伊斯坦布尔数据保护（KVKK）律师（土耳其）

本页面向在土耳其的公司，以及处理在土耳其境内人员数据的外国公司。作为土耳其数据保护律师，我们开展 KVKK 差距分析，起草隐私告知、同意文本和保存政策，处理跨境传输、VERBİS 登记和数据泄露事务，并在个人数据保护机构和法院代理客户。

土耳其的数据保护法律是第6698号《个人数据保护法》，简称 KVKK。乍看之下，它与欧盟《通用数据保护条例》（GDPR）相似。但细节有所不同，而大多数合规差距恰恰就存在于这些不同之处。

什么情况下需要土耳其 KVKK 合规律师？

我们处理的案件通常始于以下情形之一：

• 您正在土耳其设立或收购企业，需要从第一天起就合法处理员工、客户和供应商的数据，或者希望了解在股权交易中会承接哪些问题。
• 您是拥有土耳其用户或客户的外国公司，例如电商网站、应用程序或 SaaS 服务提供商，但不确定 KVKK 是否适用于您。
• 您的集团已经遵循 GDPR，并认为同样的文件在土耳其也能适用。有些可以，但有好几份不行。
• 您向境外传输数据，例如传输给母公司、云服务提供商或托管在土耳其境外的客户关系管理系统，需要使这些传输符合2024年的规则。
• 出现了问题：发生数据泄露、收到客户或员工的投诉，或者收到个人数据保护机构（Kişisel Verileri Koruma Kurumu）的函件。

KVKK 没有类似 GDPR 第3条那样明确的地域适用条款。但在实践中，个人数据保护委员会将处理土耳其境内人员数据的外国数据控制者视为在其管辖范围之内，而登记规则也规定外国数据控制者通过其在土耳其的代表进行登记。

KVKK 对公司有哪些要求？

数据控制者与数据处理者

数据控制者（veri sorumlusu）决定个人数据处理的目的和方式，并承担大部分义务。数据处理者（veri işleyen）代表数据控制者处理数据，例如薪资服务提供商或托管公司。根据第12条，数据控制者与数据处理者对采取数据安全措施承担连带责任。您与数据处理者签订的合同应当写明这一点。

每项处理活动都需要法律依据

第5条允许基于明示同意（açık rıza）或其他所列条件之一进行处理：法律明确规定的处理、合同的履行、数据控制者的法定义务、当事人自行公开的数据、权利的确立或维护，以及数据控制者的正当利益。明示同意必须针对特定事项、在知情的情况下自由作出。当有其他依据适用时，同意是最薄弱的依据，因为它可以随时撤回。

2024年修法后的特殊类别数据

自2024年6月1日起施行的第7499号法律改写了关于特殊类别数据（özel nitelikli kişisel veriler）的第6条，特殊类别数据包括健康、生物识别和基因数据、宗教信仰、工会会员身份以及犯罪记录。修法之前，许多雇主对这类数据只能依赖明示同意。新文本增加了更接近 GDPR 第9条的条件，例如在雇佣、职业健康和社会保障方面的法定义务，以及负有保密义务的人员出于健康目的进行的处理。委员会针对特殊类别数据规定的附加安全措施仍然适用。

隐私告知与数据安全

第10条要求您在收集数据时告知当事人：数据控制者是谁、处理目的、数据传输给谁以及传输原因、收集的方式和法律依据，以及其根据第11条享有的权利。第12条要求采取适当的技术和管理措施。有义务在 VERBİS 登记的数据控制者，还必须制定个人数据保存与销毁政策。

2024年修法后的个人数据跨境传输

2024年的改革对第9条的改动最大。明示同意不再是向境外传输数据的一般途径。现在的结构分为以下几个层次：

1. 充分性决定：如果委员会已就某一国家、行业或国际组织作出充分性决定（yeterlilik kararı），并且存在第5条或第6条规定的条件之一，即可进行传输。
2. 适当保障措施：在没有充分性决定的情况下，可以依赖委员会公布的标准合同、经委员会批准的有约束力的公司规则，或经委员会许可的书面承诺等保障措施。
3. 偶发性传输：如果上述两者均不具备，一份有限的例外清单仅适用于偶发的、非重复性的传输。

标准合同必须按照委员会公布的格式使用，并且根据第9条第4款，须在签署后五个工作日内通知个人数据保护机构。未履行该通知义务本身就可能导致行政罚款。在实践中，目前向集团公司和外国服务提供商的大多数传输都以标准合同为基础，因此应核查每一项关系适用哪个模块。

VERBİS 登记与数据控制者登记簿

VERBİS 是个人数据保护机构维护的在线数据控制者登记簿。登记并非走过场：您需要申报处理目的、数据类别、接收方群体、保存期限、境外传输以及安全措施。

委员会已根据员工人数、年度资产负债表总额以及业务性质，豁免了部分数据控制者的登记义务。这些门槛和类别由委员会决定设定，并且曾多次变化，因此在认定自己可以豁免之前，请在个人数据保护机构网站上确认您的情况。外国数据控制者通过居住在土耳其的数据控制者代表（veri sorumlusu temsilcisi）进行登记。

数据泄露、数据主体请求与委员会

根据第12条，当数据被非法获取时，数据控制者必须尽快通知相关当事人和委员会。按照该规则的一般适用方式，委员会就此作出的决定规定，应在知悉泄露后72小时内通知委员会。受影响的人员应在合理时间内得到通知。

个人可以通过向数据控制者提出申请来行使其第11条规定的权利。第13条规定您最迟须在30天内答复，原则上不收取费用。如果答复被拒绝、不充分或逾期，当事人可以向委员会投诉。

第18条对违反告知、安全、登记和传输通知义务以及不遵守委员会决定的行为规定了行政罚款。罚款金额每年重新调整，因此在评估风险敞口时请核查现行数额。自2024年修法以来，对委员会罚款的异议向行政法院提出，一般须在通知后60天内提起。某些非法处理行为还构成《土耳其刑法典》规定的犯罪。

KVKK 与 GDPR：重要的差异

GDPR 合规方案是一个很好的起点。但它仍然需要配备土耳其语告知文本、VERBİS 登记、土耳其的传输工具以及土耳其的保存期限。

逐步建立 KVKK 合规方案

1. 启动与范围界定：我们确定纳入范围的实体、部门、系统和数据流。
2. 数据盘点：与人力资源、销售、市场、IT 和财务部门进行访谈并发放问卷，梳理每项处理活动、其法律依据及保存期限。
3. 差距分析报告：一份按风险排序的书面差距清单，并附每项差距的整改措施。
4. 文件：隐私告知、确有必要时的同意文本、保存与销毁政策、数据处理协议以及传输合同。
5. 登记与通知：VERBİS 登记事项，以及向个人数据保护机构通知标准合同。
6. 泄露与请求处理程序：针对数据泄露和数据主体请求的内部程序，并对将使用这些程序的人员进行培训。

对于结构清晰的中小型公司，前五个步骤通常需要大约四到十周。拥有多个实体和众多外国供应商的集团可能需要更长时间。我们的KVKK 合规法律清单以更简短的形式涵盖了相同的内容。

我们需要的文件和信息

• 公司文件、组织架构图以及集团公司名单。
• 现行的隐私告知、同意表格、网站和 Cookie 文本，以及您的隐私政策。
• 劳动合同、人力资源表格，以及任何闭路电视、门禁或监控设置。
• 与涉及个人数据的服务提供商签订的合同，包括云服务和 IT 供应商。
• 数据存储在哪里，以及数据会传输到哪些国家。
• 您的 IT 安全政策以及过去发生过的任何事件或投诉。

如果您要从零开始撰写隐私政策，我们关于公司隐私政策应包含哪些内容的指南是一份有用的入门读物。

本所的工作内容

• 评估：KVKK 差距分析、数据盘点以及书面风险报告。
• 起草：隐私告知（aydınlatma metinleri）、明示同意文本、保存与销毁政策、数据处理协议、数据传输协议以及内部程序。
• 申报：VERBİS 登记及更新，以及向个人数据保护机构通知标准合同。
• 泄露应对：评估事件、向委员会发出通知，以及向受影响人员发送告知信息。
• 代理：答复委员会的询问和投诉，以及在行政法院针对委员会决定和罚款提起诉讼。
• 后续跟进：在法律、委员会决定或您的处理活动发生变化时进行更新。

身在国外的客户无需前往土耳其。我们远程开展工作；在申报或法院事务需要时，凭在土耳其公证人或领事馆签署、或在国外签署并附海牙认证的授权委托书办理。中文客户由办公室内以中文为母语的顾问提供服务。贵公司的相关事务属于我们的 IT 法和商法服务范围。如需讨论您的情况，请联系本所。

KVKK 合规中的常见错误

• 对所有事项都征求同意。如果处理以合同或法定义务为依据，再额外征求同意会造成混乱，并在同意被撤回时产生问题。应为每项活动选择正确的依据。
• 将告知与同意合并。委员会要求两者分开。一个“我已阅读并接受”的勾选框通常两方面都不合格。
• 照搬 GDPR 文本。翻译过来的欧盟告知文本往往遗漏第10条要求的事项，或者援引了 KVKK 中并不存在的 GDPR 依据。
• 忘记五日内通知。签署标准合同后将其束之高阁，会使该传输处于风险之中。
• 没有泄露应对预案。在我们的执业中，压力最大的泄露案件，往往是无人知道由谁决定是否通知的案件，结果在大家寻找相关政策时，72小时就已经过去了。

关于企业风险的更多内容，请参阅我们关于公司的数据隐私义务与责任、依法处理数据泄露以及土耳其 KVKK 要点的文章。

常见问题

KVKK 适用于在土耳其没有办事处的外国公司吗？

可能适用。KVKK 没有明确的地域适用条款，但委员会在实践中将其适用于处理土耳其境内人员数据的外国数据控制者，例如在线向土耳其客户销售商品的公司。登记规则也规定外国数据控制者通过其在土耳其的代表进行登记。

符合 GDPR 就足以满足 KVKK 的要求吗？

仅此并不足够。GDPR 合规涵盖了大部分实质内容，但 KVKK 有其自己的告知内容要求、VERBİS 登记簿、附带通知义务的土耳其传输工具，而且没有数据可携带权。应当做好调整的准备，而不是从零开始。

向境外母公司传输数据需要明示同意吗？

自2024年修法以来，一般不需要。现在向境外传输数据依赖充分性决定或适当的保障措施，例如委员会的标准合同，而标准合同须在五个工作日内通知个人数据保护机构。同意仅保留在针对偶发性传输的有限例外之中。

每家公司都必须在 VERBİS 登记吗？

不是。委员会已根据员工人数、年度资产负债表总额和业务类型，豁免了部分数据控制者。相关标准由委员会决定设定并可能变化，因此请在个人数据保护机构网站上查阅现行决定。

我们必须在多长时间内报告数据泄露？

KVKK 规定为“尽快”。根据委员会的决定，一般应在知悉泄露后72小时内通知委员会，并在此后的合理时间内通知受影响的人员。

我们必须在多长时间内答复数据主体请求？

第13条规定自收到请求之日起最长30天，答复原则上不收取费用。拒绝答复、答复不完整或逾期答复，可能导致当事人向委员会投诉。

可以对 KVKK 罚款提出异议吗？

可以。自2024年修法以来，对委员会作出的行政罚款，向行政法院提出异议，一般须在通知后60天内提起。第18条规定的罚款金额每年重新调整。

在土耳其需要设立数据保护官吗？

KVKK 不要求设立 GDPR 意义上的数据保护官。在 VERBİS 登记的数据控制者须指定一名联络人，外国数据控制者则须在土耳其指定数据控制者代表。