محامي حماية البيانات الشخصية (KVKK) في إسطنبول، تركيا

هذه الصفحة موجهة إلى الشركات العاملة في تركيا، وإلى الشركات الأجنبية التي تعالج بيانات أشخاص موجودين في تركيا. وبصفتنا مكتب محاماة في تركيا يعمل في مجال حماية البيانات، نجري تحليلات الفجوات وفق قانون KVKK، ونصوغ نصوص الإعلام والموافقة وسياسات الاحتفاظ بالبيانات، ونعالج نقل البيانات عبر الحدود والتسجيل في VERBİS وخروقات البيانات، ونمثل العملاء أمام هيئة حماية البيانات الشخصية والمحاكم.

قانون حماية البيانات في تركيا هو قانون حماية البيانات الشخصية رقم 6698، المعروف باسم KVKK. ويبدو للوهلة الأولى شبيهًا باللائحة الأوروبية العامة لحماية البيانات (GDPR). لكن التفاصيل تختلف، وفي هذه الاختلافات تكمن معظم ثغرات الامتثال.

متى تحتاج إلى محامٍ للامتثال لقانون KVKK في تركيا

تبدأ الملفات التي نصادفها عادةً في إحدى الحالات التالية:

• أنت بصدد تأسيس نشاط تجاري في تركيا أو الاستحواذ عليه وتحتاج إلى معالجة بيانات الموظفين والعملاء والموردين معالجة مشروعة منذ اليوم الأول، أو تريد معرفة ما سترثه في صفقة شراء حصص.
• أنت شركة أجنبية لها مستخدمون أو عملاء أتراك، كموقع للتجارة الإلكترونية أو تطبيق أو مزود برمجيات كخدمة (SaaS)، ولست متأكدًا مما إذا كان قانون KVKK يشملك.
• مجموعتك تطبق بالفعل اللائحة الأوروبية GDPR وتفترض أن المستندات نفسها ستصلح في تركيا. بعضها سيصلح، وعدد منها لن يصلح.
• ترسل بيانات إلى الخارج، كأن ترسلها إلى الشركة الأم أو إلى مزود خدمات سحابية أو إلى نظام لإدارة علاقات العملاء مستضاف خارج تركيا، وتحتاج إلى مواءمة عمليات النقل هذه مع قواعد 2024.
• حدث خطأ ما: خرق للبيانات، أو شكوى من عميل أو موظف، أو خطاب من هيئة حماية البيانات الشخصية (Kişisel Verileri Koruma Kurumu).

لا يتضمن قانون KVKK نصًا صريحًا بشأن النطاق الإقليمي كالمادة 3 من اللائحة الأوروبية. لكن المجلس يعامل عمليًا المسؤولين عن البيانات الأجانب الذين يعالجون بيانات أشخاص في تركيا بوصفهم خاضعين لاختصاصه، كما تنص قواعد السجل على تسجيل المسؤولين الأجانب عبر ممثل في تركيا.

ما الذي يتطلبه قانون KVKK من الشركة

المسؤول عن البيانات ومعالج البيانات

المسؤول عن البيانات (veri sorumlusu) هو من يقرر سبب معالجة البيانات الشخصية وكيفيتها، ويتحمل معظم الالتزامات. أما معالج البيانات (veri işleyen) فيعالج البيانات نيابة عن المسؤول، كمزود خدمات الرواتب أو شركة الاستضافة. وبموجب المادة 12، يكون المسؤول والمعالج مسؤولين بالتضامن عن اتخاذ تدابير أمن البيانات. وينبغي أن تنص عقودك مع المعالجين على ذلك.

أساس قانوني لكل نشاط معالجة

تجيز المادة 5 المعالجة بناءً على الموافقة الصريحة (açık rıza) أو وفق أحد الشروط الأخرى الواردة فيها: المعالجة المنصوص عليها صراحة في القانون، وتنفيذ عقد، والتزام قانوني على المسؤول، والبيانات التي أعلنها الشخص بنفسه، وإنشاء حق أو الدفاع عنه، والمصلحة المشروعة للمسؤول. ويجب أن تكون الموافقة الصريحة محددة ومستنيرة وصادرة عن إرادة حرة. وهي أضعف الأسس حين ينطبق أساس آخر، لأنه يمكن سحبها في أي وقت.

الفئات الخاصة بعد تعديلات 2024

أعاد القانون رقم 7499، النافذ منذ 1 يونيو 2024، صياغة المادة 6 المتعلقة بالفئات الخاصة من البيانات (özel nitelikli kişisel veriler)، والتي تشمل البيانات الصحية والبيومترية والجينية، والدين، والعضوية النقابية، والسجلات الجنائية. وقبل التعديل، لم يكن بوسع كثير من أصحاب العمل الاعتماد في هذه البيانات إلا على الموافقة الصريحة. أما النص الجديد فيضيف شروطًا أقرب إلى المادة 9 من اللائحة الأوروبية، مثل الالتزامات القانونية في مجالات العمل والصحة المهنية والضمان الاجتماعي، والمعالجة من قبل أشخاص ملزمين بواجب السرية لأغراض صحية. ولا تزال التدابير الأمنية الإضافية التي حددها المجلس للفئات الخاصة سارية.

نصوص الإعلام وأمن البيانات

تُلزمك المادة 10 بإعلام الأشخاص عند جمع بياناتهم: بهوية المسؤول، والأغراض، والجهات التي تُنقل إليها البيانات وسبب ذلك، وطريقة الجمع وأساسه القانوني، وحقوقهم بموجب المادة 11. وتتطلب المادة 12 اتخاذ التدابير التقنية والإدارية المناسبة. كما يجب على المسؤولين الملزمين بالتسجيل في VERBİS وضع سياسة للاحتفاظ بالبيانات الشخصية وإتلافها.

نقل البيانات الشخصية إلى الخارج بعد تعديلات 2024

كانت المادة 9 الأكثر تغيرًا بإصلاح 2024. فلم تعد الموافقة الصريحة الطريق العام لنقل البيانات إلى الخارج. وأصبح البناء الآن قائمًا على مستويات:

1. قرار الكفاية: يكون النقل ممكنًا حيث أصدر المجلس قرار كفاية (yeterlilik kararı) بشأن الدولة أو القطاع أو المنظمة الدولية، مع توافر أحد شروط المادة 5 أو المادة 6.
2. الضمانات المناسبة: في غياب قرار الكفاية، يمكنك الاعتماد على ضمانات مثل العقود النموذجية التي أعلنها المجلس، أو قواعد الشركات الملزمة التي وافق عليها المجلس، أو تعهد كتابي يأذن به المجلس.
3. النقل العرضي: في غياب ما سبق، تنطبق قائمة محدودة من الاستثناءات على عمليات النقل العرضية غير المتكررة فقط.

يجب استخدام العقود النموذجية بالصيغة التي نشرها المجلس، وإخطار الهيئة بها خلال خمسة أيام عمل من توقيعها وفقًا للمادة 9(4). وقد يؤدي إغفال هذا الإخطار بذاته إلى غرامة إدارية. وعمليًا، تجري معظم عمليات النقل إلى شركات المجموعة ومزودي الخدمات الأجانب حاليًا على أساس العقود النموذجية، فتحقق من النموذج الذي يناسب كل علاقة.

التسجيل في VERBİS وسجل المسؤولين عن البيانات

VERBİS هو سجل المسؤولين عن البيانات الإلكتروني الذي تديره الهيئة. والتسجيل ليس إجراءً شكليًا: إذ تصرّح فيه بأغراض المعالجة، وفئات البيانات، ومجموعات المتلقين، ومدد الاحتفاظ، وعمليات النقل إلى الخارج، والتدابير الأمنية.

أعفى المجلس بعض المسؤولين من التسجيل استنادًا إلى عدد الموظفين ومجموع الميزانية السنوية وطبيعة النشاط. وهذه الحدود والفئات تحددها قرارات المجلس وقد تغيرت بمرور الوقت، فتأكد من وضعك على الموقع الإلكتروني للهيئة قبل أن تقرر أنك معفى. ويسجل المسؤول الأجنبي عبر ممثل للمسؤول عن البيانات (veri sorumlusu temsilcisi) مقيم في تركيا.

خروقات البيانات وطلبات أصحاب البيانات والمجلس

بموجب المادة 12، يجب على المسؤول إخطار الشخص المعني والمجلس في أقرب وقت ممكن عند الحصول على البيانات بطريقة غير مشروعة. ويحدد قرار المجلس في هذا الشأن مهلة 72 ساعة من العلم بالخرق لإخطار المجلس، وذلك وفق التطبيق المعتاد لهذه القاعدة. ويُخطَر الأشخاص المتضررون خلال مدة معقولة.

يمكن للأفراد ممارسة حقوقهم بموجب المادة 11 بتقديم طلب إلى المسؤول. وتمنحك المادة 13 مهلة أقصاها 30 يومًا للرد، ويكون الرد كقاعدة عامة دون مقابل. وإذا رُفض الطلب أو كان الرد غير كافٍ أو متأخرًا، يجوز للشخص تقديم شكوى إلى المجلس.

تحدد المادة 18 غرامات إدارية على مخالفة واجبات الإعلام والأمن والتسجيل وإخطار النقل، وعلى عدم الامتثال لقرارات المجلس. ويُعاد تقييم المبالغ كل عام، فتحقق من الأرقام الحالية عند تقدير المخاطر. ومنذ تعديل 2024، يُطعن في غرامات المجلس أمام المحاكم الإدارية، بشكل عام خلال 60 يومًا من التبليغ. كما أن بعض أشكال المعالجة غير المشروعة تشكل جريمة بموجب قانون العقوبات التركي.

قانون KVKK مقابل اللائحة الأوروبية GDPR: الفروق المهمة

برنامج الامتثال للائحة الأوروبية نقطة انطلاق جيدة. لكنه لا يزال يحتاج إلى نصوص إعلام باللغة التركية، والتسجيل في VERBİS، وأدوات نقل تركية، ومدد احتفاظ وفق القانون التركي.

بناء برنامج امتثال لقانون KVKK خطوة بخطوة

1. الانطلاق وتحديد النطاق: نحدد الكيانات والإدارات والأنظمة وتدفقات البيانات المشمولة.
2. جرد البيانات: مقابلات واستبيانات مع إدارات الموارد البشرية والمبيعات والتسويق وتكنولوجيا المعلومات والمالية لرسم خريطة لكل نشاط معالجة وأساسه القانوني ومدة الاحتفاظ به.
3. تقرير تحليل الفجوات: قائمة مكتوبة بالفجوات مرتبة بحسب درجة المخاطر، مع الحل المقترح لكل منها.
4. المستندات: نصوص الإعلام، ونصوص الموافقة حيث تكون الموافقة لازمة فعلًا، وسياسة الاحتفاظ والإتلاف، واتفاقيات المعالجين، وعقود النقل.
5. التسجيل والإخطارات: قيود VERBİS، وإخطار الهيئة بالعقود النموذجية.
6. إجراءات الخروقات والطلبات: إجراء داخلي للتعامل مع الخروقات وطلبات أصحاب البيانات، مع تدريب الأشخاص الذين سيستخدمونه.

بالنسبة إلى شركة صغيرة أو متوسطة ذات هيكل واضح، تستغرق الخطوات الخمس الأولى عادةً ما بين أربعة وعشرة أسابيع تقريبًا. وقد تستغرق مجموعة تضم عدة كيانات وكثيرًا من الموردين الأجانب وقتًا أطول. وتتناول قائمة التحقق القانونية للامتثال لقانون KVKK الموضوعات نفسها بصيغة أقصر.

المستندات والمعلومات التي نطلبها

• مستندات الشركة، والهيكل التنظيمي، وقائمة شركات المجموعة.
• نصوص الإعلام الحالية، ونماذج الموافقة، ونصوص الموقع الإلكتروني وملفات تعريف الارتباط، وسياسة الخصوصية لديك.
• عقود العمل، ونماذج الموارد البشرية، وأي أنظمة للمراقبة بالكاميرات أو للتحكم في الدخول أو للرصد.
• العقود مع مزودي الخدمات التي تتعلق بالبيانات الشخصية، بما في ذلك مزودو الخدمات السحابية وتكنولوجيا المعلومات.
• أماكن تخزين البيانات والدول التي تنتقل إليها.
• سياسات أمن تكنولوجيا المعلومات لديك وأي حوادث أو شكاوى سابقة.

إذا كنت تكتب سياسة الخصوصية من الصفر، فإن دليلنا حول ما يجب تضمينه في سياسة الخصوصية لشركتك قراءة أولى مفيدة.

ما الذي يقوم به مكتبنا للمحاماة

• التقييم: تحليل الفجوات وفق قانون KVKK، وجرد البيانات، وتقرير مكتوب عن المخاطر.
• الصياغة: نصوص الإعلام (aydınlatma metinleri)، ونصوص الموافقة الصريحة، وسياسات الاحتفاظ والإتلاف، واتفاقيات المعالجين، واتفاقيات نقل البيانات، والإجراءات الداخلية.
• التسجيل: التسجيل في VERBİS وتحديثه، وإخطار الهيئة بالعقود النموذجية.
• الاستجابة للخروقات: تقييم الحادث، والإخطار الموجه إلى المجلس، والرسالة الموجهة إلى الأشخاص المتضررين.
• التمثيل: الرد على استفسارات المجلس والشكاوى، والدعاوى ضد قرارات المجلس وغراماته أمام المحاكم الإدارية.
• المتابعة: التحديثات عند تغير القانون أو قرارات المجلس أو أنشطة المعالجة لديك.

لا يحتاج العملاء في الخارج إلى السفر. فنحن نعمل عن بُعد، وعندما تتطلب الإجراءات أو الأعمال القضائية ذلك، بموجب وكالة موقعة أمام كاتب عدل تركي أو في قنصلية تركية، أو في الخارج مع الأبوستيل. وتندرج الأعمال ذات الصلة لشركتك ضمن خدماتنا في قانون تكنولوجيا المعلومات والقانون التجاري. ولمناقشة وضعك، تواصل مع مكتبنا.

الأخطاء الشائعة في الامتثال لقانون KVKK

• طلب الموافقة على كل شيء. إذا كانت المعالجة قائمة على عقد أو التزام قانوني، فإن طلب الموافقة أيضًا يثير اللبس ويخلق مشكلة عند سحب الموافقة. اختر الأساس الصحيح لكل نشاط.
• الدمج بين نص الإعلام والموافقة. يتوقع المجلس أن يكونا منفصلين. ومربع واحد بعبارة "قرأت وأوافق" يخفق عادةً في الأمرين معًا.
• نسخ نصوص اللائحة الأوروبية. كثيرًا ما يُغفل نص الإعلام الأوروبي المترجم النقاط الواردة في المادة 10، أو يستند إلى أسس من اللائحة الأوروبية لا وجود لها في قانون KVKK.
• نسيان الإخطار خلال خمسة أيام. توقيع عقد نموذجي ثم حفظه في الأدراج يترك عملية النقل مكشوفة.
• غياب خطة للتعامل مع الخروقات. في ممارستنا، أكثر ملفات الخروقات إرهاقًا هي تلك التي لا يعرف فيها أحد من يقرر الإخطار، فتنقضي الساعات الـ72 بينما يبحث الجميع عن سياسة.

لمزيد من المعلومات حول مخاطر الشركات، راجع مقالاتنا حول التزامات الشركات ومسؤولياتها في خصوصية البيانات، والتعامل القانوني مع خروقات البيانات، والنقاط الرئيسية في قانون KVKK التركي.

الأسئلة الشائعة

هل ينطبق قانون KVKK على شركة أجنبية ليس لها مكتب في تركيا؟

قد ينطبق. فلا يتضمن قانون KVKK نصًا صريحًا بشأن النطاق الإقليمي، لكن المجلس يطبقه عمليًا على المسؤولين الأجانب الذين يعالجون بيانات أشخاص في تركيا، كأن يبيعوا لعملاء أتراك عبر الإنترنت. كما تنص قواعد التسجيل على تسجيل المسؤولين الأجانب عبر ممثل في تركيا.

هل يكفي الامتثال للائحة الأوروبية GDPR للامتثال لقانون KVKK؟

ليس وحده. فهو يغطي جزءًا كبيرًا من المضمون، لكن لقانون KVKK محتوى خاصًا لنصوص الإعلام، وسجل VERBİS، وأدوات نقل تركية مقترنة بواجب إخطار، ولا يتضمن الحق في قابلية نقل البيانات (data portability). توقع أن تحتاج إلى التكييف لا إلى البدء من الصفر.

هل نحتاج إلى موافقة صريحة لإرسال البيانات إلى الشركة الأم في الخارج؟

بشكل عام لا، منذ تعديلات 2024. إذ يعتمد النقل إلى الخارج الآن على قرار كفاية أو على ضمانات مناسبة مثل العقود النموذجية الصادرة عن المجلس، والتي يجب إخطار الهيئة بها خلال خمسة أيام عمل. ولم تعد الموافقة إلا ضمن الاستثناءات الضيقة الخاصة بعمليات النقل العرضية.

هل كل شركة ملزمة بالتسجيل في VERBİS؟

لا. فقد أعفى المجلس بعض المسؤولين استنادًا إلى عدد الموظفين ومجموع الميزانية السنوية ونوع النشاط. وهذه المعايير تحددها قرارات المجلس وقد تتغير، فتحقق من القرار الساري على الموقع الإلكتروني للهيئة.

ما مدى السرعة المطلوبة للإبلاغ عن خرق البيانات؟

ينص قانون KVKK على "أقرب وقت ممكن". ووفقًا لقرار المجلس، ينبغي بشكل عام إخطار المجلس خلال 72 ساعة من العلم بالخرق، وإخطار الأشخاص المتضررين خلال مدة معقولة بعد ذلك.

ما المهلة المتاحة للرد على طلب صاحب البيانات؟

تحدد المادة 13 مهلة أقصاها 30 يومًا من تاريخ الاستلام، ويكون الرد كقاعدة عامة دون مقابل. وقد يؤدي الرد المرفوض أو الناقص أو المتأخر إلى تقديم شكوى إلى المجلس.

هل يمكن الطعن في غرامة صادرة بموجب قانون KVKK؟

نعم. منذ تعديل 2024، يُطعن في الغرامات الإدارية التي يفرضها المجلس أمام المحاكم الإدارية، بشكل عام خلال 60 يومًا من التبليغ. ويُعاد تقييم مبالغ الغرامات بموجب المادة 18 كل عام.

هل نحتاج إلى مسؤول حماية بيانات في تركيا؟

لا يشترط قانون KVKK تعيين مسؤول حماية بيانات على غرار اللائحة الأوروبية. ويسمّي المسؤولون الذين يسجلون في VERBİS شخص اتصال، ويعيّن المسؤولون الأجانب ممثلًا للمسؤول عن البيانات في تركيا.