Personal Data Protection Authority’s Principle Decision on Online Payment Services of Municipalities
The principle decision adopted by the Personal Data Protection Authority (“the Authority”) that municipalities should use a two-stage verification system in payment and debt inquiry services offered online was published in the Official Gazette dated 29 April 2022 and numbered 31824.
The access to the real estate information of individuals by only entering the Turkish Identification Number within the scope of real estate tax payment/fast payment or debt inquiry services offered online by municipalities, constitute the background for the decision. In this regard, various notices were made to the Authority and the consideration of the subject has been requested.
The obligation of the Data Controller to take all necessary administrative and technical measures to ensure data security was pointed out by referring to Article 12 of the Law on Protection of Personal Data (“Law”) on the protection of personal data. Regarding the fulfilment of this obligation in practice, it was reminded that the Personal Data Security Guide (Administrative and Technical measures) published on the Institution’s website, should be taken as reference. In the Guide, the implementation of a two-stage verification system in case of remote access to personal data is counted among the measures to be taken to ensure data security.
In this context, the Institution has decided that a two- step verification system should be used in case of remote access to personal data in a way that third parties cannot easily access, and explained which systems are considered two-step verification systems. The systems that are accessed with the identity number as well as the password created specifically for the person or the SMS code sent to the phone number that the person has previously notified are accepted as a two-stage verification system.
The motive for using a two-stage verification system is stated as to reduce significantly or eliminate the risks that may arise regarding data protection. In the light of these evaluations, the Authority decided that municipalities should take the necessary technical and administrative measures within the scope of Article 12 of the Law by using membership and password or two-stage verification in property tax payment/ fast payment and debt inquiry services. It was also stated that sanctions may be implemented against municipalities that do not take these measures, in accordance with Article 18 of the Law.
The content herein is aimed at providing a general insight regarding the subject. For customized circumstances or for further information, please refer to your lawyer.
La Décision de Principe de l’Autorité de Protection des Données Personnelles sur les services de paiement en ligne des municipalités
La décision de principe adoptée par l’Autorité de protection des données personnelles (« l’Autorité ») selon laquelle les municipalités devraient utiliser un système de vérification en deux étapes pour leurs services en ligne relatifs au paiement et à l’interrogation de la dette a été publiée au Journal officiel le 29 avril 2022 et numérotée 31824.
L’accès aux informations immobilières des particuliers en saisissant uniquement leur numéro d’identité turque dans le cadre des services relatifs au paiement de la taxe foncière/ paiement rapide ou à l’interrogation de la dette offerts en ligne par les municipalités, constitue l’arriere plan de la décision en ce qu’il pose un problème en termes de protection des données personnelles. A cet égard, diverses plaintes ont été transmises à l’Autorité et l’examen du sujet a été demandé.
L’obligation du Responsable du traitement de prendre toutes les mesures administratives et techniques nécessaires pour assurer la sécurité des données, a été soulignée en se référant à l’article 12 de la Loi sur la protection des données à caractère personnel (“Loi”). S’agissant de l’exécution en pratique de cette obligation, il a été rappelé que le Guide de Sécurité des Données à Caractère Personnel (Mesures Administratives et Techniques) publié sur le site web de l’Authorité, devait être pris comme référence. Dans le Guide, la mise en œuvre d’un système de vérification en deux étapes en cas d’accès à distance aux données à caractère personnel figure parmi les mesures à prendre pour assurer la sécurité des données.
Dans ce contexte, l’Authorité a décidé qu’un système de vérification en deux étapes devrait être utilisé en cas d’accès à distance aux données à caractère personnel de telle manière que les tiers ne peuvent pas facilement accéder, et a expliqué quels systèmes étaient considérés comme des systèmes de vérification en deux étapes. Les systèmes auxquels il est accédé avec le numéro d’identité ainsi que le mot de passe créé spécifiquement pour la personne ou les systèmes accédés via un code SMS envoyé au numéro de téléphone préalablement notifié de la personne ont été acceptés comme systèmes de vérification en deux étapes.
La motivation de l’utilisation d’un système de vérification en deux étapes est la réduction considérable ou l’élimination des risques qui risquent de surgir en matière de protection des données. À la lumière de ces évaluations, l’Autorité de protection des données personnelles a décidé que les municipalités devraient prendre les mesures techniques et administratives nécessaires dans le cadre de l’article 12 de la Loi en utilisant l’adhésion et le mot de passe ou la vérification en deux étapes dans les services relatifs au paiement de la taxe foncière / paiement rapide et à l’interrogation de la dette. Elle a également averti que des sanctions pouvaient être mises en oeuvre contre les municipalités qui ne prennent pas ces mesures, conformément à l’article 18 de la Loi.
Le contenu du present bulletin vise à donner un aperçu general du sujet. Veuillez consulter votre avocat pour de plus amples renseignements ou vos questions spécifiques
Verda Bulletin | 2022-15