугами, такими как помещения, оборудование, мебель и техника, для выполнения его обязанностей.
(8) Канцелярские услуги для Управления будут оказываться аппаратом Премьер-министра до тех пор, пока подразделения Управления не начнут функционировать в полной мере.
Вступление в силу
СТАТЬЯ 32 (1) Для целей настоящего Закона:
а) статьи 8, 9, 11, 13, 14, 15, 16, 17 и 18 вступят в силу через шесть месяцев с даты его опубликования,
б) другие статьи вступят в силу в день его опубликования.
Исполнение
СТАТЬЯ 33 – (1) Положения настоящего закона вступают в силу с момента его подписания Советом министров.
