Avocat en protection des données (KVKK) à Istanbul, Turquie

Cette page s’adresse aux sociétés établies en Turquie et aux sociétés étrangères qui traitent les données de personnes se trouvant en Turquie. En tant qu’avocat en protection des données en Turquie, nous réalisons des analyses d’écarts KVKK, rédigeons les notices d’information, les textes de consentement et les politiques de conservation, prenons en charge les transferts internationaux, VERBİS et les violations de données, et représentons nos clients devant l’Autorité de protection des données et les tribunaux.

Le droit turc de la protection des données repose sur la loi n° 6698 sur la protection des données personnelles, connue sous le nom de KVKK. À première vue, elle ressemble au RGPD. Les détails diffèrent, et c’est dans ces différences que se trouvent la plupart des lacunes de conformité.

Quand avez-vous besoin d’un avocat en conformité KVKK en Turquie ?

Les dossiers que nous traitons commencent généralement dans l’une de ces situations :

• Vous créez ou rachetez une entreprise en Turquie et devez traiter licitement les données des salariés, clients et fournisseurs dès le premier jour, ou vous voulez savoir ce dont vous héritez dans une cession de parts.
• Vous êtes une société étrangère ayant des utilisateurs ou des clients turcs, par exemple un site de commerce en ligne, une application ou un fournisseur SaaS, et vous ne savez pas si la KVKK vous concerne.
• Votre groupe applique déjà le RGPD et part du principe que les mêmes documents fonctionneront en Turquie. Certains fonctionneront. Plusieurs, non.
• Vous transférez des données à l’étranger, par exemple vers une société mère, un fournisseur cloud ou un CRM hébergé hors de Turquie, et devez mettre ces transferts en conformité avec les règles de 2024.
• Un incident s’est produit : une violation de données, une plainte d’un client ou d’un salarié, ou un courrier de l’Autorité de protection des données personnelles (Kişisel Verileri Koruma Kurumu).

La KVKK ne comporte pas de clause territoriale expresse comparable à l’article 3 du RGPD. En pratique toutefois, le Conseil considère que les responsables de traitement étrangers qui traitent les données de personnes se trouvant en Turquie relèvent de sa compétence, et les règles du registre prévoient que les responsables étrangers s’enregistrent par l’intermédiaire d’un représentant en Turquie.

Ce que la KVKK exige d’une société

Responsable de traitement et sous-traitant

Le responsable de traitement (veri sorumlusu) détermine pourquoi et comment les données personnelles sont traitées et supporte la plupart des obligations. Le sous-traitant (veri işleyen) traite les données pour le compte du responsable, comme un prestataire de paie ou un hébergeur. Selon l’article 12, le responsable et le sous-traitant sont solidairement responsables de la mise en œuvre des mesures de sécurité des données. Vos contrats de sous-traitance devraient le prévoir.

Une base légale pour chaque traitement

L’article 5 autorise le traitement avec le consentement explicite (açık rıza) ou sur le fondement de l’une des autres conditions énumérées : traitement expressément prévu par la loi, exécution d’un contrat, obligation légale du responsable, données rendues publiques par la personne concernée, constatation ou défense d’un droit, et intérêt légitime du responsable. Le consentement explicite doit être spécifique, éclairé et libre. C’est la base la plus fragile lorsqu’une autre base convient, car il peut être retiré à tout moment.

Les catégories particulières après les modifications de 2024

La loi n° 7499, en vigueur depuis le 1er juin 2024, a réécrit l’article 6 relatif aux catégories particulières de données (özel nitelikli kişisel veriler), qui comprennent les données de santé, biométriques et génétiques, la religion, l’appartenance syndicale et les condamnations pénales. Avant cette modification, de nombreux employeurs ne pouvaient s’appuyer que sur le consentement explicite pour ces données. Le nouveau texte ajoute des conditions plus proches de l’article 9 du RGPD, comme les obligations légales en matière d’emploi, de santé au travail et de sécurité sociale, et le traitement par des personnes tenues au secret à des fins de santé. Les mesures de sécurité supplémentaires fixées par le Conseil pour les catégories particulières restent applicables.

Notices d’information et sécurité des données

L’article 10 vous impose d’informer les personnes au moment de la collecte de leurs données : l’identité du responsable, les finalités, les destinataires des transferts et leurs motifs, le mode et la base légale de la collecte, ainsi que leurs droits au titre de l’article 11. L’article 12 impose des mesures techniques et administratives appropriées. Les responsables tenus de s’enregistrer dans VERBİS doivent aussi disposer d’une politique de conservation et de destruction des données personnelles.

Le transfert de données personnelles à l’étranger après les modifications de 2024

La réforme de 2024 a surtout modifié l’article 9. Le consentement explicite n’est plus la voie générale pour les transferts à l’étranger. Le dispositif fonctionne désormais par niveaux :

1. Décision d’adéquation : le transfert est possible lorsque le Conseil a rendu une décision d’adéquation (yeterlilik kararı) pour le pays, le secteur ou l’organisation internationale, et que l’une des conditions des articles 5 ou 6 est remplie.
2. Protections appropriées : en l’absence de décision d’adéquation, vous pouvez vous appuyer sur des instruments de protection tels que les contrats types publiés par le Conseil, des règles d’entreprise contraignantes approuvées par le Conseil, ou un engagement écrit autorisé par le Conseil.
3. Transferts occasionnels : à défaut des deux options précédentes, une liste limitée d’exceptions ne s’applique qu’aux transferts occasionnels et non répétitifs.

Les contrats types doivent être utilisés dans la forme publiée par le Conseil et, selon l’article 9, alinéa 4, notifiés à l’Autorité dans les cinq jours ouvrables suivant leur signature. L’absence de cette notification peut à elle seule entraîner une amende administrative. En pratique, la plupart des transferts vers les sociétés du groupe et les prestataires étrangers reposent actuellement sur des contrats types ; vérifiez donc quel module convient à chaque relation.

L’enregistrement VERBİS et le registre des responsables de traitement

VERBİS est le registre en ligne des responsables de traitement tenu par l’Autorité. L’enregistrement n’est pas une simple formalité : vous y déclarez vos finalités de traitement, catégories de données, catégories de destinataires, durées de conservation, transferts à l’étranger et mesures de sécurité.

Le Conseil a dispensé certains responsables de l’enregistrement en fonction du nombre de salariés, du total annuel du bilan et de la nature de leur activité. Ces seuils et catégories sont fixés par des décisions du Conseil et ont évolué au fil du temps ; vérifiez donc votre situation sur le site de l’Autorité avant de conclure que vous êtes dispensé. Un responsable étranger s’enregistre par l’intermédiaire d’un représentant du responsable de traitement (veri sorumlusu temsilcisi) résidant en Turquie.

Violations de données, demandes des personnes concernées et le Conseil

Selon l’article 12, le responsable doit informer la personne concernée et le Conseil dès que possible lorsque des données ont été obtenues illicitement. La décision du Conseil sur ce point fixe un délai de 72 heures à compter de la connaissance de la violation pour la notification au Conseil, selon l’application générale de la règle. Les personnes concernées doivent être informées dans un délai raisonnable.

Les personnes peuvent exercer leurs droits au titre de l’article 11 en s’adressant au responsable. L’article 13 vous accorde 30 jours au plus pour répondre, en règle générale sans frais. Si la réponse est refusée, insuffisante ou tardive, la personne peut saisir le Conseil d’une plainte.

L’article 18 prévoit des amendes administratives en cas de manquement aux obligations d’information, de sécurité, d’enregistrement et de notification des transferts, ainsi qu’en cas de non-respect des décisions du Conseil. Les montants sont réévalués chaque année ; vérifiez donc les chiffres en vigueur lors de l’évaluation de votre exposition. Depuis la modification de 2024, les amendes du Conseil se contestent devant les tribunaux administratifs, en général dans les 60 jours suivant la notification. Certains traitements illicites constituent également des infractions au Code pénal turc.

KVKK et RGPD : les différences qui comptent

Un programme RGPD est un bon point de départ. Il nécessite tout de même des notices en turc, l’enregistrement VERBİS, des instruments de transfert turcs et des durées de conservation propres au droit turc.

Mettre en place un programme de conformité KVKK, étape par étape

1. Lancement et périmètre : nous identifions les entités, services, systèmes et flux de données concernés.
2. Inventaire des données : entretiens et questionnaires avec les ressources humaines, les ventes, le marketing, l’informatique et la finance pour cartographier chaque traitement, sa base légale et sa durée de conservation.
3. Rapport d’analyse d’écarts : une liste écrite des lacunes, classées par niveau de risque, avec la correction de chacune.
4. Documents : notices d’information, textes de consentement lorsque le consentement est réellement nécessaire, politique de conservation et de destruction, contrats de sous-traitance et contrats de transfert.
5. Enregistrement et notifications : inscriptions dans VERBİS et notification des contrats types à l’Autorité.
6. Procédures relatives aux violations et aux demandes : une procédure interne pour les violations et pour les demandes des personnes concernées, avec une formation des personnes qui les appliqueront.

Pour une petite ou moyenne entreprise à la structure claire, les cinq premières étapes prennent généralement de quatre à dix semaines environ. Un groupe comptant plusieurs entités et de nombreux prestataires étrangers peut demander davantage de temps. Notre liste de contrôle juridique de conformité KVKK couvre les mêmes points sous une forme plus courte.

Les documents et informations que nous demandons

• Les documents sociaux, l’organigramme et la liste des sociétés du groupe.
• Les notices d’information, formulaires de consentement, textes du site internet et des cookies, et votre politique de confidentialité actuels.
• Les contrats de travail, formulaires RH et tout dispositif de vidéosurveillance, de contrôle d’accès ou de surveillance.
• Les contrats avec les prestataires qui ont accès à des données personnelles, y compris les fournisseurs cloud et informatiques.
• Le lieu de stockage des données et les pays vers lesquels elles sont transférées.
• Vos politiques de sécurité informatique et tout incident ou toute plainte antérieurs.

Si vous rédigez votre politique de confidentialité à partir de zéro, notre guide sur le contenu de la politique de confidentialité de votre entreprise est une première lecture utile.

Ce que fait notre cabinet

• Analyse : analyse d’écarts KVKK, inventaire des données et rapport écrit sur les risques.
• Rédaction : notices d’information (aydınlatma metinleri), textes de consentement explicite, politiques de conservation et de destruction, contrats de sous-traitance, contrats de transfert de données et procédures internes.
• Formalités : enregistrement et mises à jour dans VERBİS, et notification des contrats types à l’Autorité.
• Réponse aux violations : évaluation de l’incident, notification au Conseil et message aux personnes concernées.
• Représentation : réponses aux demandes et aux plaintes devant le Conseil, et recours contre les décisions et amendes du Conseil devant les tribunaux administratifs.
• Suivi : mises à jour lorsque la loi, les décisions du Conseil ou vos traitements évoluent.

Les clients à l’étranger n’ont pas besoin de se déplacer. Nous travaillons à distance et, lorsque des formalités ou une procédure judiciaire l’exigent, sur la base d’une procuration signée devant un notaire ou un consulat turc, ou à l’étranger avec une apostille. Les questions connexes pour votre société relèvent de nos services en droit des technologies de l’information et en droit commercial. Pour discuter de votre situation, contactez notre cabinet.

Erreurs fréquentes en matière de conformité KVKK

• Demander le consentement pour tout. Si le traitement repose sur un contrat ou une obligation légale, demander en plus le consentement crée une confusion et un problème en cas de retrait. Choisissez la bonne base pour chaque traitement.
• Fusionner la notice et le consentement. Le Conseil attend qu’ils soient distincts. Une case unique « J’ai lu et j’accepte » ne satisfait généralement ni l’une ni l’autre exigence.
• Copier des textes RGPD. Une notice européenne traduite omet souvent des éléments de l’article 10 ou cite des bases du RGPD qui n’existent pas dans la KVKK.
• Oublier la notification de cinq jours. Signer un contrat type puis le classer laisse le transfert exposé.
• Aucun plan en cas de violation. Dans notre pratique, les dossiers de violation les plus éprouvants sont ceux où personne ne sait qui décide de la notification, et où les 72 heures s’écoulent pendant que l’on cherche une politique.

Pour en savoir plus sur l’exposition des entreprises, consultez nos articles sur les obligations et responsabilités des entreprises en matière de données, la gestion juridique des violations de données et les points clés de la KVKK turque.

Questions fréquentes

La KVKK s’applique-t-elle à une société étrangère sans bureau en Turquie ?

Elle le peut. La KVKK ne comporte pas de clause territoriale expresse, mais le Conseil l’applique en pratique aux responsables étrangers qui traitent les données de personnes se trouvant en Turquie, par exemple en vendant en ligne à des clients turcs. Les règles d’enregistrement prévoient aussi que les responsables étrangers s’enregistrent par l’intermédiaire d’un représentant en Turquie.

La conformité au RGPD suffit-elle pour la KVKK ?

Pas à elle seule. Elle couvre une grande partie du fond, mais la KVKK a son propre contenu de notice, le registre VERBİS, des instruments de transfert turcs assortis d’une obligation de notification, et pas de droit à la portabilité des données. Attendez-vous à adapter plutôt qu’à repartir de zéro.

Avons-nous besoin d’un consentement explicite pour transférer des données à notre société mère à l’étranger ?

En général non, depuis les modifications de 2024. Les transferts à l’étranger reposent désormais sur une décision d’adéquation ou sur des protections appropriées comme les contrats types du Conseil, qui doivent être notifiés à l’Autorité dans les cinq jours ouvrables. Le consentement ne subsiste que parmi les exceptions étroites applicables aux transferts occasionnels.

Toutes les sociétés doivent-elles s’enregistrer dans VERBİS ?

Non. Le Conseil a dispensé certains responsables en fonction du nombre de salariés, du total annuel du bilan et du type d’activité. Les critères sont fixés par des décisions du Conseil et peuvent changer ; vérifiez donc la décision en vigueur sur le site de l’Autorité.

Dans quel délai devons-nous signaler une violation de données ?

La KVKK dit « dès que possible ». Selon la décision du Conseil, celui-ci doit en général être informé dans les 72 heures suivant la connaissance de la violation, et les personnes concernées dans un délai raisonnable ensuite.

De combien de temps disposons-nous pour répondre à la demande d’une personne concernée ?

L’article 13 fixe un maximum de 30 jours à compter de la réception, et la réponse est en règle générale sans frais. Une réponse refusée, incomplète ou tardive peut conduire à une plainte auprès du Conseil.

Une amende KVKK peut-elle être contestée ?

Oui. Depuis la modification de 2024, les amendes administratives infligées par le Conseil se contestent devant les tribunaux administratifs, en général dans les 60 jours suivant la notification. Les montants des amendes prévus à l’article 18 sont réévalués chaque année.

Avons-nous besoin d’un délégué à la protection des données en Turquie ?

La KVKK n’impose pas de DPO sur le modèle du RGPD. Les responsables qui s’enregistrent dans VERBİS désignent une personne de contact, et les responsables étrangers nomment un représentant du responsable de traitement en Turquie.