Almacenamiento y destrucción de datos personales

Al realizar compras, navegar por internet o descargar aplicaciones, siempre entregamos nuestros datos personales a la otra parte, ya sea de forma voluntaria o involuntaria. Los datos que proporcionamos son procesados y utilizados en nuestra contra, ya sea para publicidad o como método de fraude. Por esta razón, el almacenamiento y la destrucción de los datos personales tienen una gran importancia para la seguridad personal. La abogada Öykü Ergün escribe para 12punto sobre las leyes y reglamentos relacionados con la KVKK (Ley de Protección de Datos Personales).

El artículo de Ergün es el siguiente:

La fuente relativa al almacenamiento y destrucción de datos personales es, en primer lugar, la Ley de Protección de Datos Personales N.º 6698 (“KVKK”), seguida por el Reglamento sobre la Eliminación, Destrucción o Anonimización de Datos Personales (“Reglamento”), publicado en el Boletín Oficial del 28.10.2017 con el número 30224, y la Guía sobre la Eliminación, Destrucción o Anonimización de Datos Personales (“Guía”), preparada por la Autoridad de Protección de Datos Personales (“Autoridad”). De acuerdo con la legislación mencionada, se podrá determinar cómo se almacenarán los datos personales del trabajador y cómo deberán destruirse cuando sea necesario.

Con el fin de determinar los detalles sobre cómo y de qué manera se llevará a cabo la destrucción de los datos personales y para garantizar la uniformidad procedimental, se publicó el Reglamento sobre la Eliminación, Destrucción o Anonimización de Datos Personales en el Boletín Oficial del 28.10.2017 con el número 30224.

El artículo 4 del Reglamento, al explicar la destrucción de datos personales, utiliza los términos eliminación, destrucción o anonimización de datos.

La eliminación de datos personales se refiere al proceso de hacer que los datos personales sean inaccesibles e inutilizables para los usuarios pertinentes. El Reglamento no regula cómo debe realizarse el proceso de eliminación. Solo se establece que el responsable del tratamiento de datos debe tomar las medidas técnicas y administrativas necesarias para la eliminación. Por lo tanto, el empleador puede asegurar la eliminación de los datos utilizando el método que elija, siempre que sea adecuado para el procedimiento de almacenamiento. Como se indica en la Guía, si los datos se han guardado en un sistema en la nube, se debe dar la orden de eliminación; si se encuentran en formato papel, deben eliminarse mediante un proceso de oscurecimiento.

Para la destrucción de datos personales, se requiere la destrucción física del documento o hardware donde se encuentran los datos.

La anonimización de los datos personales es algo diferente a los otros dos conceptos. En el Reglamento, la anonimización de datos personales se define como el proceso de hacer que los datos personales no puedan ser asociados de ninguna manera con una persona física identificada o identificable, incluso si se combinan con otros datos. Según la Guía, la anonimización es el proceso de eliminar o modificar todos los identificadores directos y/o indirectos en un conjunto de datos, evitando la identificación de la persona interesada o perdiendo la capacidad de ser distinguible dentro de un grupo o multitud, de tal manera que no puedan ser asociados con una persona física. Es decir, los datos anonimizados son datos cuya relación con la persona ha sido completamente cortada. Las estadísticas publicadas anualmente por el TÜİK pueden ser un ejemplo de esto, así como los resultados de los estudios conocidos públicamente como encuestas electorales, que reflejan las preferencias políticas de la población, también tienen la naturaleza de datos anonimizados.

Aunque el artículo 7 de la KVKK, que se presenta a continuación, es una disposición general sobre la destrucción de datos personales, existen regulaciones diferentes en otras leyes, especialmente para los plazos de destrucción.

“Eliminación, destrucción o anonimización de datos personales”

ARTÍCULO 7- (1) A pesar de haber sido procesados de acuerdo con las disposiciones de esta Ley y otras leyes pertinentes, si las razones que requieren su procesamiento desaparecen, los datos personales serán eliminados, destruidos o anonimizados por el responsable del tratamiento de datos, ya sea de oficio o a petición del interesado.

(2) Quedan reservadas las disposiciones contenidas en otras leyes relativas a la eliminación, destrucción o anonimización de datos personales.

(3) Los procedimientos y principios relativos a la eliminación, destrucción o anonimización de datos personales se regularán mediante reglamento.”

Por ejemplo; de acuerdo con el art. 7/1 del Reglamento sobre Servicios de Salud y Seguridad en el Trabajo, “el empleador conserva los expedientes de salud personales de los empleados durante al menos 15 años a partir de la fecha de terminación del empleo”; según el art. 17 del Reglamento sobre Medidas de Salud y Seguridad en Trabajos con Sustancias Cancerígenas o Mutagénicas, la lista actualizada de los trabajadores que realizan trabajos de riesgo para la salud y la seguridad, junto con los registros que indican sus condiciones de exposición y los registros de vigilancia de la salud, “se conservan durante al menos 40 años después de que finalice la exposición”.

Asimismo, con el fin de tener un carácter más general, respecto a la conservación de los expedientes personales del trabajador; el párrafo 2 del artículo 86 de la Ley de Seguros Sociales y Seguro General de Salud establece: “El empleador y los propietarios del lugar de trabajo están obligados a conservar los libros, registros y documentos del lugar de trabajo durante diez años a partir del inicio del año siguiente al año al que se refieren; las administraciones públicas, durante treinta años; y los funcionarios de liquidación y quiebra, durante la duración de sus funciones, y presentarlos en un plazo de quince días si así lo solicitan los funcionarios encargados de la inspección y control de la Institución.” Si el empleador actúa en contra de esta disposición, se le impondrá una multa administrativa.

En el marco de la Ley Laboral (“İK”), en cuanto al plazo durante el cual se deben conservar los datos personales del trabajador, se pueden utilizar los plazos de prescripción como criterio. Especialmente considerando que el plazo de prescripción para las disputas que puedan surgir entre el trabajador y el empleador tras la finalización de la relación laboral, basadas en las reclamaciones enumeradas en el anexo 3 de la İK, es de 5 años, será apropiado conservar los datos del trabajador durante este período. Para las reclamaciones no enumeradas en el anexo 3 de la İK, se aplica el plazo de prescripción general de 10 años.

Otro problema que debe mencionarse sobre el almacenamiento de los datos del trabajador es qué sucede con los datos recopilados si el proceso de contratación no tiene un resultado positivo. Aquí es necesario hablar de la adecuación al propósito. Si no existe un propósito basado en la ley para conservar los datos de la persona que solicita empleo después de que la solicitud haya sido rechazada, los datos deben eliminarse de inmediato. Sin embargo, puede haber ciertas razones que requieran la conservación de estos datos. Por ejemplo; si la persona que solicita empleo cree que ha sido objeto de discriminación y desea ejercer sus derechos legales, será necesario conservar los datos. En este caso, se permitirá la conservación de los datos teniendo en cuenta los plazos de prescripción de las solicitudes legales.

Si el proceso de solicitud de empleo tiene un resultado positivo, se discutirá qué datos del trabajador deben conservarse durante la ejecución del trabajo. Es posible que algunos de los datos procesados durante el proceso de solicitud de empleo ya no tengan una razón para ser procesados durante el trabajo; en este caso, será necesaria la destrucción de los datos.

Los datos personales deben ser destruidos cuando, aunque hayan sido procesados legalmente, desaparezcan las razones que requieren su procesamiento. Esto puede ocurrir de oficio o a petición de la persona cuyos datos son procesados. Con la desaparición de la situación que requiere el procesamiento, surge la responsabilidad del responsable del tratamiento de datos de destruir estos datos. El propietario de los datos personales puede solicitar la destrucción de sus datos en caso de negligencia por parte del responsable del tratamiento.

Una similitud del derecho de rectificación y el derecho de supresión, también conocido como derecho al olvido, regulados en los artículos 16 y 17 del Reglamento General de Protección de Datos de la Unión Europea, también está regulada en los artículos 11/e y 7 de la KVKK. En consecuencia; en caso de que desaparezcan las razones que requieren el procesamiento de los datos, el responsable del tratamiento de datos eliminará los datos personales de oficio o a petición del interesado.

Según el art. 5 del Reglamento, los responsables del tratamiento de datos que están obligados a registrarse en el Registro de Responsables del Tratamiento de Datos de conformidad con el artículo 16 de la KVKK, están obligados a preparar una política de almacenamiento y destrucción de datos personales de acuerdo con el inventario de procesamiento de datos personales. Quiénes están obligados a registrarse en el Registro de Responsables del Tratamiento de Datos está regulado en el art. 16/2 de la KVKK.

“Las personas físicas y jurídicas que procesan datos personales están obligadas a registrarse en el Registro de Responsables del Tratamiento de Datos antes de comenzar el procesamiento de datos. Sin embargo, se pueden establecer excepciones a la obligación de registro en el Registro de Responsables del Tratamiento de Datos por parte de la Autoridad, teniendo en cuenta criterios objetivos determinados por la Autoridad, como la naturaleza y cantidad de los datos personales procesados, si el procesamiento de datos se deriva de la ley o la situación de transferencia a terceros.”

El artículo 6 del Reglamento regula cuál será el alcance de las políticas. Según este artículo, los elementos que deben incluirse en las políticas se pueden enumerar de la siguiente manera: el propósito de la preparación de la política, los entornos de registro regulados por la política, las definiciones de los términos legales y técnicos utilizados en la política, la explicación de las razones legales, técnicas y de otro tipo que requieren el almacenamiento y la destrucción de los datos personales, las medidas tomadas para garantizar el almacenamiento seguro de los datos personales y para evitar el procesamiento y acceso ilegal, las medidas tomadas para la destrucción legal de los datos personales, los títulos, unidades y descripciones de funciones de quienes participan en las etapas de almacenamiento y destrucción de datos personales, la tabla que muestra los plazos de almacenamiento y destrucción de datos personales, los plazos de destrucción periódica de los datos personales, y la información sobre el cambio si se ha realizado una actualización en la política actual. Cabe señalar que el hecho de que el empleador haya preparado la política de acuerdo con el procedimiento no significa que haya destruido los datos personales de acuerdo con la ley.

En cuanto a los plazos determinados para el proceso de destrucción, el empleador obligado a preparar una Política de Almacenamiento y Destrucción de Datos Personales destruirá estos datos en el primer proceso de destrucción periódica tras la fecha en que surja la responsabilidad de eliminar, destruir o anonimizar los datos personales, y el intervalo de tiempo de destrucción periódica especificado en la política no puede exceder los seis meses.

Los empleadores que no están obligados a organizar una Política de Almacenamiento y Destrucción de Datos Personales deben destruir los datos personales de oficio dentro de los tres meses siguientes al momento en que sea necesaria la destrucción de estos datos. Dichos plazos pueden ser acortados por la Autoridad de Protección de Datos Personales en caso de que surjan daños difíciles o imposibles de compensar y exista una clara ilegalidad.

En cuanto a los plazos de destrucción de datos a petición de la persona, de conformidad con el artículo 12 del Reglamento, si el interesado, es decir, la persona cuya solicitud de empleo fue rechazada o cuyo contrato de trabajo terminó, solicita al empleador la destrucción de sus datos, el empleador debe concluir esta solicitud en un plazo máximo de 30 días e informar al trabajador. Si las condiciones para el procesamiento de datos personales no han desaparecido, el empleador podrá rechazar la solicitud del trabajador siempre que notifique la justificación. La respuesta de rechazo se notifica al trabajador por escrito o por medios electrónicos en un plazo máximo de treinta días. Es útil examinar la decisión de la Autoridad de Protección de Datos Personales que se presenta a continuación sobre el tema.

“…Tras el resultado negativo de la solicitud de empleo realizada por el interesado al responsable del tratamiento de datos, la solicitud de eliminación de los datos personales procesados por el responsable del tratamiento fue aceptada parcialmente por este último, continuando con el procesamiento de nombre, apellido e información de identidad; posteriormente, en la evaluación realizada como resultado de la segunda solicitud del interesado al responsable del tratamiento en el mismo contexto, se informó que se había tomado la decisión de que dichos datos serían destruidos en el primer proceso de destrucción periódica a realizarse en el marco de la política de destrucción del responsable del tratamiento; por lo tanto, el hecho de que los datos personales no fueran eliminados en un plazo de 30 días a pesar de la solicitud del interesado, de conformidad con el artículo 12 del Reglamento sobre la Eliminación, Destrucción o Anonimización de Datos Personales, y que se continuara procesando los datos personales del interesado sin basarse en ninguna condición de procesamiento contenida en el artículo 5 de la Ley, llevó a la conclusión de que el responsable del tratamiento no tomó las medidas técnicas y administrativas necesarias para garantizar un nivel de seguridad adecuado para evitar el procesamiento ilegal de datos personales en el ámbito del párrafo (1) del artículo 12 de la Ley, por lo que se decidió imponer una multa administrativa al responsable del tratamiento de conformidad con el inciso (b) del párrafo (1) del artículo 18 de la Ley…” (Decisión N.º 2021/670 de fecha 06.07.2021)

En el caso objeto de la decisión, un candidato cuya solicitud de empleo fue rechazada solicitó al empleador la eliminación de sus datos personales, pero el empleador respondió que no eliminaría los datos de inmediato, sino en el momento de la primera destrucción periódica. Tras esto, la Autoridad de Protección de Datos Personales decidió que se debía imponer una multa administrativa al responsable del tratamiento de datos.

Abogada Öykü Ergün