استنبول، ترکی میں ڈیٹا کے تحفظ (KVKK) کے وکیل

یہ صفحہ ترکی میں کام کرنے والی کمپنیوں اور ان غیر ملکی کمپنیوں کے لیے ہے جو ترکی میں موجود افراد کا ڈیٹا پروسیس کرتی ہیں۔ ترکی میں ڈیٹا کے تحفظ کے وکیل کی حیثیت سے ہم KVKK کا خلا تجزیہ (gap analysis) کرتے ہیں، رازداری کے نوٹس، رضامندی کی تحریریں اور ڈیٹا محفوظ رکھنے کی پالیسیاں تیار کرتے ہیں، بیرونِ ملک ڈیٹا کی منتقلی، VERBİS اور ڈیٹا کی خلاف ورزیوں کے معاملات سنبھالتے ہیں، اور ڈیٹا پروٹیکشن اتھارٹی اور عدالتوں کے سامنے موکلین کی نمائندگی کرتے ہیں۔

ترکی کا ڈیٹا تحفظ کا قانون ذاتی ڈیٹا کے تحفظ کا قانون نمبر 6698 ہے، جسے KVKK کہا جاتا ہے۔ پہلی نظر میں یہ GDPR جیسا لگتا ہے۔ تفصیلات مختلف ہیں، اور زیادہ تر تعمیلی خلا انہی فرقوں میں ہوتے ہیں۔

ترکی میں KVKK کی تعمیل کے وکیل کی ضرورت کب ہوتی ہے

ہمارے سامنے آنے والی فائلیں عموماً ان میں سے کسی ایک صورت سے شروع ہوتی ہیں:

• آپ ترکی میں کوئی کاروبار قائم کر رہے ہیں یا خرید رہے ہیں اور چاہتے ہیں کہ ملازمین، صارفین اور سپلائرز کا ڈیٹا پہلے دن سے قانونی طریقے سے سنبھالا جائے، یا آپ جاننا چاہتے ہیں کہ حصص کی خریداری میں آپ کو ورثے میں کیا مل رہا ہے۔
• آپ ایک غیر ملکی کمپنی ہیں جس کے ترک صارفین یا گاہک ہیں، جیسے کوئی ای کامرس سائٹ، ایپ یا SaaS فراہم کنندہ، اور آپ کو یقین نہیں کہ KVKK آپ پر لاگو ہوتا ہے یا نہیں۔
• آپ کا گروپ پہلے ہی GDPR پر عمل کرتا ہے اور یہ فرض کرتا ہے کہ وہی دستاویزات ترکی میں بھی کام کریں گی۔ کچھ کریں گی۔ کئی نہیں کریں گی۔
• آپ ڈیٹا بیرونِ ملک بھیجتے ہیں، مثلاً کسی پیرنٹ کمپنی، کلاؤڈ فراہم کنندہ یا ترکی سے باہر ہوسٹ کیے گئے CRM کو، اور آپ کو ان منتقلیوں کو 2024 کے قواعد کے مطابق بنانا ہے۔
• کچھ غلط ہو گیا ہے: ڈیٹا کی خلاف ورزی، کسی گاہک یا ملازم کی شکایت، یا ذاتی ڈیٹا کے تحفظ کی اتھارٹی (Kişisel Verileri Koruma Kurumu) کا کوئی خط۔

KVKK میں GDPR کی دفعہ 3 جیسی کوئی واضح علاقائی شق نہیں۔ تاہم عملی طور پر بورڈ ان غیر ملکی ڈیٹا کنٹرولرز کو اپنے دائرے میں سمجھتا ہے جو ترکی میں موجود افراد کا ڈیٹا پروسیس کرتے ہیں، اور رجسٹری کے قواعد غیر ملکی کنٹرولرز کے لیے ترکی میں کسی نمائندے کے ذریعے رجسٹر ہونے کا انتظام کرتے ہیں۔

KVKK کسی کمپنی سے کیا تقاضا کرتا ہے

ڈیٹا کنٹرولر اور ڈیٹا پروسیسر

ڈیٹا کنٹرولر (veri sorumlusu) یہ طے کرتا ہے کہ ذاتی ڈیٹا کیوں اور کیسے پروسیس کیا جائے، اور زیادہ تر ذمہ داریاں اسی پر ہوتی ہیں۔ ڈیٹا پروسیسر (veri işleyen) کنٹرولر کی جانب سے ڈیٹا پروسیس کرتا ہے، جیسے کوئی پے رول فراہم کنندہ یا ہوسٹنگ کمپنی۔ دفعہ 12 کے تحت ڈیٹا کی حفاظت کے اقدامات کرنے کے لیے کنٹرولر اور پروسیسر مشترکہ طور پر ذمہ دار ہیں۔ آپ کے پروسیسر معاہدوں میں یہ بات درج ہونی چاہیے۔

ہر پروسیسنگ سرگرمی کے لیے قانونی بنیاد

دفعہ 5 واضح رضامندی (açık rıza) کے ساتھ یا دیگر درج شرائط میں سے کسی ایک کے تحت پروسیسنگ کی اجازت دیتی ہے: قانون میں واضح طور پر مقرر کردہ پروسیسنگ، معاہدے کی تکمیل، کنٹرولر کی قانونی ذمہ داری، متعلقہ شخص کا خود عام کردہ ڈیٹا، کسی حق کا قیام یا دفاع، اور کنٹرولر کا جائز مفاد۔ واضح رضامندی مخصوص، باخبر اور آزادانہ ہونی چاہیے۔ جب کوئی دوسری بنیاد موزوں ہو تو یہ سب سے کمزور بنیاد ہے، کیونکہ اسے کسی بھی وقت واپس لیا جا سکتا ہے۔

2024 کی ترامیم کے بعد خصوصی زمرے

یکم جون 2024 سے نافذ قانون نمبر 7499 نے خصوصی زمروں کے ڈیٹا (özel nitelikli kişisel veriler) سے متعلق دفعہ 6 کو ازسرِنو لکھا، جن میں صحت، بایومیٹرک اور جینیاتی ڈیٹا، مذہب، یونین کی رکنیت اور مجرمانہ ریکارڈ شامل ہیں۔ ترمیم سے پہلے بہت سے آجر اس ڈیٹا کے لیے صرف واضح رضامندی پر انحصار کر سکتے تھے۔ نیا متن GDPR کی دفعہ 9 سے قریب تر شرائط کا اضافہ کرتا ہے، جیسے ملازمت، پیشہ ورانہ صحت اور سوشل سیکیورٹی میں قانونی ذمہ داریاں، اور صحت کے مقاصد کے لیے رازداری کے فرض کے پابند افراد کی جانب سے پروسیسنگ۔ خصوصی زمروں کے لیے بورڈ کے اضافی حفاظتی اقدامات بدستور لاگو ہیں۔

رازداری کے نوٹس اور ڈیٹا کی حفاظت

دفعہ 10 کے تحت آپ کو ڈیٹا جمع کرتے وقت افراد کو آگاہ کرنا ضروری ہے: کنٹرولر کون ہے، مقاصد کیا ہیں، ڈیٹا کسے اور کیوں منتقل کیا جاتا ہے، جمع کرنے کا طریقہ اور قانونی بنیاد کیا ہے، اور دفعہ 11 کے تحت ان کے حقوق کیا ہیں۔ دفعہ 12 مناسب تکنیکی اور انتظامی اقدامات کا تقاضا کرتی ہے۔ جن کنٹرولرز پر VERBİS میں رجسٹر ہونا لازم ہے انہیں ذاتی ڈیٹا کو محفوظ رکھنے اور تلف کرنے کی پالیسی بھی رکھنی ہوتی ہے۔

2024 کی ترامیم کے بعد ذاتی ڈیٹا کی بیرونِ ملک منتقلی

2024 کی اصلاحات نے سب سے زیادہ دفعہ 9 کو تبدیل کیا۔ بیرونِ ملک منتقلی کے لیے واضح رضامندی اب عمومی راستہ نہیں رہی۔ ڈھانچہ اب درجہ بدرجہ کام کرتا ہے:

1. کفایت کا فیصلہ: منتقلی اس وقت ممکن ہے جب بورڈ نے متعلقہ ملک، شعبے یا بین الاقوامی تنظیم کے لیے کفایت کا فیصلہ (yeterlilik kararı) جاری کیا ہو، اور دفعہ 5 یا دفعہ 6 کی شرائط میں سے کوئی ایک موجود ہو۔
2. مناسب حفاظتی انتظامات: کفایت کے فیصلے کے بغیر آپ ایسے حفاظتی انتظامات پر انحصار کر سکتے ہیں جیسے بورڈ کے اعلان کردہ معیاری معاہدے، بورڈ کے منظور شدہ لازمی کارپوریٹ قواعد، یا بورڈ کی اجازت یافتہ تحریری یقین دہانی۔
3. اتفاقی منتقلیاں: اگر مذکورہ بالا میں سے کچھ بھی نہ ہو تو استثنیٰ کی ایک محدود فہرست صرف کبھی کبھار ہونے والی، غیر مکرر منتقلیوں پر لاگو ہوتی ہے۔

معیاری معاہدے اسی شکل میں استعمال کرنے ہوتے ہیں جو بورڈ نے شائع کی ہے، اور دفعہ 9(4) کے تحت دستخط کے پانچ کاروباری دنوں کے اندر اتھارٹی کو ان کی اطلاع دینی ہوتی ہے۔ یہ اطلاع نہ دینا بذاتِ خود انتظامی جرمانے کا سبب بن سکتا ہے۔ عملی طور پر گروپ کمپنیوں اور غیر ملکی خدمات فراہم کنندگان کو زیادہ تر منتقلیاں اس وقت معیاری معاہدوں پر چل رہی ہیں، اس لیے جانچ لیں کہ ہر تعلق کے لیے کون سا ماڈیول موزوں ہے۔

VERBİS میں رجسٹریشن اور ڈیٹا کنٹرولرز کی رجسٹری

VERBİS اتھارٹی کی جانب سے رکھی جانے والی آن لائن ڈیٹا کنٹرولرز رجسٹری ہے۔ رجسٹریشن محض رسمی کارروائی نہیں: آپ اپنے پروسیسنگ کے مقاصد، ڈیٹا کے زمرے، وصول کنندگان کے گروہ، ڈیٹا محفوظ رکھنے کی مدتیں، بیرونِ ملک منتقلیاں اور حفاظتی اقدامات کا اعلان کرتے ہیں۔

بورڈ نے بعض کنٹرولرز کو ملازمین کی تعداد، سالانہ بیلنس شیٹ کے مجموعے اور ان کی سرگرمی کی نوعیت کی بنیاد پر رجسٹریشن سے مستثنیٰ کیا ہے۔ یہ حدیں اور زمرے بورڈ کے فیصلوں سے طے ہوتے ہیں اور وقت کے ساتھ بدلتے رہے ہیں، اس لیے خود کو مستثنیٰ سمجھنے سے پہلے اتھارٹی کی ویب سائٹ پر اپنی حیثیت کی تصدیق کریں۔ غیر ملکی کنٹرولر ترکی میں مقیم کسی ڈیٹا کنٹرولر نمائندے (veri sorumlusu temsilcisi) کے ذریعے رجسٹر ہوتا ہے۔

ڈیٹا کی خلاف ورزیاں، متعلقہ افراد کی درخواستیں اور بورڈ

دفعہ 12 کے تحت جب ڈیٹا غیر قانونی طور پر حاصل کر لیا جائے تو کنٹرولر کو جلد از جلد متعلقہ شخص اور بورڈ کو مطلع کرنا ضروری ہے۔ اس بارے میں بورڈ کا فیصلہ، جیسا کہ اس اصول کا عموماً اطلاق کیا جاتا ہے، بورڈ کو اطلاع دینے کے لیے خلاف ورزی کا علم ہونے سے 72 گھنٹے مقرر کرتا ہے۔ متاثرہ افراد کو مناسب وقت کے اندر آگاہ کیا جانا چاہیے۔

افراد کنٹرولر کو درخواست دے کر دفعہ 11 کے تحت اپنے حقوق استعمال کر سکتے ہیں۔ دفعہ 13 آپ کو جواب دینے کے لیے زیادہ سے زیادہ 30 دن دیتی ہے، اور اصولاً اس کے لیے کوئی فیس نہیں لی جاتی۔ اگر جواب سے انکار کیا جائے، یا جواب ناکافی یا تاخیر سے ہو، تو متعلقہ شخص بورڈ میں شکایت کر سکتا ہے۔

دفعہ 18 نوٹس، حفاظت، رجسٹری اور منتقلی کی اطلاع کی ذمہ داریوں کی خلاف ورزی اور بورڈ کے فیصلوں پر عمل نہ کرنے پر انتظامی جرمانے مقرر کرتی ہے۔ رقوم ہر سال ازسرِنو مقرر کی جاتی ہیں، اس لیے خطرے کا اندازہ لگاتے وقت موجودہ اعداد و شمار دیکھیں۔ 2024 کی ترمیم کے بعد سے بورڈ کے جرمانوں کو انتظامی عدالتوں میں، عموماً اطلاع کے 60 دن کے اندر، چیلنج کیا جاتا ہے۔ بعض غیر قانونی پروسیسنگ ترک ضابطۂ فوجداری کے تحت جرم بھی ہے۔

KVKK اور GDPR: اہم فرق

GDPR پروگرام آغاز کے لیے ایک اچھی بنیاد ہے۔ پھر بھی اسے ترکی زبان کے نوٹس، VERBİS، ترک منتقلی کے ذرائع اور ترک قانون کے مطابق ڈیٹا محفوظ رکھنے کی مدتوں کی ضرورت ہوتی ہے۔

KVKK تعمیلی پروگرام کی تشکیل، مرحلہ وار

1. آغاز اور دائرۂ کار کا تعین: ہم دائرے میں آنے والے اداروں، شعبوں، نظاموں اور ڈیٹا کے بہاؤ کی نشاندہی کرتے ہیں۔
2. ڈیٹا کی فہرست سازی: ہر پروسیسنگ سرگرمی، اس کی قانونی بنیاد اور ڈیٹا محفوظ رکھنے کی مدت کا نقشہ بنانے کے لیے HR، سیلز، مارکیٹنگ، IT اور فنانس کے ساتھ انٹرویوز اور سوالنامے۔
3. خلا تجزیہ کی رپورٹ: خلا کی ایک تحریری فہرست، خطرے کے لحاظ سے درجہ بند، اور ہر ایک کا حل۔
4. دستاویزات: رازداری کے نوٹس، جہاں رضامندی واقعی ضروری ہو وہاں رضامندی کی تحریریں، ڈیٹا محفوظ رکھنے اور تلف کرنے کی پالیسی، پروسیسر معاہدے اور منتقلی کے معاہدے۔
5. رجسٹریشن اور اطلاعات: VERBİS میں اندراجات، اور معیاری معاہدوں کی اتھارٹی کو اطلاع۔
6. خلاف ورزی اور درخواستوں کے طریقۂ کار: خلاف ورزیوں اور متعلقہ افراد کی درخواستوں کے لیے داخلی طریقۂ کار، اور انہیں استعمال کرنے والے افراد کی تربیت۔

واضح ڈھانچے والی چھوٹی یا درمیانے درجے کی کمپنی کے لیے پہلے پانچ مراحل میں عموماً تقریباً چار سے دس ہفتے لگتے ہیں۔ کئی اداروں اور بہت سے غیر ملکی فراہم کنندگان والے گروپ میں زیادہ وقت لگ سکتا ہے۔ ہماری KVKK تعمیل کی قانونی چیک لسٹ انہی نکات کو مختصر انداز میں بیان کرتی ہے۔

ہم کون سی دستاویزات اور معلومات طلب کرتے ہیں

• کمپنی کی دستاویزات، تنظیمی چارٹ اور گروپ کمپنیوں کی فہرست۔
• موجودہ رازداری کے نوٹس، رضامندی کے فارم، ویب سائٹ اور کوکی کی تحریریں، اور آپ کی رازداری کی پالیسی۔
• ملازمت کے معاہدے، HR فارم اور کسی بھی CCTV، رسائی کنٹرول یا نگرانی کا انتظام۔
• ذاتی ڈیٹا سے متعلق خدمات فراہم کنندگان کے ساتھ معاہدے، بشمول کلاؤڈ اور IT فراہم کنندگان۔
• ڈیٹا کہاں محفوظ کیا جاتا ہے اور کن ممالک تک جاتا ہے۔
• آپ کی IT سیکیورٹی پالیسیاں اور ماضی کے کوئی واقعات یا شکایات۔

اگر آپ اپنی رازداری کی پالیسی شروع سے لکھ رہے ہیں تو آپ کی کمپنی کی رازداری کی پالیسی میں کیا شامل ہونا چاہیے سے متعلق ہماری رہنمائی پہلے پڑھنا مفید ہے۔

ہماری لا فرم کیا کرتی ہے

• جائزہ: KVKK کا خلا تجزیہ، ڈیٹا کی فہرست سازی اور تحریری خطرہ رپورٹ۔
• مسودہ سازی: رازداری کے نوٹس (aydınlatma metinleri)، واضح رضامندی کی تحریریں، ڈیٹا محفوظ رکھنے اور تلف کرنے کی پالیسیاں، پروسیسر معاہدے، ڈیٹا منتقلی کے معاہدے اور داخلی طریقۂ کار۔
• اندراج: VERBİS میں رجسٹریشن اور اپ ڈیٹس، اور اتھارٹی کو معیاری معاہدوں کی اطلاع۔
• خلاف ورزی پر ردِعمل: واقعے کا جائزہ، بورڈ کو اطلاع اور متاثرہ افراد کے لیے پیغام۔
• نمائندگی: بورڈ کے استفسارات اور شکایات کے جوابات، اور بورڈ کے فیصلوں اور جرمانوں کے خلاف انتظامی عدالتوں میں مقدمات۔
• پیروی: قانون، بورڈ کے فیصلوں یا آپ کی پروسیسنگ میں تبدیلی کی صورت میں اپ ڈیٹس۔

بیرونِ ملک موکلین کو سفر کی ضرورت نہیں۔ ہم دور سے کام کرتے ہیں اور، جہاں درخواستوں یا عدالتی کام کے لیے ضروری ہو، کسی ترک نوٹری یا قونصل خانے کے سامنے، یا بیرونِ ملک اپوسٹیل کے ساتھ دستخط شدہ مختار نامے کے ذریعے۔ آپ کی کمپنی سے متعلق دیگر کام ہماری آئی ٹی قانون اور تجارتی قانون کی خدمات کے تحت آتا ہے۔ اپنی صورتحال پر بات کرنے کے لیے ہمارے دفتر سے رابطہ کریں۔

KVKK کی تعمیل میں عام غلطیاں

• ہر چیز کے لیے رضامندی مانگنا۔ اگر پروسیسنگ کسی معاہدے یا قانونی ذمہ داری پر مبنی ہو تو اس کے ساتھ رضامندی بھی مانگنا الجھن پیدا کرتا ہے اور رضامندی واپس لیے جانے پر مسئلہ بن جاتا ہے۔ ہر سرگرمی کے لیے درست بنیاد منتخب کریں۔
• نوٹس اور رضامندی کو یکجا کرنا۔ بورڈ توقع کرتا ہے کہ یہ الگ الگ ہوں۔ "میں نے پڑھ لیا ہے اور قبول کرتا ہوں" کا ایک ہی خانہ عموماً دونوں تقاضوں پر پورا نہیں اترتا۔
• GDPR کی تحریریں نقل کرنا۔ یورپی یونین کے نوٹس کا ترجمہ اکثر دفعہ 10 کے نکات سے رہ جاتا ہے یا GDPR کی ایسی بنیادوں کا حوالہ دیتا ہے جو KVKK میں موجود نہیں۔
• پانچ دن کی اطلاع بھول جانا۔ معیاری معاہدے پر دستخط کر کے اسے فائل میں رکھ دینا منتقلی کو خطرے میں چھوڑ دیتا ہے۔
• خلاف ورزی کا کوئی منصوبہ نہ ہونا۔ ہمارے تجربے میں سب سے زیادہ دباؤ والی خلاف ورزی کی فائلیں وہ ہوتی ہیں جن میں کسی کو معلوم نہیں ہوتا کہ اطلاع کا فیصلہ کون کرے گا، اور لوگ پالیسی ڈھونڈتے رہتے ہیں جبکہ 72 گھنٹے گزر جاتے ہیں۔

کمپنیوں کو درپیش خطرات کے بارے میں مزید جاننے کے لیے کمپنیوں کے لیے ڈیٹا کی رازداری کی ذمہ داریاں، ڈیٹا کی خلاف ورزیوں سے قانونی طور پر نمٹنا اور ترکی کے KVKK کے اہم نکات سے متعلق ہمارے مضامین دیکھیں۔

اکثر پوچھے جانے والے سوالات

کیا KVKK کسی ایسی غیر ملکی کمپنی پر لاگو ہوتا ہے جس کا ترکی میں کوئی دفتر نہیں؟

ہو سکتا ہے۔ KVKK میں کوئی واضح علاقائی شق نہیں، لیکن بورڈ عملی طور پر اسے ان غیر ملکی کنٹرولرز پر لاگو کرتا ہے جو ترکی میں موجود افراد کا ڈیٹا پروسیس کرتے ہیں، مثلاً ترک گاہکوں کو آن لائن فروخت کے ذریعے۔ رجسٹریشن کے قواعد بھی غیر ملکی کنٹرولرز کے لیے ترکی میں کسی نمائندے کے ذریعے رجسٹر ہونے کا انتظام کرتے ہیں۔

کیا GDPR کی تعمیل KVKK کے لیے کافی ہے؟

اکیلے نہیں۔ یہ بنیادی مواد کا بڑا حصہ پورا کرتی ہے، لیکن KVKK میں نوٹس کا اپنا مواد، VERBİS رجسٹری، اطلاع کی ذمہ داری کے ساتھ ترک منتقلی کے ذرائع ہیں، اور ڈیٹا کی منتقلی پذیری کا کوئی حق نہیں۔ صفر سے آغاز کے بجائے موجودہ نظام میں تبدیلی کی توقع رکھیں۔

کیا بیرونِ ملک اپنی پیرنٹ کمپنی کو ڈیٹا بھیجنے کے لیے ہمیں واضح رضامندی درکار ہے؟

2024 کی ترامیم کے بعد سے عموماً نہیں۔ بیرونِ ملک منتقلیاں اب کفایت کے فیصلے یا مناسب حفاظتی انتظامات، جیسے بورڈ کے معیاری معاہدوں، پر مبنی ہوتی ہیں، جن کی اطلاع پانچ کاروباری دنوں کے اندر اتھارٹی کو دینی ہوتی ہے۔ رضامندی اب صرف کبھی کبھار ہونے والی منتقلیوں کے محدود استثنیٰ میں شامل ہے۔

کیا ہر کمپنی پر VERBİS میں رجسٹر ہونا لازم ہے؟

نہیں۔ بورڈ نے بعض کنٹرولرز کو ملازمین کی تعداد، سالانہ بیلنس شیٹ کے مجموعے اور سرگرمی کی نوعیت کی بنیاد پر مستثنیٰ کیا ہے۔ معیارات بورڈ کے فیصلوں سے طے ہوتے ہیں اور بدل سکتے ہیں، اس لیے اتھارٹی کی ویب سائٹ پر موجودہ فیصلہ دیکھیں۔

ہمیں ڈیٹا کی خلاف ورزی کی اطلاع کتنی جلدی دینی ہوگی؟

KVKK "جلد از جلد" کہتا ہے۔ بورڈ کے فیصلے کے تحت بورڈ کو عموماً خلاف ورزی کا علم ہونے کے 72 گھنٹے کے اندر، اور متاثرہ افراد کو اس کے بعد مناسب وقت کے اندر مطلع کیا جانا چاہیے۔

متعلقہ شخص کی درخواست کا جواب دینے کے لیے ہمارے پاس کتنا وقت ہے؟

دفعہ 13 وصولی سے زیادہ سے زیادہ 30 دن مقرر کرتی ہے، اور جواب کے لیے اصولاً کوئی فیس نہیں لی جاتی۔ انکار، نامکمل یا تاخیر سے دیا گیا جواب بورڈ میں شکایت کا سبب بن سکتا ہے۔

کیا KVKK کے جرمانے کو چیلنج کیا جا سکتا ہے؟

جی ہاں۔ 2024 کی ترمیم کے بعد سے بورڈ کی طرف سے عائد کردہ انتظامی جرمانوں کو انتظامی عدالتوں میں، عموماً اطلاع کے 60 دن کے اندر، چیلنج کیا جاتا ہے۔ دفعہ 18 کے تحت جرمانے کی رقوم ہر سال ازسرِنو مقرر کی جاتی ہیں۔

کیا ہمیں ترکی میں ڈیٹا پروٹیکشن آفیسر کی ضرورت ہے؟

KVKK میں GDPR طرز کے DPO کی شرط نہیں۔ VERBİS میں رجسٹر ہونے والے کنٹرولرز ایک رابطہ شخص نامزد کرتے ہیں، اور غیر ملکی کنٹرولرز ترکی میں ایک ڈیٹا کنٹرولر نمائندہ مقرر کرتے ہیں۔