Адвокат по защите персональных данных (KVKK) в Стамбуле, Турция

Эта страница предназначена для компаний в Турции и для иностранных компаний, обрабатывающих данные лиц, находящихся в Турции. Как адвокат по защите персональных данных в Турции, мы проводим анализ соответствия KVKK, составляем уведомления о конфиденциальности, тексты согласий и политики хранения, занимаемся трансграничной передачей данных, VERBİS и утечками данных, а также представляем клиентов в Управлении по защите персональных данных и в судах.

Турецкое законодательство о защите данных представлено Законом о защите персональных данных № 6698, известным как KVKK. На первый взгляд он похож на GDPR. Детали различаются, и именно в этих различиях находится большинство пробелов в соответствии.

Когда нужен адвокат по соответствию KVKK в Турции

Дела, с которыми мы сталкиваемся, обычно начинаются в одной из следующих ситуаций:

• Вы создаете или приобретаете бизнес в Турции и хотите, чтобы данные сотрудников, клиентов и поставщиков обрабатывались законно с первого дня, или хотите знать, что вы наследуете при покупке долей.
• Вы иностранная компания с турецкими пользователями или клиентами, например интернет-магазин, приложение или SaaS-провайдер, и не уверены, распространяется ли на вас KVKK.
• Ваша группа уже соблюдает GDPR и исходит из того, что те же документы подойдут в Турции. Некоторые подойдут. Ряд других нет.
• Вы передаете данные за рубеж, например материнской компании, облачному провайдеру или в CRM, размещенную за пределами Турции, и вам нужно привести эту передачу в соответствие с правилами 2024 года.
• Что-то пошло не так: утечка данных, жалоба клиента или сотрудника либо письмо от Управления по защите персональных данных (Kişisel Verileri Koruma Kurumu).

В KVKK нет прямой нормы о территориальном действии, подобной статье 3 GDPR. Однако на практике Совет рассматривает иностранных операторов, обрабатывающих данные лиц в Турции, как подпадающих под его компетенцию, а правила о реестре предусматривают регистрацию иностранных операторов через представителя в Турции.

Что KVKK требует от компании

Оператор данных и обработчик данных

Оператор данных (veri sorumlusu) определяет цели и способы обработки персональных данных и несет большую часть обязанностей. Обработчик данных (veri işleyen) обрабатывает данные от имени оператора, например провайдер расчета заработной платы или хостинговая компания. Согласно статье 12, оператор и обработчик несут солидарную ответственность за принятие мер по безопасности данных. Это должно быть отражено в ваших договорах с обработчиками.

Правовое основание для каждого вида обработки

Статья 5 допускает обработку с явного согласия (açık rıza) или на одном из других перечисленных оснований: обработка, прямо предусмотренная законом, исполнение договора, юридическая обязанность оператора, данные, обнародованные самим лицом, установление или защита права, законный интерес оператора. Явное согласие должно быть конкретным, информированным и свободным. Это самое слабое основание, когда подходит другое, потому что согласие можно отозвать в любой момент.

Особые категории данных после поправок 2024 года

Закон № 7499, действующий с 1 июня 2024 года, полностью изменил статью 6 об особых категориях данных (özel nitelikli kişisel veriler), к которым относятся данные о здоровье, биометрические и генетические данные, сведения о религии, членстве в профсоюзе и судимости. До поправки многие работодатели могли опираться в отношении таких данных только на явное согласие. Новая редакция добавляет основания, близкие к статье 9 GDPR, например юридические обязанности в сфере трудовых отношений, охраны труда и социального обеспечения, а также обработку лицами, обязанными хранить конфиденциальность, в целях охраны здоровья. Дополнительные меры безопасности, установленные Советом для особых категорий, по-прежнему применяются.

Уведомления о конфиденциальности и безопасность данных

Статья 10 обязывает информировать людей в момент сбора их данных: кто является оператором, каковы цели, кому и зачем передаются данные, каковы способ и правовое основание сбора, а также каковы их права по статье 11. Статья 12 требует принятия надлежащих технических и организационных мер. Операторы, обязанные регистрироваться в VERBİS, также должны иметь политику хранения и уничтожения персональных данных.

Передача персональных данных за рубеж после поправок 2024 года

Реформа 2024 года сильнее всего изменила статью 9. Явное согласие больше не является общим способом передачи данных за рубеж. Теперь система построена по уровням:

1. Решение об адекватности: передача возможна, если Совет принял решение об адекватности (yeterlilik kararı) в отношении страны, отрасли или международной организации и имеется одно из оснований статьи 5 или статьи 6.
2. Надлежащие меры защиты: при отсутствии решения об адекватности можно опираться на такие меры, как стандартные договоры, объявленные Советом, обязательные корпоративные правила, утвержденные Советом, или письменное обязательство, разрешенное Советом.
3. Эпизодическая передача: при отсутствии и того и другого ограниченный перечень исключений применяется только к разовой, неповторяющейся передаче.

Стандартные договоры должны использоваться в форме, опубликованной Советом, и, согласно статье 9(4), направляться в Управление в течение пяти рабочих дней с даты подписания. Непредставление такого уведомления само по себе может повлечь административный штраф. На практике большая часть передачи данных компаниям группы и иностранным поставщикам услуг сейчас осуществляется на основании стандартных договоров, поэтому проверьте, какой модуль подходит для каждых отношений.

Регистрация в VERBİS и реестр операторов данных

VERBİS представляет собой онлайн-реестр операторов данных, который ведет Управление. Регистрация не является формальностью: вы указываете цели обработки, категории данных, группы получателей, сроки хранения, передачу за рубеж и меры безопасности.

Совет освободил некоторых операторов от регистрации в зависимости от численности сотрудников, годового итога баланса и характера деятельности. Эти пороги и категории устанавливаются решениями Совета и со временем менялись, поэтому, прежде чем решить, что вы освобождены, уточните свое положение на сайте Управления. Иностранный оператор регистрируется через представителя оператора данных (veri sorumlusu temsilcisi), находящегося в Турции.

Утечки данных, запросы субъектов данных и Совет

Согласно статье 12, если данные были получены незаконно, оператор должен как можно скорее уведомить затронутое лицо и Совет. Решение Совета по этому вопросу устанавливает для уведомления Совета 72 часа с момента, когда стало известно об утечке, в соответствии с тем, как это правило обычно применяется. Затронутых лиц следует уведомить в разумный срок.

Физические лица могут осуществлять свои права по статье 11, обращаясь к оператору. Статья 13 дает вам не более 30 дней на ответ, который, как правило, предоставляется без взимания платы. Если в ответе отказано, он неполный или запоздал, лицо может подать жалобу в Совет.

Статья 18 устанавливает административные штрафы за нарушение обязанностей по уведомлению, безопасности, регистрации в реестре и уведомлению о передаче, а также за неисполнение решений Совета. Суммы ежегодно индексируются, поэтому при оценке рисков проверяйте актуальные цифры. После поправки 2024 года штрафы Совета обжалуются в административных судах, как правило, в течение 60 дней с даты уведомления. Некоторые виды незаконной обработки также являются преступлением по Уголовному кодексу Турции.

KVKK и GDPR: существенные различия

Программа соответствия GDPR является хорошей отправной точкой. Но ей все равно нужны уведомления на турецком языке, VERBİS, турецкие инструменты передачи данных и турецкие сроки хранения.

Создание программы соответствия KVKK шаг за шагом

1. Запуск и определение охвата: мы определяем юридические лица, подразделения, системы и потоки данных, входящие в охват.
2. Инвентаризация данных: интервью и анкеты с отделами кадров, продаж, маркетинга, ИТ и финансов, чтобы описать каждый вид обработки, его правовое основание и срок хранения.
3. Отчет об анализе соответствия: письменный перечень пробелов, ранжированных по степени риска, с мерой исправления для каждого.
4. Документы: уведомления о конфиденциальности, тексты согласий там, где согласие действительно необходимо, политика хранения и уничтожения, договоры с обработчиками и договоры о передаче данных.
5. Регистрация и уведомления: записи в VERBİS и уведомление Управления о стандартных договорах.
6. Процедуры для утечек и запросов: внутренняя процедура на случай утечек и запросов субъектов данных с обучением сотрудников, которые будут ее применять.

Для малой или средней компании с понятной структурой первые пять шагов обычно занимают примерно от четырех до десяти недель. Для группы с несколькими юридическими лицами и множеством иностранных поставщиков это может занять больше времени. Наш юридический чек-лист по соответствию KVKK охватывает те же вопросы в более кратком формате.

Документы и информация, которые мы запрашиваем

• Документы компании, организационная структура и перечень компаний группы.
• Текущие уведомления о конфиденциальности, формы согласия, тексты сайта и файлов cookie, а также ваша политика конфиденциальности.
• Трудовые договоры, кадровые формы и сведения о системах видеонаблюдения, контроля доступа или мониторинга.
• Договоры с поставщиками услуг, связанные с персональными данными, включая облачных и ИТ-поставщиков.
• Где хранятся данные и в какие страны они передаются.
• Ваши политики информационной безопасности и сведения о прошлых инцидентах или жалобах.

Если вы пишете политику конфиденциальности с нуля, полезно начать с нашего руководства о том, что включить в политику конфиденциальности компании.

Что делает наша юридическая фирма

• Оценка: анализ соответствия KVKK, инвентаризация данных и письменный отчет о рисках.
• Подготовка документов: уведомления о конфиденциальности (aydınlatma metinleri), тексты явного согласия, политики хранения и уничтожения, договоры с обработчиками, договоры о передаче данных и внутренние процедуры.
• Подача документов: регистрация в VERBİS и ее обновление, уведомления Управления о стандартных договорах.
• Реагирование на утечки: оценка инцидента, уведомление Совета и сообщение затронутым лицам.
• Представительство: ответы на запросы и жалобы в Совете, иски против решений и штрафов Совета в административных судах.
• Сопровождение: обновления при изменении закона, решений Совета или вашей обработки данных.

Клиентам за рубежом не нужно приезжать. Мы работаем удаленно, а если этого требуют подача документов или судебная работа, по доверенности, подписанной у турецкого нотариуса или в консульстве либо за рубежом с апостилем. Смежная работа для вашей компании относится к нашим услугам в сфере IT-права и коммерческого права. Чтобы обсудить вашу ситуацию, свяжитесь с нашим офисом.

Типичные ошибки в соблюдении KVKK

• Запрос согласия на все. Если обработка основана на договоре или юридической обязанности, дополнительный запрос согласия создает путаницу и проблему при отзыве согласия. Выбирайте правильное основание для каждого вида обработки.
• Объединение уведомления и согласия. Совет ожидает, что они будут разделены. Единая галочка «Я прочитал и принимаю» обычно не отвечает ни тому, ни другому требованию.
• Копирование текстов GDPR. В переведенном европейском уведомлении часто отсутствуют пункты статьи 10 или указаны основания GDPR, которых нет в KVKK.
• Забытое уведомление в течение пяти дней. Если подписать стандартный договор и просто положить его в архив, передача данных остается уязвимой.
• Отсутствие плана на случай утечки. В нашей практике самые напряженные дела об утечках те, где никто не знает, кто принимает решение об уведомлении, и 72 часа истекают, пока люди ищут нужную политику.

Подробнее о рисках для компаний см. наши статьи об обязанностях и ответственности компаний в сфере конфиденциальности данных, о правовых действиях при утечках данных и о ключевых положениях турецкого KVKK.

Часто задаваемые вопросы

Применяется ли KVKK к иностранной компании без офиса в Турции?

Может применяться. В KVKK нет прямой нормы о территориальном действии, но Совет на практике применяет закон к иностранным операторам, обрабатывающим данные лиц в Турции, например при онлайн-продажах турецким клиентам. Правила о реестре также предусматривают регистрацию иностранных операторов через представителя в Турции.

Достаточно ли соблюдения GDPR для KVKK?

Само по себе нет. Оно охватывает значительную часть существа, но в KVKK свои требования к содержанию уведомления, реестр VERBİS, турецкие инструменты передачи данных с обязанностью уведомления и нет права на переносимость данных. Рассчитывайте на адаптацию, а не на работу с нуля.

Нужно ли явное согласие, чтобы передавать данные нашей материнской компании за рубеж?

Как правило, нет, после поправок 2024 года. Передача за рубеж теперь основывается на решении об адекватности или на надлежащих мерах защиты, таких как стандартные договоры Совета, о которых нужно уведомить Управление в течение пяти рабочих дней. Согласие остается лишь среди узких исключений для эпизодической передачи.

Обязана ли каждая компания регистрироваться в VERBİS?

Нет. Совет освободил некоторых операторов в зависимости от численности сотрудников, годового итога баланса и вида деятельности. Критерии устанавливаются решениями Совета и могут меняться, поэтому проверяйте действующее решение на сайте Управления.

Как быстро нужно сообщить об утечке данных?

KVKK говорит «как можно скорее». Согласно решению Совета, Совет, как правило, следует уведомить в течение 72 часов с момента, когда стало известно об утечке, а затронутых лиц в разумный срок после этого.

Сколько времени есть на ответ на запрос субъекта данных?

Статья 13 устанавливает максимальный срок 30 дней с даты получения, и ответ, как правило, предоставляется без взимания платы. Отказ, неполный или запоздалый ответ могут привести к жалобе в Совет.

Можно ли обжаловать штраф по KVKK?

Да. После поправки 2024 года административные штрафы, наложенные Советом, обжалуются в административных судах, как правило, в течение 60 дней с даты уведомления. Суммы штрафов по статье 18 ежегодно индексируются.

Нужен ли нам ответственный за защиту данных в Турции?

KVKK не требует назначать DPO по образцу GDPR. Операторы, регистрирующиеся в VERBİS, указывают контактное лицо, а иностранные операторы назначают представителя оператора данных в Турции.