KVKK m62 – artikel 6.2 i Turkiets dataskyddslag förklaras

KVKK m62 (vanligen skrivet m.6/2) är artikel 6 punkt 2 i Turkiets personuppgiftslag nr 6698, som reglerar när särskilda kategorier av personuppgifter får behandlas.

• Den turkiska dataskyddslagen, lag nr 6698, utfärdades den 24 mars 2016 och trädde i kraft den 7 april 2016.
• Artikel 6.2 i KVKK förbjuder som utgångspunkt behandling av särskilda personuppgifter utan uttryckligt samtycke.
• Till skillnad från GDPR inkluderar KVKK klädsel och utseende som en särskild kategori av personuppgifter.

För mer information, se vår sida Crawzas KVKK-sida.

Vad är KVKK m62?

KVKK m62 är artikel 6, andra stycket, i den turkiska dataskyddslagen och anger huvudregeln för särskilda personuppgifter.

KVKK är Turkiets dataskyddslag, officiellt kallad Kişisel Verilerin Korunması Kanunu. Lagen har nummer 6698 och trädde i kraft den 7 april 2016. I juridiska texter syftar m62 vanligen på madde 6/2, alltså artikel 6, andra stycket, i lagen. Det finns alltså ingen separat paragraf 62 i KVKK. Paragrafen är central för all behandling av känsliga personuppgifter och påminner i flera avseenden om artikel 9 i GDPR.

Den som söker på kvkk m62 behöver alltså information om artikel 6.2, inte om en fristående lagregel. För företag utanför Turkiet är det lätt att missa denna detalj, eftersom förkortningen ser ut som en lagparagraf. Här förklarar vi vad bestämmelsen innebär och hur den förhåller sig till EU:s dataskyddsregler. Du kan också läsa Crawzas KVKK-sida för en bredare genomgång.

Vilka uppgifter omfattas av artikel 6.2?

Artikel 6.2 omfattar bland annat etnicitet, politiska åsikter, religion, hälsa, sexualliv, brottmålsdomar, biometriska och genetiska data.

I KVKK definieras särskilda personuppgifter som uppgifter om ras, etniskt ursprung, politisk åsikt, filosofisk övertygelse, religion, trosinriktning eller annan liknande uppfattning, klädsel och utseende, medlemskap i föreningar, stiftelser eller fackföreningar, hälsa, sexualliv, brottmålsdomar och säkerhetsåtgärder. Dessutom omfattas biometriska och genetiska uppgifter. Listan har likheter med GDPR, men är inte identisk.

Den stora skillnaden är att KVKK behandlar klädsel och utseende som en särskild kategori. Det är ett resultat av turkisk rättstradition och kan överraska svenska företag. Även om inget företag samlar in dessa uppgifter i vanliga fall, kan de förekomma i bilder, videor eller användargenererat innehåll. Då aktualiseras kravet på uttryckligt samtycke. Vi rekommenderar att ni alltid gör en konkret bedömning av vilka uppgifter som faktiskt behandlas i era system.

När får särskilda personuppgifter behandlas enligt KVKK m62?

Särskilda personuppgifter får enligt KVKK m62 som huvudregel behandlas först efter uttryckligt samtycke, men det finns lagstadgade undantag.

Artikel 6.2 slår fast att särskilda personuppgifter inte får behandlas utan uttryckligt samtycke från den registrerade. Uttryckligt samtycke kräver en aktiv handling, exempelvis en kryssruta eller underskrift. Passivitet eller förifyllda val räcker inte. Samtycket ska vara informerat, specifikt och frivilligt. Det måste också vara möjligt att återkalla när som helst.

För hälsouppgifter och uppgifter om sexualliv gäller ytterligare begränsningar. De får behandlas av personer som är bundna av sekretess och endast för ändamål som förebyggande hälsovård, medicinsk diagnos, vård eller behandling. För övriga särskilda kategorier kan behandling tillåtas när det finns uttryckligt stöd i lag. Observera att detta är ett snävare undantag än GDPR:s generösa regler för exempelvis anställningsrättsliga ändamål.

Vad betyder KVKK m62 för svenska företag?

Svenska företag som omfattas av turkisk dataskyddslag måste anpassa sina samtyckes- och skyddsrutiner till artikel 6.2.

Svenska företag med kunder, anställda eller partners i Turkiet kan komma i kontakt med KVKK. Det gäller särskilt e-handel som riktar sig till turkiska konsumenter, eller multinationella bolag med verksamhet i Turkiet. KVKK kan också bli tillämplig när uppgifter omfattas av turkisk lag, trots att företaget ligger i Sverige. Då räcker det inte att följa GDPR; ni måste även göra en bedömning mot KVKK m62.

En vanlig utmaning är att bygga samtyckeslösningar som uppfyller både GDPR och KVKK. Ett system med separat kryssruta, fri text och spårbar logg är en bra grund. Tekniska åtgärder som kryptering och åtkomstkontroll är också nödvändiga. Här kan Crawza hjälpa till med webbutveckling och teknisk optimering. Se gärna Crawzas prislista för tjänster och priser.

Så bygger du en efterlevnadsplan för artikel 6.2

Börja med att kartlägga vilka särskilda uppgifter ni behandlar, fastställ rättslig grund och inför sedan tekniska och organisatoriska åtgärder.

Första steget i en efterlevnadsplan är en inventering. Dokumentera alla behandlingar, uppgiftskategorier och ändamål. Bedöm om någon uppgift faller under artikel 6.2. Titta särskilt på HR-system, kundformulär och register som innehåller hälsouppgifter. En konsekvensbedömning hjälper er att identifiera risker innan de blir problem.

Därefter fastställer ni rättslig grund för varje behandling. Vid samtycke ska processen vara dokumenterad. Företag som hanterar känsliga uppgifter bör även utse ett dataskyddsombud eller motsvarande. Utbilda personal och uppdatera rutiner löpande. Om du vill ha fler handfasta tips kan du läsa Crawzas FAQ. Där hittar du svar på vanliga frågor om webbplatser och dataskydd.

Vilka sanktioner kan följa av brott mot KVKK m62?

Överträdelser av artikel 6.2 kan leda till administrativa sanktionsavgifter enligt artikel 18 i KVKK, krav på rättelse och skadestånd.

KVKK ger den turkiska dataskyddsmyndigheten (Kişisel Verileri Koruma Kurumu) befogenhet att utreda klagomål och besluta om böter. Sanktionsavgifterna för överträdelser av artikel 6 regleras i artikel 18. Beloppet beräknas utifrån den årliga bruttoomsättningen eller ett fastställt intervall som uppdateras varje år. För särskilda uppgifter gäller högre avgifter eftersom de anses vara extra känsliga.

Utöver böter kan den registrerade kräva skadestånd enligt artikel 14. En myndighet kan också besluta att behandlingen ska upphöra eller att uppgifterna ska raderas. För svenska företag innebär detta en reell ekonomisk risk. Därför är förebyggande arbete lönsamt. Crawza kan hjälpa till med både efterlevnad och sökmotoroptimering; läs gärna fler inlägg på Crawzas blogg.

Du kan utforska Crawzas prislista.