Liceità del trattamento dei dati della carta d'identità della Repubblica di Turchia da parte degli addetti alla sicurezza privata agli ingressi di complessi residenziali, edifici residenziali e torri uffici

1. INTRODUZIONE

In Turchia la raccolta e il trattamento dei dati delle carte d'identità per finalità di sicurezza da parte di vari enti e imprese, in particolare nei centri commerciali, nei complessi residenziali e nelle torri uffici, è una prassi diffusa. In alcuni luoghi si osserva persino che al visitatore viene richiesto il documento d'identità e in cambio viene consegnata una tessera d'ingresso e che viene acquisita anche la sua firma su un registro in cui sono annotati i dati identificativi. Tuttavia, è importante valutare tale prassi, attuata in modo illecito, sotto il profilo della protezione dei dati personali. Con il presente articolo verrà esaminata e valutata la liceità del trattamento dei dati della carta d'identità della Repubblica di Turchia da parte degli addetti alla sicurezza privata agli ingressi di complessi residenziali, edifici residenziali o torri uffici.

2. IL POTERE DEGLI ADDETTI ALLA SICUREZZA PRIVATA DI ACQUISIRE INFORMAZIONI

La carta d'identità della Repubblica di Turchia è un documento ufficiale che attesta l'identità dei cittadini turchi e contiene una serie di informazioni personali. Tra tali informazioni figurano dati importanti quali nome, cognome, numero di identità e data di nascita. La prassi con cui gli addetti alla sicurezza o altri incaricati raccolgono e registrano tali dati della carta d'identità nei luoghi di accesso è una questione che deve essere affrontata con attenzione sotto il profilo della protezione dei dati personali.

Il potere degli addetti alla sicurezza privata di acquisire informazioni è definito dall'articolo 7 della Legge n. 5188 sui Servizi di Sicurezza Privata, intitolato "Poteri degli addetti alla sicurezza privata". Per la natura stessa del loro lavoro, gli addetti alla sicurezza hanno la necessità di sapere chi è il visitatore e qual è lo scopo della visita. Tuttavia, essi non dispongono per legge dei poteri di chiedere l'identificazione, di accertare lo scopo della visita o di registrare la targa dei veicoli. Pertanto, anche qualora registrino tali informazioni, tale registrazione non ha alcuna base giuridica. Sebbene gli addetti alla sicurezza non abbiano il potere di acquisire e registrare i dati identificativi delle persone all'ingresso e all'uscita, in questa situazione, frequentemente incontrata nella vita quotidiana, si determina una complessità giuridica in cui il servizio di sicurezza e i dati personali si intrecciano.

3. LICEITÀ DEL TRATTAMENTO DEI DATI DELLA CARTA D'IDENTITÀ

Il concetto di dato personale è definito dall'articolo 3, lettera d), della Legge n. 6698 come "qualsiasi informazione relativa a una persona fisica identificata o identificabile". Anche il numero di identità o di cittadinanza che rende identificabile la persona rientra tra i dati personali. Nell'ambito della Legge n. 6698 sulla Protezione dei Dati Personali, il numero di identità della Repubblica di Turchia di una persona non è considerato nella categoria dei dati personali di natura particolare, bensì nella categoria dei dati personali di natura generale, tra i dati identificativi.

Affinché informazioni quali il nome e cognome della persona acquisiti dalla sicurezza privata agli ingressi delle torri uffici, il numero di identità TC, l'informazione su chi la persona intenda visitare e la targa del veicolo utilizzato possano essere registrate lecitamente, è necessario agire in conformità alla Legge n. 6698. Il trattamento dei dati personali è possibile quando ricorra almeno una delle ipotesi elencate nell'articolo 5 della Legge.

I principi generali elencati nella Legge n. 6698 per il trattamento dei dati personali sono;

• Conformità alla legge e alle regole di buona fede,

• Esattezza e, ove necessario, aggiornamento,

• Trattamento per finalità determinate, esplicite e legittime,

• Pertinenza, limitazione e proporzionalità rispetto alle finalità per le quali sono trattati,

• Conservazione per il periodo previsto dalla normativa pertinente o necessario per la finalità per la quale sono trattati

Il trattamento dei dati personali sarà lecito se, e solo se, si agisce in conformità a tali principi.

La registrazione dei dati identificativi da parte degli addetti alla sicurezza risponde essenzialmente alla finalità di garantire la sicurezza degli enti. Tuttavia, è necessario prestare attenzione alla protezione e al trattamento dei dati personali raccolti in tale processo. La KVKK mira a prevenire il trattamento illecito dei dati personali e l'accesso non autorizzato a tali dati.

4. L'OBBLIGO DI INFORMATIVA

Sebbene nel trattamento dei dati personali l'ottenimento del consenso esplicito delle persone costituisca un presupposto di liceità, se sia necessario ottenere il consenso esplicito della persona in ciascun caso concreto deve essere valutato tenendo conto delle leggi e delle decisioni del Consiglio.

L'adempimento dell'Obbligo di Informativa assume un ruolo importante per le prassi oggetto del presente articolo. Ai sensi dell'articolo 5 del Comunicato sulle Procedure e sui Principi da seguire nell'Adempimento dell'Obbligo di Informativa, in tutti i casi in cui i dati personali siano trattati, in base al consenso esplicito dell'interessato o alle altre condizioni di trattamento previste dalla Legge, l'obbligo di informativa deve essere adempiuto. L'Obbligo di Informativa, disciplinato dall'articolo 10 della Legge n. 6698, consiste nell'informare gli interessati, da parte dei titolari del trattamento o delle persone da essi autorizzate, al momento dell'acquisizione dei dati personali.

Nell'adempimento di tale obbligo, l'informativa che i titolari del trattamento o le persone da essi autorizzate devono fornire deve contenere, come minimo, i seguenti elementi:

1. L'identità del titolare del trattamento e, se presente, del suo rappresentante,

2. Le finalità per le quali i dati personali saranno trattati,

3. A chi e per quali finalità i dati personali possono essere trasferiti,

4. Il metodo e la base giuridica della raccolta dei dati personali,

5. Gli altri diritti dell'interessato elencati nell'articolo 11 della Legge.

Tale informativa deve essere fornita prima dell'inizio dell'attività di trattamento dei dati o, al più tardi, nel momento in cui essa ha inizio.

Come si evince da tutte queste considerazioni, anche se nel processo di trattamento dei dati personali delle persone da parte degli addetti alla sicurezza agli ingressi di complessi residenziali, edifici residenziali o torri uffici non è necessario ottenere il consenso esplicito, l'adempimento dell'obbligo di informativa, che rientra tra gli obblighi del titolare del trattamento, è imprescindibile. In caso contrario, potrà essere applicata la sanzione prevista dall'articolo 18, lettera a), della Legge, ossia "a) nei confronti di coloro che non adempiono l'obbligo di informativa previsto dall'articolo 10, da 5.000 lire turche fino a 100.000 lire turche".

5. PROPORZIONALITÀ NEL TRATTAMENTO DEI DATI PERSONALI

L'articolo 4 della Legge n. 6698 sulla Protezione dei Dati Personali stabilisce che i dati personali possono essere trattati solo in conformità alle procedure e ai principi previsti dalla Legge e dalle altre leggi, enunciando così i principi generali che devono essere obbligatoriamente rispettati nel trattamento dei dati personali. Pertanto, i dati personali devono essere trattati in modo conforme sia alle condizioni di trattamento stabilite dalla Legge sia ai principi generali.

Trattamento dei dati personali

ARTICOLO 4- (1) I dati personali possono essere trattati solo in conformità alle procedure e ai principi previsti dalla presente Legge e dalle altre leggi.

(2) Nel trattamento dei dati personali devono essere obbligatoriamente rispettati i seguenti principi:

a) Conformità alla legge e alle regole di buona fede.

b) Esattezza e, ove necessario, aggiornamento.

c) Trattamento per finalità determinate, esplicite e legittime.

ç) Pertinenza, limitazione e proporzionalità rispetto alle finalità per le quali sono trattati.

d) Conservazione per il periodo previsto dalla normativa pertinente o necessario per la finalità per la quale sono trattati.

La finalità della Legge n. 6698 è tutelare i diritti e le libertà fondamentali delle persone, in particolare la riservatezza della vita privata. Pur non vietando il trattamento dei dati personali, poiché la Legge dà priorità ai diritti e alle libertà fondamentali delle persone, i titolari del trattamento sono tenuti a trattare i dati personali in modo da interferire il meno possibile con i diritti e le libertà fondamentali degli interessati.

Il "principio di pertinenza, limitazione e proporzionalità rispetto alle finalità per le quali sono trattati", uno dei principi generali disciplinati dall'articolo 4 della Legge, indica che il trattamento dei dati personali deve essere nella misura in cui consenta di realizzare la finalità perseguita. L'attività di trattamento dei dati personali deve soddisfare cumulativamente i criteri dell'idoneità al raggiungimento della finalità perseguita (idoneità), della necessità del trattamento rispetto alla finalità perseguita (necessità) e della proporzionalità del trattamento rispetto alla finalità perseguita (proporzionalità).

Nel trattamento del numero di identità T.C. e, in generale, dei dati della carta d'identità, è importante che i titolari del trattamento valutino se esistano metodi che interferiscano meno con il diritto degli interessati alla protezione dei dati personali e, se esistono, li preferiscano, e che adottino le misure tecniche e organizzative necessarie affinché l'attività di trattamento dei dati personali sia svolta in conformità alla Legge. Ai sensi dell'articolo 12 della Legge, il titolare del trattamento ha l'obbligo di prevenire il trattamento illecito dei dati personali.

Nella decisione del Consiglio per la Protezione dei Dati Personali del 17/08/2023, n. 2023/1430;

A seguito di una segnalazione pervenuta all'Autorità, in cui si indicava che per registrarsi all'applicazione mobile di un titolare del trattamento che offre un servizio di buoni pasto venivano richiesti i dati del numero di identità T.C. delle persone, il Consiglio per la Protezione dei Dati Personali (il Consiglio) ha avviato d'ufficio un'indagine sulla questione. Dall'esame condotto sull'applicazione mobile è emerso che, al momento della registrazione, venivano richiesti nome, cognome, numero di telefono, data di nascita e indirizzo e-mail e che, quando si voleva associare una tessera pasto al profilo della persona, veniva indicato che i dati inseriti sarebbero stati confrontati con il numero di identità T.C.

Poiché, nel caso di registrazione nell'applicazione mobile delle tessere pasto fisiche, la verifica della tessera può essere effettuata con modalità che tutelano maggiormente gli interessati, quali il trattamento dei dati della tessera e del numero di telefono tramite il datore di lavoro, senza trattare il numero di identità T.C. delle persone, è stato deciso di applicare una sanzione amministrativa pecuniaria di 200.000 TL al titolare del trattamento, ritenuto inadempiente agli obblighi di cui al primo comma dell'articolo 12 della Legge.

Se valutata nell'ambito del presente articolo, tenuto conto che la finalità che la prassi intende perseguire rendendo obbligatoria la consegna di una qualsiasi tessera su cui è riportato il numero di identità TC agli ingressi di complessi residenziali, edifici residenziali o torri uffici può essere raggiunta anche con altri metodi che interferiscono meno con i dati personali, come l'acquisizione di un biglietto da visita al posto della carta d'identità o la verifica dell'identità del visitatore contattando la persona che si intende visitare, è evidente che la prassi di trattenere carte contenenti dati personali, come la carta d'identità TC o la patente di guida, e di consegnare in cambio una tessera d'ingresso è illecita.

6. CANCELLAZIONE, DISTRUZIONE O ANONIMIZZAZIONE DEI DATI PERSONALI

Anche se i dati personali sono stati trattati in conformità alla Legge n. 6698 e alle disposizioni delle altre leggi pertinenti, qualora vengano meno i motivi che ne richiedevano il trattamento, i dati personali devono essere cancellati, distrutti o anonimizzati dal titolare del trattamento d'ufficio o su richiesta dell'interessato. Tale aspetto, disciplinato dall'articolo 7 della Legge, rientra tra gli obblighi del titolare del trattamento. I dati personali devono essere conservati solo per il tempo necessario.

Se i dati personali trattati non vengono cancellati, distrutti o anonimizzati anche quando non sono più necessari, la Legge n. 6698 risulterà violata. A parte il fatto che la mancata cancellazione, distruzione o anonimizzazione dei dati costituisce una violazione della Legge n. 6698, anche la copiatura e la riproduzione illecita dei dati personali da parte degli addetti alla sicurezza sarà considerata reato ai sensi del Codice Penale turco.

7. CONCLUSIONI

Nell'ambito della Legge n. 6698 sulla Protezione dei Dati Personali, il trattamento dei dati personali è considerato lecito solo quando è conforme a determinate condizioni. Tra tali condizioni figurano la conformità del trattamento dei dati personali alla legge e alle regole di buona fede, il loro trattamento per finalità determinate, esplicite e legittime, la loro pertinenza, limitazione e proporzionalità rispetto alle finalità per le quali sono trattati e la loro conservazione soltanto per il tempo necessario.

L'obbligo di informativa è un obbligo importante che deve essere adempiuto dai titolari del trattamento o dalle persone autorizzate nel corso del trattamento dei dati personali. In base a tale obbligo, oltre all'ottenimento del consenso esplicito degli interessati al trattamento dei dati personali, è obbligatorio fornire a tali persone le necessarie informazioni su come i dati saranno trattati.

Il principio di proporzionalità nel trattamento dei dati personali richiede che il titolare del trattamento agisca in modo da interferire il meno possibile con i diritti e le libertà fondamentali degli interessati. Le decisioni del Consiglio per la Protezione dei Dati Personali evidenziano importanti punti cui prestare attenzione nella prassi e ricordano ai titolari del trattamento i loro obblighi.

D'altro canto, qualora vengano meno i motivi che richiedevano il trattamento dei dati personali, la cancellazione, la distruzione o l'anonimizzazione di tali dati è obbligatoria. Tale aspetto rientra tra gli obblighi del titolare del trattamento e, in caso di violazione della legge, si andrà incontro a sanzioni.

In conclusione, è evidente che le prassi con cui gli addetti alla sicurezza privata che incontriamo nella vita quotidiana raccolgono, conservano e trattano i dati della carta d'identità agli ingressi di complessi residenziali, edifici residenziali o torri uffici hanno natura illecita. Se, al posto di prassi attuate in totale contrasto con il principio di proporzionalità, si applica il semplice metodo di acquisire i biglietti da visita delle persone o i soli recapiti telefonici anziché la Carta d'Identità TC, qualora si incontri un qualsiasi problema, poiché si potrà facilmente raggiungere anche il numero di telefono della persona, i pregiudizi potranno essere rimediati più rapidamente. Al contrario, il ritiro e la conservazione di documenti importanti come la Carta d'Identità TC o la patente di guida, in violazione del principio di proporzionalità e senza nemmeno utilizzare un'informativa, comporterà una violazione della sicurezza delle informazioni e costituisce pertanto motivo di reclamo al Consiglio per la Protezione dei Dati Personali. Nei processi di protezione e trattamento dei dati personali occorre prestare attenzione, agire in conformità alla normativa pertinente e tenere conto dei diritti degli interessati. Ai fini della protezione dei dati, della garanzia della riservatezza degli individui e dello svolgimento efficace dei servizi di sicurezza, il semplice trattenimento di un dato riferito in modo esclusivo a ciascuna persona, come il numero di identità TC, è palesemente contrario alla legge, e modificare la prassi in questione limitandosi ai soli dati di contatto è di grande importanza sia per la conformità alla legge sia per la sicurezza delle persone.

Avv. praticante Aleyna Nur Acır