LOI SUR LA PROTECTION DES DONNÉES PERSONNELLES

Loi Numéro : 6698

Date de Ratification : 24/3/2016

ARTICLE 1 – (1) L'objectif de la présente loi est de protéger les droits et libertés fondamentaux des personnes, notamment le droit à la vie privée, en ce qui concerne le traitement des données personnelles, et d'établir les obligations, principes et procédures qui seront contraignants pour les personnes physiques ou morales traitant des données personnelles.

ARTICLE 2 – (2) Les dispositions de la présente loi s'appliquent aux personnes physiques dont les données personnelles sont traitées, ainsi qu'aux personnes physiques ou morales traitant de telles données, entièrement ou partiellement, par des moyens automatisés ou par des moyens non automatisés qui font partie d'un système de traitement de données.

Définitions

ARTICLE 3 – (1) Aux fins de la présente loi :

(a) "Consentement explicite" signifie un consentement libre, spécifique et éclairé,

(b) "Anonymisation" signifie rendre les données personnelles impossibles à relier à une personne naturelle identifiée ou identifiable, même en les associant à d'autres données,

(c.) "Personne concernée" (personne naturelle concernée) signifie la personne naturelle dont les données personnelles sont traitées,

(d) "Données personnelles" signifie toute information se rapportant à une personne naturelle identifiée ou identifiable,

(e) "Traitement des données personnelles" signifie toute opération effectuée sur des données personnelles, entièrement ou partiellement par des moyens automatisés ou non automatisés qui font partie d'un système de traitement de données, telles que la collecte, l'enregistrement, le stockage, la protection, la modification, l'adaptation, la divulgation, le transfert, la récupération, la mise à disposition pour la collecte, la catégorisation, la prévention de leur utilisation,

(f) "Conseil" signifie le Conseil de Protection des Données Personnelles,

(g) "Autorité" signifie l'Autorité de Protection des Données Personnelles,

(g.) "Sous-traitant" signifie la personne physique ou morale qui traite des données personnelles au nom du responsable du traitement, sur autorisation de ce dernier,

(h) "Système de traitement de données" signifie le système où les données personnelles sont traitées en étant structurées selon des critères spécifiques,

(i) "Responsable du traitement" signifie la personne physique ou morale qui détermine les finalités et les moyens du traitement des données personnelles et est responsable de la création et de la gestion du système de traitement de données.

Traitement des données personnelles

ARTICLE 4 – (1) Les données personnelles ne peuvent être traitées qu'en conformité avec les procédures et principes énoncés dans la présente loi ou d'autres lois.

(2) Les principes suivants doivent être respectés dans le traitement des données personnelles :

a) Légalité et équité
b) Exactitude et mise à jour lorsque nécessaire.
c) Traitement à des fins spécifiées, explicites et légitimes.

c.) Pertinence, limitation et proportionnalité par rapport aux finalités pour lesquelles elles sont traitées.

d) Stockage pendant la période prévue par la législation pertinente ou la période nécessaire à la finalité pour laquelle les données personnelles sont traitées.

Conditions de traitement des données personnelles

ARTICLE 5 - (1) Les données personnelles ne peuvent être traitées sans le consentement explicite de la personne concernée.

(2) Les données personnelles peuvent être traitées sans solliciter le consentement explicite de la personne concernée uniquement dans les cas où l'une des conditions suivantes est remplie :

a) Il est expressément prévu par la loi.
b) Il est nécessaire pour la protection de la vie ou de l'intégrité physique de la personne elle-même ou de toute autre personne qui est incapable d'exprimer son consentement en raison d'un handicap physique ou dont le consentement n'est pas considéré comme légalement valide.
c) Le traitement des données personnelles des parties à un contrat est nécessaire, à condition qu'il soit directement lié à la conclusion ou à l'exécution du contrat.

c.) Il est nécessaire pour respecter une obligation légale à laquelle le responsable du traitement est soumis.

d) Les données personnelles ont été rendues publiques par la personne concernée elle-même.
e) Le traitement des données est nécessaire pour la création, l'exercice ou la protection de tout droit.
Le traitement des données est nécessaire pour les intérêts légitimes poursuivis par le responsable du traitement, à condition que ce traitement ne viole pas les droits fondamentaux et les libertés de la personne concernée.

Conditions for processing of Special categories of personal data:

Article 6 – (1) Personal data relating to the race, ethnic origin, political opinion, philosophical belief, religion, religious sect or other belief, appearance, membership to associations, foundations or trade-unions, data concerning health, sexual life, criminal convictions and security measures, and the biometric and genetic data are deemed to be special categories of personal data.

(2) It is prohibited to process special categories of personal data without explicit consent of the data subject.

(3) Personal data, except for data concerning health and sexual life, listed in the first paragraph may be processed without seeking explicit consent of the data subject, in the cases provided for by laws. Personal data concerning health and sexual life may only be processed, without seeking explicit consent of the data subject, by the persons subject to secrecy obligation or competent public institutions and organizations, for the purposes of protection of public health, operation of preventive medicine, medical diagnosis, treatment and nursing services, planning and management of health-care services as well as their financing.

(4) Adequate measures determined by the Board shall be also taken while processing the special categories of personal data

Erasure, destruction or anonymization of personal data

ARTICLE 7 – (1) Despite being processed in compliance with the provisions of this Law and other relevant laws, personal data shall be erased, destructed or anonymized by the data controller, ex officio or on the request of the data subject, in the event that the reasons for the processing no longer exist.

(2) The Provisions of other laws relating to the erasure, destruction or anonymization of personal data are reserved.

(3) Procedures and principles for the erasure, destruction or anonymization of personal data shall be laid down through by-law.

Transfer of personal data

ARTICLE 8 – (1) Personal data shall not be transferred without explicit consent of the data subject.

(2) Personal data may be transferred without seeking explicit consent of data subject upon the existence of one of the conditions provided for in:

a) the second paragraph of Article 5,
b) the third paragraph of Article 6, provided that sufficient measures are taken.

(3) The Provisions of other laws relating to transfer of personal data are reserved.

Transfer of personal data abroad

ARTICLE 9 - (1) Personal data shall not be transferred abroad without explicit consent of the data subject.

(2) Personal data may be transferred abroad without explicit consent of data subject upon the existence of one of the conditions referred to in Article 5(2) and Article 6(3) of the Law and if in the country where personal data are to be transferred;

(a) Adequate protection is provided.

(b) Adequate protection is not provided, upon the existence of commitment for adequate protection in writing by the data controllers in Turkey and in the relevant foreign country and authorisation of the Board.

(3) The Board determines and announces the countries with adequate protection.

(4) The Board shall decide whether there is adequate protection in the foreign country and whether such transfer is permitted under the sub-paragraph (b) of second paragraph, by evaluating the followings and by receiving the opinions of relevant institutions and organizations, where necessary:

a) the international conventions to which Turkey is a party,
b) the state of reciprocity relating to data transfer between the requesting country and Turkey,
c) the nature of the data, the purpose and duration of processing regarding each concrete, individual case of data transfer,

c.) the relevant legislation and its implementation in the country to which the personal data are to be transferred,

d) the measures committed by the data controller in the country to which the personal data are to be transferred,

(5) Without prejudice to the provisions of international agreements, in cases where interest of Turkey or the data subject will seriously get harmed, personal data, may only be transferred abroad upon the authorisation to be given by the Board after receiving the opinions of relevant public institutions and organizations.

(6) The Provisions of other laws relating to the transfer of personal data abroad are reserved.

LOI SUR LA PROTECTION DES DONNÉES PERSONNELLES