KVKK

따라서 조직은 모든 유형의 개인정보 처리에 대해 동의를 요청하기보다 각 처리 활동에 적합한 KVKK 처리 요건을 파악해야 합니다.

KVKK에서 명시적 동의란 무엇인가요?

KVKK는 명시적 동의를 다음과 같은 동의로 정의합니다:

• 자유롭게 제공된
• 구체적인
• 충분한 정보에 기반한

따라서 동의는 정보주체의 의사를 적극적이고 의미 있게 표현한 것이어야 합니다.

동의 관리에서는 다음을 피해야 합니다:

• 미리 선택된 동의 옵션
• 모호하거나 포괄적인 동의
• 불명확한 목적
• 숨겨진 동의 메커니즘
• 관련 없는 처리와 불필요하게 묶인 동의
• 거부를 불필요하게 어렵게 만드는 인터페이스

KVKK 당국은 명시적 동의의 세 가지 핵심 요소, 즉 특정한 주제, 정보 제공 및 자유로운 선택을 강조했습니다.

동의 철회

처리가 명시적 동의에 근거하는 경우, 조직은 동의 관계를 관리하기 위한 실질적인 메커니즘을 제공해야 합니다.

동의 관리 시스템은 조직이 다음을 할 수 있도록 해야 합니다:

• 동의가 언제 제공되었는지 기록
• 동의가 무엇을 포함했는지 기록
• 관련 목적 기록
• 사용자의 선택 기록
• 동의 증거 유지
• 동의 선호도 변경 지원
• 철회 기록 유지
• 동의가 적용되는 법적 근거이고 철회된 경우 이후의 처리 방지

ConsentX는 조직이 이러한 기술적 통제를 운영에 적용하도록 도울 수 있습니다.

KVKK에 따른 특수 범주 개인정보

KVKK는 특수 범주 개인정보에 대해 추가적인 보호를 제공합니다.

여기에는 다음에 관한 데이터가 포함됩니다:

• 인종
• 민족적 기원
• 정치적 견해
• 철학적 신념
• 종교
• 종파 또는 그 밖의 신념
• 외모
• 협회, 재단 또는 노동조합 가입
• 건강
• 성생활
• 형사 유죄 판결 및 보안 처분
• 생체 데이터
• 유전 데이터

특수 범주 데이터에 관한 2024년 변경 사항

제6조에 대한 중요한 개정이 2024년에 시행되었습니다.

기존 구조는 명시적 동의에만 의존하지 않고 특수 범주를 처리할 수 있는 보다 폭넓은 법정 요건으로 대체되었습니다. 여기에는 특정한 법적 요건, 공중보건 목적, 고용 및 사회보장 의무, 권리 보호 및 그 밖의 특정 상황이 포함됩니다.

따라서 2024년 개정으로 인해 조직이 특수 범주 데이터에 대한 기존 동의 흐름을 재평가하는 것이 특히 중요해졌습니다.

조직은 민감한 데이터를 포함하는 모든 처리 활동이 동일한 동의 메커니즘을 사용해야 한다고 자동으로 가정해서는 안 됩니다.

특수 범주 개인정보의 처리

특수 범주 데이터가 처리되는 경우 조직은 다음을 판단해야 합니다:

1. 1어떤 범주의 데이터가 관련되어 있나요?
2. 2처리의 목적은 무엇인가요?
3. 3제6조의 어떤 요건이 적용되나요?
4. 4명시적 동의가 필요한가요?
5. 5어떤 추가 보안 조치가 적용되나요?
6. 6누가 그 정보에 접근할 수 있나요?
7. 7얼마나 오래 보존해야 하나요?
8. 8그 정보가 다른 당사자에게 이전되나요?
9. 9튀르키예 밖으로 이전되나요?
10. 10어떤 증거를 보존해야 하나요?

KVKK는 또한 특수 범주 개인정보를 처리할 때 위원회가 정한 적절한 조치를 요구합니다.

개인정보 처리방침 고지 및 투명성

KVKK 제10조는 개인정보를 취득할 때 데이터 컨트롤러가 정보주체에게 알릴 것을 요구합니다.

고지할 정보는 다음과 같습니다:

• 데이터 컨트롤러의 신원
• 해당하는 경우 그 대리인의 신원
• 처리 목적
• 이전의 수령인 및 목적
• 수집 방법 및 법적 근거
• 관련 정보주체의 권리

따라서 웹사이트와 애플리케이션의 개인정보 처리방침 고지는 명확하고 접근 가능해야 하며 데이터 수집 지점과 적절히 연결되어야 합니다.

동의 배너를 완전한 개인정보 처리방침 고지를 대신하는 것으로 취급해서는 안 됩니다.

KVKK에 따른 쿠키 및 추적 기술

KVKK는 모든 쿠키가 자동으로 명시적 동의를 요구한다는 의미가 아닙니다.

적절한 법적 취급은 다음에 따라 달라집니다:

• 쿠키 또는 트래커가 어떤 정보를 수집하는지
• 그 정보가 개인정보에 해당하는지
• 왜 사용되는지
• 제5조의 다른 처리 요건이 적용되는지
• 데이터가 제3자에게 이전되는지
• 해당 활동이 국외 이전을 수반하는지
• 특수 범주 정보가 관련되는지

분석, 광고 및 그 밖의 비필수 추적의 경우, 조직은 적용되는 KVKK 처리 요건을 평가하고 필요한 경우 적절한 동의 또는 고지 메커니즘을 구현해야 합니다.

ConsentX는 조직이 쿠키와 트래커를 파악하고 지역별 통제를 적용하도록 도울 수 있습니다.

KVKK에 따른 정보주체의 권리

제11조는 정보주체에게 여러 권리를 부여합니다.

개인은 다음을 요청할 수 있습니다:

• 자신의 개인정보가 처리되는지 여부의 확인
• 처리에 관한 정보
• 처리 목적에 관한 정보
• 자신의 데이터를 받는 제3자에 관한 정보
• 부정확하거나 불완전한 데이터의 정정
• 법적 요건이 충족되는 경우의 삭제 또는 파기
• 관련 제3자에 대한 정정 또는 삭제 사실의 통지
• 자동화된 처리만을 통해 산출된 특정한 불리한 결과에 대한 이의 제기
• 위법한 처리로 인해 발생한 손해에 대한 배상

KVKK 정보주체 요청

정보주체는 KVKK에 따라 정해진 절차에 따라 데이터 컨트롤러에게 요청을 제출할 수 있습니다.

컨트롤러는 일반적으로 요청을 가능한 한 신속하게, 최대 30일 이내에 종결해야 합니다. 요청은 일반적으로 무료이지만, 적용 규칙에서 정한 상황에서는 수수료가 허용될 수 있습니다.

ConsentX는 다음에 대한 운영 워크플로를 지원할 수 있습니다:

• 요청 접수
• 신원 확인 워크플로
• 요청 추적
• 증거 수집
• 내부 배정
• 기한 모니터링
• 응답 문서화
• 감사 추적

KVKK에 따른 데이터 보안

제12조는 데이터 컨트롤러가 적절한 수준의 보안을 제공하기 위해 필요한 기술적·조직적 조치를 취할 것을 요구합니다.

이러한 조치는 다음을 방지하기 위한 것입니다:

• 위법한 처리
• 위법한 접근
• 개인정보의 손실 또는 침해

데이터 컨트롤러는 또한 데이터 보안 요건 준수에 관한 적절한 감사를 실시하거나 이를 마련해야 합니다.

처리가 데이터 프로세서에 의해 수행되는 경우에도 데이터 컨트롤러는 적절한 보안 조치에 대한 책임을 유지합니다.

KVKK 데이터 침해 통지

컨트롤러가 처리하는 개인정보를 타인이 위법하게 취득한 경우, 컨트롤러는 가능한 한 가장 짧은 시간 내에 정보주체와 위원회에 통지해야 합니다.

KVKK 위원회는 법률상 표현인 “가능한 한 가장 짧은 시간”을 침해를 인지한 후 늦어도 72시간 이내로 해석했습니다. 72시간 이내에 통지를 완료할 수 없는 경우에는 지연 사유를 포함해야 합니다.

조직은 다음을 유지해야 합니다:

• 침해 탐지 절차
• 사고 대응 프로세스
• 침해 문서화
• 내부 에스컬레이션 절차
• 규제기관 통지 워크플로
• 정보주체 커뮤니케이션 절차

데이터 컨트롤러와 데이터 프로세서

KVKK는 다음을 구분합니다:

데이터 컨트롤러

개인정보 처리의 목적과 수단을 결정하는 조직입니다.

데이터 프로세서

데이터 컨트롤러를 대신하여 개인정보를 처리하는 사람 또는 조직입니다.

프로세서의 예는 다음과 같습니다:

• 클라우드 서비스 제공업체
• 호스팅 회사
• CRM 제공업체
• 이메일 플랫폼
• 분석 제공업체
• 마케팅 기술 제공업체
• 고객 지원 플랫폼

데이터 컨트롤러는 프로세서에 대한 적절한 감독을 유지하고, 처리 관계 전반에 걸쳐 보안 및 개인정보 보호 의무가 다루어지도록 해야 합니다.

KVKK에 따른 국외 데이터 이전

국외 데이터 이전은 KVKK 준수의 주요 영역입니다.

제9조는 2024년에 대폭 개정되어 개인정보의 국외 이전에 관한 새로운 체계를 도입했습니다.

개정된 체계에 따라 이전은 다음을 포함한 메커니즘에 근거할 수 있습니다:

• 적정성 결정
• 승인된 구속력 있는 기업 규칙
• 위원회가 공표한 표준 계약
• 특정한 승인된 서면 약정
• 특정된 예외적 이전 상황

표준 계약

표준 계약은 국외 이전에 이용할 수 있는 보호조치 중 하나입니다.

이 법은 표준 계약을 서명 후 5영업일 이내에 당국에 통지할 것을 요구합니다.

KVKK 당국은 다양한 컨트롤러 및 프로세서 관계를 다루는 표준 계약 모델을 공표했습니다.

이는 다음과 같은 국제적 서비스를 이용하는 조직에 특히 중요합니다:

• 클라우드 인프라
• SaaS 도구
• CRM 플랫폼
• 분석 서비스
• 광고 기술
• 이메일 제공업체
• 고객 지원 시스템

국외 이전과 동의

명시적 동의는 개인정보를 국외로 이전하기 위한 예외적 메커니즘 중 하나가 될 수 있지만, 개정된 제9조 체계는 동의를 일상적인 국외 이전의 기본 해결책으로 삼지 않습니다.

예외적 이전 요건에 의존하는 경우에는 법정 요건과 제한을 신중하게 평가해야 합니다.

지속적인 국외 이전의 경우, 조직은 일반적으로 적정성 결정이나 적절한 보호조치를 이용할 수 있는지 평가해야 합니다.

VERBİS – 데이터 컨트롤러 등록부

KVKK는 VERBİS로 알려진 데이터 컨트롤러 등록부를 설치합니다.

등록 의무가 있는 데이터 컨트롤러는 등록하고 자신의 처리 활동에 관한 정보를 제공해야 합니다.

등록 체계는 다음과 같은 정보를 요구할 수 있습니다:

• 컨트롤러의 신원
• 처리 목적
• 정보주체의 범주
• 데이터 범주
• 수령인
• 국외 이전
• 보안 조치
• 최대 보관 기간

다만, 이 법은 위원회가 객관적 기준에 따라 면제를 정할 수 있도록 허용합니다.

현행 VERBİS 면제

KVKK 위원회는 데이터의 성격과 양, 처리 활동 및 조직적 특성을 포함한 기준을 이용하여 면제를 정했습니다.

2025년의 중요한 위원회 결정은 또한 주된 활동이 특수 범주 개인정보의 처리인 특정 소규모 컨트롤러에 대해 직원 수와 재무 잔액 기준을 이용하여 면제 체계를 확대했습니다.

따라서 기업은 기존 준수 자료에 게재된 과거의 직원 수 또는 매출 기준에 의존하기보다 현재 VERBİS 등록 상태와 적용되는 면제 기준을 확인해야 합니다.

데이터 보존 및 삭제

KVKK는 개인정보를 관련 법령이 정한 기간 또는 처리 목적에 필요한 기간 동안 보관하도록 요구합니다.

처리를 필요로 하는 사유가 더 이상 존재하지 않는 경우 개인정보는 다음과 같이 처리되어야 합니다:

• 삭제
• 파기
• 익명화

해당하는 바에 따라.

튀르키예에는 또한 이러한 활동에 관한 절차를 정하는 전용 개인정보의 삭제, 파기 또는 익명화에 관한 규정이 있습니다.

따라서 조직은 문서화된 보존 일정과 삭제 절차를 유지해야 합니다.

자동화된 의사결정

KVKK는 자동화된 시스템만을 통해 처리된 개인정보의 분석으로 인해 자신에게 불리한 결과가 발생한 경우 이에 이의를 제기할 정보주체의 권리를 인정합니다.

이는 다음을 이용하는 기업과 관련이 있습니다:

• AI 시스템
• 자동화된 프로파일링
• 자동화된 고객 점수 산정
• 사기 탐지
• 채용 기술
• 개인화 시스템
• 자동화된 자격 결정

AI 또는 자동화된 의사결정 시스템을 이용하는 조직은 관련 KVKK 처리 요건, 투명성 의무, 정보주체의 권리 및 보안 요건을 평가해야 합니다.

KVKK에 따른 직접 마케팅

마케팅 활동은 다음을 포함하여 여러 범주의 개인정보 처리를 수반할 수 있습니다:

• 이메일 주소
• 전화번호
• 고객 프로필
• 구매 내역
• 행동 정보
• 광고 식별자
• 웹사이트 활동

조직은 적절한 법적 근거를 판단하고, 마케팅 관련 처리가 KVKK의 투명성 및 처리 요건과 부합하도록 해야 합니다.

명시적 동의가 필요한 경우 동의는 구체적이고, 충분한 정보에 기반하며, 자유롭게 제공되어야 합니다.

동의 기록도 증거로 유지되어야 합니다.

KVKK에 따른 설계에 의한 개인정보 보호

KVKK가 GDPR의 용어를 그대로 복제하지는 않지만, 조직은 처음부터 시스템과 프로세스에 개인정보 보호 및 보안 고려사항을 반영해야 합니다.

개인정보 보호를 고려한 구현에는 다음이 포함될 수 있습니다:

• 데이터 최소화
• 목적 기반 수집
• 접근 통제
• 동의 관리
• 개인정보 처리방침 고지
• 보존 통제
• 정보주체 요청 워크플로
• 공급업체 평가
• 국외 이전 평가
• 보안 통제
• 감사 로깅

데이터 처리 기록 및 거버넌스

조직은 다음에 대한 가시성을 유지해야 합니다:

• 어떤 개인정보를 처리하는지
• 왜 처리하는지
• 어디에 저장되는지
• 누가 접근할 수 있는지
• 어떤 공급업체가 받는지
• 튀르키예 밖으로 나가는지
• 얼마나 오래 보존되는지
• 어떤 법적 요건이 처리를 뒷받침하는지
• 명시적 동의가 필요한지
• 동의가 어떻게 철회되는지
• 정보주체 요청이 어떻게 처리되는지

VERBİS 등록 대상 조직의 경우, 등록부 정보가 조직의 처리 활동과 연결되어 있으므로 정확한 처리 정보를 유지하는 것이 특히 중요합니다.

KVKK 집행 및 제재

개인정보보호위원회는 KVKK 체계에 따른 규제 집행을 담당합니다.

이 법은 다음을 포함한 위반에 대해 행정 과태료를 규정합니다:

• 고지 의무 불이행
• 데이터 보안 의무 불이행
• 위원회 결정 미준수
• VERBİS 의무 미준수
• 국외 이전 표준 계약 통지 요건 미준수

금액은 매년 조정됩니다. 당국은 각 역년에 대해 갱신된 행정 과태료 금액을 공표합니다.

따라서 심각한 준수 실패는 상당한 재정적·운영상 위험을 초래할 수 있습니다.

누가 KVKK를 집행하나요?

KVKK는 다음 기관이 감독하고 집행합니다:

개인정보보호청(Kişisel Verileri Koruma Kurumu)

개인정보보호위원회는 민원 처리, 위반 조사 및 행정 제재 부과를 포함하여 중요한 규제, 감독 및 집행 기능을 수행합니다.