Соответствие турецкому закону KVKK (№ 6698)

Что такое KVKK?

Закон о защите персональных данных № 6698 — это комплексный турецкий закон о защите данных. Его цель — защита основных прав и свобод, прежде всего права на неприкосновенность частной жизни, и одновременно установление принципов и обязанностей для лиц и организаций, обрабатывающих персональные данные.

Закон применяется к обработке, полностью или частично автоматизированной, а также к отдельным неавтоматизированным операциям, входящим в картотеку данных. Он закрепляет следующие роли:

• Контролер данных (Veri Sorumlusu) — определяет цели и способы обработки.
• Обработчик данных (Veri İşleyen) — обрабатывает персональные данные по поручению контролера.
• Субъект данных — лицо, чьи персональные данные обрабатываются.
• Совет по защите персональных данных — орган, принимающий регуляторные решения.
• Управление по защите персональных данных — институциональный орган, обеспечивающий работу регуляторной системы.

KVKK был принят 24 марта 2016 года и опубликован в Официальном вестнике 7 апреля 2016 года. С тех пор в него вносились изменения, в том числе существенные поправки, вступившие в силу в 2024 году и касающиеся прежде всего особых категорий персональных данных и международных передач данных.

Организации, охваченные KVKK

KVKK применяется к организациям и лицам, которые попадают в сферу его действия и обрабатывают охваченные законом персональные данные. Это может включать:

• Турецкие компании
• Работодателей
• Компании электронной коммерции
• Банки и финансовые организации
• Организации здравоохранения
• Образовательные учреждения
• Технологические компании
• SaaS-провайдеров
• Рекламные и маркетинговые компании
• Операторов связи
• Онлайн-маркетплейсы
• Мобильные приложения
• Сайты и цифровые платформы
• Государственные учреждения
• Организации, обрабатывающие данные работников
• Организации, использующие базы клиентов или потенциальных клиентов

Организации, учрежденные за пределами Турции, также могут иметь обязанности по KVKK — в зависимости от их операций обработки и связи с турецкими субъектами данных.

Для компаний, которые ведут в Турции сайты, мобильные приложения, SaaS-платформы, сервисы электронной коммерции или иные цифровые продукты, соблюдение KVKK может включать управление согласием, уведомления о конфиденциальности, оценку условий обработки, меры безопасности, работу с запросами субъектов данных, обязанности по VERBİS и гарантии для международных передач.

Какие данные защищает KVKK?

KVKK охватывает персональные данные, относящиеся к идентифицированному или идентифицируемому лицу. Примеры:

• Имя
• Адрес электронной почты
• Номер телефона
• Почтовый адрес
• Идентификационные сведения
• Сведения о клиентских учетных записях
• Сведения о работниках
• IP-адреса, когда они являются персональными данными
• Онлайн-идентификаторы
• Данные о местоположении
• Сведения об операциях
• Сведения об устройствах
• Данные аутентификации
• Клиентские записи
• Маркетинговые профили
• Отдельные сведения о файлах cookie и отслеживании

Является ли конкретный технический идентификатор персональными данными, зависит от того, относится ли он к идентифицированному или идентифицируемому физическому лицу.

KVKK также устанавливает дополнительные требования к особым категориям персональных данных.

Принципы обработки по KVKK

Статья 4 закрепляет основные принципы обработки персональных данных. Они должны обрабатываться в соответствии с законом и применимыми правовыми принципами, включая:

• Правомерность и добросовестность — обработка должна соответствовать применимым требованиям закона и осуществляться добросовестно.
• Точность — персональные данные должны быть точными и, при необходимости, актуальными.
• Ограничение цели — данные должны обрабатываться для определенных, явных и законных целей.
• Минимизация данных — персональные данные должны быть относимыми, ограниченными и соразмерными целям обработки.
• Ограничение хранения — данные должны храниться в течение срока, установленного применимым законодательством, либо необходимого для целей обработки.

Эти принципы следует учитывать на всем жизненном цикле данных — от сбора и согласия до хранения, использования, передачи и удаления.

Что такое явное согласие по KVKK?

KVKK определяет явное согласие как согласие, данное свободно, конкретное и информированное. Поэтому оно должно быть положительным и осмысленным выражением воли субъекта данных.

Управление согласием должно избегать:

• Предварительно отмеченных вариантов согласия
• Неопределенного или общего согласия
• Неясных целей
• Скрытых механизмов получения согласия
• Согласия, без необходимости объединенного с несвязанной обработкой
• Интерфейсов, чрезмерно затрудняющих отказ

Орган KVKK подчеркнул три ключевых элемента явного согласия: определенный предмет, информирование и свободу выбора.

Отзыв согласия

Когда обработка основана на явном согласии, организациям следует предусмотреть практичный механизм управления этими согласиями. Система управления согласием должна позволять:

• Фиксировать, когда согласие было дано
• Фиксировать, что охватывало согласие
• Фиксировать соответствующую цель
• Фиксировать выбор пользователя
• Сохранять доказательства согласия
• Поддерживать изменение настроек согласия
• Хранить записи об отзывах
• Не допускать дальнейшей обработки, когда согласие является применимым правовым основанием и было отозвано

ConsentX помогает организациям реализовать эти технические механизмы на практике.

Особые категории персональных данных по KVKK

KVKK предусматривает дополнительную защиту особых категорий персональных данных. К ним относятся данные о:

• Расе
• Этническом происхождении
• Политических взглядах
• Философских убеждениях
• Религии
• Религиозном течении или иных верованиях
• Внешности
• Членстве в объединениях, фондах или профсоюзах
• Здоровье
• Сексуальной жизни
• Судимостях и мерах безопасности
• Биометрических данных
• Генетических данных

В 2024 году вступили в силу существенные поправки к статье 6. Прежняя конструкция заменена более широким набором предусмотренных законом условий, при которых особые категории могут обрабатываться без исключительной опоры на явное согласие: отдельные требования закона, цели общественного здравоохранения, обязанности в сфере занятости и социального обеспечения, защита прав и иные указанные обстоятельства.

Поэтому поправки 2024 года делают особенно важным пересмотр прежних схем согласия для данных особых категорий, а не исходить из того, что любая обработка чувствительных данных должна использовать один и тот же механизм согласия.

Обработка особых категорий персональных данных

Когда обрабатываются данные особых категорий, организациям следует определить:

• Какая категория данных задействована?
• Какова цель обработки?
• Какое условие статьи 6 применяется?
• Требуется ли явное согласие?
• Какие дополнительные меры безопасности применяются?
• Кто может получить доступ к информации?
• Как долго ее следует хранить?
• Передается ли информация другой стороне?
• Передается ли она за пределы Турции?
• Какие доказательства следует сохранить?

KVKK также требует принятия надлежащих мер, определяемых Советом, при обработке особых категорий персональных данных.

Уведомления о конфиденциальности и прозрачность

Статья 10 KVKK требует, чтобы контролеры информировали субъектов данных при получении персональных данных. Информация включает:

• Идентичность контролера
• Идентичность его представителя, где это применимо
• Цель обработки
• Получателей и цели передач
• Способ и правовое основание сбора
• Соответствующие права субъектов данных

Для сайтов и приложений уведомления о конфиденциальности должны быть понятными, доступными и надлежащим образом связанными с точкой сбора данных.

Баннеры согласия не следует считать заменой полного уведомления о конфиденциальности.

Файлы cookie и технологии отслеживания по KVKK

KVKK не означает, что каждый файл cookie автоматически требует явного согласия. Надлежащая правовая оценка зависит от:

• Какие сведения собирает файл cookie или трекер
• Являются ли эти сведения персональными данными
• Зачем он используется
• Применяется ли иное условие статьи 5
• Передаются ли данные третьим лицам
• Связана ли деятельность с международными передачами
• Задействованы ли сведения особых категорий

Для аналитики, рекламы и иного необязательного отслеживания организациям следует оценить применимое условие обработки по KVKK и, где требуется, внедрить подходящий механизм согласия или информирования.

ConsentX помогает организациям находить файлы cookie и трекеры и применять региональные правила.

Права субъектов данных по KVKK

Статья 11 предоставляет субъектам данных ряд прав. Они могут требовать:

• Подтверждения того, обрабатываются ли их персональные данные
• Сведений об обработке
• Сведений о целях обработки
• Сведений о третьих лицах, получающих их данные
• Исправления неточных или неполных данных
• Удаления или уничтожения при наличии предусмотренных законом условий
• Сообщения об исправлениях или удалениях соответствующим третьим лицам
• Возражения против отдельных негативных результатов, полученных исключительно автоматизированной обработкой
• Возмещения вреда, причиненного неправомерной обработкой

Запросы субъектов данных по KVKK

Субъекты данных могут направлять запросы контролеру в порядке, установленном KVKK. Контролер по общему правилу должен завершить рассмотрение запроса как можно скорее и не позднее 30 дней. Запросы, как правило, бесплатны, хотя в случаях, определенных применимыми правилами, может допускаться плата.

ConsentX может поддерживать операционные процессы для:

• Приема запросов
• Процедур подтверждения личности
• Отслеживания запросов
• Сбора доказательств
• Внутреннего распределения
• Контроля сроков
• Документирования ответов
• Аудиторских следов

Безопасность данных по KVKK

Статья 12 требует, чтобы контролеры принимали необходимые технические и организационные меры для обеспечения надлежащего уровня безопасности. Эти меры призваны предотвратить:

• Неправомерную обработку
• Неправомерный доступ
• Утрату или повреждение персональных данных

Контролеры также должны проводить или обеспечивать проведение надлежащих проверок соблюдения требований безопасности данных.

Если обработку выполняет обработчик, ответственность за надлежащие меры безопасности сохраняется за контролером.

Уведомление об инцидентах по KVKK

Если персональные данные, обрабатываемые контролером, неправомерно получены другими лицами, контролер должен уведомить субъекта данных и Совет в кратчайший срок. Совет KVKK трактует законодательную формулировку «кратчайший срок» как не позднее 72 часов с момента, когда стало известно об инциденте. Если уведомление невозможно направить в течение 72 часов, следует указать причины задержки.

Организациям следует поддерживать:

• Процедуры обнаружения инцидентов
• Процессы реагирования на инциденты
• Документирование инцидентов
• Внутренние процедуры эскалации
• Процессы уведомления регулятора
• Процедуры информирования субъектов данных

Контролеры и обработчики данных

KVKK различает контролера — организацию, которая определяет цели и способы обработки персональных данных, — и обработчика, то есть лицо или организацию, которая обрабатывает персональные данные по поручению контролера.

Примеры обработчиков:

• Провайдеры облачных услуг
• Хостинговые компании
• Провайдеры CRM
• Платформы для email-рассылок
• Провайдеры аналитики
• Провайдеры маркетинговых технологий
• Платформы поддержки клиентов

Контролеру следует надлежащим образом контролировать обработчиков и обеспечивать соблюдение обязанностей по безопасности и конфиденциальности на протяжении всей работы с ними.

Международные передачи данных по KVKK

Международные передачи данных — ключевая область соблюдения KVKK. Статья 9 была существенно изменена в 2024 году и ввела новый режим передачи персональных данных за рубеж. В его рамках передачи могут опираться на такие механизмы, как:

• Решение об адекватности
• Утвержденные обязательные корпоративные правила
• Типовые договоры, опубликованные Советом
• Отдельные утвержденные письменные обязательства
• Прямо указанные исключительные обстоятельства передачи

Типовые договоры — одна из доступных гарантий для международных передач. Закон требует уведомить Орган о типовом договоре в течение пяти рабочих дней после его подписания; Орган KVKK опубликовал типовые формы для разных сочетаний контролеров и обработчиков.

Это особенно важно для организаций, которые используют на международном уровне:

• Облачную инфраструктуру
• SaaS-инструменты
• CRM-платформы
• Аналитические сервисы
• Рекламные технологии
• Провайдеров электронной почты
• Системы поддержки клиентов

Международные передачи и согласие

Явное согласие может быть одним из исключительных механизмов передачи персональных данных за рубеж, однако измененная статья 9 не делает согласие решением по умолчанию для регулярных международных передач.

При опоре на исключительные условия передачи следует внимательно оценить установленные законом требования и ограничения. Для постоянных международных передач организациям как правило следует проверить, доступно ли решение об адекватности или подходящая гарантия.

VERBİS — реестр контролеров данных

KVKK учреждает реестр контролеров данных, известный как VERBİS. Контролеры, подпадающие под обязанность регистрации, должны зарегистрироваться и предоставить сведения о своих операциях обработки. Регистрация может требовать таких сведений, как:

• Идентичность контролера
• Цели обработки
• Категории субъектов данных
• Категории данных
• Получатели
• Международные передачи
• Меры безопасности
• Максимальные сроки хранения

При этом закон позволяет Совету устанавливать исключения на основе объективных критериев. Совет KVKK ввел исключения, опираясь в том числе на характер и объем данных, операции обработки и особенности организации.

Важное решение Совета 2025 года также расширило режим исключений для отдельных небольших контролеров, чья основная деятельность связана с обработкой персональных данных особых категорий, — с использованием критериев численности работников и баланса.

Поэтому компаниям следует проверять свой текущий статус регистрации в VERBİS и применимые критерии исключений, а не опираться на устаревшие пороги по численности или выручке из старых материалов по комплаенсу.

Хранение и удаление данных

KVKK требует хранить персональные данные в течение срока, установленного применимым законодательством, либо необходимого для цели обработки. Когда основания для обработки исчезают, персональные данные следует удалить, уничтожить или анонимизировать — в зависимости от случая.

В Турции также действует отдельное постановление об удалении, уничтожении или анонимизации персональных данных, устанавливающее соответствующие процедуры. Поэтому организациям следует поддерживать документированные графики хранения и процедуры удаления, охватывающие:

• Сроки хранения, установленные законодательством
• Сроки хранения, привязанные к цели обработки
• Процедуры удаления
• Процедуры уничтожения
• Процедуры анонимизации
• Периодический пересмотр хранимых данных
• Доказательства того, что удаление было выполнено

Автоматизированное принятие решений

KVKK признает право субъекта данных возражать против неблагоприятного для него результата, возникшего из анализа персональных данных, обработанных исключительно автоматизированными системами. Это актуально для компаний, использующих:

• Системы ИИ
• Автоматизированное профилирование
• Автоматизированный скоринг клиентов
• Выявление мошенничества
• Технологии подбора персонала
• Системы персонализации
• Автоматизированные решения о соответствии условиям

Организациям, использующим ИИ или системы автоматизированных решений, следует оценить применимые условия обработки по KVKK, обязанности по прозрачности, права субъектов данных и требования безопасности.

Прямой маркетинг по KVKK

Маркетинговая деятельность может затрагивать несколько категорий обработки персональных данных, включая:

• Адреса электронной почты
• Номера телефонов
• Профили клиентов
• Историю покупок
• Поведенческие сведения
• Рекламные идентификаторы
• Активность на сайте

Организациям следует определить подходящее правовое основание и обеспечить, чтобы связанная с маркетингом обработка соответствовала требованиям KVKK о прозрачности и условиях обработки.

Когда требуется явное согласие, оно должно быть конкретным, информированным и свободно данным, а записи о согласии следует сохранять как доказательство.

Конфиденциальность на этапе проектирования по KVKK

Хотя KVKK не повторяет терминологию GDPR буквально, организациям следует учитывать вопросы конфиденциальности и безопасности в системах и процессах с самого начала. Реализация с учетом конфиденциальности может включать:

• Минимизацию данных
• Сбор, привязанный к цели
• Управление доступом
• Управление согласием
• Уведомления о конфиденциальности
• Контроль сроков хранения
• Процессы обработки запросов субъектов данных
• Оценку поставщиков
• Оценку международных передач
• Меры безопасности
• Журналирование для аудита

Учет обработки и управление

Организациям следует сохранять понимание того:

• Какие персональные данные они обрабатывают
• Зачем они их обрабатывают
• Где они хранятся
• Кто имеет к ним доступ
• Какие поставщики их получают
• Покидают ли они Турцию
• Как долго они хранятся
• Какое предусмотренное законом условие обосновывает обработку
• Требуется ли явное согласие
• Как согласие отзывается
• Как обрабатываются запросы субъектов данных

Для организаций, подпадающих под регистрацию в VERBİS, поддержание точных сведений об обработке особенно важно, поскольку данные реестра связаны с операциями обработки организации.

Кто обеспечивает исполнение KVKK?

Надзор и исполнение KVKK обеспечивает Управление по защите персональных данных (Kişisel Verileri Koruma Kurumu).

Совет по защите персональных данных выполняет важные регуляторные, надзорные и правоприменительные функции, включая рассмотрение жалоб, изучение нарушений и наложение административных санкций.

Почему управление согласием важно для KVKK

Для цифровых компаний соблюдение требований о конфиденциальности не ограничивается публикацией политики конфиденциальности. На сайте могут работать десятки технологий, которые собирают или передают информацию, в том числе:

• Инструменты аналитики
• Рекламные пиксели
• Скрипты социальных сетей
• Инструменты записи сессий
• Технологии персонализации
• Маркетинговые теги
• Встроенный контент
• Интеграции с CRM

Надежная система управления согласием помогает организациям понимать эти технологии, контролировать соответствующую обработку и сохранять доказательства выбора пользователей.

ConsentX объединяет обнаружение файлов cookie, управление согласием, предварительную блокировку скриптов, записи о согласии, региональные правила и процессы DSAR, помогая компаниям реализовать механизмы защиты приватности на всех цифровых ресурсах.

Чек-лист соблюдения KVKK

Используйте этот чек-лист как отправную точку вашей программы соблюдения требований:

• Определить операции обработки персональных данных
• Определить контролеров и обработчиков
• Составить карту целей обработки
• Определить применимое условие обработки по статье 5
• Выявить особые категории персональных данных
• Оценить условия статьи 6, где это применимо
• Подготовить надлежащие уведомления о конфиденциальности
• Проверить файлы cookie и технологии отслеживания
• Определить, где требуется явное согласие
• Обеспечить, чтобы согласие было свободным, конкретным и информированным
• Фиксировать решения о согласии
• Предусмотреть механизмы отзыва согласия
• Внедрить процедуры обработки запросов субъектов данных
• Контролировать 30-дневный срок ответа
• Внедрить надлежащие меры безопасности
• Поддерживать процесс реагирования на инциденты с данными
• Оценить международные передачи
• Проверить требования к типовым договорам, где это применимо
• Отслеживать требование об уведомлении в течение пяти рабочих дней для соответствующих типовых договоров
• Оценить требования к регистрации в VERBİS
• Вести реестры обработки
• Установить сроки хранения
• Внедрить процедуры удаления и анонимизации
• Проверить отношения с поставщиками и обработчиками
• Сохранять надлежащие доказательства для аудита
• Следить за разъяснениями Совета KVKK и регуляторными изменениями