Kritische Erkenntnisse des EGMR und der türkischen DPA
I. Einführung
In einer Welt, in der die digitale Sphäre tief mit unserem Alltag verflochten ist, kann die Bedeutung des Datenschutzes nicht hoch genug eingeschätzt werden. Die Türkei hat als Teil ihres Engagements zum Schutz der Rechte ihrer Bürger strenge Vorschriften zur Verarbeitung personenbezogener und biometrischer Daten erlassen. Dieser Artikel befasst sich eingehend mit der türkischen Rechtslandschaft zum Datenschutz und insbesondere mit der Nutzung biometrischer Daten in der Türkei und bietet einen umfassenden Überblick für alle, die sich mit diesem komplexen Thema befassen.
II. Anwendbare Gesetzgebung in der Türkei für die Verarbeitung von Daten und biometrischen Daten:
Das zentrale Gesetz für die Verarbeitung personenbezogener Daten in der Türkei ist das Gesetz zum Schutz personenbezogener Daten (PDPL) mit der Nummer 6698. Das PDPL zielt darauf ab, die Grundrechte und Grundfreiheiten natürlicher Personen, insbesondere das Recht auf Privatsphäre, bei der Verarbeitung personenbezogener Daten zu schützen.
Nach dem PDPL bezeichnet personenbezogenes Datum jede Information, die sich auf eine identifizierte oder identifizierbare natürliche Person bezieht. Wenn diese personenbezogenen Daten die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder die Gewerkschaftszugehörigkeit offenbaren oder genetische Daten, biometrische Daten zum Zweck der eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person verarbeitet werden, werden sie als „besondere Kategorien personenbezogener Daten“ eingestuft. Biometrische Daten, die aufgrund technologischer Entwicklungen in verschiedenen Sektoren an Bedeutung gewonnen haben, fallen unter diese besondere Kategorie und unterliegen strengeren Verarbeitungsregeln.
Das PDPL wird durch verschiedene sekundäre Vorschriften und Entscheidungen des Personal Data Protection Board (The Board) ergänzt. Das Board spielt eine zentrale Rolle bei der Auslegung des PDPL und gibt Hinweise zu seiner Umsetzung.
III. Verständnis personenbezogener Daten: ein genauer Blick auf Artikel 3(a) und 6(1) des türkischen PDPL
Im Rahmen des türkischen Gesetzes zum Schutz personenbezogener Daten (PDPL) bestehen unterschiedliche Datenklassifikationen. Im Zentrum dieser Definitionen steht der Begriff „personenbezogene Daten“, wie er in Artikel 3(a) des PDPL definiert ist. Diese Daten umfassen jede Information, die sich auf eine identifizierte oder identifizierbare natürliche Person bezieht, und reichen von grundlegenden Angaben wie Namen und Adressen bis zu technischeren Daten wie IP-Adressen.
Es gibt jedoch eine Untergruppe personenbezogener Daten, die wegen ihrer Sensibilität größere Aufmerksamkeit verlangt – die „besonderen Kategorien personenbezogener Daten“. Artikel 6(1) des PDPL geht darauf näher ein und hebt Datentypen hervor, die rassische oder ethnische Herkunft, politische Ansichten, religiöse oder philosophische Überzeugungen und sogar Gewerkschaftszugehörigkeiten offenbaren. Besonders hervorzuheben ist in dieser Kategorie biometrische Information. Aufgrund ihrer einzigartigen Fähigkeit, Personen zu identifizieren, unterstreicht die Einbeziehung biometrischer Daten in diese Kategorie ihre Bedeutung und Sensibilität.
IV. Datenrechte und Pflichten in der Türkei: Erkenntnisse aus den Artikeln 11 und 12 des PDPL
Das PDPL definiert nicht nur Daten; es dient auch als Leitlinie für die Rechte betroffener Personen und die Pflichten derjenigen, die Daten kontrollieren. Artikel 11 des PDPL nennt die Rechte der betroffenen Personen. Er befähigt Personen zu erfahren, ob ihre Daten verarbeitet wurden, den Zweck dieser Verarbeitung zu verstehen und über Dritte informiert zu werden, die an solchen Vorgängen beteiligt sind, ob im Inland oder international.
Darüber hinaus können Personen die Berichtigung ihrer Daten verlangen, wenn sie unrichtig verarbeitet wurden, und haben das Recht, Ergebnissen zu widersprechen, die aus automatisierten Systemanalysen ihrer Daten entstehen. Bei einer Rechtsverletzung gewährt ihnen das Gesetz das Recht, Schadensersatz zu verlangen.
Auf der anderen Seite haben Verantwortliche ihre in Artikel 12 des PDPL festgelegten Pflichten. Sie müssen die Sicherheit personenbezogener Daten gewährleisten, betroffene Personen über etwaige Verstöße informieren und sich im Register der Verantwortlichen registrieren. Außerdem müssen sie ein Inventar der Verarbeitung personenbezogener Daten erstellen und, falls erforderlich, einen Datenschutzbeauftragten ernennen.
V. Der Aufstieg der Biometrie im privaten Sektor der Türkei: praktische Anwendungen und Folgen
Biometrische Daten sind nicht auf rechtliche Diskussionen beschränkt. Ihre praktischen Anwendungen sind in der Türkei in verschiedenen Sektoren weit verbreitet. Der Gesundheitssektor nutzt biometrische Daten, insbesondere genetische Daten, etwa für Diagnostik, Behandlungsplanung und die Anpassung medizinischer Behandlung an individuelle Bedürfnisse. Der Einsatz biometrischer Identifikation in Krankenhäusern und Kliniken bei der Patientenregistrierung gewährleistet Genauigkeit und verhindert medizinische Fehlleistungen.
Im Geschäftsbereich haben viele Unternehmen biometrische Systeme zur Mitarbeiterüberwachung in Betracht gezogen, indem sie Wege suchten, Fingerabdruck- oder Gesichtserkennungstechnologien für präzise Zeiterfassung und erhöhte Sicherheit einzusetzen. Diese Bemühungen wurden anschließend durch Entscheidungen des Board blockiert.
Auch der Technologiesektor hat Biometrie übernommen. Die Geräte, die wir täglich nutzen, seien es Smartphones, Tablets oder Computer, sind heute mit Fingerabdruckscannern, Gesichtserkennung und sogar Spracherkennungsfunktionen ausgestattet. Dies zeigt, wie eng Biometrie mit unserem Alltag verwoben ist.
Schließlich misst auch der Sicherheitssektor in der Türkei der Biometrie große Bedeutung bei. Die beispiellose Identifikationsgenauigkeit biometrischer Verfahren zeigt sich in Hochsicherheitsbereichen, in denen Zugangskontrolle entscheidend ist. Selbst Überwachungssysteme setzen heute Gesichtserkennungstechnologie ein und unterstreichen damit die Rolle der Biometrie in modernen Sicherheitsprotokollen.
VI. Präzedenzfälle zu biometrischen Daten
a. Biometrische Daten auf internationaler Ebene: der Fall GLUKHIN v. Russia
In einem Grundsatzurteil hat der Europäische Gerichtshof für Menschenrechte (EGMR) im Fall Glukhin v. Russia über den Einsatz von Gesichtserkennungstechnologie und die Rechte auf Privatsphäre und Meinungsfreiheit entschieden.
Glukhin hielt in Moskau eine Ein-Personen-Demonstration ab, die aufgezeichnet und anschließend auf einem öffentlichen Telegram-Kanal veröffentlicht wurde. Die Polizei entdeckte diesen Inhalt im Rahmen routinemäßiger Internetüberwachung. In ihrer Untersuchung fertigte sie Screenshots des Telegram-Kanals an und setzte darauf Gesichtserkennungstechnologie ein, um Glukhin zu identifizieren. Nachdem der Ort im Video als Moskauer U-Bahn-Station erkannt worden war, beschaffte sie außerdem Videoaufzeichnungen von CCTV-Überwachungskameras dieser Station und zweier weiterer Stationen, die Glukhin passiert hatte. Bemerkenswert ist, dass diese Aufnahmen später in Verwaltungsverfahren gegen ihn als Beweismittel verwendet wurden.
Die Entscheidung des Gerichts (abrufbar hier) betonte die Bedeutung eines transparenten und robusten Rechtsrahmens für die Erhebung, Speicherung und Nutzung biometrischer Daten. Daher stellte das Gericht fest, dass sowohl Artikel 8 (Recht auf Achtung des Privatlebens) als auch Artikel 10 (Meinungsfreiheit) der Konvention verletzt wurden. Die Entscheidung unterstrich die Notwendigkeit detaillierter Regeln für Gesichtserkennungsmaßnahmen und wirksamer Schutzmechanismen gegen möglichen Missbrauch und Willkür.
Das Gericht betonte die Auswirkungen des Einsatzes einer derart eingriffsintensiven Technologie und erklärte, sie könne eine abschreckende Wirkung auf die Rechte auf Meinungs- und Versammlungsfreiheit haben. Das Gericht hob die Bedeutung des Rechts auf Achtung des Privatlebens nach Artikel 8 und der Meinungsfreiheit nach Artikel 10 hervor. In seinem Urteil stellte das Gericht fest, dass der Eingriff des Staates in Glukhins Rechte keinem „dringenden sozialen Bedürfnis“ entsprach und daher nicht gerechtfertigt war.
Dieser Fall erinnert eindrücklich an die inhärenten Risiken und Herausforderungen biometrischer Daten, insbesondere wenn sie sorglos oder ohne ausreichende Rechtfertigung verarbeitet werden.
b. Einordnung der Entscheidung des türkischen Datenschutzrats zu biometrischen Daten
Der türkische Datenschutzrat traf in seiner Entscheidung unter Aktenzeichen 2022/662 eine wichtige Feststellung zur Erhebung und Verarbeitung biometrischer Daten, insbesondere zur Handgeometrie.
i. Hintergrund der Entscheidung:
Die Entscheidung rückte aufgrund einer Beschwerde einer Person in den Fokus, die geltend machte, ein privates Unternehmen habe ihre Handgeometriedaten ohne ausdrückliche Einwilligung erhoben. Der zentrale Einwand lautete, ein solches Vorgehen sei nicht nur eingriffsintensiv, sondern verstoße auch gegen die im Gesetz zum Schutz personenbezogener Daten (PDPL) verankerten Grundsätze.
ii. Feststellungen des Board zur Nutzung biometrischer Daten:
Nach eingehender Prüfung und Beratung folgte das Board den Bedenken des Beschwerdeführers. Es wurde eindeutig festgestellt, dass die Erhebung von Handgeometriedaten, selbst wenn sie Sicherheits- oder Authentifizierungszwecken dienen soll, als biometrische Daten einzuordnen ist. Diese Einordnung verlangt vor jeder Datenerhebung oder -verarbeitung die Einholung der ausdrücklichen Einwilligung der betroffenen Person. Das betreffende private Unternehmen wurde als Verstoß gegen das PDPL angesehen und entsprechend mit einer Verwaltungsstrafe von 100.000 TL belegt.
iii. Auswirkungen der Entscheidung:
Diese Entscheidung des Board erinnert an die komplexe Natur biometrischer Daten und die strengen Schutzvorkehrungen für ihre Erhebung und Verarbeitung. Sie hebt die zentrale Rolle informierter Einwilligung hervor und dient Organisationen als warnendes Beispiel, ihre Datenverarbeitungspraktiken sorgfältig an den vorgeschriebenen gesetzlichen Vorgaben auszurichten.
Über die unmittelbaren Folgen hinaus setzt die Äußerung des Board einen klaren Präzedenzfall für künftige Fälle und Streitigkeiten zu biometrischen Daten. Die Entscheidung verdeutlicht Definition und Umfang dessen, was unter biometrischen Daten fällt, und stärkt die Rechte betroffener Personen im digitalen Zeitalter. Sie ruft Unternehmen, sowohl inländische als auch internationale Unternehmen mit Tätigkeit in der Türkei, dazu auf, ihre Datenerhebungsmethoden erneut zu prüfen und zu bewerten, um sicherzustellen, dass sie strikt mit dem PDPL und anderen einschlägigen Vorschriften übereinstimmen.
VII. Abschließende Überlegungen zu biometrischen Daten in der Türkei
Der Weg der Türkei im Bereich des Schutzes biometrischer Daten ist dynamisch. Mit dem robusten Rechtsrahmen des PDPL hat das Land klare Grenzen dafür gesetzt, was zulässig ist und was nicht. Von der Definition personenbezogener und biometrischer Daten bis zur Hervorhebung der Rechte und Pflichten der Beteiligten deckt das Gesetz den gesamten Bereich ab.
Praktische Anwendungen der Biometrie in Sektoren wie Gesundheit, Technologie und Sicherheit zeigen ihre wachsende Bedeutung. Internationale Fälle wie GLUKHIN v. Russia machen jedoch deutlich, dass kein Raum für Nachlässigkeit besteht.
Die Entscheidung des türkischen Datenschutzrats festigt die Haltung des Landes in dieser Frage weiter und stellt sicher, dass die Verarbeitung biometrischer Daten mit bewährten Praktiken übereinstimmt und individuelle Rechte respektiert.
Für Unternehmen, insbesondere im privaten Sektor, ist es entscheidend, auf dem Laufenden zu bleiben, Vorschriften einzuhalten und Datenschutz zu priorisieren. Die Landschaft mag komplex sein, doch mit Bewusstsein und Einhaltung wird ihre Bewältigung weniger schwierig.
Diese Übersetzung dient ausschließlich Informationszwecken und kann vom Originaltext abweichen.
