Teknologi

Spørsmål og svar: lov om nettsky i Tyrkia


Lovverk og regulering

Anerkjennelse av konsept

Er cloud computing spesifikt anerkjent og gitt i ditt juridiske system? Hvis ja, hvordan?

Det er ingen juridisk definisjon av cloud computing-teknologier. Likevel er det referanser til cloud computing-teknologier eller -tjenester innenfor omfanget av personopplysningsbeskyttelse, datalokalisering og cybersikkerhet for offentlige institusjoner og selskaper som opererer i visse sektorer som finans, energi og elektronisk kommunikasjon.

Styrende lovverk

Forbyr, begrenser eller på annen måte lovgivning eller forskrifter direkte og spesifikt nettskydatabehandling, i eller utenfor din jurisdiksjon?

Presidentsirkulære nr. 2019/12 (rundskriv), publisert og trådte i kraft 6. juli 2019, angir informasjons- og kommunikasjonssikkerhetstiltak som skal brukes av offentlige institusjoner, offentlige organisasjoner og foretak som leverer kritiske infrastrukturtjenester. Kritiske infrastruktursektorer er oppført som energi, elektronisk kommunikasjon, bank og finans, transport, vannforvaltning og kritiske offentlige tjenester (f.eks. nasjonal sikkerhet, helsetjenester). I henhold til rundskrivet skal offentlige institusjoner og organisasjoner ikke lagre sine data i skylagringstjenester bortsett fra deres egne private systemer eller lokale tjenesteleverandører kontrollert av institusjonene selv. Rundskrivet indikerer at alle e-postdataservere til offentlige institusjoner bør være lokalisert i Tyrkia, selv om det ikke er noen spesifikk referanse til skydatasystemer. Basert på rundskrivet publiserte Digital Transformation Office at the Presidency (DTO) sin informasjons- og kommunikasjonssikkerhetsveiledning i juli 2020 og revisjonsguiden i oktober 2021. DTO forklarer at bestemmelsene i rundskrivet tar sikte på datalokalisering. Med andre ord, så lenge dataene er lagret i lokale datasentre og de nevnte sikkerhetstiltakene iverksettes, forbyr ikke rundskrivet lokale eller utenlandske leverandører å tilby cloud computing-tjenester. Veiledningene inneholder generelle sikkerhetstiltak og revisjonsspesifikasjoner for levering av cloud computing-tjenester som er bindende for offentlige institusjoner og alle andre selskaper som opererer i kritiske infrastruktursektorer.

Separat, i sine retningslinjer for biometrisk databehandling, sier den tyrkiske databeskyttelsesmyndigheten at biometriske data skal lagres i skysystemer bare når kryptografiske metoder brukes.

I tillegg er det direkte gjeldende sektorspesifikke bestemmelser angående skydatabehandling i tyrkisk lov. Disse er som følger:

  • I henhold til forskriften om bankers informasjonssystemer og elektroniske banktjenester kan banker bruke private skydatatjenester for sine informasjonssystemer. Bruk av nettskytjenester er imidlertid avhengig av tillatelse fra Banking Regulation and Supervision Agency (BRSA).
  • Finansielle leasingselskaper, factoringselskaper og finansieringsselskaper registrert i Tyrkia kan bruke private skytjenester for sine informasjonssystemer. Disse selskapene kan bare bruke nettskytjenester etter å ha fått tillatelse fra BRSA.
  • I henhold til kommunikasjonen om informasjonssystemer for betalings- og elektroniske pengeinstitusjoner og datadelingstjenester til betalingstjenesteleverandører i betalingstjenester, kan betalings- og e-pengeinstitusjoner behandle sensitive kundedata og personopplysninger kun gjennom private skysystemer. Disse institusjonene kan bruke cloud computing-teknologier etablert i Tyrkia for å behandle, lagre og overføre alle andre data.
  • Kapitalmarkedsreguleringer forbyr datalagringsinstitusjonene å bruke skydatatjenester vedrørende dataene som er rapportert til dem på grunn av lovpålagte krav.
  • I henhold til forordningen om nettsteder som skal drives av aksjeselskaper, kan selskaper og sentrale databasetjenesteleverandører bruke cloud computing-tjenester utenfor Tyrkia.

Hvilken lovgivning eller forskrift kan indirekte forby, begrense eller på annen måte regulere skydatabehandling, i eller utenfor din jurisdiksjon?

Indirekte forbud eller restriksjoner finnes i lovverket generelt i form av datalokaliseringskrav. Eksempler er som følger:

  • Loven om regulering av publikasjoner på Internett og forebygging av kriminalitet begått ved hjelp av slik publisering nummerert 5651 krever at sosiale nettverksleverandører som sporer over 1 million daglige brukere fra Tyrkia implementerer nødvendige tiltak for å være vert for dataene til brukere som befinner seg i Tyrkia i Tyrkia. land.
  • I henhold til forordningen om elektroniske scootere, er operatører av delte e-scooterleverandører pålagt å lokalisere serverne sine i Tyrkia for å få en lisens.
  • Børsnoterte selskaper og banker er pålagt å vedlikeholde sine primære og sekundære informasjonssystemer i landet i henhold til kommunikasjonen om styring av informasjonssystemer, forordningen om bankers informasjonssystemer og elektroniske banktjenester og forordningen om bankenes interne systemer og Intern kapitaldekningsvurderingsprosess.
  • Betalingsinstitusjoner og elektroniske pengeinstitusjoner skal oppbevare dokumentene og loggene som er nevnt i loven innenlands i minst 10 år i henhold til lov om betalings- og verdipapiroppgjørssystemer, betalingstjenester og elektroniske pengeinstitusjoner nr. 6493.

Brudd på lover

Hva er konsekvensene for brudd på lovene som direkte eller indirekte forbyr, begrenser eller på annen måte styrer cloud computing?

Statlige tjenestemenn som er ansvarlige for å implementere tiltakene som er inkludert i rundskrivet, informasjons- og kommunikasjonssikkerhetsveiledningen og revisjonsveiledningen kan stå overfor en rettsvesen eller en administrativ disiplinærsak på grunn av manglende overholdelse.

Personopplysningstilsynet har fullmakt til å ilegge bedrifter administrative bøter i strid med personvernlovgivningen.

Næringsdepartementet har fullmakt til å inndrive forvaltningsgebyr til virksomheter som bryter forbrukerverntiltak.

Forbrukerbeskyttelsestiltak

Hvilke forbrukerbeskyttelsestiltak gjelder for cloud computing i din jurisdiksjon?

Siden det ikke er noen forbrukerbeskyttelsestiltak som er spesifikke for nettsky, vil generelle forbrukerbeskyttelsestiltak gjelde for nettskyprodukter og -tjenester. Lov nr. 6563 om regulering av elektronisk handel og lov nr. 6502 om forbrukerbeskyttelse regulerer avtaler med forbrukere som inngås og inngås elektronisk (fjernkontrakter). Tjenesteleverandører er forpliktet til å gi visse opplysninger til forbrukere før avtaler inngås elektronisk. Blant annet må forbrukere informeres om eventuelle tekniske sikkerhetstiltak som kan påvirke funksjonaliteten til den digitale programvaren eller applikasjonen. I tillegg er tjenesteleverandører pålagt å sikre at forbrukeren har de tekniske midlene for å identifisere og korrigere inndatafeil før bestillingen og tilgang til avtalevilkårene. Avstandsavtaler skal også innebære visse rettigheter til fordel for forbrukerne, slik som forbrukerens rett til å angre kontrakten innen 14 dager etter levering av tjenester uten begrunnelse og betaling av bøter. Dersom leverandøren unnlater å informere forbrukerne om deres angrerett, kan forbrukere benytte angreretten i løpet av ett år etter utløpet av 14 dager. Tjenestetilbydere skal oppbevare de elektroniske loggene vedrørende elektroniske handelstransaksjoner i tre år etter transaksjonsdato og sende disse loggene til Handelsdepartementet på forespørsel. Til slutt, i henhold til internasjonal privat- og prosesslov nr. 5718, har tyrkiske domstoler ved forbrukerens bolig jurisdiksjon hvis det reises krav mot forbrukeren. Når forbrukeren fremmer krav mot tjenesteleverandøren, er tyrkiske domstoler på steder hvor forbrukerens bopel eller ordinære bolig eller den andre partens bopel eller ordinære bolig ligger, kompetente. Partene har frihet til å bestemme gjeldende lov med forbehold om lovens ufravikelige bestemmelser på forbrukerens ordinære bosted.

Sektorspesifikk lovgivning

Beskriv enhver sektorspesifikk lovgivning eller forskrift som gjelder for nettsky-transaksjoner i din jurisdiksjon.

Det er flere bestemmelser angående nettsky i sektorspesifikk lovgivning, for eksempel:

  • I henhold til forskriften om bankers informasjonssystemer og elektroniske banktjenester kan banker bruke private skydatatjenester for informasjonssystemene. Bruk av nettskytjenester er imidlertid avhengig av tillatelse fra BRSA.
  • Finansielle leasingselskaper, factoringselskaper og finansieringsselskaper registrert i Tyrkia kan bruke private skytjenester for informasjonssystemene. Disse selskapene kan bare bruke nettskytjenester etter å ha fått tillatelse fra BRSA.
  • I henhold til kommunikasjonen om informasjonssystemer for betalings- og elektroniske pengeinstitusjoner og datadelingstjenester til betalingstjenesteleverandører i betalingstjenester, kan betalings- og e-pengeinstitusjoner behandle sensitive kundedata og personopplysninger kun gjennom private skysystemer. Disse institusjonene kan bruke cloud computing-teknologier etablert i Tyrkia for å behandle, lagre og overføre alle andre data.
  • Kapitalmarkedsbestemmelser forbyr bruk av nettskytjenester til datalagringsinstitusjoner angående data som rapporteres til dem på grunn av lovpålagte krav.
  • I henhold til forordningen om nettsteder som skal drives av aksjeselskaper, kan selskaper og sentrale databasetjenesteleverandører bruke cloud computing-tjenester utenfor Tyrkia.
  • Forordningen om operasjonelle prinsipper for digitale banker og tjenestemodellbanker sier at grensesnittleverandører kun kan bruke private cloud computing-tjenester eller fellesskytjenester med tillatelse fra BRSA.

Insolvenslover

Skissere insolvenslovene som gjelder generelt eller spesifikt i forhold til cloud computing.

Tyrkia har ikke spesifikke insolvenslover som gjelder for nettsky-transaksjoner. Håndhevings- og konkurslov nr. 2004 (EBL) vil også gjelde for leverandører av nettskydatabehandling. EBL inneholder ikke noe eksplisitt forbud med hensyn til avtalefestet tidlig oppsigelse eller automatisk oppsigelsesklausuler basert på insolvensrelaterte hendelser (bortsett fra konkordesituasjoner). Likevel er det også generelt akseptert under tyrkisk lov at konkursadministrasjonen har en rettighet til å plukke kirsebær, slik at den kan velge visse ikke-monetære forpliktelser og kreve at de utføres. Siden det ikke er klart hvordan kunder kan få tilbake dataene sine fra en insolvent cloud computing-leverandørs server, anbefales de å velge kontraktsmessige tiltak for å redusere risikoen. Med tanke på denne risikoen, tillater skydatabehandlingskontrakter partene umiddelbart å si opp kontrakten hvis en av partene blir insolvente. I noen tilfeller kan nettskyleverandøren være forpliktet til å overføre kundens data til en annen leverandør umiddelbart når kredittvurderingen blir trukket tilbake eller nedgradert, eller den ikke oppfyller økonomiske krav eller når det er en nedgang i den materielle nettoformuen. Kunder kan også kjøpe tjenester fra flere leverandører eller ha reserveservere for å unngå et enkelt feilpunkt.