ما هي الفئات الخاصة من البيانات الشخصية بموجب قانون KVKK؟

تشمل الفئات الخاصة المعلومات المتعلقة بالصحة والحياة الجنسية والرأي السياسي والدين والأصل العرقي والإدانات الجنائية والبيانات البيومترية والبيانات الجينية وغيرها من الفئات المحددة في المادة 6.

هل تغيّر قانون KVKK في عام 2024؟

نعم. دخلت تعديلات جوهرية على المواد 6 و9 و18 حيز النفاذ في عام 2024، بما في ذلك تغييرات على معالجة بيانات الفئات الخاصة وإطار النقل الدولي.

ما الذي تغيّر بالنسبة لعمليات النقل الدولي؟

أدخلت المادة 9 المعدّلة إطارًا يشمل قرارات الكفاية، والضمانات المناسبة مثل العقود النموذجية وقواعد الشركات الملزمة، وآليات نقل استثنائية محدودة.

ما هو نظام VERBİS؟

VERBİS هو نظام معلومات سجل مسؤولي البيانات في تركيا. ويستخدمه مسؤولو البيانات الخاضعون لالتزام التسجيل لتسجيل المعلومات المتعلقة بأنشطة معالجة البيانات لديهم.

هل يُلزم كل شركة بالتسجيل في نظام VERBİS؟

ليس بالضرورة. يجيز القانون لمجلس KVKK وضع إعفاءات بناءً على معايير موضوعية، وقد اعتمد المجلس إعفاءات محددة. وينبغي للمؤسسات تقييم ظروفها الحالية بدلًا من افتراض أن كل مسؤول بيانات يخضع لالتزام التسجيل ذاته.

ما المدة المتاحة للشركة للرد على طلب بيانات بموجب قانون KVKK؟

يجب على مسؤول البيانات عمومًا الرد خلال 30 يومًا كحد أقصى، مع مراعاة القواعد المعمول بها.

ما هو الموعد النهائي للإخطار بخرق البيانات بموجب قانون KVKK؟

يشترط القانون الإخطار خلال «أقصر وقت». وقد فسّر مجلس KVKK ذلك بأنه في موعد لا يتجاوز 72 ساعة من العلم بالخرق.

من ينظّم قانون KVKK؟

تتولى هيئة حماية البيانات الشخصية ومجلس حماية البيانات الشخصية الإشراف على إطار KVKK وإنفاذه.

هل يسري قانون KVKK على الشركات الدولية؟

ربما نعم. ينبغي للمؤسسات الواقعة خارج تركيا تقييم ما إذا كانت أنشطة المعالجة لديها تقع ضمن نطاق قانون KVKK، وما إذا كانت عليها التزامات تتعلق بأصحاب البيانات الأتراك أو الممثلين أو نظام VERBİS أو عمليات النقل الدولي.

تركيا

KVKK

Q: هل يشترط قانون KVKK الحصول على موافقة صريحة؟

يشترط قانون KVKK الحصول على موافقة صريحة ما لم ينطبق شرط معالجة قانوني آخر. وتنص المادة 5 على عدة حالات يجوز فيها معالجة البيانات الشخصية دون موافقة صريحة.

Q: ما هي الموافقة الصريحة بموجب قانون KVKK؟

يجب أن تكون الموافقة الصريحة حرة ومحددة ومستنيرة.

قانون KVKK التركي – قانون حماية البيانات الشخصية (القانون رقم 6698)

يُعدّ قانون حماية البيانات الشخصية رقم 6698 في تركيا، المعروف عمومًا باسم KVKK (Kişisel Verilerin Korunması Kanunu)، القانون الرئيسي لحماية البيانات في تركيا. وهو ينظّم جمع البيانات الشخصية واستخدامها وتخزينها والإفصاح عنها ونقلها وسائر أشكال معالجتها، ويحدد الالتزامات المفروضة على مسؤولي البيانات ومعالجي البيانات.

صدر قانون KVKK في 24 مارس 2016 ونُشر في الجريدة الرسمية في 7 أبريل 2016. ومنذ ذلك الحين عُدّل الإطار، بما في ذلك تعديلات جوهرية دخلت حيز النفاذ في 2024، لا سيما فيما يتعلق بالفئات الخاصة من البيانات الشخصية وعمليات نقل البيانات الدولية.

بالنسبة للشركات التي تشغّل مواقع إلكترونية أو تطبيقات للهاتف المحمول أو منصات SaaS أو خدمات تجارة إلكترونية أو منتجات رقمية أخرى في تركيا، قد يشمل الامتثال لقانون KVKK إدارة الموافقة، وإشعارات الخصوصية، وتقييمات شروط المعالجة، وضوابط الأمن، ومعالجة طلبات أصحاب البيانات، والتزامات VERBİS، وضمانات النقل الدولي.

باختصار

KVKK هو الإطار الرئيسي لحماية البيانات الشخصية في تركيا.

وهو ينظّم كيفية معالجة البيانات الشخصية المتعلقة بأفراد محددين أو قابلين للتحديد، ويضع متطلبات تتعلق بما يلي:

المعالجة المشروعة والعادلة
الموافقة الصريحة
الشفافية وإشعارات الخصوصية
معالجة الفئات الخاصة من البيانات الشخصية
تقليل البيانات والتناسب
أمن البيانات
حقوق أصحاب البيانات
عمليات نقل البيانات المحلية والدولية
الاحتفاظ بالبيانات وحذفها
الإخطار بخروقات البيانات
سجل مسؤولي البيانات (VERBİS)
الجزاءات الإدارية والرقابة التنظيمية

والأهم من ذلك أن الموافقة الصريحة ليست مطلوبة لكل نشاط معالجة. إذ تنص المادة 5 على عدة حالات يجوز فيها معالجة البيانات الشخصية دون موافقة صريحة، بما في ذلك حالات معينة قانونية وتعاقدية وتتعلق بالمصالح الحيوية وحماية الحقوق والمصالح المشروعة.

قانون KVKK في لمحة

المتطلب	KVKK
الدولة	تركيا
الاسم الكامل	قانون حماية البيانات الشخصية رقم 6698
الاسم الشائع	KVKK
تاريخ الإصدار	24 مارس 2016
تاريخ النشر	7 أبريل 2016
الجهة التنظيمية الرئيسية	هيئة حماية البيانات الشخصية (KVKK)
الهيئة التنظيمية الأساسية	مجلس حماية البيانات الشخصية
الموافقة الصريحة	مطلوبة حيث لا ينطبق أي شرط معالجة قانوني آخر
بيانات الفئات الخاصة	تخضع لشروط معالجة إضافية
إشعار الخصوصية	مطلوب
حقوق أصحاب البيانات	نعم
أمن البيانات	مطلوب
الإخطار بالخروقات	مطلوب؛ ويفسّر المجلس «أقصر وقت» بأنه لا يتجاوز 72 ساعة
VERBİS	مطلوب لمسؤولي البيانات الخاضعين لالتزام التسجيل
عمليات النقل الدولي	منظّمة بموجب المادة 9 المعدّلة
الرد على طلبات الأفراد	خلال 30 يومًا عمومًا
الحالة	ساري المفعول

يعرّف إطار KVKK الحالي الموافقة الصريحة بأنها موافقة حرة ومحددة ومستنيرة، ويضع عدة شروط للمعالجة تعمل بشكل مستقل عن الموافقة.

ما هو قانون KVKK؟

قانون حماية البيانات الشخصية رقم 6698 هو القانون الشامل لحماية البيانات الشخصية في تركيا.

يهدف إلى حماية الحقوق والحريات الأساسية، ولا سيما الحق في الخصوصية، مع وضع المبادئ والالتزامات المطبقة على الأشخاص والمؤسسات التي تعالج البيانات الشخصية.

يسري القانون على المعالجة التي تتم كليًا أو جزئيًا بوسائل آلية، وعلى بعض المعالجة غير الآلية التي تشكّل جزءًا من نظام حفظ البيانات.

يحدد قانون KVKK الأدوار القانونية التالية:

مسؤول البيانات (Veri Sorumlusu) – يحدد أغراض المعالجة ووسائلها.
معالج البيانات (Veri İşleyen) – يعالج البيانات الشخصية نيابةً عن مسؤول البيانات.
صاحب البيانات – الفرد الذي تُعالَج بياناته الشخصية.
مجلس حماية البيانات الشخصية – الجهة التنظيمية المختصة باتخاذ القرار.
هيئة حماية البيانات الشخصية – السلطة المؤسسية الداعمة للإطار التنظيمي.

المنطقة

تركيا

الحالة

ساري المفعول منذ 2016

المجموعة

آسيا وأفريقيا

من يجب عليه الامتثال لقانون KVKK؟

يسري قانون KVKK على المؤسسات والأفراد الذين يقعون ضمن نطاقه ويعالجون بيانات شخصية يشملها القانون.

وقد يشمل ذلك:

الشركات التركية
أصحاب العمل
شركات التجارة الإلكترونية
البنوك والمؤسسات المالية
مؤسسات الرعاية الصحية
المؤسسات التعليمية
شركات التكنولوجيا
مزودو خدمات SaaS
شركات الإعلان والتسويق
شركات الاتصالات
الأسواق الإلكترونية
تطبيقات الهاتف المحمول
المواقع الإلكترونية والمنصات الرقمية
المؤسسات العامة
المؤسسات التي تعالج بيانات الموظفين
المؤسسات التي تستخدم قواعد بيانات العملاء أو العملاء المحتملين

قد تقع على المؤسسات القائمة خارج تركيا أيضًا التزامات بموجب قانون KVKK تبعًا لأنشطة المعالجة لديها وعلاقتها بأصحاب البيانات الأتراك.

يعرّف القانون البيانات الشخصية تعريفًا واسعًا بأنها المعلومات المتعلقة بشخص طبيعي محدد أو قابل للتحديد.

ما البيانات التي يحميها قانون KVKK؟

يشمل قانون KVKK البيانات الشخصية المتعلقة بفرد محدد أو قابل للتحديد.

ومن الأمثلة على ذلك:

الاسم
عنوان البريد الإلكتروني
رقم الهاتف
العنوان البريدي
معلومات الهوية
معلومات حساب العميل
معلومات الموظفين
عناوين IP حيثما تشكّل بيانات شخصية
المعرّفات الإلكترونية
معلومات الموقع
معلومات المعاملات
المعلومات المتعلقة بالأجهزة
معلومات المصادقة
سجلات العملاء
ملفات التعريف التسويقية
بعض معلومات ملفات تعريف الارتباط والتتبع

يتوقف ما إذا كان معرّف تقني معين يشكّل بيانات شخصية على ما إذا كان يتعلق بشخص طبيعي محدد أو قابل للتحديد.

كما يضع قانون KVKK متطلبات إضافية تخص الفئات الخاصة من البيانات الشخصية.

مبادئ المعالجة في قانون KVKK

تحدد المادة 4 المبادئ الأساسية لمعالجة البيانات الشخصية.

يجب معالجة البيانات الشخصية وفقًا للقانون والمبادئ القانونية ذات الصلة، بما في ذلك:

المشروعية والعدالة

يجب أن تمتثل المعالجة للمتطلبات القانونية المعمول بها وأن تتم بإنصاف.

الدقة

ينبغي أن تكون البيانات الشخصية دقيقة وأن تُحدَّث عند الضرورة.

تحديد الغرض

ينبغي معالجة البيانات لأغراض محددة وصريحة ومشروعة.

تقليل البيانات

ينبغي أن تكون البيانات الشخصية ذات صلة ومحدودة ومتناسبة مع الأغراض التي تُعالَج من أجلها.

تقييد مدة التخزين

ينبغي الاحتفاظ بالبيانات للمدة التي تقتضيها التشريعات المعمول بها أو للأغراض التي تُعالَج البيانات من أجلها.

ينبغي مراعاة هذه المبادئ عبر دورة حياة البيانات بأكملها، بدءًا من الجمع والموافقة ومرورًا بالتخزين والاستخدام والمشاركة وانتهاءً بالحذف.

هل يشترط قانون KVKK الحصول على موافقة صريحة؟

أحيانًا.

كثيرًا ما يوصف قانون KVKK بأنه قانون خصوصية قائم على الموافقة، لكن هذا الوصف غير مكتمل.

تنص المادة 5 على أنه لا يجوز معالجة البيانات الشخصية دون موافقة صريحة ما لم ينطبق أحد الشروط القانونية التي تسمح بالمعالجة دون موافقة.

يجوز معالجة البيانات الشخصية دون موافقة صريحة في حالات تشمل:

المعالجة المنصوص عليها صراحةً في القانون
حماية الحياة أو السلامة الجسدية في حالات محددة
المعالجة اللازمة لإبرام عقد أو تنفيذه
الامتثال لالتزام قانوني
البيانات التي أعلنها صاحب البيانات
إثبات حق قانوني أو ممارسته أو حمايته
المصالح المشروعة لمسؤول البيانات، شريطة ألا تنتهك الحقوق والحريات الأساسية لصاحب البيانات

لذلك، ينبغي للمؤسسات تحديد شرط المعالجة المناسب بموجب KVKK لكل نشاط معالجة بدلًا من طلب الموافقة لكل نوع من أنواع معالجة البيانات الشخصية.

ما هي الموافقة الصريحة بموجب قانون KVKK؟

يعرّف قانون KVKK الموافقة الصريحة بأنها الموافقة التي تكون:

حرة
محددة
مستنيرة

لذلك ينبغي أن تمثّل الموافقة تعبيرًا إيجابيًا وذا معنى عن رغبات صاحب البيانات.

ينبغي أن تتجنب إدارة الموافقة ما يلي:

خيارات الموافقة المحددة مسبقًا
الموافقة المبهمة أو الشاملة
الأغراض غير الواضحة
آليات الموافقة المخفية
ربط الموافقة دون داعٍ بمعالجة لا علاقة لها بها
الواجهات التي تجعل الرفض صعبًا دون داعٍ

أكدت هيئة KVKK على العناصر الأساسية الثلاثة للموافقة الصريحة: موضوع محدد، والمعلومات، وحرية الاختيار.

سحب الموافقة

حيثما تستند المعالجة إلى الموافقة الصريحة، ينبغي للمؤسسات توفير آلية عملية لإدارة علاقة الموافقة.

ينبغي أن يتيح نظام إدارة الموافقة للمؤسسات ما يلي:

تسجيل وقت منح الموافقة
تسجيل ما شملته الموافقة
تسجيل الغرض ذي الصلة
تسجيل اختيار المستخدم
الاحتفاظ بأدلة الموافقة
دعم التغييرات في تفضيلات الموافقة
الاحتفاظ بسجلات حالات السحب
منع المعالجة اللاحقة حيثما تكون الموافقة هي الأساس القانوني المعمول به وقد سُحبت

يمكن لـ ConsentX مساعدة المؤسسات على تفعيل هذه الضوابط التقنية عمليًا.

الفئات الخاصة من البيانات الشخصية بموجب قانون KVKK

يوفر قانون KVKK حماية إضافية للفئات الخاصة من البيانات الشخصية.

وتشمل البيانات المتعلقة بما يلي:

العرق
الأصل الإثني
الرأي السياسي
المعتقد الفلسفي
الدين
المذهب الديني أو المعتقدات الأخرى
المظهر
العضوية في الجمعيات أو المؤسسات الوقفية أو النقابات
الصحة
الحياة الجنسية
الإدانات الجنائية والتدابير الأمنية
البيانات البيومترية
البيانات الجينية

تغييرات عام 2024 على بيانات الفئات الخاصة

دخلت تعديلات جوهرية على المادة 6 حيز النفاذ في عام 2024.

استُبدلت البنية السابقة بمجموعة أوسع من الشروط القانونية التي يجوز بموجبها معالجة الفئات الخاصة دون الاعتماد حصريًا على الموافقة الصريحة. وتشمل هذه الشروط متطلبات قانونية معينة، وأغراض الصحة العامة، والتزامات العمل والضمان الاجتماعي، وحماية الحقوق، وحالات أخرى محددة.

لذلك تجعل تعديلات عام 2024 من المهم بشكل خاص أن تعيد المؤسسات تقييم مسارات الموافقة القديمة الخاصة ببيانات الفئات الخاصة.

لا ينبغي للمؤسسات أن تفترض تلقائيًا أن كل نشاط معالجة يتضمن بيانات حساسة يجب أن يستخدم آلية الموافقة ذاتها.

معالجة الفئات الخاصة من البيانات الشخصية

حيثما تُعالَج بيانات الفئات الخاصة، ينبغي للمؤسسات تحديد ما يلي:

ما فئة البيانات المعنية؟
ما الغرض من المعالجة؟
أي شرط من شروط المادة 6 ينطبق؟
هل الموافقة الصريحة مطلوبة؟
ما التدابير الأمنية الإضافية المطبقة؟
من يمكنه الوصول إلى المعلومات؟
ما المدة التي ينبغي الاحتفاظ بها خلالها؟
هل تُنقل المعلومات إلى طرف آخر؟
هل تُنقل إلى خارج تركيا؟
ما الأدلة التي ينبغي الاحتفاظ بها؟

يشترط قانون KVKK أيضًا اتخاذ التدابير الكافية التي يحددها المجلس عند معالجة الفئات الخاصة من البيانات الشخصية.

إشعارات الخصوصية والشفافية

تُلزم المادة 10 من قانون KVKK مسؤولي البيانات بإبلاغ أصحاب البيانات عند الحصول على البيانات الشخصية.

وتشمل المعلومات ما يلي:

هوية مسؤول البيانات
هوية ممثله، حيثما ينطبق ذلك
الغرض من المعالجة
المتلقون وأغراض النقل
طريقة الجمع وأساسه القانوني
حقوق أصحاب البيانات ذات الصلة

لذلك ينبغي أن تكون إشعارات الخصوصية في المواقع الإلكترونية والتطبيقات واضحة وسهلة الوصول ومرتبطة على نحو مناسب بنقطة جمع البيانات.

لا ينبغي التعامل مع لافتات الموافقة على أنها بديل عن إشعار خصوصية كامل.

ملفات تعريف الارتباط وتقنيات التتبع بموجب قانون KVKK

لا يعني قانون KVKK أن كل ملف تعريف ارتباط يتطلب تلقائيًا موافقة صريحة.

تتوقف المعاملة القانونية المناسبة على ما يلي:

المعلومات التي يجمعها ملف تعريف الارتباط أو أداة التتبع
ما إذا كانت المعلومات تشكّل بيانات شخصية
سبب استخدامها
ما إذا كان ينطبق شرط معالجة آخر من شروط المادة 5
ما إذا كانت البيانات تُنقل إلى أطراف ثالثة
ما إذا كان النشاط ينطوي على عمليات نقل دولية
ما إذا كانت معلومات الفئات الخاصة معنية

بالنسبة للتحليلات والإعلانات وغيرها من أشكال التتبع غير الأساسية، ينبغي للمؤسسات تقييم شرط المعالجة المعمول به بموجب KVKK وتطبيق آلية موافقة أو إشعار مناسبة حيثما يلزم.

يمكن لـ ConsentX مساعدة المؤسسات على تحديد ملفات تعريف الارتباط وأدوات التتبع وتطبيق ضوابط خاصة بكل منطقة.

حقوق أصحاب البيانات بموجب قانون KVKK

تمنح المادة 11 أصحاب البيانات عدة حقوق.

يجوز للأفراد أن يطلبوا:

تأكيد ما إذا كانت بياناتهم الشخصية تُعالَج
معلومات عن المعالجة
معلومات عن أغراض المعالجة
معلومات عن الأطراف الثالثة التي تتلقى بياناتهم
تصحيح البيانات غير الدقيقة أو غير المكتملة
المحو أو الإتلاف حيثما تنطبق الشروط القانونية
إخطار الأطراف الثالثة المعنية بالتصحيحات أو عمليات الحذف
الاعتراض على نتائج سلبية معينة ناتجة حصريًا عن المعالجة الآلية
التعويض عن الضرر الناشئ عن المعالجة غير المشروعة

طلبات أصحاب البيانات بموجب قانون KVKK

يمكن لأصحاب البيانات تقديم طلبات إلى مسؤول البيانات وفقًا للإجراءات المقررة بموجب قانون KVKK.

يجب على مسؤول البيانات عمومًا البت في الطلب في أقرب وقت ممكن وخلال 30 يومًا كحد أقصى. وتكون الطلبات مجانية عمومًا، وإن كان يجوز فرض رسوم في الحالات التي تحددها القواعد المعمول بها.

يمكن لـ ConsentX دعم مسارات العمل التشغيلية الخاصة بما يلي:

استقبال الطلبات
مسارات عمل التحقق من الهوية
تتبع الطلبات
جمع الأدلة
الإسناد الداخلي
مراقبة المواعيد النهائية
توثيق الردود
سجلات التدقيق

أمن البيانات بموجب قانون KVKK

تُلزم المادة 12 مسؤولي البيانات باتخاذ التدابير التقنية والتنظيمية اللازمة لتوفير مستوى مناسب من الأمن.

تهدف هذه التدابير إلى منع:

المعالجة غير المشروعة
الوصول غير المشروع
فقدان البيانات الشخصية أو اختراقها

يجب على مسؤولي البيانات أيضًا إجراء أو ترتيب عمليات تدقيق مناسبة بشأن الامتثال لمتطلبات أمن البيانات.

حيثما يقوم معالج البيانات بالمعالجة، يظل مسؤول البيانات مسؤولًا عن تدابير الأمن المناسبة.

الإخطار بخروقات البيانات بموجب قانون KVKK

حيثما يحصل آخرون بصورة غير مشروعة على بيانات شخصية يعالجها مسؤول البيانات، يجب على مسؤول البيانات إخطار صاحب البيانات والمجلس في أقصر وقت.

فسّر مجلس KVKK العبارة القانونية «أقصر وقت» بأنها لا تتجاوز 72 ساعة من العلم بالخرق. وحيثما يتعذّر إتمام الإخطار خلال 72 ساعة، ينبغي إدراج أسباب التأخير.

ينبغي للمؤسسات الاحتفاظ بما يلي:

إجراءات اكتشاف الخروقات
عمليات الاستجابة للحوادث
توثيق الخروقات
إجراءات التصعيد الداخلي
مسارات عمل الإخطار التنظيمي
إجراءات التواصل مع أصحاب البيانات

مسؤولو البيانات ومعالجو البيانات

يميّز قانون KVKK بين:

مسؤول البيانات

المؤسسة التي تحدد أغراض معالجة البيانات الشخصية ووسائلها.

معالج البيانات

شخص أو مؤسسة تعالج البيانات الشخصية نيابةً عن مسؤول البيانات.

يمكن أن تشمل أمثلة المعالجين ما يلي:

مزودو الخدمات السحابية
شركات الاستضافة
مزودو أنظمة CRM
منصات البريد الإلكتروني
مزودو التحليلات
مزودو تقنيات التسويق
منصات دعم العملاء

ينبغي لمسؤول البيانات الحفاظ على إشراف مناسب على المعالجين وضمان معالجة التزامات الأمن والخصوصية طوال علاقة المعالجة.

عمليات نقل البيانات الدولية بموجب قانون KVKK

تُعدّ عمليات نقل البيانات الدولية مجالًا رئيسيًا من مجالات الامتثال لقانون KVKK.

عُدّلت المادة 9 تعديلًا جوهريًا في عام 2024، فأدخلت إطارًا جديدًا لنقل البيانات الشخصية إلى الخارج.

بموجب الإطار المعدّل، يجوز أن تستند عمليات النقل إلى آليات تشمل:

قرار كفاية
قواعد الشركات الملزمة المعتمدة
العقود النموذجية التي ينشرها المجلس
بعض التعهدات الكتابية المعتمدة
حالات نقل استثنائية محددة

العقود النموذجية

تُعدّ العقود النموذجية إحدى الضمانات المتاحة لعمليات النقل الدولي.

يشترط القانون إخطار الهيئة بالعقد النموذجي خلال خمسة أيام عمل من توقيعه.

نشرت هيئة KVKK نماذج عقود نموذجية تغطي علاقات مختلفة بين مسؤولي البيانات والمعالجين.

ويكتسب ذلك أهمية خاصة للمؤسسات التي تستخدم على المستوى الدولي:

البنية التحتية السحابية
أدوات SaaS
منصات CRM
خدمات التحليلات
تقنيات الإعلان
مزودي البريد الإلكتروني
أنظمة دعم العملاء

عمليات النقل الدولي والموافقة

يمكن أن تكون الموافقة الصريحة إحدى الآليات الاستثنائية لنقل البيانات الشخصية إلى الخارج، لكن إطار المادة 9 المعدّل لا يجعل الموافقة الحل الافتراضي لعمليات النقل الدولي الروتينية.

عند الاعتماد على شروط النقل الاستثنائية، يجب تقييم المتطلبات والقيود القانونية بعناية.

بالنسبة لعمليات النقل الدولي المستمرة، ينبغي للمؤسسات عمومًا تقييم ما إذا كان هناك قرار كفاية أو ضمانة مناسبة متاحة.

VERBİS – سجل مسؤولي البيانات

ينشئ قانون KVKK سجل مسؤولي البيانات، المعروف باسم VERBİS.

يجب على مسؤولي البيانات الخاضعين لالتزام التسجيل التسجيل وتقديم معلومات بشأن أنشطة المعالجة لديهم.

قد يتطلب إطار التسجيل معلومات مثل:

هوية مسؤول البيانات
أغراض المعالجة
فئات أصحاب البيانات
فئات البيانات
المتلقون
عمليات النقل الدولي
التدابير الأمنية
الحد الأقصى لمدد التخزين

غير أن القانون يجيز للمجلس وضع إعفاءات بناءً على معايير موضوعية.

الإعفاءات الحالية من VERBİS

وضع مجلس KVKK إعفاءات باستخدام معايير تشمل طبيعة البيانات وكميتها وأنشطة المعالجة والخصائص التنظيمية للمؤسسة.

كما وسّع قرار مهم صادر عن المجلس في عام 2025 إطار الإعفاء ليشمل بعض مسؤولي البيانات الصغار الذين يتمثل نشاطهم الرئيسي في معالجة بيانات شخصية من الفئات الخاصة، باستخدام معياري عدد الموظفين والميزانية المالية.

لذلك ينبغي للشركات التحقق من وضع تسجيلها الحالي في VERBİS ومعايير الإعفاء المعمول بها بدلًا من الاعتماد على حدود عدد الموظفين أو الإيرادات القديمة المنشورة في مواد الامتثال السابقة.

الاحتفاظ بالبيانات وحذفها

يشترط قانون KVKK تخزين البيانات الشخصية للمدة التي تحددها التشريعات ذات الصلة أو للمدة اللازمة لغرض المعالجة.

حيثما لم تعد الأسباب التي تستدعي المعالجة قائمة، ينبغي أن تكون البيانات الشخصية:

ممحوّة
متلَفة
مجهّلة الهوية

حسب الاقتضاء.

لدى تركيا أيضًا لائحة مخصصة بشأن محو البيانات الشخصية أو إتلافها أو إخفاء هويتها، تحدد إجراءات هذه الأنشطة.

لذلك ينبغي للمؤسسات الاحتفاظ بجداول احتفاظ موثقة وإجراءات حذف موثقة.

اتخاذ القرارات الآلية

يعترف قانون KVKK بحق صاحب البيانات في الاعتراض على نتيجة في غير صالحه تنشأ عن تحليل بيانات شخصية معالجة حصريًا بواسطة أنظمة آلية.

ويكتسب ذلك أهمية للشركات التي تستخدم:

أنظمة الذكاء الاصطناعي
التنميط الآلي
التقييم الآلي للعملاء
كشف الاحتيال
تقنيات التوظيف
أنظمة التخصيص
قرارات الأهلية الآلية

ينبغي للمؤسسات التي تستخدم الذكاء الاصطناعي أو أنظمة القرار الآلي تقييم شروط المعالجة ذات الصلة بموجب KVKK والتزامات الشفافية وحقوق أصحاب البيانات ومتطلبات الأمن.

التسويق المباشر بموجب قانون KVKK

قد تنطوي الأنشطة التسويقية على فئات متعددة من معالجة البيانات الشخصية، بما في ذلك:

عناوين البريد الإلكتروني
أرقام الهواتف
ملفات تعريف العملاء
سجل المشتريات
المعلومات السلوكية
المعرّفات الإعلانية
النشاط على الموقع الإلكتروني

ينبغي للمؤسسات تحديد الأساس القانوني المناسب وضمان اتساق المعالجة المتعلقة بالتسويق مع متطلبات الشفافية والمعالجة في قانون KVKK.

حيثما تكون الموافقة الصريحة مطلوبة، ينبغي أن تكون الموافقة محددة ومستنيرة وحرة.

ينبغي أيضًا الاحتفاظ بسجلات الموافقة كدليل.

الخصوصية بالتصميم بموجب قانون KVKK

على الرغم من أن قانون KVKK لا يكرر ببساطة مصطلحات اللائحة العامة لحماية البيانات (GDPR)، ينبغي للمؤسسات دمج اعتبارات الخصوصية والأمن في الأنظمة والعمليات منذ البداية.

يمكن أن يشمل التطبيق الواعي بالخصوصية ما يلي:

تقليل البيانات
الجمع القائم على الغرض
ضوابط الوصول
إدارة الموافقة
إشعارات الخصوصية
ضوابط الاحتفاظ
مسارات عمل طلبات أصحاب البيانات
تقييمات الموردين
تقييمات النقل الدولي
الضوابط الأمنية
تسجيل عمليات التدقيق

سجلات معالجة البيانات والحوكمة

ينبغي للمؤسسات الحفاظ على رؤية واضحة لما يلي:

البيانات الشخصية التي تعالجها
سبب معالجتها
مكان تخزينها
من يمكنه الوصول إليها
الموردون الذين يتلقونها
ما إذا كانت تغادر تركيا
مدة الاحتفاظ بها
الشرط القانوني الذي تستند إليه المعالجة
ما إذا كانت الموافقة الصريحة مطلوبة
كيفية سحب الموافقة
كيفية التعامل مع طلبات أصحاب البيانات

بالنسبة للمؤسسات الخاضعة للتسجيل في VERBİS، يكتسب الحفاظ على معلومات معالجة دقيقة أهمية خاصة لأن معلومات السجل مرتبطة بأنشطة المعالجة لدى المؤسسة.

الإنفاذ والعقوبات بموجب قانون KVKK

يتولى مجلس حماية البيانات الشخصية مسؤولية الإنفاذ التنظيمي بموجب إطار KVKK.

ينص القانون على غرامات إدارية على المخالفات، بما في ذلك:

عدم الوفاء بالتزام الإعلام
عدم الوفاء بالتزامات أمن البيانات
عدم الامتثال لقرارات المجلس
عدم الامتثال لالتزامات VERBİS
عدم الامتثال لمتطلب الإخطار بالعقد النموذجي للنقل الدولي

تخضع المبالغ المالية لتعديل سنوي. وتنشر الهيئة مبالغ الغرامات الإدارية المحدّثة لكل سنة تقويمية.

لذلك قد تؤدي إخفاقات الامتثال الجسيمة إلى تعرّض مالي وتشغيلي كبير.

من يتولى إنفاذ قانون KVKK؟

تتولى الإشراف على قانون KVKK وإنفاذه:

هيئة حماية البيانات الشخصية (Kişisel Verileri Koruma Kurumu)

يؤدي مجلس حماية البيانات الشخصية وظائف تنظيمية وإشرافية وإنفاذية مهمة، بما في ذلك معالجة الشكاوى وفحص المخالفات وفرض الجزاءات الإدارية.

كيف يساعد ConsentX في الامتثال لقانون KVKK

يساعد ConsentX المؤسسات على تفعيل ضوابط الخصوصية والموافقة الرئيسية المطلوبة لأصولها الرقمية عمليًا.

اكتشاف ملفات تعريف الارتباط وأدوات التتبع

حدّد ملفات تعريف الارتباط وأدوات التتبع والتقنيات الأخرى العاملة على موقعك الإلكتروني.

إدارة الموافقة

اجمع موافقة صريحة ومحددة الغرض حيثما يلزم.

سجلات الموافقة

احتفظ بسجلات قابلة للتدقيق لخيارات الموافقة وتغييرات التفضيلات.

الحظر المسبق للنصوص البرمجية

امنع تشغيل تقنيات غير أساسية محددة قبل الحصول على إشارة الموافقة المطلوبة.

إشعارات الخصوصية

اعرض معلومات الخصوصية والموافقة ذات الصلة ضمن رحلة المستخدم.

قواعد حسب المنطقة

طبّق تجارب موافقة مناسبة بناءً على منطقة الزائر وقواعد الامتثال المُعدّة.

سحب الموافقة

امنح المستخدمين طريقة عملية لتغيير خيارات الموافقة المعمول بها أو سحبها.

مسارات عمل طلبات أصحاب البيانات (DSAR)

ادعم الإدارة التشغيلية لطلبات الوصول والتصحيح والحذف وطلبات أصحاب البيانات ذات الصلة.

أدلة التدقيق

احتفظ بسجلات تساعد على إثبات كيفية التقاط قرارات الموافقة والتفضيلات وإدارتها.

كيفية الامتثال لقانون KVKK باستخدام ConsentX

1
افحص موقعك الإلكتروني
استخدم ConsentX لتحديد ملفات تعريف الارتباط والنصوص البرمجية وأدوات التتبع والتقنيات الأخرى العاملة عبر موقعك الإلكتروني.
يساعد ذلك على تكوين رؤية واضحة للتقنيات المتعلقة بالبيانات التي تعمل فعليًا.
2
صنّف أدوات التتبع لديك
صنّف التقنيات وفقًا لغرضها، مثل:
- ضرورية
- تحليلية
- وظيفية
- إعلانية
- تخصيص
- وسائل التواصل الاجتماعي
ثم قيّم المعاملة المناسبة بموجب KVKK لكل فئة.
3
أعدّ تجربة الموافقة لديك
أنشئ واجهة موافقة واضحة لأنشطة المعالجة التي تكون فيها الموافقة الصريحة هي الشرط القانوني المناسب.
ينبغي أن تكون الموافقة:
- محددة
- مستنيرة
- حرة
- معبّرًا عنها بوضوح
4
احظر أدوات التتبع المعنية قبل الموافقة
اضبط ConsentX لمنع تشغيل النصوص البرمجية غير الأساسية المعنية قبل الحصول على إشارة الموافقة المطلوبة.
5
سجّل الموافقة
خزّن أدلة تبيّن:
- ما اختاره المستخدم
- وقت اتخاذ الاختيار
- الأغراض المعنية
- إصدار واجهة الموافقة الذي عُرض
- ما إذا كان المستخدم قد غيّر تفضيله لاحقًا
6
ادعم سحب الموافقة
اسمح للمستخدمين بمراجعة تفضيلات الموافقة المعمول بها وتغييرها.
7
أدِر طلبات البيانات
استخدم مسارات عمل ConsentX لتنظيم طلبات أصحاب البيانات ومراقبة الموعد النهائي للرد المعمول به.
8
احتفظ بأدلة التدقيق
احتفظ بسجلات مناسبة لإثبات كيفية عمل ضوابط الخصوصية والموافقة عبر بيئتك الرقمية.

قائمة التحقق من الامتثال لقانون KVKK

استخدم قائمة التحقق هذه نقطةَ انطلاق لبرنامج الامتثال لديك:

تحديد أنشطة معالجة البيانات الشخصية
تحديد مسؤولي البيانات ومعالجيها
رسم خريطة لأغراض المعالجة
تحديد شرط المعالجة المعمول به بموجب المادة 5
تحديد الفئات الخاصة من البيانات الشخصية
تقييم شروط المادة 6 حيثما ينطبق ذلك
إعداد إشعارات خصوصية مناسبة
مراجعة ملفات تعريف الارتباط وتقنيات التتبع
تحديد المواضع التي تتطلب موافقة صريحة
ضمان أن تكون الموافقة حرة ومحددة ومستنيرة
تسجيل قرارات الموافقة
توفير آليات لسحب الموافقة المعمول بها
تطبيق إجراءات طلبات أصحاب البيانات
مراقبة مهلة الرد البالغة 30 يومًا
تطبيق تدابير أمنية مناسبة
الحفاظ على عملية للاستجابة لخروقات البيانات
تقييم عمليات النقل الدولي
مراجعة متطلبات العقود النموذجية حيثما ينطبق ذلك
تتبع متطلب الإخطار خلال خمسة أيام عمل للعقود النموذجية المعنية
تقييم متطلبات التسجيل في VERBİS
الاحتفاظ بقوائم جرد المعالجة
تحديد مدد الاحتفاظ
تطبيق إجراءات الحذف/إخفاء الهوية
مراجعة العلاقات مع الموردين والمعالجين
الاحتفاظ بأدلة تدقيق مناسبة
متابعة إرشادات مجلس KVKK والتحديثات التنظيمية

الأسئلة الشائعة

ينبغي تقييم ملفات تعريف الارتباط وتقنيات التتبع بناءً على معالجة البيانات الشخصية التي تقوم بها والغرض منها وشروط المعالجة المعمول بها بموجب قانون KVKK. ولا ينبغي التعامل تلقائيًا مع كل ملف تعريف ارتباط على أنه يتطلب آلية الموافقة ذاتها.

يمكن لـ ConsentX المساعدة في تنفيذ وتوثيق مسارات العمل التقنية الخاصة بالموافقة وملفات تعريف الارتباط وأدوات التتبع والتفضيلات وطلبات البيانات. غير أن الامتثال لقانون KVKK يتجاوز إدارة الموافقة ويشمل تقييمات الأساس القانوني والأمن والحوكمة والاحتفاظ بالبيانات وإدارة الموردين ومتطلبات النقل الدولي. وConsentX منصة تقنية ولا يقدّم استشارات قانونية.