इस्तांबुल, तुर्की में डेटा संरक्षण (KVKK) वकील

यह पृष्ठ तुर्की की कंपनियों के लिए और उन विदेशी कंपनियों के लिए है जो तुर्की में रहने वाले लोगों का डेटा संसाधित करती हैं। तुर्की में डेटा संरक्षण वकील के रूप में, हम KVKK कमी विश्लेषण (gap analysis) करते हैं, गोपनीयता सूचनाओं, सहमति पाठों और डेटा प्रतिधारण नीतियों का मसौदा तैयार करते हैं, सीमा-पार डेटा हस्तांतरण, VERBİS और डेटा उल्लंघनों को संभालते हैं, और डेटा संरक्षण प्राधिकरण तथा अदालतों के समक्ष ग्राहकों का प्रतिनिधित्व करते हैं।

तुर्की का डेटा संरक्षण कानून व्यक्तिगत डेटा संरक्षण कानून संख्या 6698 है, जिसे KVKK के नाम से जाना जाता है। पहली नज़र में यह GDPR जैसा लगता है। विवरण अलग हैं, और अनुपालन की अधिकांश कमियाँ इन्हीं अंतरों में होती हैं।

तुर्की में KVKK अनुपालन वकील की ज़रूरत कब होती है

जो फ़ाइलें हम देखते हैं, वे आमतौर पर इनमें से किसी एक स्थिति से शुरू होती हैं:

• आप तुर्की में कोई व्यवसाय स्थापित कर रहे हैं या खरीद रहे हैं और चाहते हैं कि कर्मचारियों, ग्राहकों और आपूर्तिकर्ताओं का डेटा पहले दिन से कानूनी रूप से संभाला जाए, या आप जानना चाहते हैं कि शेयर सौदे में आपको विरासत में क्या मिल रहा है।
• आप एक विदेशी कंपनी हैं जिसके तुर्की में उपयोगकर्ता या ग्राहक हैं, जैसे कोई ई-कॉमर्स साइट, ऐप या SaaS प्रदाता, और आपको यकीन नहीं है कि KVKK आप पर लागू होता है या नहीं।
• आपका समूह पहले से GDPR का पालन करता है और मानता है कि वही दस्तावेज़ तुर्की में भी काम करेंगे। कुछ करेंगे। कई नहीं करेंगे।
• आप डेटा विदेश भेजते हैं, उदाहरण के लिए मूल कंपनी, किसी क्लाउड प्रदाता या तुर्की के बाहर होस्ट किए गए CRM को, और आपको उन हस्तांतरणों को 2024 के नियमों के अनुरूप बनाना है।
• कुछ गलत हो गया है: कोई डेटा उल्लंघन, किसी ग्राहक या कर्मचारी की शिकायत, या व्यक्तिगत डेटा संरक्षण प्राधिकरण (Kişisel Verileri Koruma Kurumu) का कोई पत्र।

KVKK में GDPR के अनुच्छेद 3 जैसा कोई स्पष्ट क्षेत्रीय प्रावधान नहीं है। फिर भी व्यवहार में बोर्ड तुर्की में रहने वाले लोगों का डेटा संसाधित करने वाले विदेशी डेटा नियंत्रकों को अपने दायरे में मानता है, और रजिस्ट्री के नियम विदेशी नियंत्रकों के लिए तुर्की में किसी प्रतिनिधि के माध्यम से पंजीकरण का प्रावधान करते हैं।

KVKK किसी कंपनी से क्या अपेक्षा करता है

डेटा नियंत्रक और डेटा प्रोसेसर

डेटा नियंत्रक (veri sorumlusu) तय करता है कि व्यक्तिगत डेटा क्यों और कैसे संसाधित किया जाए, और अधिकांश दायित्व उसी पर होते हैं। डेटा प्रोसेसर (veri işleyen) नियंत्रक की ओर से डेटा संसाधित करता है, जैसे कोई पेरोल प्रदाता या होस्टिंग कंपनी। अनुच्छेद 12 के तहत, डेटा सुरक्षा उपाय करने के लिए नियंत्रक और प्रोसेसर संयुक्त रूप से उत्तरदायी हैं। आपके प्रोसेसर अनुबंधों में यह लिखा होना चाहिए।

हर प्रसंस्करण गतिविधि के लिए कानूनी आधार

अनुच्छेद 5 स्पष्ट सहमति (açık rıza) के साथ, या सूचीबद्ध अन्य शर्तों में से किसी एक के तहत, प्रसंस्करण की अनुमति देता है: कानून में स्पष्ट रूप से प्रावधानित प्रसंस्करण, अनुबंध का निष्पादन, नियंत्रक का कानूनी दायित्व, व्यक्ति द्वारा सार्वजनिक किया गया डेटा, किसी अधिकार की स्थापना या रक्षा, और नियंत्रक का वैध हित। स्पष्ट सहमति विशिष्ट, सूचित और स्वेच्छा से दी गई होनी चाहिए। जब कोई अन्य आधार उपयुक्त हो, तब यह सबसे कमज़ोर आधार है, क्योंकि इसे किसी भी समय वापस लिया जा सकता है।

2024 के संशोधनों के बाद विशेष श्रेणियाँ

1 जून 2024 से लागू कानून संख्या 7499 ने विशेष श्रेणी के डेटा (özel nitelikli kişisel veriler) से संबंधित अनुच्छेद 6 को फिर से लिखा, जिसमें स्वास्थ्य, बायोमेट्रिक और आनुवंशिक डेटा, धर्म, यूनियन सदस्यता और आपराधिक रिकॉर्ड शामिल हैं। संशोधन से पहले कई नियोक्ता इस डेटा के लिए केवल स्पष्ट सहमति पर निर्भर रह सकते थे। नया पाठ GDPR के अनुच्छेद 9 के अधिक निकट की शर्तें जोड़ता है, जैसे रोज़गार, व्यावसायिक स्वास्थ्य और सामाजिक सुरक्षा में कानूनी दायित्व, और स्वास्थ्य उद्देश्यों के लिए गोपनीयता के कर्तव्य से बँधे व्यक्तियों द्वारा प्रसंस्करण। विशेष श्रेणियों के लिए बोर्ड के अतिरिक्त सुरक्षा उपाय अब भी लागू हैं।

गोपनीयता सूचनाएँ और डेटा सुरक्षा

अनुच्छेद 10 के तहत आपको डेटा एकत्र करते समय लोगों को सूचित करना होता है: नियंत्रक कौन है, उद्देश्य क्या हैं, डेटा किसे और क्यों हस्तांतरित किया जाता है, संग्रह का तरीका और कानूनी आधार क्या है, और अनुच्छेद 11 के तहत उनके अधिकार क्या हैं। अनुच्छेद 12 उचित तकनीकी और प्रशासनिक उपायों की माँग करता है। जिन नियंत्रकों के लिए VERBİS में पंजीकरण अनिवार्य है, उन्हें व्यक्तिगत डेटा प्रतिधारण और विनाश नीति भी रखनी होती है।

2024 के संशोधनों के बाद व्यक्तिगत डेटा का विदेश हस्तांतरण

2024 के सुधार ने सबसे अधिक अनुच्छेद 9 को बदला। स्पष्ट सहमति अब विदेश हस्तांतरण का सामान्य मार्ग नहीं है। संरचना अब परतों में काम करती है:

1. पर्याप्तता निर्णय: हस्तांतरण तब संभव है जब बोर्ड ने उस देश, क्षेत्र (सेक्टर) या अंतरराष्ट्रीय संगठन के लिए पर्याप्तता निर्णय (yeterlilik kararı) जारी किया हो, और अनुच्छेद 5 या अनुच्छेद 6 की कोई शर्त मौजूद हो।
2. उचित सुरक्षा उपाय: पर्याप्तता निर्णय के बिना, आप बोर्ड द्वारा घोषित मानक अनुबंधों, बोर्ड द्वारा अनुमोदित बाध्यकारी कॉर्पोरेट नियमों, या बोर्ड द्वारा अधिकृत लिखित वचनबद्धता जैसे सुरक्षा उपायों पर निर्भर रह सकते हैं।
3. आकस्मिक हस्तांतरण: उपरोक्त दोनों में से कोई न होने पर, अपवादों की एक सीमित सूची केवल कभी-कभार होने वाले, गैर-आवर्ती हस्तांतरणों पर लागू होती है।

मानक अनुबंधों का उपयोग उसी रूप में करना होगा जिसमें बोर्ड ने उन्हें प्रकाशित किया है, और अनुच्छेद 9(4) के तहत हस्ताक्षर के पाँच कार्य दिवसों के भीतर प्राधिकरण को उनकी सूचना देनी होगी। यह सूचना छूट जाना अपने आप में प्रशासनिक जुर्माने का कारण बन सकता है। व्यवहार में, समूह कंपनियों और विदेशी सेवा प्रदाताओं को होने वाले अधिकांश हस्तांतरण इस समय मानक अनुबंधों पर चलते हैं, इसलिए जाँचें कि हर संबंध के लिए कौन-सा मॉड्यूल उपयुक्त है।

VERBİS पंजीकरण और डेटा नियंत्रक रजिस्ट्री

VERBİS प्राधिकरण द्वारा रखी जाने वाली ऑनलाइन डेटा नियंत्रक रजिस्ट्री है। पंजीकरण केवल औपचारिकता नहीं है: आप अपने प्रसंस्करण के उद्देश्य, डेटा श्रेणियाँ, प्राप्तकर्ता समूह, प्रतिधारण अवधियाँ, विदेश हस्तांतरण और सुरक्षा उपाय घोषित करते हैं।

बोर्ड ने कर्मचारियों की संख्या, वार्षिक तुलन-पत्र (बैलेंस शीट) के कुल योग और गतिविधि की प्रकृति के आधार पर कुछ नियंत्रकों को पंजीकरण से छूट दी है। ये सीमाएँ और श्रेणियाँ बोर्ड के निर्णयों से तय होती हैं और समय के साथ बदली हैं, इसलिए स्वयं को छूट-प्राप्त मानने से पहले प्राधिकरण की वेबसाइट पर अपनी स्थिति की पुष्टि करें। कोई विदेशी नियंत्रक तुर्की में निवासी डेटा नियंत्रक प्रतिनिधि (veri sorumlusu temsilcisi) के माध्यम से पंजीकरण कराता है।

डेटा उल्लंघन, डेटा विषयों के अनुरोध और बोर्ड

अनुच्छेद 12 के तहत, जब डेटा अवैध रूप से प्राप्त किया गया हो, तो नियंत्रक को संबंधित व्यक्ति और बोर्ड को जल्द से जल्द सूचित करना होता है। इस विषय पर बोर्ड का निर्णय, जैसा कि नियम आम तौर पर लागू किया जाता है, उल्लंघन की जानकारी मिलने से बोर्ड को सूचित करने के लिए 72 घंटे तय करता है। प्रभावित लोगों को उचित समय के भीतर बताया जाना चाहिए।

व्यक्ति नियंत्रक को आवेदन करके अनुच्छेद 11 के अपने अधिकारों का प्रयोग कर सकते हैं। अनुच्छेद 13 आपको उत्तर देने के लिए अधिकतम 30 दिन देता है, और उत्तर सामान्यतः निःशुल्क होता है। यदि उत्तर देने से इनकार किया जाए, उत्तर अपर्याप्त हो या देर से मिले, तो व्यक्ति बोर्ड में शिकायत कर सकता है।

अनुच्छेद 18 सूचना, सुरक्षा, रजिस्ट्री और हस्तांतरण सूचना के कर्तव्यों के उल्लंघन और बोर्ड के निर्णयों का पालन न करने पर प्रशासनिक जुर्माने तय करता है। राशियों का हर वर्ष पुनर्मूल्यांकन होता है, इसलिए जोखिम का आकलन करते समय वर्तमान आँकड़ों की जाँच करें। 2024 के संशोधन के बाद से, बोर्ड के जुर्मानों को प्रशासनिक अदालतों में चुनौती दी जाती है, आम तौर पर तामील से 60 दिनों के भीतर। कुछ अवैध प्रसंस्करण तुर्की दंड संहिता के तहत अपराध भी है।

KVKK बनाम GDPR: महत्वपूर्ण अंतर

GDPR कार्यक्रम एक अच्छा प्रारंभिक बिंदु है। फिर भी उसे तुर्की भाषा की सूचनाओं, VERBİS, तुर्की हस्तांतरण साधनों और तुर्की प्रतिधारण अवधियों की ज़रूरत होती है।

KVKK अनुपालन कार्यक्रम बनाना, चरण-दर-चरण

1. शुरुआत और दायरा तय करना: हम दायरे में आने वाली संस्थाओं, विभागों, प्रणालियों और डेटा प्रवाहों की पहचान करते हैं।
2. डेटा सूची: हर प्रसंस्करण गतिविधि, उसके कानूनी आधार और उसकी प्रतिधारण अवधि का मानचित्र बनाने के लिए HR, बिक्री, मार्केटिंग, IT और वित्त विभागों के साथ साक्षात्कार और प्रश्नावलियाँ।
3. कमी विश्लेषण रिपोर्ट: कमियों की एक लिखित सूची, जोखिम के अनुसार क्रमबद्ध, हर कमी के समाधान के साथ।
4. दस्तावेज़: गोपनीयता सूचनाएँ, जहाँ सहमति वास्तव में आवश्यक हो वहाँ सहमति पाठ, प्रतिधारण और विनाश नीति, प्रोसेसर समझौते और हस्तांतरण अनुबंध।
5. पंजीकरण और सूचनाएँ: VERBİS प्रविष्टियाँ, और प्राधिकरण को मानक अनुबंधों की सूचना।
6. उल्लंघन और अनुरोध प्रक्रियाएँ: उल्लंघनों और डेटा विषयों के अनुरोधों के लिए एक आंतरिक प्रक्रिया, और उसका उपयोग करने वाले लोगों के लिए प्रशिक्षण।

स्पष्ट संरचना वाली किसी छोटी या मध्यम आकार की कंपनी के लिए पहले पाँच चरणों में आमतौर पर लगभग चार से दस सप्ताह लगते हैं। कई संस्थाओं और कई विदेशी विक्रेताओं वाले समूह में अधिक समय लग सकता है। हमारी KVKK अनुपालन की कानूनी जाँच-सूची इसी विषय को संक्षिप्त रूप में प्रस्तुत करती है।

हम कौन-से दस्तावेज़ और जानकारी माँगते हैं

• कंपनी के दस्तावेज़, संगठन चार्ट और समूह कंपनियों की सूची।
• वर्तमान गोपनीयता सूचनाएँ, सहमति फ़ॉर्म, वेबसाइट और कुकी पाठ, और आपकी गोपनीयता नीति।
• रोज़गार अनुबंध, HR फ़ॉर्म और कोई भी CCTV, प्रवेश नियंत्रण या निगरानी व्यवस्था।
• व्यक्तिगत डेटा से जुड़े सेवा प्रदाताओं के साथ अनुबंध, जिनमें क्लाउड और IT विक्रेता शामिल हैं।
• डेटा कहाँ संग्रहीत है और किन देशों में जाता है।
• आपकी IT सुरक्षा नीतियाँ और पिछली कोई घटनाएँ या शिकायतें।

यदि आप अपनी गोपनीयता नीति शुरू से लिख रहे हैं, तो आपकी कंपनी की गोपनीयता नीति में क्या शामिल करें पर हमारी मार्गदर्शिका पहले पढ़ना उपयोगी है।

हमारी लॉ फ़र्म क्या करती है

• आकलन: KVKK कमी विश्लेषण, डेटा सूची और लिखित जोखिम रिपोर्ट।
• मसौदा: गोपनीयता सूचनाएँ (aydınlatma metinleri), स्पष्ट सहमति पाठ, प्रतिधारण और विनाश नीतियाँ, प्रोसेसर समझौते, डेटा हस्तांतरण समझौते और आंतरिक प्रक्रियाएँ।
• दाखिला: VERBİS पंजीकरण और अद्यतन, और प्राधिकरण को मानक अनुबंधों की सूचना।
• उल्लंघन पर प्रतिक्रिया: घटना का आकलन, बोर्ड को सूचना और प्रभावित लोगों के लिए संदेश।
• प्रतिनिधित्व: बोर्ड की पूछताछ और शिकायतों के उत्तर, और प्रशासनिक अदालतों में बोर्ड के निर्णयों और जुर्मानों के विरुद्ध मुकदमे।
• अनुवर्ती कार्य: जब कानून, बोर्ड के निर्णय या आपका प्रसंस्करण बदले, तब अद्यतन।

विदेश में रहने वाले ग्राहकों को यात्रा करने की ज़रूरत नहीं है। हम दूर से काम करते हैं और, जहाँ दाखिलों या अदालती काम के लिए आवश्यक हो, किसी तुर्की नोटरी या वाणिज्य दूतावास के समक्ष, या विदेश में एपोस्टिल के साथ, हस्ताक्षरित मुख्तारनामे (पावर ऑफ़ अटॉर्नी) के आधार पर काम करते हैं। आपकी कंपनी से जुड़ा संबंधित काम हमारी IT कानून और वाणिज्यिक कानून सेवाओं के अंतर्गत आता है। अपनी स्थिति पर चर्चा के लिए हमारे कार्यालय से संपर्क करें।

KVKK अनुपालन में आम गलतियाँ

• हर चीज़ के लिए सहमति माँगना। यदि प्रसंस्करण किसी अनुबंध या कानूनी दायित्व पर आधारित है, तो साथ में सहमति माँगने से भ्रम पैदा होता है और सहमति वापस लिए जाने पर समस्या खड़ी होती है। हर गतिविधि के लिए सही आधार चुनें।
• सूचना और सहमति को मिला देना। बोर्ड अपेक्षा करता है कि दोनों अलग हों। "मैंने पढ़ लिया है और स्वीकार करता हूँ" वाला एक ही बॉक्स आमतौर पर दोनों में विफल रहता है।
• GDPR के पाठों की नकल करना। अनूदित यूरोपीय सूचना अक्सर अनुच्छेद 10 के बिंदुओं को छोड़ देती है या ऐसे GDPR आधारों का उल्लेख करती है जो KVKK में मौजूद नहीं हैं।
• पाँच दिन की सूचना भूल जाना। मानक अनुबंध पर हस्ताक्षर करके उसे फ़ाइल में रख देने से हस्तांतरण जोखिम में रहता है।
• उल्लंघन की कोई योजना न होना। हमारे अभ्यास में, सबसे तनावपूर्ण उल्लंघन फ़ाइलें वे होती हैं जिनमें किसी को पता नहीं होता कि सूचना देने का निर्णय कौन करेगा, और लोग नीति ढूँढते रहते हैं जबकि 72 घंटे बीत जाते हैं।

कंपनियों के जोखिम पर अधिक जानकारी के लिए कंपनियों के डेटा गोपनीयता दायित्व और देनदारियाँ, डेटा उल्लंघनों को कानूनी रूप से संभालना और तुर्की के KVKK के मुख्य बिंदु पर हमारे लेख देखें।

अक्सर पूछे जाने वाले प्रश्न

क्या KVKK ऐसी विदेशी कंपनी पर लागू होता है जिसका तुर्की में कोई कार्यालय नहीं है?

हो सकता है। KVKK में कोई स्पष्ट क्षेत्रीय प्रावधान नहीं है, लेकिन बोर्ड व्यवहार में इसे उन विदेशी नियंत्रकों पर लागू करता है जो तुर्की में रहने वाले लोगों का डेटा संसाधित करते हैं, उदाहरण के लिए तुर्की ग्राहकों को ऑनलाइन बिक्री करके। रजिस्ट्री के नियम भी विदेशी नियंत्रकों के लिए तुर्की में किसी प्रतिनिधि के माध्यम से पंजीकरण का प्रावधान करते हैं।

क्या KVKK के लिए GDPR अनुपालन पर्याप्त है?

अकेले नहीं। यह सार का बड़ा हिस्सा कवर करता है, लेकिन KVKK की अपनी सूचना सामग्री, VERBİS रजिस्ट्री, सूचना के कर्तव्य वाले तुर्की हस्तांतरण साधन हैं, और इसमें डेटा पोर्टेबिलिटी का अधिकार नहीं है। शून्य से शुरू करने के बजाय अनुकूलन की अपेक्षा करें।

क्या विदेश में अपनी मूल कंपनी को डेटा भेजने के लिए हमें स्पष्ट सहमति चाहिए?

2024 के संशोधनों के बाद से, आम तौर पर नहीं। विदेश हस्तांतरण अब पर्याप्तता निर्णय पर या बोर्ड के मानक अनुबंधों जैसे उचित सुरक्षा उपायों पर निर्भर करते हैं, जिनकी सूचना पाँच कार्य दिवसों के भीतर प्राधिकरण को देनी होती है। सहमति अब केवल कभी-कभार होने वाले हस्तांतरणों के सीमित अपवादों में बची है।

क्या हर कंपनी के लिए VERBİS में पंजीकरण अनिवार्य है?

नहीं। बोर्ड ने कर्मचारियों की संख्या, वार्षिक तुलन-पत्र के कुल योग और गतिविधि के प्रकार के आधार पर कुछ नियंत्रकों को छूट दी है। मानदंड बोर्ड के निर्णयों से तय होते हैं और बदल सकते हैं, इसलिए प्राधिकरण की वेबसाइट पर वर्तमान निर्णय की जाँच करें।

हमें डेटा उल्लंघन की सूचना कितनी जल्दी देनी होगी?

KVKK कहता है "जल्द से जल्द"। बोर्ड के निर्णय के तहत, बोर्ड को आम तौर पर उल्लंघन की जानकारी मिलने से 72 घंटे के भीतर सूचित किया जाना चाहिए, और प्रभावित लोगों को उसके बाद उचित समय के भीतर।

डेटा विषय के अनुरोध का उत्तर देने के लिए हमारे पास कितना समय है?

अनुच्छेद 13 अनुरोध प्राप्त होने से अधिकतम 30 दिन तय करता है, और उत्तर सामान्यतः निःशुल्क होता है। इनकार, अधूरा या देर से दिया गया उत्तर बोर्ड में शिकायत का कारण बन सकता है।

क्या KVKK जुर्माने को चुनौती दी जा सकती है?

हाँ। 2024 के संशोधन के बाद से, बोर्ड द्वारा लगाए गए प्रशासनिक जुर्मानों को प्रशासनिक अदालतों में चुनौती दी जाती है, आम तौर पर तामील से 60 दिनों के भीतर। अनुच्छेद 18 के तहत जुर्माने की राशियों का हर वर्ष पुनर्मूल्यांकन होता है।

क्या तुर्की में हमें डेटा संरक्षण अधिकारी की ज़रूरत है?

KVKK में GDPR जैसे DPO की आवश्यकता नहीं है। VERBİS में पंजीकरण कराने वाले नियंत्रक एक संपर्क व्यक्ति नामित करते हैं, और विदेशी नियंत्रक तुर्की में एक डेटा नियंत्रक प्रतिनिधि नियुक्त करते हैं।