privacyverklaring

“Wet van bescherming van persoonlijke gegevens”

WET BESCHERMING VAN PERSOONLIJKE GEGEVENS WAT U MOET WETEN

1.PERSOONLIJKE GEGEVENS

In de Wet Bescherming Persoonsgegevens nr. 6698 (“Wet”) worden persoonlijke gegevens gedefinieerd als alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Bij allerlei soorten informatie is het in feite niet alleen informatie zoals naam, achternaam, geboortedatum en geboorteplaats die de definitieve diagnose van het individu oplevert; Het verwijst ook naar informatie over fysieke, familiale, economische, sociale en soortgelijke kenmerken die het mogelijk maken het individu te identificeren. Omdat persoonsgegevens niet door een beperkte opsomming in de wet worden bepaald, is het ook mogelijk om de reikwijdte van persoonsgegevens uit te breiden naar gelang de kenmerken van elk concreet geval. In deze context kunnen het kenteken van een echt voertuig, interviewresultaten, IP-adressen van de elektronische apparaten die hij/zij gebruikt, audio- en video-opnamen, locatiegegevens, strafblad, creditcardafschriften, likes op sociale media, vingerafdrukken, enz. Informatie kan ook worden gedefinieerd als persoonsgegevens. VOORBEELD: Afbeeldingen van personen die zijn vastgelegd door een videobewakingssysteem kunnen als persoonlijke gegevens worden beschouwd als de personen identificeerbaar zijn. VOORBEELD: In het systeem voor telefonisch bankieren kan de stemopname van de klant die instructies geeft aan de bank als persoonlijke gegevens worden beschouwd. VOORBEELD: In een voogdijzaak valt een door een kind gemaakte tekening over zijn of haar familie binnen de reikwijdte van persoonlijke gegevens, omdat deze de gevoelens van het kind ten opzichte van zijn of haar familie laat zien. Aan de andere kant, als het gedrag van de moeder en vader in het gezin via deze tekening kan worden begrepen, wordt de tekening ook beschouwd als de persoonlijke gegevens van de moeder en vader. Volgens de wet moet informatie, voordat deze als persoonsgegevens wordt beschouwd, eerst toebehoren aan een echte persoon, en zijn gegevens met betrekking tot rechtspersonen uitgesloten van de definitie van persoonsgegevens. VOORBEELD: Informatie over een rechtspersoon, zoals de handelsnaam of het adres van een bedrijf (behalve wanneer deze verband houdt met een echte persoon), wordt niet als persoonlijke gegevens beschouwd. Om persoonsgegevens te zijn, moet de informatie betrekking hebben op een geïdentificeerde of identificeerbare echte persoon. Specificiteit heeft betrekking op gevallen waarin de gegevens rechtstreeks de identiteit van een natuurlijke persoon kunnen aangeven; De uitdrukking ‘identificeerbaar’ betekent dat de persoon kan worden geïdentificeerd als gevolg van de associatie met enig document. VOORBEELD: Alleen voor- en achternaam zijn persoonlijke gegevens en kunnen een natuurlijke persoon identificeren. Het is echter mogelijk dat de voor- en achternaam niet altijd voldoende zijn om een echte persoon te identificeren; in sommige gevallen kan naast de voor- en achternaam ook andere informatie nodig zijn om een echte persoon te identificeren. VOORBEELD: In termen van veelgebruikte voor- en achternaamcombinaties is het mogelijk dat de voor- en achternaam alleen een persoon niet identificeren, maar het zijn altijd persoonlijke gegevens vanwege hun vermogen om een natuurlijke persoon te identificeren. De voor- en achternaam bepalen soms direct de relevante persoon als deze alleenstaand is, en soms indirect de relevante persoon als er meer dan één is. Dit belet niet dat de voor- en achternaam persoonlijke gegevens zijn. Op dezelfde manier is het in sommige gevallen mogelijk om een persoon te identificeren, zelfs zonder zijn/haar voor- en achternaam te vermelden. VOORBEELD: De uitdrukking “een kleine man van middelbare leeftijd die in eenheid B van instelling A werkt, is eigenaar van een rood voertuig van het merk VOORBEELD: Als bijnamen en bijnamen voldoende zijn om een persoon alleen of in combinatie met andere bronnen te identificeren, worden dergelijke gegevens als persoonlijke gegevens beschouwd. Bij het bepalen van de identificeerbaarheid van de echte persoon aan wie de informatie toebehoort, moet echter per geval een evaluatie worden gemaakt, waarbij rekening moet worden gehouden met het vermogen van de gegevens om de persoon te identificeren.

2. ALGEMENE (FUNDAMENTELE) BEGINSELEN

De algemene beginselen die moeten worden gevolgd bij de verwerking van persoonsgegevens staan vermeld in artikel 4 van de wet. Deze principes; • In overeenstemming zijn met de wet en de regels van eerlijkheid • Accuraat en actueel zijn wanneer dat nodig is • Verwerkt worden voor specifieke, duidelijke en legitieme doeleinden • Gerelateerd zijn aan het doel waarvoor ze worden verwerkt, beperkt en proportioneel zijn • bewaard gedurende de periode waarin de relevante wetgeving voorziet of die vereist is voor het doel waarvoor ze worden verwerkt. Ongeacht de juridische reden/verwerkingsvoorwaarde waarop de gegevensverwerkingsactiviteit is gebaseerd, moeten alle gegevensverwerkingsactiviteiten worden uitgevoerd in overeenstemming met deze principes.

a) NALEVING VAN WET EN EERLIJKHEIDSREGELS

Dit principe; Het betekent handelen in overeenstemming met de beginselen opgelegd door wetten en andere wettelijke voorschriften bij de verwerking van persoonsgegevens, en ook rekening houden met de belangen en redelijke verwachtingen van de relevante personen bij de verwerking van gegevens. OPMERKING: Naleving van de wet betekent dat gegevensverwerking niet in strijd is met de wet op de bescherming van persoonsgegevens of andere wetgeving. LET OP: Eerlijkheid betekent dat de persoonsgegevens van de relevante persoon niet worden gebruikt op een manier die onrecht jegens de relevante persoon zou veroorzaken, die voldoet aan de redelijke verwachtingen van de relevante persoon en die het doel van het verzamelen van persoonsgegevens niet overschrijdt.

b) NAUWKEURIG EN ACTUEEL ZIJN WANNEER NODIG

Dit principe heeft betrekking op het vermogen van gegevens om het onderwerp waarover zij informatie verschaffen accuraat te beschrijven. In dit opzicht is het beginsel van nauwkeurigheid en actualiteit ook verenigbaar met het recht van betrokkenen om correctie van gegevens te verzoeken. VOORBEELD: Bij het berekenen van de Minimum Verblijfsuitkering (AGI) is het belangrijk dat het aantal kinderen en de arbeidsstatus van de echtgenoot actueel zijn voor een correcte berekening van de AGI en de economische belangen van de persoon.

c) VERWERKING VOOR SPECIFIEKE, DUIDELIJKE EN LEGITIEME DOELEINDEN

Dit beginsel vereist dat de verwerkingsverantwoordelijke het doel van de gegevensverwerking duidelijk en begrijpelijk vaststelt en dat dit doel legitiem is. Als gegevensbeheerders gegevens verwerken voor andere doeleinden dan die welke aan de betrokkene zijn gespecificeerd, worden zij aansprakelijk gehouden voor deze handelingen. Het doel moet legitiem zijn; Het betekent dat de verwerkte persoonsgegevens verband houden met en noodzakelijk zijn voor de werkzaamheden of de dienst die door de verwerkingsverantwoordelijke wordt aangeboden. VOORBEELD: Hoewel de verwerking door een e-commercesite van de naam, achternaam en adresgegevens van de klant voor vrachtverzending binnen de reikwijdte van legitieme doeleinden valt, kan de verwerking van de meisjesnaam of bloedgroepinformatie van de moeder niet worden beschouwd als binnen de reikwijdte van legitieme doeleinden.

d) RELEVANT, BEPERKT EN PROMOTIONEEL ZIJN VOOR HET DOEL WAARVOOR ZE WORDEN VERWERKT

Dit beginsel stelt dat de verwerkte gegevens geschikt moeten zijn voor het verwezenlijken van de genoemde doeleinden, en dat de verwerking van persoonsgegevens die niet ter zake dienend of noodzakelijk is voor het bereiken van het doel wordt vermeden. VOORBEELD: Het opvragen van informatie van de persoon die een creditcard aanvraagt over zijn voorkeuren in zijn sociale leven zou in strijd zijn met het evenredigheidsbeginsel. Het verwerken van gegevens anders dan noodzakelijk voor het doel is in strijd met het beginsel van gegevensverwerking die beperkt is tot het doel. VOORBEELD: Het sturen van een e-mailadvertentie door een stichtingsuniversiteit naar de persoon die zijn/haar e-mailadres heeft verstrekt om deel te nemen aan een symposium georganiseerd door deze stichtingsuniversiteit zou in strijd zijn met het beginsel van doelbeperking.

e) BEWARING GEDURENDE DE PERIODE DIE IN DE RELEVANTE WETGEVING IS VOORZIEN OF NODIG IS VOOR HET DOEL WAARVOOR ZE WORDEN VERWERKT.

Volgens dit principe zullen verantwoordelijken voor de verwerking, als er in de relevante wetgeving een termijn is vastgelegd voor de opslag van gegevens, deze termijn in acht nemen; Als er geen dergelijke periode bestaat, kunnen zij de gegevens slechts bewaren gedurende de periode die nodig is voor het doel waarvoor ze worden verwerkt. VOORBEELD: In een campagne waarbij een tankstation mensen beloont die in een bepaalde periode een bepaalde hoeveelheid benzine kopen, moet het aan het einde van de campagne de naam en kentekengegevens verwijderen die zijn verzameld voor deelname aan de campagne, tenzij er zijn nog andere verwerkingsvoorwaarden. Persoonlijke gegevens kunnen niet worden opgeslagen op basis van de mogelijkheid van toekomstig gebruik nadat de aangegeven periode is verstreken, het doel is bereikt of de vereiste voor gegevensverwerking is geëlimineerd.

3. VOORWAARDEN VOOR DE VERWERKING VAN PERSOONSGEGEVENS

Om persoonsgegevens in overeenstemming met de wet te kunnen verwerken, moet ten minste één van de gegevensverwerkingsvoorwaarden genoemd in artikel 5 van de wet aanwezig zijn. Deze voorwaarden zijn:

a) UITDRUKKELIJKE TOESTEMMING VAN DE VERBONDEN PERSOON

Uitdrukkelijke toestemming van de betrokkene; Het moet betrekking hebben op een specifiek onderwerp, informatief zijn en vrijelijk gegeven worden. OPMERKING: Het verkrijgen van uitdrukkelijke toestemming betekent niet dat persoonsgegevens kunnen worden verwerkt in strijd met de algemene beginselen opgesomd in artikel 4 van de wet.

b) UITDRUKKELIJK BEPAALD DOOR DE WET

Als er in enige wet een duidelijke bepaling bestaat over de verwerking van persoonsgegevens, is het mogelijk om op basis van deze duidelijke bepaling persoonsgegevens te verwerken. VOORBEELD: Persoonlijke gegevens van werknemers bewaren in overeenstemming met de arbeidswet. VOORBEELD: Bankrecht art. Verwerking van klantinformatie in het bezit van banken in overeenstemming met artikel 42. VOORBEELD: Gegevensbeheerders moeten informatie invoeren in VERBIS binnen de reikwijdte van de verplichting om zich te registreren bij het Gegevensbeheerdersregister zoals geregeld in artikel 16 van wet nr. 6698. VOORBEELD: Op grond van artikel 70 van de wet op de inkomstenbelasting, verwerking van persoonsgegevens door de relevante eenheden van het ministerie van Financiën in het kader van de jaarlijkse aangifte die degenen die hun onroerend goed verhuren, moeten indienen.

c) HET IS NOODZAKELIJK VOOR DE BESCHERMING VAN HET LEVEN OF DE LICHAMELIJKE INTEGRITEIT VAN DE PERSOON DIE NIET IN STAAT IS ZIJN TOESTEMMING UIT TE VOEREN VANWEGE DAADWERKELIJKE ONMOGELIJKHEID OF ZIJN TOESTEMMING WORDT NIET VOOR RECHTSGELDIG ERKEND. om zijn/haar toestemming te geven vanwege feitelijke onmogelijkheid of zijn/haar toestemming is niet rechtsgeldig identiteit van de niet-herkende persoon of iemand anders Het is mogelijk om persoonsgegevens te verwerken als dit noodzakelijk is om het leven en de fysieke integriteit te beschermen. VOORBEELD: In gevallen waarin medisch ingrijpen vereist is om de fysieke integriteit van een bewusteloze persoon te beschermen; De naam, achternaam, identificatienummer, telefoonnummer, enz. van de persoon, voor doeleinden zoals het informeren van familieleden, het achterhalen van de geschiedenis van de patiënt via de gegevens die worden bijgehouden door geautoriseerde gezondheidszorginstellingen en het uitvoeren van de noodzakelijke interventies. Verwerking van persoonsgegevens valt binnen deze reikwijdte. VOORBEELD: Om een persoon te redden wiens vrijheid beperkt is, moeten het mobiele telefoonsignaal van hem of de verdachte, het creditcardgebruik en de transactiebewegingen, informatie over het voertuigvolgsysteem, MOBESE-gegevens, enz. Persoonsgegevens worden door de betreffende eenheden verwerkt en de locatie wordt bepaald. VOORBEELD: Bepalen van de locatie van een persoon die op de berg is gestrand door het signaal van mobiele telefoons, GPS en mobiele verkeersgegevens te verwerken om hem te redden.

d) HET IS NOODZAKELIJK OM PERSOONLIJKE GEGEVENS VAN DE PARTIJEN BIJ HET CONTRACT TE VERWERKEN, OP VOORWAARDE DAT DIT RECHTSTREEKS VERBAND HOUDT MET DE VORMING OF UITVOERING VAN EEN CONTRACT. Om persoonsgegevens te kunnen verwerken op basis van deze gegevensverwerkingsvoorwaarde, moet de verwerking daadwerkelijk plaatsvinden dienen dit doel en worden beperkt tot dit doel uitgevoerd. Bovendien mag niet worden vergeten dat de verwerkte persoonsgegevens alleen aan de partijen bij het contract mogen toebehoren en dat persoonsgegevens in het kader van het contract moeten worden verwerkt. VOORBEELD: Een makelaar verwerkt en bewaart in zijn dossier de persoonsgegevens van partijen, zoals identificatienummer, bankrekeningnummer, adres, handtekening en telefoonnummer, in het kader van het tussen verhuurder en huurder gesloten contract inzake de huur overeenkomst. VOORBEELD: Een verkoper geeft het adres van zijn klant door aan het transportbedrijf om een product dat hij aan zijn klant heeft verkocht, te leveren. VOORBEELD: In het kader van het contract dat met een salarisklant wordt afgesloten, verwerkt een bank de persoonsgegevens van de klant, zoals identificatienummer, e-mailadres, adres, handtekening, mobiel telefoonnummer, en bewaart deze in haar bestand.

e) HET IS VERPLICHT VOOR DE GEGEVENSVERWERKINGSVERANTWOORDELIJKE OM ZIJN WETTELIJKE VERPLICHTINGEN TE VOLDOEN Om deze gegevensverwerkingsvereiste te kunnen implementeren, moet de verwerking van persoonsgegevens noodzakelijk zijn voor de gegevensbeheerder om aan zijn wettelijke verplichtingen te voldoen en moet deze beperkt tot dit doeleinde worden uitgevoerd. VOORBEELD: Het registreren van het adres en de contactgegevens van de ontvanger, zodat deze aan de persoon kan worden afgeleverd door een vrachtbedrijf dat verantwoordelijk is voor het transport. VOORBEELD: Een bedrijf verwerkt bankrekeninggegevens om salarissen aan zijn werknemers te betalen. VOORBEELD: In een servicegebouw waar een seminar wordt georganiseerd, verwerking van persoonsgegevens van de deelnemers zoals identificatienummers, handtekeningen en telefoonnummers om de veiligheid van zowel de deelnemers als het gebouw te waarborgen.

f) ZIJ ZIJN GEPUBLICEERD DOOR DE GERELATEERDE PERSOON ZELF Persoonsgegevens die openbaar zijn gemaakt, dat wil zeggen op enigerlei wijze openbaar zijn gemaakt aan het publiek, kunnen worden verwerkt op voorwaarde dat dit verband houdt met het doel van openbaarmaking van de betreffende persoon. Met andere woorden: in dit geval is het mogelijk om persoonsgegevens te verwerken op basis van de wil om deze openbaar te maken. Een wilsverklaring is essentieel om deze openbaar te maken. Het feit dat persoonsgegevens door de persoon zelf openbaar zijn gemaakt, betekent dus niet dat deze persoonsgegevens voor enig ander doel kunnen worden gebruikt en verwerkt dan voor zijn wil om ze openbaar te maken. VOORBEELD: Naam, achternaam en naam van het personeel dat in een openbare instelling werkt

Als zakelijke telefoonnummers worden gedeeld op de website van de instelling om gemakkelijke toegang voor burgers te garanderen, kunnen deze telefoonnummers worden gebruikt voor zaken en transacties binnen de jurisdictie van de openbare instelling. VOORBEELD: Het gebruik van de contactgegevens van de relevante persoon die zijn voertuig wil verkopen op de website waar tweedehands voertuigen worden verkocht, voor andere marketingdoeleinden dan de aan- en verkoop van voertuigen, valt niet onder de reikwijdte van deze gegevensverwerkingsvereiste. . VOORBEELD: De persoon aan wie een advocaat zijn visitekaartje geeft, kan het GSM-nummer op het visitekaartje alleen gebruiken voor juridisch advies. Het sturen van sms’en of bellen met reclame- en campagne-inhoud naar het betreffende gsm-nummer is echter in strijd met de intentieverklaring van de advocaat.

g) GEGEVENSVERWERKING IS VERPLICHT VOOR DE VESTIGING, UITOEFENING OF BESCHERMING VAN EEN RECHT Persoonsgegevens kunnen worden verwerkt als het voor de verwerkingsverantwoordelijken noodzakelijk is om een recht voor de relevante personen vast te stellen of uit te oefenen of om de rechten van de relevante personen te beschermen. VOORBEELD: In een rechtszaak die door een eigen medewerker wordt aangespannen, wordt in deze context het gebruik door een bedrijf van bepaalde gegevens als bewijsmateriaal geëvalueerd. VOORBEELD: Verwerking van de gegevens van een persoon die door de rechtbank als ouder/voogd is aangewezen om namens de als ouder/voogd aangewezen persoon een aanvraag in te dienen bij de relevante openbare instellingen. VOORBEELD: Een advocaat verwerkt persoonsgegevens om hem in staat te stellen zijn rechten uit te oefenen, zoals het aanspannen van een rechtszaak namens zijn cliënt bij de rechtbank, het vertegenwoordigen van hem of het voeren van andere gerechtelijke procedures, in het kader van het contract dat hij met zijn cliënt heeft ondertekend.

h) DE VERWERKING VAN GEGEVENS IS VERPLICHT VOOR DE LEGITIEME BELANGEN VAN DE GEGEVENSBEHEERDER, OP voorwaarde dat dit de fundamentele rechten en vrijheden van de verbonden persoon niet schaadt. Gegevensverwerking moet noodzakelijk zijn voor het legitieme belang van de verantwoordelijke voor de verwerking en mag de fundamentele rechten en vrijheden van de betrokkene niet schaden. VOORBEELD: In het geval van een situatie zoals de verkoop of overname van een bedrijf, kan de persoon die het bedrijf overneemt, geacht worden binnen de reikwijdte van het legitieme belang 17 te vallen om bepaalde informatie te onderzoeken, waaronder de persoonlijke gegevens van het personeel. VOORBEELD: Een werkgever verwerkt de persoonsgegevens van werknemers met als doel het opzetten van arbeidsveiligheidsmechanismen om de veiligheid van werknemers in een kerncentrale te garanderen.

4. BIJZONDERE PERSOONSGEGEVENS (GEVOELIGE DATA)

(gevoelige) persoonsgegevens van bijzondere kwaliteit, een categorie die de bescherming van persoonsgegevens met strengere maatregelen vereist, zijn gegevens die ertoe kunnen leiden dat de betreffende persoon het slachtoffer wordt, wordt gediscrimineerd of zijn eer en waardigheid schaadt als deze door anderen worden vernomen. Om deze reden zijn ook in de wet geregeld welke persoonsgegevens bijzondere categorieën gegevens zijn en wat de voorwaarden zijn voor de verwerking van bijzondere categorieën persoonsgegevens. Gegevens over het ras, de etnische afkomst, de politieke overtuiging, filosofische overtuiging, religie, sekte of andere overtuigingen, uiterlijk en kleding, lidmaatschap van een vereniging, stichting of vakbond, gezondheid, seksleven, strafrechtelijke veroordeling en veiligheidsmaatregelen, evenals biometrische en genetische gegevens gegevens van bijzondere kwaliteit gelden als persoonsgegevens. Voorwaarden voor de verwerking van bijzondere persoonsgegevens: De voorwaarden voor de verwerking van deze gegevens zijn specifiek geregeld in artikel 6 van de Wet. Voor de verwerking van bijzondere persoonsgegevens is in de regel expliciete toestemming van de betreffende persoon vereist. VOORBEELD: Er moet expliciete toestemming worden verkregen van mensen die vrijwilligerswerk doen in klinisch onderzoek. In sommige gevallen is het mogelijk bijzondere persoonsgegevens te verwerken zonder uitdrukkelijke toestemming van de betreffende persoon. Voor de situaties waarin deze gegevens zonder uitdrukkelijke toestemming van de betrokkene mogen worden verwerkt, geldt echter een onderscheid als het gaat om gegevens die verband houden met de gezondheid en het seksuele leven en andere bijzondere persoonsgegevens. Volgens dit;

*Bijzondere gegevens anders dan gezondheid en seksleven; In de door de wet bepaalde gevallen kunnen de gegevens echter zonder uitdrukkelijke toestemming van de persoon worden verwerkt.

*Gegevens over gezondheid en seksleven; Ze kunnen echter zonder de uitdrukkelijke toestemming van de betrokkene worden verwerkt door personen die een geheimhoudingsplicht hebben of door bevoegde instellingen en organisaties, met het oog op de bescherming van de volksgezondheid, preventieve geneeskunde, medische diagnose, uitvoering van behandelingen en zorgdiensten, planning en beheer van gezondheidszorgdiensten en hun financiering.

OPMERKING: De wet voorziet in een uitzondering op de verwerking van sommige soorten gegevens die geldig zijn voor het verlenen van gezondheidszorgdiensten, en deze uitzondering is alleen beperkt tot personen die onderworpen zijn aan de geheimhoudingsplicht. VOORBEELD: In een situatie waarin iemand een bloeddrukbehandeling krijgt in ziekenhuis A en een hartziektebehandeling in ziekenhuis B, dragen deze twee ziekenhuisartsen gezondheidsgegevens over aan de patiënt die een operatie nodig heeft vanwege een hartziekte. Conform het 4e lid van artikel 6 van de Wet is het tevens noodzakelijk om bij de verwerking van bijzondere persoonsgegevens passende, door het Bestuur vastgestelde maatregelen te nemen. OPMERKING: In overeenstemming met artikel 6, vierde alinea, van de wet, heeft de Raad voor de Bescherming van Persoonsgegevens

Het besluit van 31/01/2018 en genummerd 2018/10 getiteld “Adequate voorzorgsmaatregelen die gegevensbeheerders moeten nemen bij de verwerking van persoonsgegevens van een bijzondere categorie” werd gepubliceerd in de Staatscourant van 07/03/2018.

5. VERWIJDERING VAN PERSOONLIJKE GEGEVENS, NR VERDELEN OF ANONIMISEREN

Volgens artikel 7 van de wet moeten persoonsgegevens, zelfs als ze in overeenstemming met de wet zijn verwerkt, ambtshalve worden verwijderd, vernietigd of geanonimiseerd door de voor de verwerking verantwoordelijke of op verzoek van de relevante persoon, wanneer de redenen die de verwerking vereisen zijn geëlimineerd.

VOORBEELD: Informatie zoals naam, achternaam en telefoonnummer die is verzameld voor een loterij in een winkelcentrum mag door het winkelcentrum niet worden gebruikt voor andere campagnes en moet worden verwijderd nadat de loterij is voltooid.

OPMERKING: De “Regeling inzake het verwijderen, vernietigen of anonimiseren van persoonsgegevens”, opgesteld door de Raad voor de Bescherming van Persoonsgegevens op basis van de bevoegdheid verleend door artikel 7, derde alinea, van de wet, werd gepubliceerd in het Staatsblad van 28.10.2017 en opgenomen in in werking op 01.01.2018.

OPMERKING: Overeenkomstig artikel 22, paragraaf (1), subparagraaf (g) van de wet heeft de Raad voor de Bescherming van Persoonsgegevens de “Verwijdering, vernietiging of anonimisering van persoonsgegevens” ingesteld om gegevensbeheerders te begeleiden bij het verwijderen, vernietigen of anonimiseren en om voorbeelden van goede praktijken te tonen. Er is een “Introductiegids” opgesteld en deze gids kan worden geraadpleegd op de website van de instelling.

a) VERWIJDERING VAN PERSOONLIJKE GEGEVENS Het verwijderen van persoonlijke gegevens is het proces waarbij persoonlijke gegevens op enigerlei wijze ontoegankelijk en onbruikbaar worden gemaakt voor de relevante gebruikers (iedereen behalve degenen die verantwoordelijk zijn voor het technisch opslaan, beschermen en back-uppen van de gegevens bij de gegevensbeheerder of gegevensverwerker) . VOORBEELD: Een bedrijf dat de persoonlijke gegevens van zijn werknemers op de server bewaart, past een verwijderingsproces toe op de gegevens voor het geval een van de werknemers de baan verlaat, omdat het de server waarop deze gegevens zijn opgeslagen niet volledig kan vernietigen. Hoewel deze gegevens door de databasebeheerder kunnen worden opgehaald door bepaalde technieken toe te passen, zullen ze niet toegankelijk zijn voor personeelszaken of voor medewerkers van andere eenheden. VOORBEELD: Er werden sollicitaties ontvangen voor een functie in een bedrijf, en de persoonlijke gegevens in alle sollicitaties werden op papier overgebracht naar de lijst op basis van de ID-nummers van de 23 kandidaten, en de sollicitatiedocumenten werden ter bewaring in het relevante bestand gearchiveerd. Als een van de sollicitanten de sollicitatie afwijst terwijl de evaluaties in het bedrijf doorgaan, is de eis ontstaan dat de gegevens van deze persoon moeten worden verwijderd, vernietigd of geanonimiseerd, aangezien de verwerkingsvereiste voor deze persoon vervalt. In dit geval is het mogelijk de aanvraagdocumenten te vernietigen. Als er echter een lijst is opgesteld met daarin alle aanvragen, zou het niet opportuun zijn om deze lijst te vernietigen vanwege het voortduren van de verwerkingsvoorwaarden van andere personen op deze lijst, zodat alleen de gegevens van de persoon die de aanvraag heeft opgegeven, kunnen worden gebruikt. worden zwart gemaakt in de relevante lijst.

b) VERNIETIGING VAN PERSOONLIJKE GEGEVENS Vernietiging van persoonlijke gegevens is het proces waarbij persoonlijke gegevens voor iedereen ontoegankelijk, onherstelbaar en onbruikbaar worden gemaakt. VOORBEELD: In het kader van een symposium worden de persoonsgegevens van de mensen die aan het symposium zullen deelnemen door het organisatiebedrijf op een draagbaar geheugen of CD bewaard. De betreffende gegevens dienen na afloop van het symposium en het verstrijken van de vereiste bewaartermijn te worden vernietigd. In dit geval kan het draagbare geheugen of de cd met persoonlijke gegevens van de deelnemers worden gebroken, verbrand of door een metalen slijpmachine worden gehaald.

c) ANONIMISEREN VAN PERSOONLIJKE GEGEVENS Het anonimiseren van persoonlijke gegevens betekent dat deze gegevens op geen enkele manier in verband kunnen worden gebracht met een identificeerbare echte persoon, zelfs als ze worden gekoppeld aan andere gegevens. VOORBEELD: In een onderzoek dat in een buurt werd uitgevoerd door een onderzoeksbureau voor de publieke opinie, werd gevraagd naar informatie zoals naam, achternaam, TR ID-nummer, leeftijd, geslacht, betalingsvoorkeuren, gebruikt model mobiele telefoon, eigendom van het voertuigmerk, kleding en merkvoorkeuren. en de resultaten van het onderzoek werden met het publiek gedeeld. Volgens dit; Degenen die een persoon rechtstreeks kunnen identificeren of identificeren, zoals naam, achternaam, TR ID-nummer, enz., kunnen anoniem worden gemaakt door ze uit de lijst te verwijderen, ze onzichtbaar te maken door ze te asterisken/onderdrukken, ze te generaliseren en technieken te gebruiken zoals k-anonimiteit, l-diversiteit, 25 t-nabijheid. OPMERKING: Iedereen heeft het recht om contact op te nemen met de verantwoordelijke voor de verwerking en te verzoeken om verwijdering of vernietiging van persoonlijke gegevens die op hem/haar betrekking hebben, binnen het kader van de voorwaarden bepaald in artikel 7 van de wet.

6. BEKENDMAKINGSVERPLICHTING

De verantwoordelijke voor de verwerking of de door hem/haar gemachtigde persoon is verplicht om de relevante personen te informeren over de volgende kwesties in overeenstemming met artikel 10 van de wet tijdens de verwerving van persoonsgegevens:

Identiteit van de verantwoordelijke voor de verwerking en zijn vertegenwoordiger, indien van toepassing,
Met welk doel worden persoonsgegevens verwerkt,
Aan wie en voor welk doel de verwerkte persoonsgegevens kunnen worden overgedragen,
Methode en juridische reden voor het verzamelen van persoonlijke gegevens,
Andere rechten van de relevante persoon opgesomd in artikel 11 van de wet.

OPMERKING: Het “Communiqué over de procedures en beginselen die moeten worden gevolgd bij het nakomen van de openbaarmakingsplicht”, gepubliceerd in de Staatscourant van 10.03.2018, regelt de zaken waarmee gegevensbeheerders rekening moeten houden bij het nakomen van deze verplichting. Terwijl het aansteken;

Het doel van de verwerking van persoonsgegevens moet specifiek, duidelijk en legitiem zijn,
De mededeling aan de betrokken persoon moet begrijpelijk en eenvoudig zijn,
Bij het bepalen van het taalgebruik moet rekening worden gehouden met de categorie personen aan wie de informatie is gericht;
Dubbelzinnige uitdrukkingen en technische termen moeten in teksten worden vermeden,
Onvolledige, misleidende of onjuiste informatie mag niet in de teksten worden opgenomen. In het kader van de informatieplicht kan het mogelijk zijn dat de betrokken personen schriftelijk of mondeling worden geïnformeerd, maar ook elektronisch via een e-mail, stemopname of callcenter.

OPMERKING: In gevallen waarin persoonsgegevens worden verwerkt met de uitdrukkelijke toestemming van de relevante persoon of op basis van andere voorwaarden voor gegevensverwerking in de wet, is het verplicht om aan de informatieplicht te voldoen.

OPMERKING: De verantwoordelijke voor de verwerking moet aan zijn informatieplicht voldoen zonder op het verzoek van de relevante persoon te wachten. LET OP: De verantwoordelijke voor de verwerking is verplicht te bewijzen dat hij aan zijn informatieplicht heeft voldaan.

OPMERKING: 28 29 “Gids voor het nakomen van de openbaarmakingsplicht” is opgesteld en gepubliceerd op de website van de Autoriteit door de Autoriteit Persoonsgegevens om gegevensbeheerders te begeleiden bij het voldoen aan de openbaarmakingsplicht en om voorbeelden van goede praktijken te tonen.

7. RECHTEN VAN DE VERBONDEN PERSOON

Volgens artikel 11 van de wet kunnen de relevante personen altijd contact opnemen met de verwerkingsverantwoordelijke en;

Leren of persoonlijke gegevens worden verwerkt of niet,
Het opvragen van informatie als er persoonsgegevens zijn verwerkt,
Leren wat het doel is van het verwerken van persoonsgegevens en of deze worden gebruikt voor het beoogde doel,
Het kennen van de derde partijen aan wie persoonsgegevens worden doorgegeven in binnen- of buitenland,
Het verzoeken om correctie van persoonsgegevens als deze onvolledig of onjuist zijn verwerkt,
Het verzoeken om verwijdering of vernietiging van persoonsgegevens in het kader van de voorwaarden bepaald in artikel 7 van de wet,
Om correctie, verwijdering of vernietiging te verzoeken om op de hoogte te worden gesteld van derden aan wie persoonlijke gegevens zijn overgedragen,
Bezwaar maken tegen het ontstaan van een resultaat dat ongunstig is voor het individu door de verwerkte gegevens uitsluitend via automatische systemen te analyseren,
Bij schade als gevolg van onrechtmatige verwerking van persoonsgegevens hebben zij het recht om vergoeding van de schade te eisen. 30 OPMERKING: De verantwoordelijke voor de verwerking moet zo snel mogelijk en uiterlijk binnen 30 dagen op het verzoek reageren. Als de aanvraag echter wordt afgewezen of als het antwoord onvoldoende is, kunnen de betrokken personen binnen 30 dagen een klacht indienen bij het Bestuur, of als er niet binnen 60 dagen na de datum van aanvraag op de aanvraag wordt gereageerd.

OPMERKING: Relevante personen moeten eerst contact opnemen met de gegevensbeheerders met betrekking tot hun verzoeken op grond van artikel 11 van de wet. Er mag geen klacht worden ingediend bij het College Bescherming Persoonsgegevens voordat deze mogelijkheid is uitgeput.

8. TOEPASSING OP DE GEGEVENSVERWERKER

Artikel 13 van de wet regelt de zaken met betrekking tot de toepassing van de relevante persoon op de verantwoordelijke voor de verwerking. Volgens paragraaf 1 van het artikel zijn relevante personen verplicht om hun verzoeken met betrekking tot de implementatie van de wet eerst aan de verantwoordelijke voor de verwerking over te brengen. Relevante personen worden in de gelegenheid gesteld hun verzoeken schriftelijk of op andere door het Bestuur bepaalde wijze bij de verantwoordelijke voor de verwerking in te dienen.

OPMERKING: Aanvragen die door de relevante personen bij de verantwoordelijke voor de verwerking moeten worden ingediend, kunnen schriftelijk worden ingediend of op een andere door het Bestuur bepaalde manier. In deze context worden andere door de Raad van Bestuur bepaalde methoden geregeld in de “Communiqué over de procedures en beginselen van toepassing op de verantwoordelijke voor de verwerking”, gepubliceerd in de Staatscourant van 10.03.2018.

OPMERKING: Volgens artikel 5 van het Communiqué kan de relevante persoon zijn/haar verzoeken indienen binnen de reikwijdte van zijn/haar rechten gespecificeerd in artikel 11 van de wet, schriftelijk of via een geregistreerd elektronisch postadres (KEP), met een beveiligde elektronische handtekening. , mobiele handtekening, of via een document dat eerder door de relevante persoon aan de gegevensbeheerder is meegedeeld en in het systeem van de gegevensbeheerder. Het wordt verzonden naar de gegevensbeheerder met behulp van het geregistreerde e-mailadres of via een software of applicatie die is ontwikkeld met het doel sollicitatie. In de 2e paragraaf van hetzelfde artikel, de verantwoordelijke voor de verwerking die het verzoek ontvangt; Het is de bedoeling om het verzoek zo snel mogelijk en uiterlijk binnen 30 dagen kosteloos te beoordelen, te aanvaarden of af te wijzen met opgave van de reden, of, indien de transactie extra kosten met zich meebrengt, tegen betaling van een vergoeding, afhankelijk van het door het Bestuur vastgestelde tarief, en het antwoord aan de desbetreffende persoon mededelen.

OPMERKING: Er is rekening mee gehouden dat de verantwoordelijke voor de verwerking een natuurlijke persoon of een particuliere onderneming kan zijn en dat deze niet onderworpen zijn aan de kennisgevingswet nr. 7201. Hier wordt bepaald dat de verantwoordelijke voor de verwerking zijn/haar/ haar reactie aan de betreffende persoon. Deze melding is een bewijskwestie en zal indien nodig door de gerechtelijke autoriteiten worden afgehandeld. Het is duidelijk dat instellingen en organisaties die onderworpen zijn aan Wet nr. 7201 deze kennisgevingen zullen doen door middel van een officiële kennisgeving in overeenstemming met de bepalingen van genoemde wet. In overeenstemming met lid 3 van het artikel aanvaardt de verantwoordelijke voor de verwerking het verzoek of wijst het af met opgave van de reden. De verantwoordelijke voor de verwerking brengt de betrokkene schriftelijk of elektronisch op de hoogte van zijn reactie. Als het verzoek in de applicatie wordt geaccepteerd, zal de gegevensbeheerder aan zijn vereisten voldoen. Als de aanvraag het gevolg is van een fout van de verwerkingsverantwoordelijke, wordt de geïnde vergoeding terugbetaald aan de betreffende partij.

VOORBEELD: Een persoon die het bedrijf waarvoor hij werkt verlaat, kan verzoeken om verwijdering of vernietiging van zijn persoonlijke gegevens door een aanvraag in te dienen bij de verantwoordelijke voor de verwerking via de door de Raad vastgestelde methoden. De verantwoordelijke voor de verwerking maakt een evaluatie en geeft een antwoord aan de betreffende persoon. De verwerkingsverantwoordelijke aanvaardt het verzoek van de betreffende persoon binnen 30 dagen of wijst dit af met opgave van de reden. Indien de aanvraag wordt afgewezen of het gegeven antwoord onvoldoende is voor de betrokkene, kan de betrokkene binnen 30 dagen na ontvangst van het antwoord een klacht indienen bij het Bestuur. Als de aanvraag niet wordt beantwoord door de verantwoordelijke voor de verwerking; kan binnen 60 dagen na de datum van de aanvraag een klacht indienen bij het bestuur.

VOORBEELD: Omdat het adres van een bankklant is gewijzigd, worden creditcardafschriften naar zijn oude adres verzonden en heeft de persoon geen toegang tot de afschriften. De persoon heeft het recht om contact op te nemen met de verantwoordelijke voor de verwerking en om correctie van onvolledige of onjuist verwerkte gegevens te verzoeken. Indien nodig kan de betrokkene ook een klacht indienen bij het Bestuur naar aanleiding van het ontvangen antwoord van de verantwoordelijke voor de verwerking. VOORBEELD: De informatie van de persoon die tijdens het ziekenhuisregistratieproces zijn informatie aan de registratiefunctionaris heeft doorgegeven, werd door andere mensen in de wachtrij geleerd doordat het personeel deze informatie hardop herhaalde. De betrokkene die last heeft van deze situatie kan zich eerst wenden tot het ziekenhuis dat verantwoordelijk is voor de verwerking en er voor kiezen om een klacht in te dienen bij het Bestuur, afhankelijk van de aard van het antwoord dat hij krijgt.

VOORBEELD: Als een persoon die verneemt dat zijn persoonsgegevens onrechtmatig zijn verwerkt door een verantwoordelijke voor de verwerking, zijn aanvraag heeft ingediend via de mobiele applicatie die door de verantwoordelijke voor de verwerking is ontwikkeld voor het doel van de aanvraag, moet de verantwoordelijke voor de verwerking zo snel mogelijk en binnen Uiterlijk 30 dagen vanaf deze datum. Als de aanvraag echter wordt afgewezen of als het antwoord onvoldoende is, kunnen de betrokken personen binnen 30 dagen een klacht indienen bij het Bestuur, of als er niet binnen 60 dagen na de datum van aanvraag op de aanvraag wordt gereageerd.

9. KLACHT BIJ HET BESTUUR EN BEOORDELINGSPROCES

Het is voor de relevante personen van wie de persoonsgegevens worden verwerkt mogelijk om zich eerst tot de verantwoordelijke voor de verwerking te wenden terwijl zij hun rechten uitoefenen zoals bepaald in artikel 11 van de wet, en vervolgens, afhankelijk van de aard van het antwoord, een klacht in te dienen bij de Raad.

KLACHT BIJ HET BESTUUR Artikel 14 van de wet regelt het onderwerp van de klacht bij het Bestuur. Volgens dit; In gevallen waarin de aanvraag die in het kader van artikel 13 van de wet is ingediend, wordt afgewezen, het gegeven antwoord onvoldoende blijkt te zijn of er niet tijdig op de aanvraag wordt gereageerd, kan de betrokken persoon binnen 30 dagen een klacht indienen bij het bestuur. dagen vanaf de datum waarop u het antwoord van de verantwoordelijke voor de verwerking verneemt, en in ieder geval binnen 60 dagen vanaf de datum van de aanvraag. In het tweede lid van het artikel wordt bepaald dat de aanvraagfase geregeld in artikel 13 van de wet een verplichte aanvraagmethode is en dat er geen klacht kan worden ingediend zonder dat dit rechtsmiddel is uitgeput. Het is dus bedoeld om een bepaald deel van de geschillen tussen de voor de verwerking verantwoordelijken op te lossen en zo te voorkomen dat de Raad met een zware werkdruk wordt geconfronteerd. Omdat de aanvraag verplicht en optioneel is, zal het voor de betrokkene wiens aanvraag impliciet of expliciet wordt afgewezen, mogelijk zijn een klacht in te dienen bij het College en anderzijds gerechtelijke of bestuursrechtelijke stappen te ondernemen. Paragraaf 3 van het artikel regelt dat het recht op schadevergoeding van degenen wier persoonlijke rechten zijn geschonden, wordt voorbehouden in overeenstemming met de algemene bepalingen. In deze context kunnen de betrokkenen, afhankelijk van de juridische status van de verantwoordelijke voor de verwerking, een rechtszaak aanspannen bij de rechterlijke of administratieve jurisdictie.

VOORBEELD: SMS met advertenties en campagnes worden zonder toestemming van de gegevensbeheerder naar het telefoonnummer van de betrokkene verzonden. In dit geval de relevante persoon; kan zijn/haar verzoek schriftelijk of elektronisch indienen bij de verantwoordelijke voor de verwerking. De verwerkingsverantwoordelijke is verplicht om binnen 30 dagen op het verzoek van de betreffende persoon te reageren. Afhankelijk van het ontvangen antwoord van de verantwoordelijke voor de verwerking kan de betrokkene desgewenst een klacht indienen bij het Bestuur.

OPMERKING: In gevallen waarin de verantwoordelijke voor de verwerking op geen enkele manier kan worden bereikt of de verantwoordelijke voor de verwerking niet kan worden geïdentificeerd, kan de betreffende persoon rechtstreeks een klacht indienen bij het Bestuur, op voorwaarde dat hij/zij over een verifieerbaar document beschikt.

PROCEDURE EN PRINCIPES VAN ONDERZOEK OP BASIS VAN KLACHTEN OF OFFICIËLE Artikel 15 van de wet regelt de procedures en principes van het onderzoek dat door de Raad moet worden uitgevoerd. Dienovereenkomstig kan de Raad, na een klacht of bij kennisname van een vermeende overtreding, ambtshalve de nodige onderzoeken uitvoeren naar zaken die binnen zijn taakgebied vallen. Dit onderzoek zal specifiek gericht zijn op de klacht of op het onderwerp van de ambtshalve geleerde klacht. Kennisgevingen en klachten die niet voldoen aan de voorwaarden vermeld in artikel 6 van wet nr. 3071 betreffende de uitoefening van het petitierecht worden niet in aanmerking genomen. Verwerkingsverantwoordelijken zijn verplicht om binnen 15 dagen de gevraagde informatie en documenten, met uitzondering van informatie en documenten die staatsgeheim vormen, naar het Bestuur te sturen of indien nodig inspectie ter plaatse mogelijk te maken. Bij klacht onderzoekt het College het verzoek en geeft een antwoord aan de betrokken partijen. Als er binnen 60 dagen na de datum van de klacht geen antwoord wordt gegeven, wordt het verzoek geacht te zijn afgewezen. Dienovereenkomstig begint de periode voor het indienen van een rechtszaak in de administratieve jurisdictie nadat 60 dagen zijn verstreken vanaf de datum van de klacht. Hoewel er een termijn van 60 dagen is voorzien waarbinnen de Raad de klacht zal onderzoeken, wordt er geen termijn voorzien voor de onderzoeken die hij ambtshalve zal uitvoeren.

OPMERKING: Vergeet niet dat; Naar aanleiding van de klacht van de betrokken persoon onderzoekt het College het verzoek en geeft een antwoord aan de betrokken personen. De reactie van het College betekent niet dat het de aanvraag heeft afgerond. Het beoordelingsproces kan worden voortgezet. Indien naar aanleiding van de klacht of ambtshalve onderzoek blijkt dat er sprake is van een overtreding, besluit het Bestuur dat de geconstateerde onrechtmatigheid zal worden verholpen door de verantwoordelijke voor de verwerking en stelt het de betrokken partijen hiervan op de hoogte. Dit besluit wordt onverwijld en uiterlijk binnen dertig dagen na de kennisgeving ervan ten uitvoer gelegd. Indien naar aanleiding van het op klacht of ambtshalve uitgevoerde onderzoek wordt vastgesteld dat de overtreding wijdverbreid is, wordt door het College een principebesluit 39 genomen en gepubliceerd, waarbij zo nodig rekening wordt gehouden met de opvattingen van relevante instellingen en organisaties. . In geval van onherstelbare of onmogelijke schade en een duidelijke overtreding van de wet krijgt het Bestuur de bevoegdheid om te besluiten de gegevensverwerking of de overdracht van gegevens naar het buitenland stop te zetten.

VOORBEELD: In geval van een duidelijke overtreding van wet nr. 6698 kan de Raad een administratieve boete opleggen binnen de reikwijdte van artikel 18, en kan hij ook besluiten de toegang tot gegevens te beperken, de verwerking van gegevens stop te zetten of deze naar het buitenland over te dragen in geval van onherstelbare of onmogelijke schade.

10. REGISTRATIE IN HET REGISTER VAN GEGEVENSVERWERKERS

Artikel 16 van de wet regelt het register van gegevensbeheerders, waar gegevensbeheerders zich moeten registreren. Het register van gegevensbeheerders wordt openbaar gehouden door het voorzitterschap, onder toezicht van de Raad voor de bescherming van persoonsgegevens. Natuurlijke en rechtspersonen die persoonsgegevens verwerken, moeten zich registreren bij het Data Controllers Register voordat ze beginnen met het verwerken van gegevens. Het College kan echter een uitzondering toestaan op de verplichting tot inschrijving in het Register, daarbij rekening houdend met door het College vast te stellen objectieve criteria, zoals de aard en het aantal verwerkte gegevens, of de gegevensverwerking voortvloeit uit de wet dan wel of het wordt overgedragen aan derden.

OPMERKING: In overeenstemming met artikel 16, lid 1, van de wet en de relevante artikelen van de Verordening inzake het register van gegevensbeheerders, is het registerinformatiesysteem voor gegevensbeheerders (VERBİS) opgesteld en beschikbaar gesteld voor gebruik. Behoudens uitzonderingen zijn natuurlijke en rechtspersonen die persoonsgegevens verwerken verplicht zich bij VERBIS te registreren. 41 Een aanvraag tot registratie bij het register van gegevensbeheerders wordt ingediend met een kennisgeving die het volgende bevat;

Identiteits- en adresgegevens van de verantwoordelijke voor de verwerking en zijn vertegenwoordiger, indien van toepassing,
Met welk doel worden persoonsgegevens verwerkt,
Uitleg over de personengroep(en) van betrokkenen en de gegevenscategorieën die bij deze personen horen,
Ontvangers of ontvangersgroepen waaraan persoonsgegevens kunnen worden overgedragen,
Persoonsgegevens die bedoeld zijn om naar het buitenland te worden overgedragen,
Maatregelen die zijn genomen met betrekking tot de beveiliging van persoonsgegevens,
Maximale termijn nodig voor het doel waarvoor persoonsgegevens worden verwerkt. Gegevensbeheerders registreren zich bij VERBIS met een melding met deze informatie. Elke wijziging in de betreffende informatie wordt onmiddellijk gemeld aan het voorzitterschap van de instelling.

OPMERKING: Volgens artikel 13 van de Verordening betreffende het register van gegevensbeheerders moet, als er een wijziging is in de informatie die in het register is geregistreerd, binnen zeven dagen na de datum van de wijziging een update via VERBIS worden uitgevoerd. Andere procedures en beginselen met betrekking tot het register van gegevensbeheerders worden geregeld door de verordening.

OPMERKING: De “Verordening betreffende het register van gegevensbeheerders”, opgesteld door de Raad voor de Bescherming van Persoonsgegevens, op basis van de bevoegdheid verleend door artikel 16, lid 5, van de wet, is in werking getreden op 1 januari 2018.

OPMERKING: VERBIS-registratiedata worden bepaald door bestuursbesluit nr. 2018/88. Het betreffende bestuursbesluit is te vinden op www. Het is toegankelijk via kvkk.gov.tr. In Bestuursbesluit nr. 2018/88 werden de startdata van de registratieverplichting als volgt bepaald en aangekondigd: 43 Gegevensbeheerders Startdatum registratie Duur Deadline voor registratie Echte en juridische entiteiten met meer dan 50 werknemers op jaarbasis of meer dan 25 miljoen TL op jaarbasis financieel balanstotaal verantwoordelijken voor persoonsgegevens 01.10.2018 12 maanden 30.09.2019 Voor verantwoordelijken voor persoonsgegevens en rechtspersonen woonachtig in het buitenland 01.10.2018 12 maanden 30.09.2019 Het jaarlijkse aantal werknemers is minder dan 50 en het jaarlijkse financiële balanstotaal is minder dan 25 miljoen TL en de hoofdactiviteit bestaat uit verwerkingsverantwoordelijken van natuurlijke en rechtspersonen die bijzondere persoonsgegevens verwerken 01.01.2019 15 maanden 31.03.2020 Gegevensbeheerders van overheidsinstellingen en organisaties 01.04.2019 15 maanden 30.06.2020 OPMERKING: Om de het jaarlijkse aantal werknemers dat is opgenomen in de besluiten van de Raad van Bestuur, dit moet eerst een voltooid jaar zijn, en de maandelijkse premies die door de verantwoordelijke voor de verwerking aan geautoriseerde openbare instellingen en organisaties worden betaald in elk van ten minste zeven van de twaalf maanden binnen dit voltooide jaar, en het aantal Er moet rekening worden gehouden met het aantal werknemers dat in de summiere aangifte wordt vermeld. Bovendien is het niet nodig dat de betreffende 7 maanden aaneengesloten zijn, mits ze binnen hetzelfde jaar vallen. Als het aantal werknemers dat door een verantwoordelijke voor de verwerking is aangegeven in ten minste 7 van de in 2017 bij de Sociale Zekerheidsinstelling ingediende inhoudings- en premiedienstaangiften meer dan 50 bedraagt, gaat de registratieplicht in op 01.10.2018.

OPMERKING: Om het jaarlijkse financiële balanstotaal te berekenen dat is opgenomen in de besluiten van het Bestuur, moet het eerst een voltooid jaar zijn en binnen dit voltooide jaar moet het worden opgenomen in de rubriek “actief” of “aansprakelijk” in de bijgevoegde jaarrekening. op de inkomsten- of vennootschapsbelastingaangifte die jaarlijks door de verantwoordelijke voor de verwerking wordt ingediend bij de bevoegde openbare instelling. Als basis moet het totale oppervlaktecijfer worden genomen.

OPMERKING: Bij het bepalen of het hoofdonderwerp van de activiteit in de besluiten van het Bestuur de verwerking van bijzondere persoonsgegevens is, de activiteiten waarin de verantwoordelijken voor de verwerking de meeste toegevoegde waarde opleveren, of dat bijzondere persoonsgegevens worden verwerkt vanwege de belangrijkste werkzaamheden en taken die zij uitvoeren buiten rekening worden gehouden. Met andere woorden, wat hier geëvalueerd moet worden is; Het gaat er niet om of bij één van de activiteiten van de verantwoordelijken voor de verwerking bijzondere persoonsgegevens worden verwerkt, maar of het onderwerp van de werkzaamheden die zij in het kader van hun hoofdactiviteiten verrichten bijzondere persoonsgegevens zijn. Bovendien wordt op basis van artikel 11 van wet nr. 5429 de NACE Rev.2-classificatie van economische activiteiten, opgesteld onder coördinatie van TÜİK, sinds 2012 gebruikt in alle openbare instellingen en organisaties in ons land, en bepaalt onze instelling ook de informatie van de gegevensbeheerders.

Deze NACE-activiteitcodes worden gebruikt om de activiteitsonderwerpen te bepalen. In deze context wordt rekening gehouden met de activiteitscodes van de verantwoordelijken voor de verwerking in het handelsregister of de belastingplaat.

OPMERKING: In het besluit van het Bestuur is de startdatum van de registratieplicht voor alle gegevensbeheerders die in het buitenland wonen vastgesteld op 01.10.2018. Bij het bepalen van de ingangsdatum van de registratieplicht van in het buitenland woonachtige voor de verwerking verantwoordelijken wordt dan ook geen rekening gehouden met het jaarlijkse aantal werknemers, de totale financiële balans en de vraag of gevoelige persoonsgegevens het voornaamste werkterrein zijn.

VOORBEELD: Op de personeelsafdeling van een binnenlands autobedrijf worden naast de persoonsgegevens van de werknemers ook enkele gezondheidsgegevens verwerkt. In dit geval moet, om te bepalen of het bedrijf verplicht is zich in het register te registreren, eerst het belangrijkste werkterrein worden bepaald. Het feit dat sommige gezondheidsgegevens naast de persoonsgegevens van medewerkers worden verwerkt, betekent niet dat de hoofdactiviteit het verwerken van bijzondere persoonsgegevens is. Aangezien het een automobielbedrijf betreft, zal de hoofdactiviteit van het bedrijf niet worden beschouwd als het verwerken van gevoelige persoonsgegevens. Hierbij moet worden nagegaan of aan de criteria uit het bestuursbesluit nr. 2018/88 is voldaan en of er sprake is van registratieplicht of niet.

VOORBEELD: Een bedrijf met hoofdkantoor in het buitenland heeft een filiaal in Turkije. Om te bepalen of het filiaal actief in Turkije verplicht is zich te registreren bij VERBIS, het filiaal in Turkije;

Heeft het een andere rechtspersoon?
Bepaalt zij de doeleinden en methoden voor de verwerking van persoonsgegevens?
Is hij/zij verantwoordelijk voor het opzetten en beheren van het gegevensregistratiesysteem? moet de vragen positief beantwoorden. In dit geval moet het filiaal in Turkije, in tegenstelling tot het bedrijf in het buitenland, een verwerkingsverantwoordelijke zijn bij VERBIS als het voldoet aan een van de criteria in Bestuursbesluit nr. 2018/88.

LET OP: Op basis van de bevoegdheid verleend door artikel 16, tweede lid, van de wet, heeft het College Bescherming Persoonsgegevens voor sommige verantwoordelijken voor de verwerking een uitzondering gemaakt op de VERBIS-registratieplicht. Deze uitzonderingen zijn aangekondigd in de Staatscourant van 15.05.2018 en 18.08.2018 en aangekondigd op de website van de instelling. Gegevensbeheerders die door het bestuursbesluit zijn vrijgesteld van de registratieplicht. Bestuursbesluiten gepubliceerd in het staatsblad van 15.05.2018 Bestuursbesluiten gepubliceerd in het staatsblad van 18.08.2018 Degenen die persoonsgegevens verwerken op niet-automatische wijze Douaneconsulenten Notarissen Bemiddelaars Politieke partijen, verenigingen , Stichtingen, Vakbonden Jaarlijks aantal werknemers 50′ Degenen wier jaarlijkse financiële balans minder dan 25 miljoen TL bedraagt en wier hoofdactiviteit niet het verwerken van bijzondere persoonsgegevens is, advocaten, onafhankelijke accountants, financiële adviseurs en gecertificeerde openbare accountants, alle gegevensbeheerders die dat wel zijn niet binnen de reikwijdte van de vrijstelling valt, kunt u zich bij VERBIS registreren door in te loggen via www.kvkk.gov.tr. Bij registratie bij VERBIS worden door de verantwoordelijken voor de verwerking geen persoonsgegevens opgenomen; er wordt alleen informatie ingevoerd zoals welk type persoonsgegevens worden verwerkt, voor welk doel deze worden verwerkt, aan wie deze worden overgedragen en welke maatregelen zijn genomen. het systeem op categorische basis onder de kopjes.

VOORBEELD: Als een bedrijf naam-achternaam en ID-nummer als gegevens verwerkt, kiest het bij de registratie bij VERBIS voor de optie ‘Ik verwerk ID-gegevens’. In die zin is VERBIS open voor het publiek en gebaseerd op de principes van transparantie en verantwoording. Indien de door verwerkingsverantwoordelijken verwerkte persoonsgegevens geen tegenhanger hebben in de categorieën in VERBIS, kunnen deze gegevenscategorieën handmatig worden ingevoerd door in VERBIS op de knop ‘anders’ te klikken. Als u zich niet bij dit systeem registreert, wordt door het bestuur een administratieve boete opgelegd, variërend van 20.000 TL tot 1 miljoen TL. De bedragen van de administratieve boetes in kwestie worden ieder jaar verhoogd volgens het tarief van de “herwaardering”. Als publieke instellingen en organisaties niet bij VERBIS zijn geregistreerd; Er wordt gehandeld conform de disciplinaire bepalingen en het resultaat wordt gerapporteerd aan het bestuur.

11. UITZONDERINGEN

Artikel 28 van de wet regelt situaties die volledig buiten het toepassingsgebied van de wet vallen en activiteiten die gedeeltelijk buiten het toepassingsgebied van de wet vallen.

GEVALLEN WAAR DE WET NIET VOLLEDIG ZAL WORDEN TOEGEPAST In de eerste paragraaf van artikel 28 van de Wet, de situaties waarin de bepalingen van de Wet niet zullen worden toegepast, met andere woorden, de zaken die volledig buiten het toepassingsgebied van de Wet vallen, zijn gereguleerd. OPMERKING: Principes met betrekking tot de verwerking van persoonsgegevens moeten de kern vormen van alle activiteiten op het gebied van de verwerking van persoonsgegevens en alle activiteiten op het gebied van de verwerking van persoonsgegevens moeten worden uitgevoerd in overeenstemming met deze principes. Hoewel er op basis van verschillende activiteiten volledige en gedeeltelijke vrijstellingen van de wet zijn voorzien, moeten persoonsgegevens daarom in overeenstemming met de basisbeginselen en proportioneel worden verwerkt. Dienovereenkomstig zijn de bepalingen van wet nr. 6698 niet van toepassing in de volgende gevallen;
Verwerking van persoonsgegevens door echte personen in het kader van activiteiten die verband houden met henzelf of hun familieleden die in dezelfde woning wonen, op voorwaarde dat deze niet aan derden worden doorgegeven en dat aan de verplichtingen met betrekking tot gegevensbeveiliging wordt voldaan. mobiele telefoon, het opslaan ervan en het invoeren van hun identiteitsgegevens in het telefoonboek vallen buiten het toepassingsgebied van de wet.
Verwerking van persoonsgegevens voor doeleinden zoals onderzoek, planning en statistieken door deze te anonimiseren met officiële statistieken. VOORBEELD: Persoonsgegevens die door de bevoegde openbare instelling worden verwerkt binnen de reikwijdte van het officiële statistiekprogramma (RIP) vallen buiten de reikwijdte van de wet. De openbare instelling in kwestie blijft echter verplicht om te voldoen aan wet nr. 6698 als het gaat om persoonsgegevens die zij verwerkt buiten de officiële statistieken om.

VOORBEELD: Door een gegevensbeheerder; Persoonsgegevens die voor doeleinden als onderzoek, planning en statistiek51 worden verwerkt door ze anoniem te maken, vallen eveneens buiten het toepassingsgebied van de wet. Er moet echter voor worden gezorgd dat op deze manier verwerkte persoonsgegevens geanonimiseerd worden.

Verwerking van persoonsgegevens voor artistieke, historische, literaire of wetenschappelijke doeleinden of in het kader van de vrijheid van meningsuiting, op voorwaarde dat dit geen inbreuk maakt op de nationale defensie, de nationale veiligheid, de openbare veiligheid, de openbare orde, de economische veiligheid, de privacy van het privéleven of de persoonlijke rechten of een misdaad vormen,

VOORBEELD: Hoewel persoonsgegevens die worden verwerkt in het kader van de vrijheid van meningsuiting buiten het toepassingsgebied van de wet vallen, wordt aanbevolen om een soort evenwichtstest uit te voeren tussen de vrijheid van meningsuiting en de bescherming van persoonsgegevens. Er moet een evenwicht tot stand worden gebracht tussen de vrijheid van meningsuiting en het recht op bescherming van persoonsgegevens, gebaseerd op het concrete geval, door een eerlijk en redelijk evenwicht in acht te nemen tussen de vrijheid van meningsuiting en de verwachting en vraag van het individu om te profiteren van het recht op bescherming van persoonlijke gegevens.

VOORBEELD: Het gebruik van persoonsgegevens in de vorm van een biografie van het leven van een algemeen bekende kunstenaar, op voorwaarde dat dit de nationale defensie, de nationale veiligheid, de openbare veiligheid, de openbare orde, de economische veiligheid, de privacy van het privéleven of persoonlijke rechten niet schendt of een misdaad vormen, is beperkt tot dit werkterrein, op voorwaarde dat dit buiten de reikwijdte van wet nr. 6698 valt.

Verwerking van persoonsgegevens in het kader van preventieve, beschermende en inlichtingenactiviteiten uitgevoerd door openbare instellingen en organisaties die bij wet bevoegd zijn om de nationale defensie, de nationale veiligheid, de openbare veiligheid, de openbare orde of de economische veiligheid te waarborgen,

VOORBEELD: Gegevens die door inlichtingeneenheden worden verwerkt om de nationale defensie, de nationale veiligheid, de openbare veiligheid, de openbare orde of de economische veiligheid te waarborgen, vallen buiten het toepassingsgebied van de wet. Hetzelfde geldt voor gegevens die worden verwerkt in het kader van activiteiten die worden uitgevoerd door geautoriseerde eenheden met als doel het verzamelen van gegevens, het verkrijgen van financiële inlichtingen, het ontvangen van verdachte transactierapporten, het analyseren en delen met relevante instellingen met betrekking tot het witwassen van opbrengsten uit misdrijven, het voorkomen van de financiering van terrorisme en onderzoek van financiële misdrijven vallen buiten het toepassingsgebied van de wet. 53 5. Verwerking van persoonsgegevens door gerechtelijke autoriteiten of handhavingsautoriteiten met betrekking tot onderzoeks-, vervolging-, proces- of handhavingsprocedures.

VOORBEELD: Tijdens de vervolging van een gerechtelijk incident valt de verwerking van gegevens van betrokkenen door de rechtbank buiten het toepassingsgebied van de wet.

OPMERKING: Hoewel de bepalingen van de wet niet van toepassing zijn op de persoonsgegevens die worden verwerkt in het kader van de activiteiten vermeld in paragraaf (1) van artikel 28 van wet nr. 6698, blijft de verplichting om de wet na te leven bestaan op het gebied van gegevens verwerkingsactiviteiten die buiten deze activiteiten plaatsvinden.

GEVALLEN WAAR SOMMIGE ARTIKELEN VAN DE WET NIET VAN TOEPASSING ZIJN. In artikel 28, lid 2, van de wet worden zaken geregeld die gedeeltelijk buiten het toepassingsgebied van de wet vallen. Hoewel er in de in deze paragraaf genoemde gevallen dus een verplichting bestaat om de wet na te leven, bestaat er in de regel geen verplichting alleen op grond van bepaalde bepalingen. Een andere uitdrukking is

e binnen de reikwijdte van dit lid; Er wordt gesteld dat de bepalingen van artikel 10, dat de verplichting van de voor de verwerking verantwoordelijke regelt om te informeren, artikel 11, dat de rechten van de betrokkene regelt, met uitzondering van het recht om schadevergoeding te eisen, en artikel 16, dat de verplichting regelt om te registreren in het register van gegevensbeheerders, zal in de genoemde gevallen niet worden toegepast. Uitzonderingen worden hier alleen in bepaalde gevallen en voor bepaalde kwesties voorzien, en behalve deze kwesties zal naleving van de door de wet opgelegde verplichtingen altijd vereist zijn. In deze context zijn de situaties die zijn vrijgesteld van de artikelen 10, 11 en 16 van de wet, op voorwaarde dat ze in overeenstemming zijn met en evenredig zijn aan het doel en de basisbeginselen van de wet, als volgt;
De verwerking van persoonsgegevens is noodzakelijk voor het voorkomen van criminaliteit of strafrechtelijk onderzoek. VOORBEELD: Een gezin dat met de auto reisde, werd onderweg door veiligheidstroepen tegengehouden. In het kader van een strafrechtelijk onderzoek zijn veiligheidstroepen niet verplicht om de relevante personen te informeren, te reageren op de aanvraag van de relevante persoon en informatie over deze verklaringen in te voeren tijdens de registratie bij VERBIS, aangezien het noodzakelijk is om identiteitscontroles uit te voeren van de familie. 55
Verwerking van door de betrokkene openbaar gemaakte persoonsgegevens. Als persoonsgegevens door de betrokken persoon openbaar zijn gemaakt, moet de betreffende gegevensverwerkingsactiviteit in overeenstemming zijn met de wil en het doel van de openbaarmaking, zodat deze door derden kunnen worden verwerkt.

VOORBEELD: Als de persoon aangeeft dat zijn kennissen hem kunnen bereiken door zijn naam, achternaam en telefoonnummer te delen op zijn sociale media-account, dat voor iedereen toegankelijk is, en zijn kennissen hem een sms sturen, is het niet verplicht om de bepalingen van Artikelen 10, 11 en 16 van de wet.

VOORBEELD: Wanneer een arts met een privépraktijk een advertentie in de krant plaatst voor reclamedoeleinden, publiceert hij de contactgegevens in de advertentie, beperkt tot dit doel. Het is niet verplicht voor de persoon die contact opneemt met de arts om hulp te krijgen via deze contactgegevens, om te voldoen aan de bepalingen van de artikelen 10, 11 en 16 van de wet.

De verwerking van persoonsgegevens is noodzakelijk voor de uitvoering van audit- of regelgevende taken en tuchtrechtelijk onderzoek of vervolging door openbare instellingen en organisaties en professionele organisaties die openbare instellingen zijn, op basis van de door de wet verleende bevoegdheden.

VOORBEELD: Het is mogelijk dat een publieke instelling persoonsgegevens over dat personeel verwerkt tijdens het tuchtonderzoek dat de controlestaf uitvoert naar het personeel van de instelling. In dit geval is het niet verplicht om informatie te verstrekken aan het betreffende personeel, om te reageren op de eventuele aanvraag en om deze gegevenscategorie te melden tijdens de registratie van de publieke instelling bij VERBIS.

VOORBEELD: Regelgevende en toezichthoudende instellingen zoals de Banking Regulation and Supervision Agency (BDDK) en de Hoge Raad voor Radio en Televisie (RTÜK); In gevallen waarin het noodzakelijk is voor de uitvoering van audit- of regelgevende taken en voor tuchtonderzoek of -vervolging op basis van de door de wet verleende bevoegdheid, is het niet verplicht om de bepalingen van de artikelen 10, 11 en 16 van de wet toe te passen, die alleen beperkt zijn tot de persoonsgegevens die in het kader van deze taken worden verwerkt.

De verwerking van persoonsgegevens is noodzakelijk om de economische en financiële belangen van de Staat te beschermen met betrekking tot begrotings-, belasting- en financiële aangelegenheden.

VOORBEELD: Bij de verwerking van persoonsgegevens die door relevante personen worden gedeeld bij het indienen van huuraangiften bij de Belastingdienst, is de Belastingdienst niet verplicht de betreffende persoon te informeren, te reageren op de aanvraag van de betreffende persoon en informatie hierover in te voeren. aangiften tijdens registratie bij VERBIS.

12. GEGEVENSVERWERKER EN GEGEVENSVERWERKER

Gegevensbeheerder; Het is de natuurlijke of rechtspersoon die het doel en de middelen voor de verwerking van persoonsgegevens bepaalt en verantwoordelijk is voor het opzetten en beheren van het gegevensregistratiesysteem. Rechtspersonen zijn zelf gegevensbeheerders in het kader van de activiteiten die zij uitvoeren bij de verwerking van persoonsgegevens, en de wettelijke aansprakelijkheid zoals gespecificeerd in de relevante regelgeving ontstaat in de persoon van de rechtspersoon. Er is in dit opzicht geen verschil tussen publiekrechtelijke rechtspersonen en privaatrechtelijke rechtspersonen. In dit kader worden algemene bepalingen uit het privaatrecht en het publiekrecht met betrekking tot de aansprakelijkheid van rechtspersonen toegepast, zowel op strafrechtelijk als civielrechtelijk gebied.

VOORBEELD: Een bedrijf dat witgoed produceert, dat bepaalde persoonlijke gegevens zoals naam, telefoonnummer en bankrekeningnummer in een database bewaart om de salarissen van zijn personeel te betalen, bepaalt zowel het doel van de verwerking van persoonlijke gegevens als de hulpmiddelen en methoden voor gegevensverwerking. , en creëert hiervoor ook een gegevensregistratiesysteem. Kortom, zij beslist waarom en hoe zij persoonsgegevens verwerkt. Daarom is het bedrijf in kwestie de verwerkingsverantwoordelijke in de zin van de wet. Omdat de eenheden binnen een bedrijf geen rechtspersoonlijkheid hebben, is het niet mogelijk dat deze eenheden gegevensbeheerders zijn. Omdat elk bedrijf dat een groep bedrijven vormt echter een rechtspersoon heeft, is het mogelijk dat elk van deze bedrijven afzonderlijk verantwoordelijke voor de verwerking is. Als de gegevensverwerker is; Ze worden gedefinieerd als echte of rechtspersonen buiten de organisatie van de gegevensbeheerder die persoonsgegevens namens de gegevensbeheerder verwerken, op basis van de door de gegevensbeheerder gegeven autoriteit. Deze personen zijn een afzonderlijke natuurlijke of rechtspersoon die door de verantwoordelijke voor de verwerking geautoriseerd is door het aangaan van een verwerkingsovereenkomst voor persoonsgegevens, die persoonsgegevens verwerkt in het kader van de aan haar gegeven instructies.

OPMERKING: In het geval dat de gegevensverwerker verder gaat dan de toestemming en instructies die hij van de gegevensbeheerder heeft ontvangen in het kader van het contract dat is ondertekend met de gegevensbeheerder en namens zichzelf persoonsgegevens begint te verwerken, zal hij voor die gegevens niet langer een gegevensverwerker zijn. persoonlijke gegevens en wordt een gegevensbeheerder.

VOORBEELD: Als een particulier bedrijf een overeenkomst sluit met een cloudserviceprovider om de persoonlijke gegevens die het verzamelt op te slaan, is de cloudserviceprovider de gegevensverwerker. Omdat het volgens de overeenkomst tussen partijen niet mogelijk is voor de clouddienstverlener om de gegevens voor eigen doeleinden te gebruiken. Bovendien verzamelt de cloudserviceprovider zelf geen gegevens. De enige activiteit ervan is het opslaan van persoonlijke gegevens van het bedrijf in overeenstemming met de instructies van het particuliere bedrijf.

OPMERKING: Elke natuurlijke of rechtspersoon kan tegelijkertijd zowel gegevensbeheerder als gegevensverwerker zijn.

VOORBEELD: Hoewel een accountantsbedrijf wordt beschouwd als een gegevensbeheerder met betrekking tot de gegevens die het bewaart over zijn eigen personeel, zal het worden beschouwd als een gegevensverwerker in termen van de persoonlijke gegevens die het voor zijn klant verwerkt in het kader van het contract dat met zijn klant is gesloten. Als hij echter buiten de reikwijdte van het contract valt en namens hem persoonsgegevens verwerkt in strijd met de instructies van de verantwoordelijke voor de verwerking, zal er een afzonderlijke verantwoordelijke voor de verwerking zijn.

VOORBEELD: Hoewel een bedrijf binnen een instelling dat outsourcing callcenterdiensten levert, een gegevensverwerker is wat betreft de gegevens die het voor de instelling verwerkt, kan het een gegevensbeheerder zijn wat betreft de personeelsdossiers die het bijhoudt over zijn eigen personeel. De activiteiten van de gegevensverwerker beperken zich tot de meer technische onderdelen van de gegevensverwerking. De bevoegdheid om beslissingen te nemen over de verwerking van persoonsgegevens ligt bij de verwerkingsverantwoordelijke. Verwerkingsverantwoordelijke is de persoon die het doel en de wijze van verwerking van persoonsgegevens bepaalt. Met andere woorden, hij is de persoon die de bevoegdheid heeft om in eigen naam beslissingen te nemen en die de vragen ‘waarom’ en ‘hoe’ hij/zij persoonlijke gegevens verwerkt, zal beantwoorden. Om de gegevensbeheerder te identificeren;

Verzameling en verzamelmethode van persoonsgegevens,
Soorten persoonlijke gegevens die moeten worden verzameld,
Voor welke doeleinden zullen de verzamelde gegevens worden gebruikt,
Welke persoonlijke gegevens van individuen worden verzameld,
Of de verzamelde gegevens worden gedeeld, en zo ja, met wie deze worden gedeeld,
Hoe lang de gegevens bewaard blijven,
Er wordt rekening gehouden met wie beslist hoe de rechten van de betrokken personen worden gewaarborgd. Daarnaast de verantwoordelijke voor de verwerking, met de af te sluiten overeenkomst voor de verwerking van persoonsgegevens;
Welke informatietechnologiesystemen of andere methoden zullen worden gebruikt om persoonlijke gegevens te verzamelen,
De wijze waarop persoonsgegevens worden opgeslagen,
Details van de beveiligingsmaatregelen die moeten worden genomen om persoonsgegevens te beschermen,
De wijze waarop persoonsgegevens worden overgedragen,
De te gebruiken methode om de juiste toepassing van de bewaartermijnen van persoonsgegevens te garanderen,
Zij kan de bevoegdheid om te beslissen over de methoden voor het verwijderen, vernietigen en anonimiseren van persoonsgegevens aan de gegevensverwerker overlaten.

OPMERKING: De verwerkingsverantwoordelijke, als persoonsgegevens namens hem/haar worden verwerkt door een andere natuurlijke of rechtspersoon (gegevensverwerker); Alle technische en administratieve maatregelen genomen

Hij is samen met deze mensen verantwoordelijk. Er zijn enkele gemeenschappelijke punten tussen de gegevensbeheerder en de gegevensverwerker. Deze;

Met de term gegevensbeheerder wordt niet bedoeld elke persoon die verantwoordelijk is voor gegevensverwerkingsactiviteiten binnen een bedrijf. De verwerkingsverantwoordelijke is de rechtspersoon zelf. Het zijn van een gegevensbeheerder (en ook een gegevensverwerker) is een status die door de wet wordt bepaald om wettelijke verplichtingen te bepalen, en als deze voldoet aan de kenmerken die in de definitie worden gegeven, zal de juridische entiteit van het bedrijf ook deze status hebben. Het bedrijf zelf heeft bijvoorbeeld de titel van ‘gegevensbeheerder’, en niet de persoon die documenten in een bedrijf ontvangt en opslaat als onderdeel van de gegevensverwerkingsactiviteit.

VOORBEELD: Het indienen van het sollicitatieformulier bij de afdeling Personeelszaken wanneer u solliciteert naar een baan bij een bedrijf, betekent niet dat de gegevensbeheerder de afdeling Personeelszaken is. De verwerkingsverantwoordelijke is hier het bedrijf zelf, dat rechtspersoonlijkheid heeft.

VOORBEELD: Hoewel de dienstverlener die deze informatie uit de eerste hand ontvangt op een website die diensten voor hotelreserveringen levert, de gegevensbeheerder lijkt te zijn in termen van de informatie die voor de reservering wordt verstrekt, is de rechtspersoon die de status van gegevensbeheerder heeft aangezien deze is het hotel dat het doel en de middelen voor de verwerking van persoonsgegevens bepaalt. Het is een hotel.

b) Beide concepten zijn geldig voor zowel echte als rechtspersonen. Een freelance accountant of een financieel adviesbureau kan bijvoorbeeld zowel gegevensbeheerder als gegevensverwerker zijn. Aangezien elk bedrijf dat een groep bedrijven vormt een rechtspersoon heeft, kan elk van deze bedrijven bovendien twee afzonderlijke statussen hebben.