新冠疫情与个人数据保护

为消除冠状病毒（COVID-19）对土耳其商业企业及个人造成的不利影响，有必要就个人数据（尤其是健康数据）的处理与保护安排采取一些法律措施。在此情况下，个人数据保护局于2020年3月27日发布了题为“在《个人数据保护法》范围内抗击新冠疫情所需信息”的公告。

本文旨在就依据《个人数据保护法》及个人数据保护局因冠状病毒（Covid-19）疫情发布的公告开展数据处理活动相关的常见问题提供信息。

1）雇主在针对COVID-19采取的特殊措施背景下是否有特定告知义务？

依据第6698号《个人数据保护法》（“KVKK”）第10条，各数据控制者在取得个人数据时负有就数据处理活动进行告知的义务。该告知义务的范围由上述条款确定；若雇主为阻止冠状病毒（COVID-19）疫情传播而采取的额外措施需要处理个人数据（包括既往旅行详情或COVID-19检测结果），雇主依KVKK向员工进行说明的义务继续存在。

2）雇主是否允许处理员工健康数据（包括发热及一般体检详情）？

若由雇主处理健康数据，除控制者的告知义务外，还须取得员工明示同意，因为依据KVKK第6条，健康数据属于特殊个人数据。因此，雇主在处理员工COVID-19相关数据时须取得员工明示同意。

3）由职业医师处理健康数据在明示同意方面是否有区别？

尽管雇主处理健康数据需要明示同意，但依据相关立法规定的包括保护公众健康以及预防医学、医疗诊断、治疗及护理等目的，负有保密义务者可在不取得数据主体明示同意的情况下处理健康数据。若雇主通过职业医师实施需处理健康数据的措施，雇主仅需考虑相应的告知问题。在此情况下，无需员工明示同意。

4）出现COVID-19症状的员工是否须向职业医师报告？

依据《职业健康与安全法》第19/1条，员工不得因其行为及工作表现危及自身及受影响的其他员工的健康与安全。在此情况下，雇主须向员工提供必要信息与警告，即若发现其出现COVID-19任何症状，须立即向职业医师申请。

5）雇主是否可向相关人员索取其既往旅行数据？

近期旅行信息依第6698号《个人数据保护法》属于个人数据。尽管正常情况下处理个人数据需数据主体明示同意，个人数据保护局公告已明确此类信息适用KVKK第5条，且近期所到国家信息可能不被视为特殊个人数据。综上，在雇主确信已履行告知义务的前提下，可向相关人员询问其近期旅行情况。

6）工作场所发生COVID-19事件时如何告知其他员工？

个人数据保护局公告就此类事件向其他员工告知给出了以下示例：

“……我们欲告知其他员工，在本部大楼五层工作的同事COVID-19检测呈阳性。将根据该同事在本部大楼的相应日期识别并告知与其有接触的人员。” 鉴于上述表述，须指出：若某员工检测呈Covid-19阳性，雇主应警告其他员工、对其身份保密、督促采取必要措施，且不得分享可用于识别其身份的细节。若为采取保护措施有必要披露被病毒感染的员工身份，雇主作为负有告知义务的控制者应事先向确诊员工说明。

7）是否允许与公共机关分享员工健康数据？

雇主可依据KVKK第8条及传染病相关其他法律规定，将患有须强制报告传染病的员工个人数据提供给相关机关。

8）远程办公过程中须采取哪些安全措施？

为保障工作连续性，机构与组织可在远程办公基础上开展业务。个人数据保护局公告明确，机构与组织在此过程中亦须维持遵守KVKK的行政及技术措施。在此情况下，该局提醒控制者并未免除确保个人数据安全的义务。

总之，在抗击COVID-19疫情期间须采取一切技术与行政措施以确保个人数据安全；此外，须就特殊个人数据类别中的健康数据采取额外措施。采取这些措施时，告知义务范围内向个人提供的信息应简洁、易获取、易懂，并使用清晰平实的语言。另一方面，若卫生部长及授权公共机构与组织处理个人数据的活动被视为第28条规定的为国家国防、国家安全、公共安全或经济安全而依法授权机构开展的预防、保护及情报活动，则本法规定不适用。

如需更多信息或咨询，请联系：

Ebru ACAR 律师 – ebruozduran@hansu.av.tr

zh.hansu.av.tr | +90 216 464 12 12

© Hansu Attorney Partnership

Hansu Attorney Partnership 为本地及国际客户提供法律服务，尤其专注于房地产、公司、税务、能源及知识产权法领域。本文旨在介绍土耳其的最新法律发展，不构成法律或专业意见。读者就任何具体法律事项应咨询律师。