튀르키예 KVKK 준수

KVKK란?

개인정보보호법 제6698호는 튀르키예의 포괄적인 개인데이터 보호법입니다. 그 목적은 특히 프라이버시 권리를 포함한 기본권과 자유를 보호하면서, 개인데이터를 처리하는 사람과 조직에 적용되는 원칙과 의무를 정하는 것입니다.

법은 전부 또는 일부가 자동화된 수단으로 이루어지는 처리와, 데이터 파일 시스템의 일부를 구성하는 일부 비자동화 처리에 적용됩니다. 다음 역할을 정하고 있습니다.

• 데이터 관리자(Veri Sorumlusu) – 처리의 목적과 수단을 결정합니다.
• 데이터 처리자(Veri İşleyen) – 데이터 관리자를 위하여 개인데이터를 처리합니다.
• 정보주체 – 개인데이터가 처리되는 당사자입니다.
• 개인정보보호위원회 – 규제 의결 기구입니다.
• 개인정보보호원 – 규제 체계를 뒷받침하는 기관입니다.

KVKK는 2016년 3월 24일 제정되어 2016년 4월 7일 관보에 공포되었습니다. 이후 개정이 이어졌고, 특히 특별 범주 개인데이터와 국외 데이터 이전에 관한 중요한 개정이 2024년에 시행되었습니다.

KVKK가 적용되는 조직

KVKK는 그 적용 범위에 속하며 법이 대상으로 하는 개인데이터를 처리하는 조직과 개인에게 적용됩니다. 예를 들면:

• 튀르키예 기업
• 사용자(고용주)
• 전자상거래 사업자
• 은행 및 금융기관
• 의료기관
• 교육기관
• 기술 기업
• SaaS 제공업체
• 광고·마케팅 사업자
• 통신사업자
• 온라인 마켓플레이스
• 모바일 애플리케이션
• 웹사이트 및 디지털 플랫폼
• 공공기관
• 임직원 데이터를 처리하는 조직
• 고객 또는 잠재고객 데이터베이스를 사용하는 조직

튀르키예 밖에 설립된 조직도 처리 활동과 튀르키예 정보주체와의 관계에 따라 KVKK상 의무를 부담할 수 있습니다.

튀르키예에서 웹사이트, 모바일 앱, SaaS 플랫폼, 전자상거래 서비스 또는 그 밖의 디지털 제품을 운영하는 기업에게 KVKK 준수는 동의 관리, 개인정보 처리방침, 처리 요건 평가, 보안 조치, 정보주체 요청 대응, VERBİS 관련 의무, 국외 이전 보호조치를 포함할 수 있습니다.

KVKK가 보호하는 데이터

KVKK는 식별되거나 식별될 수 있는 개인에 관한 개인데이터를 대상으로 합니다. 예:

• 이름
• 이메일 주소
• 전화번호
• 우편 주소
• 식별 정보
• 고객 계정 정보
• 임직원 정보
• 개인데이터에 해당하는 경우의 IP 주소
• 온라인 식별자
• 위치 정보
• 거래 정보
• 기기 관련 정보
• 인증 정보
• 고객 기록
• 마케팅 프로필
• 일부 쿠키 및 추적 정보

특정 기술적 식별자가 개인데이터에 해당하는지는 그것이 식별되거나 식별될 수 있는 자연인과 관련되는지에 따라 달라집니다.

KVKK는 특별 범주 개인데이터에 대해 추가 요건도 정하고 있습니다.

KVKK의 처리 원칙

제4조는 개인데이터 처리의 기본 원칙을 정합니다. 개인데이터는 법과 관련 법 원칙에 따라 처리되어야 하며, 여기에는 다음이 포함됩니다.

• 적법성과 공정성 – 처리는 적용 법령의 요건을 충족하고 공정하게 이루어져야 합니다.
• 정확성 – 개인데이터는 정확해야 하며 필요한 경우 최신 상태로 유지되어야 합니다.
• 목적 제한 – 데이터는 특정되고 명시적이며 정당한 목적을 위해 처리되어야 합니다.
• 데이터 최소화 – 개인데이터는 처리 목적에 비추어 관련성이 있고 제한적이며 비례적이어야 합니다.
• 보관 기간 제한 – 데이터는 적용 법령이 정한 기간 또는 처리 목적에 필요한 기간 동안 보관되어야 합니다.

이러한 원칙은 수집과 동의에서 보관, 이용, 제공, 삭제에 이르는 데이터 생애주기 전반에서 고려되어야 합니다.

KVKK에서 명시적 동의란?

KVKK는 명시적 동의를 자유롭게 제공되고 구체적이며 충분한 정보에 기반한 동의로 정의합니다. 따라서 동의는 정보주체의 의사를 적극적이고 의미 있게 표현한 것이어야 합니다.

동의 관리에서는 다음을 피해야 합니다.

• 미리 선택된 동의 항목
• 모호하거나 포괄적인 동의
• 불분명한 목적
• 숨겨진 동의 장치
• 관련 없는 처리와 불필요하게 묶인 동의
• 거부를 불필요하게 어렵게 만드는 화면 설계

KVKK 당국은 명시적 동의의 세 가지 핵심 요소로 특정된 대상, 정보 제공, 자유로운 선택을 강조했습니다.

동의 철회

처리가 명시적 동의에 기반하는 경우, 조직은 그 동의 관계를 관리할 실무적 장치를 마련해야 합니다. 동의 관리 시스템은 다음을 가능하게 해야 합니다.

• 동의가 언제 이루어졌는지 기록
• 동의가 무엇을 포함했는지 기록
• 해당 목적 기록
• 이용자의 선택 기록
• 동의 증적 보관
• 동의 설정 변경 지원
• 철회 기록 보관
• 동의가 적용 법적 근거이고 철회된 경우 이후 처리를 방지

ConsentX는 조직이 이러한 기술적 통제를 실제로 구현하도록 지원할 수 있습니다.

KVKK의 특별 범주 개인데이터

KVKK는 특별 범주 개인데이터에 추가 보호를 부여합니다. 여기에는 다음에 관한 데이터가 포함됩니다.

• 인종
• 민족적 출신
• 정치적 견해
• 철학적 신념
• 종교
• 종파 또는 그 밖의 신념
• 외모
• 단체·재단 또는 노동조합 가입
• 건강
• 성생활
• 형사 유죄판결 및 보안처분
• 생체 데이터
• 유전 데이터

제6조의 중요한 개정이 2024년에 시행되었습니다. 종전 구조는 명시적 동의에만 의존하지 않고 특별 범주를 처리할 수 있는 더 넓은 법정 요건 집합으로 대체되었습니다. 여기에는 일정한 법적 요구, 공중보건 목적, 고용 및 사회보장 관련 의무, 권리 보호, 그 밖에 정해진 사정이 포함됩니다.

따라서 2024년 개정으로 특별 범주 데이터에 관한 기존 동의 흐름을 재검토하는 것이 특히 중요해졌습니다. 민감데이터 처리가 모두 동일한 동의 장치를 사용해야 한다고 가정해서는 안 됩니다.

특별 범주 개인데이터의 처리

특별 범주 데이터를 처리하는 경우 조직은 다음을 판단해야 합니다.

• 어떤 범주의 데이터가 관련되는가?
• 처리의 목적은 무엇인가?
• 제6조의 어떤 요건이 적용되는가?
• 명시적 동의가 필요한가?
• 어떤 추가 보안 조치가 적용되는가?
• 누가 해당 정보에 접근할 수 있는가?
• 얼마나 오래 보관해야 하는가?
• 해당 정보가 다른 당사자에게 이전되는가?
• 튀르키예 밖으로 이전되는가?
• 어떤 증적을 보관해야 하는가?

KVKK는 특별 범주 개인데이터를 처리할 때 위원회가 정하는 적절한 조치도 요구합니다.

개인정보 처리방침과 투명성

KVKK 제10조는 개인데이터를 취득할 때 정보주체에게 고지할 것을 데이터 관리자에게 요구합니다. 고지 내용에는 다음이 포함됩니다.

• 데이터 관리자의 신원
• 해당하는 경우 그 대리인의 신원
• 처리의 목적
• 이전 대상과 이전의 목적
• 수집의 방법과 법적 근거
• 관련 정보주체의 권리

웹사이트와 앱에서는 처리방침이 명확하고 접근 가능하며 데이터 수집 지점과 적절히 연결되어야 합니다.

동의 배너를 완전한 처리방침의 대체물로 취급해서는 안 됩니다.

KVKK의 쿠키와 추적 기술

KVKK는 모든 쿠키가 자동으로 명시적 동의를 요구한다는 뜻이 아닙니다. 적절한 법적 취급은 다음에 따라 달라집니다.

• 해당 쿠키나 추적기가 어떤 정보를 수집하는지
• 그 정보가 개인데이터에 해당하는지
• 왜 사용되는지
• 제5조의 다른 요건이 적용되는지
• 데이터가 제3자에게 제공되는지
• 해당 활동이 국외 이전을 수반하는지
• 특별 범주 정보가 관련되는지

분석, 광고 및 그 밖의 비필수 추적에 대해 조직은 적용되는 KVKK 처리 요건을 평가하고, 필요한 경우 적절한 동의 또는 고지 장치를 구현해야 합니다.

ConsentX는 조직이 쿠키와 추적기를 확인하고 지역별 통제를 적용하도록 지원할 수 있습니다.

KVKK상 정보주체의 권리

제11조는 정보주체에게 여러 권리를 부여합니다. 본인은 다음을 요구할 수 있습니다.

• 자신의 개인데이터가 처리되는지에 대한 확인
• 처리에 관한 정보
• 처리 목적에 관한 정보
• 자신의 데이터를 제공받는 제3자에 관한 정보
• 부정확하거나 불완전한 데이터의 정정
• 법정 요건이 충족되는 경우의 삭제 또는 파기
• 정정 또는 삭제 사실의 관련 제3자 통지
• 전적으로 자동화된 처리로 발생한 일부 불리한 결과에 대한 이의
• 위법한 처리로 발생한 손해의 배상

KVKK상 정보주체의 요청

정보주체는 KVKK가 정한 절차에 따라 데이터 관리자에게 요청을 제출할 수 있습니다. 관리자는 원칙적으로 가능한 한 빨리, 최장 30일 이내에 요청 처리를 완료해야 합니다. 요청은 일반적으로 무료이지만, 적용 규정이 정한 경우 수수료가 허용될 수 있습니다.

ConsentX는 다음 업무 흐름을 지원할 수 있습니다.

• 요청 접수
• 본인 확인 절차
• 요청 진행 관리
• 증적 수집
• 내부 담당 배정
• 기한 관리
• 회신 기록
• 감사 추적

KVKK의 데이터 보안

제12조는 적절한 수준의 보안을 확보하기 위해 필요한 기술적·관리적 조치를 취할 것을 데이터 관리자에게 요구합니다. 이러한 조치는 다음을 방지하기 위한 것입니다.

• 위법한 처리
• 위법한 접근
• 개인데이터의 분실 또는 훼손

데이터 관리자는 데이터 보안 요건의 준수에 관하여 적절한 감사를 수행하거나 수행하도록 해야 합니다.

처리가 데이터 처리자에 의해 수행되는 경우에도 적절한 보안 조치에 대한 책임은 데이터 관리자에게 남습니다.

KVKK의 침해 신고

관리자가 처리하는 개인데이터가 타인에 의해 위법하게 취득된 경우, 관리자는 최단 기간 내에 정보주체와 위원회에 통지해야 합니다. KVKK 위원회는 법률상 “최단 기간”을 침해를 인지한 후 늦어도 72시간 이내로 해석합니다. 72시간 내에 통지를 완료할 수 없는 경우에는 지연 사유를 포함해야 합니다.

조직은 다음을 유지해야 합니다.

• 침해 탐지 절차
• 침해사고 대응 프로세스
• 침해 기록
• 내부 에스컬레이션 절차
• 규제기관 신고 절차
• 정보주체 통지 절차

데이터 관리자와 데이터 처리자

KVKK는 개인데이터 처리의 목적과 수단을 결정하는 조직인 데이터 관리자와, 데이터 관리자를 위하여 개인데이터를 처리하는 사람 또는 조직인 데이터 처리자를 구분합니다.

데이터 처리자의 예:

• 클라우드 서비스 제공업체
• 호스팅 업체
• CRM 제공업체
• 이메일 발송 플랫폼
• 분석 서비스 제공업체
• 마케팅 기술 제공업체
• 고객지원 플랫폼

데이터 관리자는 처리자를 적절히 관리·감독하고, 처리 관계 전반에서 보안 및 개인정보 보호 의무가 이행되도록 해야 합니다.

KVKK의 국외 데이터 이전

국외 데이터 이전은 KVKK 준수의 핵심 영역입니다. 제9조는 2024년에 크게 개정되어 개인데이터의 국외 이전에 관한 새로운 체계를 도입했습니다. 이 체계에서 이전은 다음과 같은 장치에 근거할 수 있습니다.

• 적정성 결정
• 승인된 구속적 기업규칙
• 위원회가 공표한 표준계약
• 승인된 일정한 서면 약정
• 법이 정한 예외적 이전 사유

표준계약은 국외 이전에 사용할 수 있는 보호조치 중 하나입니다. 법은 서명 후 5영업일 이내에 표준계약을 당국에 신고하도록 요구하며, KVKK 당국은 관리자와 처리자의 다양한 관계를 다루는 표준계약 모델을 공표했습니다.

이는 국제적으로 다음을 이용하는 조직에게 특히 중요합니다.

• 클라우드 인프라
• SaaS 도구
• CRM 플랫폼
• 분석 서비스
• 광고 기술
• 이메일 발송 업체
• 고객지원 시스템

국외 이전과 동의

명시적 동의는 개인데이터를 국외로 이전하는 예외적 장치 중 하나일 수 있지만, 개정 제9조 체계는 일상적인 국외 이전에서 동의를 기본 해법으로 삼지 않습니다.

예외적 이전 요건에 의존하는 경우 법정 요건과 한계를 신중히 검토해야 합니다. 지속적인 국외 이전에 대해서는 일반적으로 적정성 결정이나 적절한 보호조치를 활용할 수 있는지 검토해야 합니다.

VERBİS – 데이터 관리자 등록부

KVKK는 VERBİS로 알려진 데이터 관리자 등록부를 설치합니다. 등록 의무 대상인 데이터 관리자는 등록하고 처리 활동에 관한 정보를 제공해야 합니다. 등록 체계에서는 다음과 같은 정보가 요구될 수 있습니다.

• 관리자의 신원
• 처리 목적
• 정보주체의 범주
• 데이터 범주
• 제공 대상
• 국외 이전
• 보안 조치
• 최대 보관 기간

다만 법은 위원회가 객관적 기준에 따라 면제를 정할 수 있도록 허용합니다. KVKK 위원회는 데이터의 성질과 양, 처리 활동, 조직의 특성 등을 기준으로 면제를 마련했습니다.

2025년의 중요한 위원회 결정은 주된 사업이 특별 범주 개인데이터 처리를 포함하는 일부 소규모 관리자에 대해, 임직원 수와 재무상태 기준을 사용해 면제 범위를 확대했습니다.

따라서 기업은 과거 자료에 실린 임직원 수나 매출 기준에 의존하지 말고, 현재의 VERBİS 등록 상태와 적용되는 면제 기준을 확인해야 합니다.

데이터 보관과 삭제

KVKK는 개인데이터를 관련 법령이 정한 기간 또는 처리 목적에 필요한 기간 동안 보관하도록 요구합니다. 처리를 필요로 하는 사유가 더 이상 존재하지 않는 경우, 개인데이터는 해당하는 바에 따라 삭제·파기 또는 익명화되어야 합니다.

튀르키예에는 개인데이터의 삭제, 파기 또는 익명화에 관한 별도의 규정도 있어 관련 절차를 정하고 있습니다. 따라서 조직은 다음을 포함하는 문서화된 보관 기간표와 삭제 절차를 유지해야 합니다.

• 법령이 정한 보관 기간
• 처리 목적에 연동된 보관 기간
• 삭제 절차
• 파기 절차
• 익명화 절차
• 보관 데이터의 정기 점검
• 삭제가 수행되었다는 증적

자동화된 의사결정

KVKK는 전적으로 자동화된 시스템으로 처리된 개인데이터의 분석에서 비롯된 본인에게 불리한 결과에 이의를 제기할 권리를 인정합니다. 이는 다음을 사용하는 기업과 관련됩니다.

• AI 시스템
• 자동화된 프로파일링
• 자동화된 고객 스코어링
• 부정 탐지
• 채용 관련 기술
• 개인화 시스템
• 자동화된 적격성 판단

AI나 자동 의사결정 시스템을 사용하는 조직은 관련 KVKK 처리 요건, 투명성 의무, 정보주체의 권리, 보안 요건을 평가해야 합니다.

KVKK의 직접 마케팅

마케팅 활동은 다음을 포함한 여러 범주의 개인데이터 처리를 수반할 수 있습니다.

• 이메일 주소
• 전화번호
• 고객 프로필
• 구매 이력
• 행동 정보
• 광고 식별자
• 웹사이트 활동

조직은 적절한 법적 근거를 판단하고, 마케팅 관련 처리가 KVKK의 투명성 및 처리 요건에 부합하도록 해야 합니다.

명시적 동의가 필요한 경우 그 동의는 구체적이고 충분한 정보에 기반하며 자유롭게 제공되어야 하고, 동의 기록을 증적으로 보관해야 합니다.

KVKK의 설계 단계부터의 프라이버시

KVKK가 GDPR의 용어를 그대로 따르지는 않지만, 조직은 프라이버시와 보안 관점을 처음부터 시스템과 절차에 반영해야 합니다. 프라이버시를 고려한 구현에는 다음이 포함될 수 있습니다.

• 데이터 최소화
• 목적에 기반한 수집
• 접근 통제
• 동의 관리
• 개인정보 처리방침
• 보관 기간 통제
• 정보주체 요청 처리 흐름
• 수탁업체 평가
• 국외 이전 평가
• 보안 통제
• 감사 로그

처리 기록과 거버넌스

조직은 다음을 파악하고 있어야 합니다.

• 어떤 개인데이터를 처리하는지
• 왜 처리하는지
• 어디에 저장되는지
• 누가 접근할 수 있는지
• 어떤 수탁업체가 받는지
• 튀르키예 밖으로 나가는지
• 얼마나 오래 보관되는지
• 어떤 법정 요건이 처리를 뒷받침하는지
• 명시적 동의가 필요한지
• 동의가 어떻게 철회되는지
• 정보주체 요청이 어떻게 처리되는지

VERBİS 등록 대상 조직에서는 등록부 정보가 조직의 처리 활동과 연결되어 있으므로, 정확한 처리 정보를 유지하는 것이 특히 중요합니다.

KVKK는 누가 집행하나요?

KVKK는 개인정보보호원(Kişisel Verileri Koruma Kurumu)가 감독하고 집행합니다.

개인정보보호위원회는 민원 처리, 위반 조사, 과징금 부과 등 중요한 규제·감독·집행 기능을 수행합니다.

KVKK에서 동의 관리가 중요한 이유

디지털 사업에서 프라이버시 준수는 개인정보 처리방침을 게시하는 데서 끝나지 않습니다. 하나의 웹사이트에서 정보를 수집하거나 전송하는 기술이 수십 개 작동할 수 있습니다. 예를 들면:

• 분석 도구
• 광고 픽셀
• 소셜미디어 스크립트
• 세션 기록 도구
• 개인화 기술
• 마케팅 태그
• 임베드 콘텐츠
• CRM 연동

견고한 동의 관리 체계는 조직이 이러한 기술을 파악하고, 해당 처리를 통제하며, 이용자 선택의 증적을 보관하도록 돕습니다.

ConsentX는 쿠키 탐지, 동의 관리, 스크립트 사전 차단, 동의 기록, 지역별 규칙, DSAR 워크플로를 결합해 디지털 자산 전반에서 프라이버시 통제를 실제로 운영하도록 지원합니다.

KVKK 준수 체크리스트

이 체크리스트를 준수 프로그램의 출발점으로 활용하세요.

• 개인데이터 처리 활동 파악
• 데이터 관리자와 처리자 확인
• 처리 목적 도식화
• 적용되는 제5조 처리 요건 판단
• 특별 범주 개인데이터 식별
• 해당하는 경우 제6조 요건 평가
• 적절한 개인정보 처리방침 준비
• 쿠키 및 추적 기술 점검
• 명시적 동의가 필요한 지점 판단
• 동의가 자유롭고 구체적이며 충분한 정보에 기반하도록 보장
• 동의 관련 결정 기록
• 동의 철회 수단 제공
• 정보주체 요청 처리 절차 마련
• 30일 회신 기한 관리
• 적절한 보안 조치 시행
• 데이터 침해 대응 프로세스 유지
• 국외 이전 평가
• 해당하는 경우 표준계약 요건 점검
• 해당 표준계약에 대한 5영업일 신고 요건 관리
• VERBİS 등록 요건 평가
• 처리 목록 유지
• 보관 기간 정의
• 삭제 및 익명화 절차 시행
• 수탁업체 및 처리자 관계 점검
• 적절한 감사 증적 유지
• KVKK 위원회 지침과 규제 동향 주시