http___herdem.av.tr_the-difference-between-the-eu-gdpr-and-the-turkish-personal-data-protection-law_.xml
http___fpz.unizg.hr_o-fakultetu.asp_m_zastita-osobnih-podataka_1.xml
1.1 2.1 2.2 2.3 3.1 3.2 4.1 5.1 6.1 6.2 7.1 8.1 8.2 8.3 9.1 10.1 11.1 12.1 13.1 14.1 15.1 16.1 16.2 17.1 17.2 18.1 18.2 19.1 19.2 19.3 19.4 19.5 20.1 20.2 21.1 22.1 23.1
29 Apr The Turkish Personal Data Protection Law became effective on April 7th 2016 and in its creation took the old directive “Directive No. 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data” as a reference. But with GDPR becoming effective on May 25th 2018, Turkish Personal Data Protection Law would need some modifications to comply with GDPR. In this paper you will find general key terms of both regulations for in a comparative approach that would help you to understand the main differences. The liability; In Turkish Personal Data Protection Law (PDPL) the liability is on the data controllers; but in addition to that, GDPR also holds accountable the data processors and the people who processes those data hence creating a joint liability. If there is an infringement GDPR penalty is much higher than the Turkish PDPL in this regard. The fines; In Turkish PDPL the administrative fines are up to TRY 1 million but with GDPR , authorities can fine companies up to the greater of €20 million or 4% of a company’s annual global revenue, based on the seriousness of the breach and damages incurred. The right of compensation; GDPR gives a right to a compensation for data subjects who suffer a loss while their personal data was processed. Data transfer; GDPR does not allow a data transfer out of EU if there is no guaranty by the transferee of a proper protection of data, even there is a given consent regarding the transfer to the data controller. The evaluation regarding the efficiency of the third party on data protection is made by “Data Protection Authorities”(DPA). Request for information; If the data subjects require an information about which data is being stored about them, then it should be provided to them in 20 days. Breach notification; Data controllers must report any data breach to their data protection authority as soon as possible and no later than 72 hours after becoming aware of the breach, unless the breach is unlikely to result in any harm to the data subjects. If there is a high risk of harm, data controllers must report the data breach to the data subjects as soon as possible. Data processors must also notify data controllers of the data breach as soon as possible. Right to be forgotten ; The data subject can request an erasure of their data. Data Protection Officer (DPO); any organization that regularly processes sensitive personal data on a large scale or is involved in regular and systematic monitoring of data subjects must appoint a data protection officer to ensure the organization complies with privacy law. Data Protection Impact Assessments; should be made by data controllers for the adaptation to GDPR. Data Protection by Default & Data Protection by Design; the data controllers are responsible to ensure their internal policies are compatible to those principles. Filing System: “Any recording system through which personal data are processed by structuring according to specific criteria”, this definition on the PDPL matches up with GDPR. Data Controller: “Natural or legal person who determines the purposes and means of the processing of personal data and who is responsible for establishment and management of filing system”, this definition on the PDPL matches up with GDPR. Data Processor:”Natural or legal person who processes personal data based on the authority granted by and on behalf of the data controller”, this definition on the PDPL matches up with GDPR. PDPL has a different level of liability regarding the data processor and data controller, where on GDPR they are both responsible in case of a breach on personal data. PDPL has administrative fines only to the data controllers and also it is sufficient that there is only information regarding the data controllers on the data controller record. Explicit Consent: on the PDPL the consent needs to be freely given specific and informed and it is sufficient that it has been given to personal data collecting, processing and storage ; where according to the GDPR the consent can be given through an action specifies as an approval, the consent needs to be freely given, specific, clear, informed and certain. Even though PDPL has a similar definition of explicit consent, GDPR extended the scope of requirements. Anonymization: “Rendering personal data by no means identified or identifiable with a natural person even by linking with other data” is the definition on PDPL. GDPR also added a new term “pseudonymisation” ; personal data that cannot be tied to a specific data subject without additional information that is stored separately, with technological measures to ensure the data is not combined with that additional information. The PDPL has no difference between the private sector and the public sector and it is binding for both. The data controllers’ obligations are determined without a division between those two. GDPR holds accountable any company who processes data, so the cloud service provider or the natural person can be held accountable for the processing of the data according to the regulation. In this context GDPR liability can be brought to anyone who is responsible for a breach and all their actions towards personal data related matters. This means the service providers serving to EU citizens but outside of EU can be held accountable according to GDPR. GDPR gives their data subjects the right to be forgotten, this right is not been brought up on PDPL. The right to be forgotten; the data subjects can demand their data to be erased without any delays and the data controller is responsible for the erasure. The data subject also has the right on GDPR, to demand the transportation of their data to another data controller, there is no such right on PDPL. The GDPR also requires; The Data Protection Officer (DPO) ,on the processing of sensitive data and for the risky data processing there needs to be a Data Protection Impact Assessment. The articles regarding the privacy matters of data such as; the augmented liability of data processors, the right to be forgotten, increased fines, data portability and impact assessment, is not mentioned on PDPL.
1.1 2.1 3.1 4.1 5.1 6.1 7.1 8.1 9.1 10.1 10.2 10.3 11.1 12.1 13.1 13.2 14.1 15.1 16.1 16.2 16.3 16.4 16.5 17.1 17.2 18.1 19.1 20.1 21.1 22.1 23.1 23.2 24.1 25.1 26.1 26.2 27.1 28.1 29.1 30.1 31.1 32.1 33.1 34.1 35.1 36.1 37.1 37.2 38.1 38.2 39.1 40.1 40.2 41.1 42.1 43.1 44.1 44.2 45.1 46.1 47.1 48.1 48.2 49.1 50.1 51.1 52.1 53.1 54.1 55.1
Zaštita osobnih podataka Politika zaštite osobnih podataka TEMELJNE INFORMACIJE Fakultet prometnih znanosti Sveučilišta u Zagrebu poštuje privatnost svake osobe čije osobne podatke prikuplja. Fakultet prometnih znanosti, kao Voditelj obrade Vaših podataka obvezuje se na zaštitu Vaših osobnih podataka te jamči da će prikupljanje i čuvanje podataka izvoditi u skladu s odredbama Uredbe EU 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka), Zakona o provedbi Opće uredbe o zaštiti podataka (NN 42/2018) i ostalih propisa koji uređuju predmetno područje, a imaju primjenu u Republici Hrvatskoj. Primjena načela zaštite podataka Fakultet prometnih znanosti posebno pazi na poštivanje načela obrade podataka, stoga obrađuje podatke: - Zakonito – obrada će biti moguća ako je ista dopuštena zakonom i to u granicama koje zakon dopušta. - Pošteno – uvažavajući specifičnosti svakog odnosa, primjenjujući sve adekvatne mjere za zaštitu osobnih podataka i privatnosti općenito te ne sprečavajući ispitanika u ostvarivanju svojih prava. - Transparentno – informirajući ispitanike o obradama osobnih podataka. Od samog prikupljanja podataka kada su ispitanici informirani o svim aspektima obrade podataka pa sve do prestanka obrade podataka ispitanicima se pruža jednostavan i brz pristup vlastitim podacima što uključuje mogućnost uvida i dobivanja kopije u skladu s odredbama Uredbe. Određene informacije mogu se ograničiti samo kada je to zahtijevano zakonom ili kada je to nužno za zaštitu trećih osoba. - Uz ograničenje svrhe – obrađujući osobne podatke u one svrhe u koji su prikupljeni a u druge svrhe ako su za to ispunjeni uvjeti iz Uredbe. - Uz ograničenje pohrane – pohranjujući podatke u obliku koji omogućuje identifikaciju ispitanika samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju, a duže samo ako je dopušteno Uredbom ili pozitivnim propisom. - Uz smanjenje količine podataka – obrađujući podatke ako su primjereni, relevantni i ograničeni na ono što je nužno. Posebno se pazi da se ne prikupljaju podaci za koje ne postoji opravdana potreba za obradom. - Vodeći računa o točnosti – vodeći računa o točnosti i ažurnosti podataka i brišući netočne podatke u okviru mogućnosti. - Vodeći računa o cjelovitosti i povjerljivosti – pružajući tehničkim i organizacijskim mjerama odgovarajuću sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera. Vaše osobne podatke obrađivat ćemo samo na temelju zakonske obveze, radi ispunjenja ugovorne obveze, Vaše privole ili druge legitimne osnove. Prikupljene osobne podatke obrađujemo uz obaveznu primjenu odgovarajućih pravnih, tehničkih i organizacijskih mjera sigurnosti kako bismo spriječili svaku neovlaštenu obradu podataka. Pristup Vašim osobnim podacima ograničen je samo na one zaposlenike kojima su te informacije potrebne. Prikupljamo samo one podatke koji su nužni za predmetnu obradu te jamčimo da podaci koji su prikupljeni za jednu svrhu neće se koristiti ni za jednu drugu svrhu ili na način koji nije u skladu s odobrenom svrhom. Za svrhu obrade koja se ne provodi temeljem zakonske osnove ili ugovora tražit ćemo od Vas posebnu privolu. Za izvršavanje određenih usluga Fakultet je ovlastio treće osobe – izvršitelje obrade, kojima dostavlja Vaše podatke u svrhu obavljanja ugovorenih usluga. S izvršiteljima obrade Fakultet sklapa ugovor u pogledu njihovih ovlasti i obveza kod obrade osobnih podataka, povjerljivosti ustupljenih podataka, a sve sukladno zahtjevima Uredbe i pozitivnim propisima. Razdoblje čuvanja podataka Fakultet će Vaše osobne podatke čuvati samo onoliko koliko je potrebno kako bi se izvršila ugovorna ili zakonska obveza ili legitimni interes, osim u slučaju obrade osobnih podataka na temelju privole, kada u trenutku povlačenja Vaše privole prestaje obrada. Privolu možete povući u svakom trenutku slanjem zahtjeva na e-adresu Službenika za zaštitu osobnih podataka Fakulteta prometnih znanosti (sluzbenik-za-zastitu-podataka@fpz.hr). Napominjemo da povlačenje privole ne utječe na zakonitost obrade temeljene na privoli prije njezina povlačenja. Ostvarivanje prava ispitanika Svaki ispitanik ima pravo da u svakom trenutku od voditelja obrade može zatražiti pristup svojim osobnim podacima, njihov ispravak ili dopunu, brisanje (ukoliko ne postoje opravdani razlozi za čuvanje podataka), ograničavanje njihove obrade (primjerice kada osporavate točnost podataka, sve dok ne provjerimo njihovu točnost) kao i pravo na povlačenje suglasnosti za obradu podataka. Navedena prava ostvaruju se podnošenjem zahtjeva na e-adresu Službenika za zaštitu osobnih podataka Fakulteta prometnih znanosti (sluzbenik-za-zastitu-podataka@fpz.hr). Obrada osobnih podataka kandidata za zapošljavanje Fakultet prometnih znanosti u svojstvu voditelja obrade prikuplja i obrađuje osobne podatke kandidata za zapošljavanje na otvorena radna mjesta na Fakultetu prometnih znanosti u sklopu postupka selekcije te u svrhu sklapanja i izvršavanja ugovora o radu s kandidatima, ovisno o rezultatima selekcijskog postupka. Fakultet prometnih znanosti ima legitimni interes za zapošljavanje onih radnika koji svojim znanjem, vještinama i osobnošću najbolje odgovaraju potrebama pojedinih radnih mjesta na Fakultetu. Radi ostvarivanja tog legitimnog interesa, Fakultet provodi selekcijske postupke vezane za izbor kandidata koji su se prijavili na objavljeni natječaj za posao. Tijekom selekcijskog postupka, a kako bi provjerio sposobnost i znanja kandidata te utvrdio koji od kandidata zadovoljavaju sve postavljene zahtjeve pojedinog radnog mjesta, Fakultet prometnih znanosti od kandidata prikuplja i obrađuje samo i isključivo one kategorije i vrste osobnih podataka koje su potrebne za provedbu selekcijskog postupka: - opće podatke o kandidatu (ime i prezime, OIB, datum rođenja, adresa prebivališta/boravišta, broj mobitela, e-mail adresa), - podatke o stečenom obrazovanju (stečeno zvanje i stručna sprema, naziv završene ustanove u kojoj je stečeno zvanje i stručna sprema, period trajanja obrazovanja), - podatke o prethodnom poslodavcu (tvrtka prethodnog poslodavca, naziv i opis radnog mjesta, razdoblje rada kod prethodnog poslodavca), - podatke o stažu, - dokaze o stečenim kvalifikacijama i znanjima (stečene diplome, certifikati i potvrde kojima kandidat potvrđuje svoje stručne i druge kompetencije koje je naveo u svojoj prijavi na natječaj), - uvjerenje nadležnog suda da se protiv kandidata ne vodi kazneni postupak i da nije kažnjavan,v - podatke o preporukama koje je kandidat naveo u svojoj prijavi, - dokumentacija koju kandidat dostavi s osnove prednosti pri zapošljavanju, - podatke o rezultatima provedenih testiranja kandidata. Vaši osobni podaci su nam potrebni radi utvrđivanja ispunjavate li uvjete raspisanog natječaja za slobodno radno mjesto. Ako nam ne pružite osobne podatke ili to ne učinite u mjeri u kojoj su nam ti podaci nužni za utvrđivanje ispunjavate li uvjete raspisanog natječaja, nećemo biti u mogućnosti uključiti Vas u raspisani natječaj. Vaši osobni podaci otkrivaju se zaposlenicima unutar kadrovske službe te voditeljima organizacijskih jedinica za koje podnosite zamolbu za zaposlenje, te zaposlenicima koji su u sastavu povjerenstva koje odlučuje o selekciji kandidata. Vaše osobne podatke možemo dostaviti i vanjskim primateljima, tj. fizičkim i pravnim osobama koje su s nama u poslovnom odnosu u vezi sa provođenjem postupka zapošljavanja odnosno provođenja testiranja kandidata. Za cijelo vrijeme njihove obrade osobni podaci kandidata tretiraju se kao poslovna tajna te se obrađuju uz primjenu adekvatnih tehničkih i organizacijskih mjera kojima se osigurava njihova zaštita. Podatke kandidata za posao koji nisu prošli selekcijski postupak brišu se, odnosno vraćaju se, nakon što proteknu rokovi za pravne lijekove po provedenom natječaju, osim u slučaju kada ih, uz izričitu privolu kandidata, zadržavamo u svojoj bazi podataka radi eventualnog budućeg zaposlenja. Ukoliko ne želite da čuvamo Vaše podatke, ističemo da u svakom trenutku možete povući svoj pristanak za obradu osobnih podataka u kojem slučaju ćemo izbrisati odnosno uništiti Vaše osobne podatke. Ukoliko Fakultet prometnih znanosti s kandidatom sklopi ugovor o radu, od Vas ćemo zatražiti i druge kategorije osobnih podataka koje smo dužni obrađivati sukladno zakonskim propisima a i koji su navedeni u našem pravilniku o radu, a isto u svrhu ostvarivanja prava iz radnog odnosa i radi poštivanja naše pravne obveze kao poslodavca. Ističemo kako Vi imate pravo na pristup svojim podacima, pravo na ispravak osobnih podataka (u slučaju da su pohranjeni Vaši osobni podaci netočni ili nepotpuni, imate pravo zatražiti ispravak ili nadopunu), pravo na brisanje osobnih podataka, pravo prigovora na obrade osobnih podataka temeljene na legitimnom interesu voditelja obrade, pravo na ograničenje obrade. Ako smatrate da obrada Vaših osobnih podataka nije u skladu s propisima o zaštiti osobnih podataka, imate pravo podnijeti pritužbu Agenciji za zaštitu osobnih podataka (https://www.azop.hr) Ne dovodeći u pitanje Vaše pravo na podnošenje pritužbe nadzornom tijelu predlažemo Vam da se prije podnošenja pritužbe obratite našem službeniku za zaštitu podataka radi razjašnjenja spornih pitanja. Također, za ostvarivanje svih svojih prava u vezi s obradom osobnih podataka možete se obratiti našem službeniku za zaštitu podataka putem navedenih kontaktnih podataka. Postupanje u slučaju povrede osobnih podataka Fakultet prometnih znanosti kao voditelj obrade osigurava da slučaju povrede osobnih podataka, bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije 72 sata nakon saznanja o toj povredi, izvješćuje nadležno nadzorno tijelo o povredi osobnih podataka, osim ako nije vjerojatno da će povreda osobnih podataka prouzročiti rizik za prava i slobode pojedinaca. Izvješće koje se dostavlja nadzornom tijelu sadržava sve informacije sukladno Uredbi. U slučaju povrede osobnih podataka koje će vjerojatno prouzročiti visok rizik za prava i slobode pojedinaca, Fakultet prometnih znanosti bez nepotrebnog odgađanja obavješćuje ispitanika o povredi osobnih podataka. Ispitanike se neće obavijestiti u slučajevima kada Uredba propisuje da isto nije obvezno. Službenik za zaštitu podataka Službenikom za zaštitu podataka Fakulteta prometnih znanosti imenovana je Željka Ohnjec, dipl. iur. Adresa: Fakultet prometnih znanosti Sveučilišta u Zagrebu, Vukelićeva 4, 10 000 Zagreb. e-adresa: sluzbenik-za-zastitu-podataka@fpz.hr kontakt broj: 01/2380 358 - Odluka o imenovanju sluzbenika za zaštitu podataka - Uredba (EU) 2016/679 Europskog parlamenta i Vijeća: http://eur-lex.europa.eu/legal-content/HR/TXT/PDF/?uri=CELEX:32016R0679&from=EN