Conformité à la KVKK turque

Qu'est-ce que la KVKK ?

La loi n° 6698 sur la protection des données personnelles est la loi turque complète en matière de protection des données. Elle a pour objet de protéger les droits et libertés fondamentaux, en particulier le droit à la vie privée, tout en fixant les principes et obligations applicables aux personnes et organisations qui traitent des données personnelles.

La loi s'applique aux traitements réalisés en tout ou partie par des moyens automatisés, ainsi qu'à certains traitements non automatisés faisant partie d'un fichier. Elle établit les rôles suivants :

• Responsable du traitement (Veri Sorumlusu) – détermine les finalités et les moyens du traitement.
• Sous-traitant (Veri İşleyen) – traite les données personnelles pour le compte d'un responsable du traitement.
• Personne concernée – la personne dont les données personnelles sont traitées.
• Comité de protection des données personnelles – l'organe de décision réglementaire.
• Autorité de protection des données personnelles – l'autorité institutionnelle qui porte le cadre réglementaire.

La KVKK a été adoptée le 24 mars 2016 et publiée au Journal officiel le 7 avril 2016. Le cadre a depuis été modifié, notamment par des amendements importants entrés en vigueur en 2024, concernant en particulier les catégories particulières de données personnelles et les transferts internationaux de données.

Les organisations couvertes par la KVKK

La KVKK s'applique aux organisations et aux personnes qui relèvent de son champ d'application et traitent des données personnelles couvertes par la loi. Cela peut inclure :

• Les entreprises turques
• Les employeurs
• Les entreprises de commerce en ligne
• Les banques et établissements financiers
• Les organisations de santé
• Les établissements d'enseignement
• Les entreprises technologiques
• Les fournisseurs SaaS
• Les entreprises de publicité et de marketing
• Les opérateurs de télécommunications
• Les places de marché en ligne
• Les applications mobiles
• Les sites web et plateformes numériques
• Les institutions publiques
• Les organisations traitant des données de salariés
• Les organisations utilisant des bases de clients ou de prospects

Les organisations établies hors de Turquie peuvent également avoir des obligations au titre de la KVKK, selon leurs activités de traitement et leur relation avec les personnes concernées en Turquie.

Pour les entreprises exploitant en Turquie des sites web, applications mobiles, plateformes SaaS, services de commerce en ligne ou autres produits numériques, la conformité à la KVKK peut impliquer la gestion du consentement, des notices d'information, l'évaluation des conditions de traitement, des mesures de sécurité, le traitement des demandes des personnes concernées, les obligations VERBİS et des garanties pour les transferts internationaux.

Quelles données la KVKK protège-t-elle ?

La KVKK couvre les données personnelles relatives à une personne identifiée ou identifiable. Par exemple :

• Le nom
• L'adresse e-mail
• Le numéro de téléphone
• L'adresse postale
• Les données d'identification
• Les informations de compte client
• Les données des salariés
• Les adresses IP lorsqu'elles constituent des données personnelles
• Les identifiants en ligne
• Les données de localisation
• Les informations de transaction
• Les informations relatives aux terminaux
• Les données d'authentification
• Les dossiers clients
• Les profils marketing
• Certaines informations de cookies et de suivi

Le fait qu'un identifiant technique constitue une donnée personnelle dépend de son rattachement à une personne physique identifiée ou identifiable.

La KVKK prévoit également des exigences supplémentaires pour les catégories particulières de données personnelles.

Les principes de traitement de la KVKK

L'article 4 fixe les principes fondamentaux du traitement des données personnelles. Celles-ci doivent être traitées conformément à la loi et aux principes juridiques pertinents, notamment :

• Licéité et loyauté – le traitement doit respecter les exigences légales applicables et être réalisé loyalement.
• Exactitude – les données personnelles devraient être exactes et tenues à jour lorsque cela est nécessaire.
• Limitation des finalités – les données devraient être traitées pour des finalités déterminées, explicites et légitimes.
• Minimisation des données – les données personnelles devraient être pertinentes, limitées et proportionnées aux finalités poursuivies.
• Limitation de la conservation – les données devraient être conservées pendant la durée prévue par la législation applicable ou pour la durée des finalités du traitement.

Ces principes devraient être pris en compte sur l'ensemble du cycle de vie des données, de la collecte et du consentement jusqu'à la conservation, l'utilisation, le partage et la suppression.

Qu'est-ce que le consentement explicite au titre de la KVKK ?

La KVKK définit le consentement explicite comme un consentement librement donné, spécifique et éclairé. Il devrait donc constituer une manifestation positive et significative de la volonté de la personne concernée.

La gestion du consentement devrait éviter :

• Les options de consentement précochées
• Un consentement vague ou global
• Des finalités peu claires
• Des mécanismes de consentement dissimulés
• Un consentement groupé inutilement avec des traitements sans rapport
• Des interfaces rendant le refus inutilement difficile

L'Autorité KVKK a souligné les trois éléments essentiels du consentement explicite : un objet déterminé, l'information et le libre choix.

Retrait du consentement

Lorsque le traitement repose sur un consentement explicite, les organisations devraient prévoir un mécanisme opérationnel de gestion de cette relation de consentement. Un système de gestion du consentement devrait permettre :

• D'enregistrer la date du consentement
• D'enregistrer ce que couvrait le consentement
• D'enregistrer la finalité concernée
• D'enregistrer le choix de l'utilisateur
• De conserver la preuve du consentement
• De prendre en charge les modifications de préférences
• De conserver les traces des retraits
• D'empêcher tout traitement ultérieur lorsque le consentement est la base légale applicable et a été retiré

ConsentX peut aider les organisations à mettre en œuvre ces contrôles techniques.

Catégories particulières de données personnelles au titre de la KVKK

La KVKK prévoit une protection renforcée pour les catégories particulières de données personnelles. Elles comprennent les données relatives à :

• La race
• L'origine ethnique
• L'opinion politique
• La conviction philosophique
• La religion
• L'appartenance à un courant religieux ou à une autre croyance
• L'apparence
• L'appartenance à une association, une fondation ou un syndicat
• La santé
• La vie sexuelle
• Les condamnations pénales et mesures de sûreté
• Les données biométriques
• Les données génétiques

Des modifications importantes de l'article 6 sont entrées en vigueur en 2024. La structure antérieure a été remplacée par un ensemble plus large de conditions légales permettant de traiter des catégories particulières sans s'appuyer exclusivement sur le consentement explicite : certaines exigences légales, des finalités de santé publique, des obligations en matière d'emploi et de sécurité sociale, la protection de droits et d'autres circonstances déterminées.

Les modifications de 2024 rendent donc particulièrement important le réexamen des parcours de consentement existants pour les données de catégorie particulière, plutôt que de supposer que tout traitement de données sensibles doit utiliser le même mécanisme de consentement.

Traitement des catégories particulières de données personnelles

Lorsque des données de catégorie particulière sont traitées, les organisations devraient déterminer :

• Quelle catégorie de données est concernée ?
• Quelle est la finalité du traitement ?
• Quelle condition de l'article 6 s'applique ?
• Un consentement explicite est-il requis ?
• Quelles mesures de sécurité supplémentaires s'appliquent ?
• Qui peut accéder à l'information ?
• Combien de temps devrait-elle être conservée ?
• L'information est-elle transmise à un tiers ?
• Est-elle transférée hors de Turquie ?
• Quelles preuves devraient être conservées ?

La KVKK exige également les mesures adéquates déterminées par le Comité lors du traitement de catégories particulières de données personnelles.

Notices d'information et transparence

L'article 10 de la KVKK impose aux responsables du traitement d'informer les personnes concernées lorsque des données personnelles sont obtenues. L'information comprend :

• L'identité du responsable du traitement
• L'identité de son représentant, le cas échéant
• La finalité du traitement
• Les destinataires et les finalités des transferts
• La méthode et la base légale de la collecte
• Les droits pertinents des personnes concernées

Pour les sites et les applications, les notices d'information devraient donc être claires, accessibles et correctement rattachées au point de collecte.

Les bannières de consentement ne devraient pas être considérées comme un substitut à une notice d'information complète.

Cookies et technologies de suivi au titre de la KVKK

La KVKK ne signifie pas que tout cookie requiert automatiquement un consentement explicite. Le traitement juridique approprié dépend :

• Des informations que le cookie ou le traceur collecte
• Du fait que ces informations constituent ou non des données personnelles
• De la raison de son utilisation
• Du fait qu'une autre condition de l'article 5 s'applique ou non
• Du fait que les données sont transmises ou non à des tiers
• Du fait que l'activité implique ou non des transferts internationaux
• Du fait que des informations de catégorie particulière sont ou non en cause

Pour la mesure d'audience, la publicité et les autres suivis non essentiels, les organisations devraient évaluer la condition KVKK applicable et mettre en place, lorsque cela est requis, un mécanisme de consentement ou d'information adapté.

ConsentX peut aider les organisations à identifier les cookies et traceurs et à appliquer des contrôles propres à chaque région.

Droits des personnes concernées au titre de la KVKK

L'article 11 confère plusieurs droits aux personnes concernées. Elles peuvent demander :

• La confirmation que leurs données personnelles sont traitées
• Des informations sur le traitement
• Des informations sur les finalités du traitement
• Des informations sur les tiers qui reçoivent leurs données
• La rectification de données inexactes ou incomplètes
• L'effacement ou la destruction lorsque les conditions légales sont réunies
• La notification des rectifications ou suppressions aux tiers concernés
• L'opposition à certains résultats défavorables produits uniquement par un traitement automatisé
• La réparation du préjudice résultant d'un traitement illicite

Demandes des personnes concernées au titre de la KVKK

Les personnes concernées peuvent adresser leurs demandes au responsable du traitement selon les procédures prévues par la KVKK. Celui-ci doit en principe traiter la demande dans les meilleurs délais et au maximum sous 30 jours. Les demandes sont en général gratuites, même si des frais peuvent être admis dans les cas définis par les règles applicables.

ConsentX peut soutenir les flux opérationnels pour :

• La réception des demandes
• Les parcours de vérification d'identité
• Le suivi des demandes
• La collecte de preuves
• L'attribution interne
• Le suivi des délais
• La documentation des réponses
• Les pistes d'audit

Sécurité des données au titre de la KVKK

L'article 12 impose aux responsables du traitement de prendre les mesures techniques et organisationnelles nécessaires pour assurer un niveau de sécurité approprié. Ces mesures visent à empêcher :

• Le traitement illicite
• L'accès illicite
• La perte ou l'altération des données personnelles

Les responsables du traitement doivent également réaliser ou faire réaliser des audits appropriés sur le respect des exigences de sécurité des données.

Lorsque le traitement est effectué par un sous-traitant, le responsable du traitement reste tenu d'assurer des mesures de sécurité appropriées.

Notification des violations au titre de la KVKK

Lorsque des données personnelles traitées par un responsable sont obtenues illicitement par des tiers, celui-ci doit en informer la personne concernée et le Comité dans le délai le plus court. Le Comité KVKK interprète l'expression légale « délai le plus court » comme 72 heures au plus tard après avoir eu connaissance de la violation. Si la notification ne peut être effectuée dans ce délai, les motifs du retard doivent être indiqués.

Les organisations devraient maintenir :

• Des procédures de détection des violations
• Des processus de réponse aux incidents
• Une documentation des violations
• Des procédures d'escalade interne
• Des flux de notification au régulateur
• Des procédures de communication aux personnes concernées

Responsables du traitement et sous-traitants

La KVKK distingue le responsable du traitement, c'est-à-dire l'organisation qui détermine les finalités et les moyens du traitement, et le sous-traitant, c'est-à-dire la personne ou l'organisation qui traite des données personnelles pour le compte du responsable.

Des exemples de sous-traitants peuvent inclure :

• Les fournisseurs de services cloud
• Les hébergeurs
• Les fournisseurs de CRM
• Les plateformes d'e-mailing
• Les fournisseurs d'analytique
• Les fournisseurs de technologies marketing
• Les plateformes de support client

Le responsable du traitement devrait exercer une supervision appropriée de ses sous-traitants et veiller à ce que les obligations de sécurité et de confidentialité soient respectées pendant toute la relation de traitement.

Transferts internationaux de données au titre de la KVKK

Les transferts internationaux de données constituent un volet majeur de la conformité à la KVKK. L'article 9 a été substantiellement modifié en 2024, introduisant un nouveau cadre pour les transferts de données personnelles à l'étranger. Dans ce cadre modifié, les transferts peuvent s'appuyer sur des mécanismes tels que :

• Une décision d'adéquation
• Des règles d'entreprise contraignantes approuvées
• Des contrats types publiés par le Comité
• Certains engagements écrits approuvés
• Des circonstances de transfert exceptionnelles déterminées

Les contrats types sont l'une des garanties disponibles pour les transferts internationaux. La loi exige que le contrat type soit notifié à l'Autorité dans les cinq jours ouvrables suivant sa signature, et l'Autorité KVKK a publié des modèles couvrant différentes relations entre responsables et sous-traitants.

C'est particulièrement important pour les organisations qui utilisent à l'international :

• Des infrastructures cloud
• Des outils SaaS
• Des plateformes CRM
• Des services d'analytique
• Des technologies publicitaires
• Des fournisseurs d'e-mailing
• Des systèmes de support client

Transferts internationaux et consentement

Le consentement explicite peut être l'un des mécanismes exceptionnels de transfert de données personnelles à l'étranger, mais le cadre de l'article 9 modifié ne fait pas du consentement la solution par défaut pour les transferts internationaux courants.

Lorsqu'une organisation s'appuie sur les conditions de transfert exceptionnelles, les exigences et limites légales doivent être examinées avec soin. Pour les transferts internationaux continus, il convient en général d'évaluer si une décision d'adéquation ou une garantie appropriée est disponible.

VERBİS – le registre des responsables du traitement

La KVKK institue le registre des responsables du traitement, connu sous le nom de VERBİS. Les responsables soumis à l'obligation d'enregistrement doivent s'y inscrire et fournir des informations sur leurs activités de traitement. Le cadre d'enregistrement peut exiger des informations telles que :

• L'identité du responsable du traitement
• Les finalités du traitement
• Les catégories de personnes concernées
• Les catégories de données
• Les destinataires
• Les transferts internationaux
• Les mesures de sécurité
• Les durées maximales de conservation

La loi permet toutefois au Comité d'établir des exemptions fondées sur des critères objectifs. Le Comité KVKK a défini des exemptions reposant notamment sur la nature et le volume des données, les activités de traitement et les caractéristiques de l'organisation.

Une décision importante du Comité de 2025 a également élargi le cadre d'exemption pour certains petits responsables dont l'activité principale implique le traitement de données personnelles de catégorie particulière, sur la base de critères d'effectifs et de bilan.

Les entreprises devraient donc vérifier leur statut d'enregistrement VERBİS actuel et les critères d'exemption applicables, plutôt que de se fier à d'anciens seuils d'effectifs ou de chiffre d'affaires publiés dans des documents de conformité obsolètes.

Conservation et suppression des données

La KVKK exige que les données personnelles soient conservées pendant la durée prévue par la législation applicable ou pendant la durée nécessaire à la finalité du traitement. Lorsque les motifs justifiant le traitement disparaissent, les données personnelles devraient être effacées, détruites ou anonymisées, selon le cas.

La Turquie dispose également d'un règlement dédié à l'effacement, à la destruction ou à l'anonymisation des données personnelles, qui fixe les procédures applicables. Les organisations devraient donc maintenir des calendriers de conservation et des procédures de suppression documentés, couvrant :

• Les durées de conservation prévues par la législation
• Les durées de conservation liées à la finalité du traitement
• Les procédures d'effacement
• Les procédures de destruction
• Les procédures d'anonymisation
• La revue périodique des données conservées
• La preuve que la suppression a bien été effectuée

Décisions automatisées

La KVKK reconnaît à la personne concernée le droit de s'opposer à un résultat défavorable découlant de l'analyse de données personnelles traitées uniquement par des systèmes automatisés. Cela concerne les entreprises qui utilisent :

• Des systèmes d'IA
• Du profilage automatisé
• Du scoring client automatisé
• La détection de la fraude
• Des technologies de recrutement
• Des systèmes de personnalisation
• Des décisions d'éligibilité automatisées

Les organisations utilisant l'IA ou des systèmes de décision automatisée devraient évaluer les conditions de traitement KVKK pertinentes, les obligations de transparence, les droits des personnes concernées et les exigences de sécurité.

Prospection directe au titre de la KVKK

Les activités marketing peuvent impliquer plusieurs catégories de traitement de données personnelles, notamment :

• Les adresses e-mail
• Les numéros de téléphone
• Les profils clients
• L'historique d'achat
• Les informations comportementales
• Les identifiants publicitaires
• L'activité sur le site

Les organisations devraient déterminer la base légale appropriée et s'assurer que les traitements liés au marketing respectent les exigences de transparence et de traitement de la KVKK.

Lorsqu'un consentement explicite est requis, il devrait être spécifique, éclairé et librement donné, et les registres de consentement devraient être conservés à titre de preuve.

Protection de la vie privée dès la conception au titre de la KVKK

Même si la KVKK ne reprend pas simplement la terminologie du RGPD, les organisations devraient intégrer les considérations de vie privée et de sécurité dans les systèmes et processus dès le départ. Une mise en œuvre attentive à la vie privée peut inclure :

• La minimisation des données
• Une collecte fondée sur les finalités
• Des contrôles d'accès
• La gestion du consentement
• Des notices d'information
• Des contrôles de conservation
• Des flux de demandes des personnes concernées
• L'évaluation des prestataires
• L'évaluation des transferts internationaux
• Des mesures de sécurité
• La journalisation d'audit

Registres de traitement et gouvernance

Les organisations devraient garder une visibilité sur :

• Quelles données personnelles elles traitent
• Pourquoi elles les traitent
• Où elles sont stockées
• Qui peut y accéder
• Quels prestataires les reçoivent
• Si elles quittent la Turquie
• Combien de temps elles sont conservées
• Quelle condition légale fonde le traitement
• Si un consentement explicite est requis
• Comment le consentement est retiré
• Comment les demandes des personnes concernées sont traitées

Pour les organisations soumises à l'enregistrement VERBİS, la tenue d'informations de traitement exactes est particulièrement importante, car les informations du registre sont liées aux activités de traitement de l'organisation.

Qui applique la KVKK ?

La KVKK est supervisée et appliquée par l'Autorité de protection des données personnelles (Kişisel Verileri Koruma Kurumu).

Le Comité de protection des données personnelles exerce d'importantes fonctions réglementaires, de supervision et d'application, notamment le traitement des plaintes, l'examen des violations et le prononcé de sanctions administratives.

Pourquoi la gestion du consentement compte pour la KVKK

Pour les entreprises numériques, la conformité en matière de vie privée ne se limite pas à la publication d'une politique de confidentialité. Un site web peut mobiliser des dizaines de technologies qui collectent ou transmettent des informations, notamment :

• Des outils d'analytique
• Des pixels publicitaires
• Des scripts de réseaux sociaux
• Des outils d'enregistrement de session
• Des technologies de personnalisation
• Des tags marketing
• Du contenu intégré
• Des intégrations CRM

Un système de gestion du consentement solide aide les organisations à comprendre ces technologies, à contrôler les traitements concernés et à conserver la preuve des choix des utilisateurs.

ConsentX réunit la détection des cookies, la gestion du consentement, le blocage préalable des scripts, les registres de consentement, les règles régionales et les flux DSAR pour aider les entreprises à rendre opérationnels leurs contrôles de vie privée sur l'ensemble de leurs actifs numériques.

Liste de contrôle de conformité à la KVKK

Utilisez cette liste de contrôle comme point de départ de votre programme de conformité :

• Recenser les activités de traitement de données personnelles
• Identifier les responsables du traitement et les sous-traitants
• Cartographier les finalités de traitement
• Déterminer la condition de traitement applicable de l'article 5
• Identifier les catégories particulières de données personnelles
• Évaluer les conditions de l'article 6 le cas échéant
• Préparer des notices d'information adaptées
• Passer en revue les cookies et technologies de suivi
• Déterminer où un consentement explicite est requis
• S'assurer que le consentement est librement donné, spécifique et éclairé
• Consigner les décisions de consentement
• Prévoir des mécanismes de retrait du consentement
• Mettre en place des procédures pour les demandes des personnes concernées
• Suivre le délai de réponse de 30 jours
• Mettre en œuvre des mesures de sécurité appropriées
• Maintenir un processus de réponse aux violations de données
• Évaluer les transferts internationaux
• Examiner les exigences relatives aux contrats types le cas échéant
• Suivre l'exigence de notification sous cinq jours ouvrables pour les contrats types concernés
• Évaluer les exigences d'enregistrement VERBİS
• Tenir des inventaires de traitement
• Définir les durées de conservation
• Mettre en place des procédures de suppression et d'anonymisation
• Revoir les relations avec les prestataires et sous-traitants
• Conserver des preuves d'audit appropriées
• Suivre les orientations du Comité KVKK et les évolutions réglementaires