Conservation et destruction des données personnelles

Lorsque nous faisons des achats, naviguons sur Internet ou téléchargeons des applications, nous fournissons constamment nos données personnelles à des tiers, volontairement ou non. Les données que nous transmettons sont traitées et utilisées soit à des fins publicitaires, soit comme moyen de fraude. C'est pourquoi la conservation et la destruction des données personnelles revêtent une importance capitale pour la sécurité individuelle. L'avocate Öykü Ergün a rédigé pour 12punto un article sur les lois et règlements relatifs à la KVKK (Loi sur la protection des données personnelles).

Voici l'article de Me Ergün :

La source relative à la conservation et à la destruction des données personnelles est avant tout la Loi n° 6698 sur la protection des données personnelles (« KVKK »), suivie du Règlement sur la suppression, la destruction ou l'anonymisation des données personnelles (« Règlement »), publié au Journal officiel du 28.10.2017 sous le numéro 30224, ainsi que du Guide sur la suppression, la destruction ou l'anonymisation des données personnelles (« Guide ») préparé par l'Autorité de protection des données personnelles (« Autorité »). Conformément à cette législation, il est possible de déterminer comment les données personnelles d'un employé doivent être conservées et, le cas échéant, comment elles doivent être détruites.

Afin de définir les détails de la manière dont la destruction des données personnelles doit être effectuée et d'assurer une uniformité procédurale, le Règlement sur la suppression, la destruction ou l'anonymisation des données personnelles a été publié au Journal officiel du 28.10.2017 sous le numéro 30224.

L'article 4 du Règlement explique la destruction des données personnelles en utilisant les termes de suppression, de destruction ou d'anonymisation des données.

La suppression des données personnelles désigne le processus consistant à rendre les données personnelles inaccessibles et inutilisables pour les utilisateurs concernés. La manière dont l'opération de suppression doit être effectuée n'est pas réglementée dans le Règlement. Il est seulement indiqué que le responsable du traitement des données doit prendre les mesures techniques et administratives nécessaires à cette suppression. Par conséquent, l'employeur peut assurer la suppression des données en utilisant la méthode de son choix, adaptée au support de stockage. Comme indiqué dans le Guide, si les données sont enregistrées dans un système cloud, une commande de suppression doit être donnée ; si elles se trouvent sur support papier, elles doivent être supprimées par un procédé de noircissement.

Pour la destruction des données personnelles, une destruction physique des documents ou du matériel contenant les données est nécessaire.

L'anonymisation des données personnelles est un concept légèrement différent des deux autres. Dans le Règlement, l'anonymisation des données personnelles est définie comme le fait de rendre les données personnelles impossibles à associer à une personne physique identifiée ou identifiable, même si elles sont croisées avec d'autres données. Selon le Guide, l'anonymisation est le processus consistant à empêcher l'identification de la personne concernée en supprimant ou en modifiant tous les identifiants directs et/ou indirects d'un ensemble de données, ou en perdant la caractéristique d'être distinguable au sein d'un groupe ou d'une foule, de manière à ce qu'elles ne puissent plus être associées à une personne physique. En d'autres termes, les données anonymes sont des données dont le lien avec la personne a été totalement rompu. Les statistiques publiées chaque année par le TÜİK en sont un exemple, tout comme les résultats des études connues du public sous le nom de sondages électoraux, qui reflètent les préférences politiques de la population.

Bien que l'article 7 de la KVKK, cité ci-dessous, constitue une disposition générale relative à la destruction des données personnelles, il existe des réglementations spécifiques dans différentes lois, notamment en ce qui concerne les délais de destruction.

« Suppression, destruction ou anonymisation des données personnelles »

ARTICLE 7- (1) Bien qu'elles aient été traitées conformément aux dispositions de la présente loi et d'autres lois pertinentes, si les raisons justifiant leur traitement disparaissent, les données personnelles sont supprimées, détruites ou anonymisées par le responsable du traitement, d'office ou à la demande de la personne concernée.

(2) Les dispositions contenues dans d'autres lois concernant la suppression, la destruction ou l'anonymisation des données personnelles sont réservées.

(3) Les procédures et principes relatifs à la suppression, la destruction ou l'anonymisation des données personnelles sont régis par règlement.

Par exemple, conformément à l'article 7/1 du Règlement sur les services de santé et de sécurité au travail, « l'employeur conserve les dossiers de santé personnels des employés pendant au moins 15 ans à compter de la date de cessation d'emploi » ; conformément à l'article 17 du Règlement sur les mesures de santé et de sécurité lors du travail avec des substances cancérigènes ou mutagènes, la liste mise à jour des travailleurs employés dans des emplois présentant des risques pour la santé et la sécurité, ainsi que les registres indiquant leur état d'exposition et les registres de surveillance de la santé, « sont conservés pendant au moins 40 ans après la fin de l'exposition ».

De même, à cet égard, et dans un but plus général, concernant la conservation des dossiers du personnel, le deuxième paragraphe de l'article 86 de la Loi sur les assurances sociales et l'assurance maladie générale dispose : « L'employeur et les propriétaires d'entreprise sont tenus de conserver les livres, registres et documents de l'entreprise pendant dix ans à compter du début de l'année suivant l'année à laquelle ils se rapportent, les administrations publiques pendant trente ans, et les administrateurs de liquidation et de faillite pendant la durée de leurs fonctions, et de les présenter dans les quinze jours si les agents chargés du contrôle et de l'inspection par l'Institution le demandent. » Si l'employeur agit en violation de cette disposition, une amende administrative lui est infligée.

Dans le cadre de la Loi sur le travail (« İK »), les délais de prescription peuvent être utilisés comme critère pour déterminer la durée de conservation des données personnelles de l'employé. Compte tenu du fait que le délai de prescription pour les litiges pouvant survenir entre l'employé et l'employeur après la fin de la relation de travail, basés sur les créances énumérées à l'article 3 additionnel de l'İK, est de 5 ans, il serait approprié de conserver les données de l'employé pendant cette période. Pour les créances non énumérées à l'article 3 additionnel de l'İK, le délai de prescription général de 10 ans s'applique.

Un autre problème à mentionner concernant la conservation des données de l'employé est ce qu'il advient des données collectées si le processus de recrutement n'aboutit pas. Il convient ici de parler de la finalité. S'il n'existe aucune finalité légale justifiant la conservation des données d'un candidat après le rejet de sa candidature, les données doivent être supprimées immédiatement. Cependant, il peut y avoir certaines raisons justifiant la conservation de ces données. Par exemple, si le candidat estime avoir été victime de discrimination et souhaite exercer ses droits légaux, la conservation des données sera nécessaire. Dans ce cas, la conservation des données sera autorisée en tenant compte des délais de prescription des recours légaux.

Si le processus de recrutement aboutit, la question de savoir quelles données de l'employé doivent être conservées pendant l'exécution du travail sera débattue. Il se peut qu'il n'y ait plus de raison de traiter certaines des données traitées pendant le processus de candidature pendant l'exécution du travail ; dans ce cas, la destruction des données sera nécessaire.

Les données personnelles doivent être détruites lorsque les raisons justifiant leur traitement disparaissent, même si elles ont été traitées conformément à la loi. Cela peut se faire d'office ou à la demande de la personne dont les données sont traitées. Avec la disparition de la situation justifiant le traitement, la responsabilité de la destruction de ces données incombe au responsable du traitement. Le propriétaire des données personnelles peut demander la destruction de ses données en cas de négligence du responsable du traitement.

Un droit similaire au droit de rectification et au droit à l'effacement, également appelé droit à l'oubli, prévus aux articles 16 et 17 du Règlement général sur la protection des données de l'Union européenne, est également prévu aux articles 11/e et 7 de la KVKK. En conséquence, si les raisons justifiant le traitement des données disparaissent, le responsable du traitement supprime les données personnelles d'office ou à la demande de la personne concernée.

Selon l'article 5 du Règlement, les responsables du traitement tenus de s'inscrire au Registre des responsables du traitement conformément à l'article 16 de la KVKK sont tenus de préparer une politique de conservation et de destruction des données personnelles conformément à l'inventaire du traitement des données personnelles. Les personnes tenues de s'inscrire au Registre des responsables du traitement sont définies à l'article 16/2 de la KVKK.

« Les personnes physiques et morales qui traitent des données personnelles sont tenues de s'inscrire au Registre des responsables du traitement avant de commencer le traitement des données. Toutefois, des exceptions à l'obligation d'inscription au Registre des responsables du traitement peuvent être introduites par le Conseil, en tenant compte de critères objectifs déterminés par le Conseil, tels que la nature et le nombre des données personnelles traitées, le fait que le traitement des données découle de la loi ou la situation de transfert à des tiers. »

L'article 6 du Règlement régit la portée des politiques. Selon cet article, les éléments qui doivent figurer dans les politiques peuvent être énumérés comme suit : l'objectif de la préparation de la politique, les environnements d'enregistrement régis par la politique, les définitions des termes juridiques et techniques utilisés dans la politique, l'explication des raisons juridiques, techniques et autres justifiant la conservation et la destruction des données personnelles, les mesures prises pour assurer la conservation sécurisée des données personnelles et pour empêcher leur traitement et leur accès illégaux, les mesures prises pour la destruction légale des données personnelles, les titres, unités et descriptions de poste des personnes impliquées dans les étapes de conservation et de destruction des données personnelles, le tableau indiquant les délais de conservation et de destruction des données personnelles, les délais de destruction périodique des données personnelles, et les informations sur les modifications si une mise à jour a été effectuée dans la politique actuelle. Il convient de noter que le fait que l'employeur ait préparé la politique conformément à la procédure ne signifie pas qu'il a détruit les données personnelles conformément à la loi.

En ce qui concerne les délais fixés pour l'opération de destruction, l'employeur tenu de préparer une Politique de conservation et de destruction des données personnelles détruira ces données lors de la première opération de destruction périodique suivant la date à laquelle l'obligation de supprimer, détruire ou anonymiser les données personnelles est apparue, et l'intervalle de temps de destruction périodique spécifié dans la politique ne peut excéder six mois.

Les employeurs qui ne sont pas tenus d'établir une Politique de conservation et de destruction des données personnelles doivent détruire les données personnelles d'office dans les trois mois suivant le moment où la destruction de ces données devient nécessaire. Ces délais peuvent être raccourcis par l'Autorité de protection des données personnelles en cas de dommages difficiles ou impossibles à réparer et en cas d'illégalité manifeste.

En ce qui concerne les délais de destruction des données à la demande de la personne, conformément à l'article 12 du Règlement, si la personne concernée, c'est-à-dire la personne dont la candidature a été rejetée ou dont le contrat de travail a pris fin, s'adresse à l'employeur et demande la destruction de ses données, l'employeur est tenu de conclure cette demande dans un délai maximum de 30 jours et d'en informer l'employé. Si les conditions de traitement des données personnelles n'ont pas disparu, l'employeur pourra rejeter la demande de l'employé à condition d'en notifier le motif. La réponse de rejet est notifiée à l'employé par écrit ou par voie électronique dans un délai maximum de trente jours. Il est utile d'examiner la décision de l'Autorité de protection des données personnelles donnée ci-dessous à ce sujet.

« ... Considérant qu'il a été conclu que le responsable du traitement n'a pas pris les mesures techniques et administratives nécessaires pour assurer un niveau de sécurité approprié afin d'empêcher le traitement illégal des données personnelles, conformément au premier paragraphe de l'article 12 de la Loi, du fait que la demande de suppression des données personnelles traitées par le responsable du traitement suite au rejet de la candidature de la personne concernée a d'abord été partiellement acceptée par le responsable du traitement, que le traitement des nom, prénom et informations d'identité s'est poursuivi, puis, suite à l'évaluation effectuée à la suite de la deuxième demande de la personne concernée dans le même contexte, il a été notifié que la décision avait été prise de détruire lesdites données lors du premier processus de destruction périodique à réaliser dans le cadre de la politique de destruction du responsable du traitement, et que, par conséquent, les données personnelles n'ont pas été supprimées dans les 30 jours conformément à l'article 12 du Règlement sur la suppression, la destruction ou l'anonymisation des données personnelles malgré la demande de la personne concernée, et que le traitement des données personnelles de la personne concernée s'est poursuivi sans se baser sur aucune condition de traitement figurant à l'article 5 de la Loi, une amende administrative est infligée au responsable du traitement conformément au point (b) du premier paragraphe de l'article 18 de la Loi... » (Décision n° 2021/670 du 06.07.2021)

Dans l'affaire faisant l'objet de la décision, un candidat dont la candidature avait été rejetée a demandé à l'employeur de supprimer ses données personnelles, mais l'employeur a répondu qu'il ne supprimerait pas les données immédiatement, mais lors de la première période de destruction périodique. Suite à cela, l'Autorité de protection des données personnelles a décidé qu'une amende administrative devait être infligée au responsable du traitement.

Avocate Öykü Ergün

Source de l'actualité: 12punto