Questo contenuto è stato tradotto dal testo originale.
Conservare i dati personali in modo esatto, aggiornato, per finalità legittime e solo per il tempo necessario, e successivamente cancellarli, distruggerli o anonimizzarli con metodi idonei, è di grande importanza sia per la conformità normativa sia per la reputazione aziendale. In questo articolo abbiamo esaminato a cosa devono prestare attenzione, nei processi di conservazione e distruzione dei dati personali, le persone giuridiche che agiscono in qualità di titolari del trattamento ai sensi della Legge n. 6698 sulla Protezione dei Dati Personali (KVKK).
In questo articolo abbiamo esaminato a cosa devono prestare attenzione, nei processi di conservazione e distruzione dei dati personali, le persone giuridiche che agiscono in qualità di titolari del trattamento ai sensi della Legge n. 6698 sulla Protezione dei Dati Personali (KVKK). Conservare i dati personali in modo esatto, aggiornato, per finalità legittime e solo per il tempo necessario, e successivamente cancellarli, distruggerli o anonimizzarli con metodi idonei, è di grande importanza sia per la conformità normativa sia per la reputazione aziendale.
Oggi la crescente digitalizzazione e i modelli di business basati sui dati spingono le organizzazioni ad assumersi più che mai la responsabilità in materia di sicurezza e riservatezza dei dati. Se anche voi, come persone giuridiche che agiscono in qualità di titolari del trattamento, vi ponete domande come «Per quanto tempo devo conservare i miei dati?» e «Quali metodi devo utilizzare per la distruzione?», siete nel posto giusto!
1. Introduzione
Nel trattamento dei dati personali occorre tenere conto dei seguenti principi fondamentali.
Esattezza e aggiornamento: i dati devono essere esatti, completi e, ove necessario, aggiornati. L'obbligo di diligenza volto ad assicurare che i dati personali siano esatti e, ove necessario, aggiornati incombe al titolare del trattamento, il quale deve inoltre mantenere sempre aperti i canali che consentano all'interessato di far sì che i propri dati personali siano esatti e aggiornati.
Limitazione della finalità: i dati devono essere utilizzati esclusivamente per le finalità di trattamento dichiarate. Questo principio impone al titolare del trattamento di determinare in modo chiaro e preciso la finalità del trattamento e richiede che tale finalità sia legittima. Qualora i titolari del trattamento trattino i dati per finalità diverse da quelle indicate all'interessato, sorgerà la loro responsabilità per tali condotte.
Limitazione del trattamento: i dati devono essere raccolti in modo pertinente, limitato e proporzionato rispetto alle finalità per le quali sono trattati. L'idoneità dei dati trattati al conseguimento delle finalità stabilite impone di evitare il trattamento di dati personali non connessi al raggiungimento della finalità o non necessari.
Periodo di conservazione: i dati personali non devono essere conservati oltre il periodo stabilito per finalità legali o aziendali. Di conseguenza, i titolari del trattamento, qualora la normativa preveda un termine per i dati personali interessati, dovranno rispettarlo; se non è previsto alcun termine, potranno conservare i dati soltanto per il tempo necessario alla finalità per cui sono stati trattati. Qualora non sussista un valido motivo per conservare ulteriormente un dato, tale dato sarà cancellato, distrutto o anonimizzato. I dati personali non possono essere conservati nella prospettiva di un possibile futuro riutilizzo né per qualsiasi altra ragione.
2. Conservazione dei dati personali
I dati personali devono essere conservati, in generale, per le seguenti finalità.
Garantire la sicurezza della società.
Svolgere attività statistiche.
Eseguire attività e operazioni in base ai contratti e ai protocolli sottoscritti.
Gestire i processi relativi alle risorse umane.
Garantire la comunicazione aziendale.
Assicurare l'adempimento degli obblighi giuridici, secondo quanto richiesto o imposto dalle disposizioni di legge.
Mantenere i contatti con le persone fisiche / giuridiche che hanno un rapporto d'affari con la società.
Gestire i processi del call center.
I dati personali devono essere conservati per i periodi previsti dalle disposizioni normative pertinenti o per il tempo richiesto dalla finalità del trattamento dei dati. Al termine del periodo previsto dalle disposizioni normative o del tempo richiesto dalla finalità del trattamento dei dati, i dati personali devono essere cancellati o anonimizzati.
Tabella 1 Periodi di conservazione
Dati | Periodo di conservazione |
Registrazioni vocali del call center | 3 anni |
Registrazioni relative alle iscrizioni | 10 anni |
Cookie e registri di log | 6 mesi - 2 anni |
Registrazioni del consenso alle e-mail commerciali | 3 anni dalla data di revoca del consenso |
Dati di traffico relativi ai visitatori online | 2 anni |
Dati personali relativi ai clienti | 10 anni dopo la cessazione del rapporto giuridico |
Dati personali relativi ai fornitori | 10 anni dopo la cessazione del rapporto giuridico |
Contratti | 10 anni dalla cessazione del contratto |
Registrazioni delle telecamere | 2 anni |
Dati conservati ai sensi della Legge sul Lavoro | 5 anni dalla cessazione del rapporto di lavoro |
Dati relativi a candidature di lavoro / candidature per tirocini / candidature dei candidati in caso di mancata accettazione della candidatura | 1 anno |
Informazioni sui soci della società e sui membri del consiglio di amministrazione (ad eccezione di quelle contenute nel libro soci) | 10 anni |
Dati personali trattati nei libri contabili che devono essere conservati in base alle attività della società, nei documenti redatti sulla base delle registrazioni contenute nei libri contabili, nei bilanci, ecc. | 10 anni |
Dati personali trattati con documenti che devono essere conservati ai sensi della Legge sulla Procedura Tributaria, quali fatture / documenti di spesa (gider pusulası) / ricevute | 5 anni |
Registri di log degli accessi dei dipendenti agli ambienti contenenti dati personali | 2 anni (10 anni se oggetto di controversie di lavoro) |
Nel caso di dati personali che richiedono il consenso esplicito; revoca del consenso esplicito da parte dell'interessato | Distrutti immediatamente. |
3. Processo e tecniche di distruzione dei dati personali
Quando vengono meno le condizioni per il trattamento dei dati personali e scadono i periodi di conservazione, il titolare del trattamento è tenuto, d'ufficio o su richiesta dell'interessato, a cancellare, distruggere o anonimizzare i dati. Le condizioni per il trattamento vengono meno in casi quali la scadenza del periodo legale di conservazione, la revoca del consenso da parte dell'interessato o, nei casi non fondati sul consenso, la cessazione del motivo legittimo del trattamento.
A. Tecniche di distruzione dei dati personali
La distruzione dei dati personali avviene mediante cancellazione, distruzione o anonimizzazione.
Tabella 2: Cancellazione dei dati personali
Dati conservati | Modalità di distruzione (cancellazione) |
Dati personali presenti sui server | Per i dati personali presenti sui server il cui periodo di conservazione necessario sia scaduto, l'amministratore di sistema deve procedere alla cancellazione revocando l'autorizzazione di accesso degli utenti interessati. |
Dati personali presenti in ambiente elettronico | I dati personali presenti in ambiente elettronico il cui periodo di conservazione necessario sia scaduto vengono resi del tutto inaccessibili e inutilizzabili per i dipendenti (gli utenti interessati) diversi dall'amministratore del database. |
Dati personali presenti in ambiente fisico | I dati personali conservati in ambiente fisico il cui periodo di conservazione necessario sia scaduto devono essere resi del tutto inaccessibili e inutilizzabili per i dipendenti diversi dal responsabile dell'unità incaricata dell'archivio documentale. Inoltre, i dati devono essere oscurati, cancellandoli con tratti, coprendoli con vernice o abradendoli, in modo da renderli illeggibili. |
Dati personali presenti su supporti portatili | I dati personali conservati su supporti di memorizzazione basati su memoria flash il cui periodo di conservazione necessario sia scaduto devono essere crittografati dall'amministratore di sistema e conservati, insieme alle chiavi di crittografia, in ambienti sicuri, con accesso consentito unicamente all'amministratore di sistema. |
Tabella 3: Distruzione dei dati personali
Dati conservati | Modalità di distruzione (distruzione) |
Dati personali presenti in ambiente fisico | I dati personali su supporto cartaceo devono essere distrutti con distruggidocumenti in modo irreversibile. |
Dati personali presenti su supporti ottici / magnetici | Per i dati personali presenti su supporti ottici e magnetici il cui periodo di conservazione necessario sia scaduto possono essere applicati processi di distruzione fisica quali fusione, incenerimento, frantumazione o riduzione in polvere. |
Anonimizzazione dei dati personali
L'anonimizzazione dei dati personali consiste nel rendere i dati personali non riconducibili in alcun modo a una persona fisica identificata o identificabile, anche se abbinati ad altri dati. Affinché i dati personali siano considerati anonimizzati, essi devono essere resi non riconducibili a una persona fisica identificata o identificabile anche mediante l'impiego di tecniche adeguate al supporto di registrazione e al relativo ambito di attività, quali il ripristino dei dati personali da parte del titolare del trattamento o di terzi e/o l'abbinamento dei dati con altri dati.
B. Termini di distruzione d'ufficio
I titolari del trattamento che dispongono di una Politica di conservazione e distruzione dei dati personali devono cancellare, distruggere o anonimizzare i dati nel primo processo periodico di distruzione successivo alla data in cui è venuta meno la condizione del trattamento (alla scadenza del periodo di conservazione) (al più tardi ogni 6 mesi). I titolari del trattamento privi di una politica sono invece tenuti a eseguire tali operazioni entro 3 mesi dal venir meno della condizione del trattamento.
C. Termini di distruzione su richiesta dell'interessato
L'interessato può richiedere la cancellazione o la distruzione dei propri dati personali. Se le condizioni per il trattamento sono completamente venute meno, il titolare del trattamento deve dare seguito alla richiesta al più tardi entro 30 giorni e informare l'interessato. Se i dati sono stati trasferiti a terzi, il titolare del trattamento deve comunicare tale circostanza ai terzi e provvedere affinché la cancellazione o la distruzione sia effettuata anche presso di essi. In caso di rigetto della richiesta dell'interessato, il rigetto deve essere comunicato, con la relativa motivazione, per iscritto o in forma elettronica entro 30 giorni.
D. Conservazione delle registrazioni di distruzione
Tutte le registrazioni relative alle operazioni di cancellazione, distruzione o anonimizzazione devono essere conservate per almeno 3 anni.
4. Misure tecniche e organizzative da adottare nei processi di distruzione
Affinché i processi di distruzione possano essere svolti in modo lecito e sicuro, è necessario adottare misure tecniche e organizzative.
A. Misure tecniche
Controllo dell'accesso ai dati: occorre garantire che nessuno, al di fuori degli utenti interessati, possa accedere alle operazioni di cancellazione o distruzione.
Software di sicurezza: devono essere adottati antivirus, firewall, sistemi IDS/IPS, penetration test periodici e una crittografia robusta.
Gestione del database: occorre garantire che i comandi di cancellazione siano applicati in modo corretto e completo e che le operazioni siano eseguite in modo da rendere i dati irrecuperabili.
Registrazione (logging): tutte le operazioni di cancellazione, distruzione e anonimizzazione devono essere registrate nei log e sottoposte a verifica.
B. Misure organizzative
Politica di conservazione e distruzione dei dati personali: una Politica di conservazione e distruzione dei dati personali deve essere predisposta in conformità alla normativa vigente, mantenuta aggiornata e comunicata a tutti i dipendenti.
Formazione: al personale responsabile dei processi di distruzione deve essere impartita una formazione periodica e deve essere promossa la consapevolezza generale.
Audit interno: le applicazioni della politica e i processi di distruzione devono essere verificati a intervalli regolari.
Inventario dei trattamenti: tutte le categorie di dati, i periodi di conservazione e le finalità del trattamento devono essere registrati in modo chiaro; l'inventario dei dati personali deve essere coerente con la politica di distruzione
5. Conclusione
La KVKK prevede obblighi rilevanti per le persone giuridiche titolari del trattamento in relazione ai loro processi di trattamento dei dati personali e contempla sanzioni significative in caso di inosservanza. È necessario predisporre una Politica di conservazione e distruzione dei dati personali che definisca chiaramente aspetti quali il periodo di conservazione dei dati personali, il metodo di distruzione e i soggetti responsabili di tali processi; inoltre, sostenere il personale della società con una formazione periodica e mantenere costantemente aggiornate le misure tecniche e organizzative è di grande importanza per il buon esito di tali processi.
Ricordate: proteggere i dati personali e distruggerli in modo sicuro non è soltanto un obbligo di legge, ma anche una responsabilità fondamentale richiesta dall'era digitale.
Avv. Mehmet Emre DARICI
