KVKK

Поэтому организациям следует определять надлежащее условие обработки по KVKK для каждой операции обработки, а не запрашивать согласие на каждый вид обработки персональных данных.

Что такое явное согласие по KVKK?

KVKK определяет явное согласие как согласие, которое является:

• Свободно выраженным
• Конкретным
• Информированным

Поэтому согласие должно представлять собой позитивное и осмысленное выражение воли субъекта данных.

При управлении согласием следует избегать:

• Заранее отмеченных вариантов согласия
• Расплывчатого или общего согласия
• Неясных целей
• Скрытых механизмов получения согласия
• Необоснованного объединения согласия с не связанной с ним обработкой
• Интерфейсов, которые без необходимости затрудняют отказ

Орган KVKK подчеркнул три основных элемента явного согласия: конкретный предмет, информированность и свободный выбор.

Отзыв согласия

Если обработка основана на явном согласии, организациям следует предусмотреть практический механизм управления отношениями, связанными с согласием.

Система управления согласием должна позволять организациям:

• Фиксировать, когда было дано согласие
• Фиксировать, что охватывало согласие
• Фиксировать соответствующую цель
• Фиксировать выбор пользователя
• Хранить доказательства согласия
• Поддерживать изменение предпочтений в отношении согласия
• Вести записи об отзывах согласия
• Предотвращать последующую обработку, если согласие является применимым правовым основанием и было отозвано

ConsentX может помочь организациям внедрить эти технические меры на практике.

Особые категории персональных данных по KVKK

KVKK предусматривает дополнительную защиту для особых категорий персональных данных.

К ним относятся данные, касающиеся:

• Расы
• Этнического происхождения
• Политических взглядов
• Философских убеждений
• Религии
• Религиозного течения или иных убеждений
• Внешности
• Членства в ассоциациях, фондах или профсоюзах
• Здоровья
• Половой жизни
• Уголовных судимостей и мер безопасности
• Биометрических данных
• Генетических данных

Изменения 2024 года в отношении данных особых категорий

В 2024 году вступили в силу существенные поправки к статье 6.

Прежняя структура была заменена более широким набором установленных законом условий, при которых особые категории могут обрабатываться, не опираясь исключительно на явное согласие. К ним относятся определённые правовые требования, цели общественного здравоохранения, обязанности в сфере занятости и социального обеспечения, защита прав и другие установленные случаи.

Поэтому поправки 2024 года делают особенно важным для организаций пересмотр прежних процессов получения согласия в отношении данных особых категорий.

Организациям не следует автоматически исходить из того, что каждая операция обработки с участием чувствительных данных должна использовать один и тот же механизм согласия.

Обработка особых категорий персональных данных

При обработке данных особых категорий организациям следует определить:

1. 1О какой категории данных идёт речь?
2. 2Какова цель обработки?
3. 3Какое условие статьи 6 применяется?
4. 4Требуется ли явное согласие?
5. 5Какие дополнительные меры безопасности применяются?
6. 6Кто может получить доступ к информации?
7. 7Как долго её следует хранить?
8. 8Передаётся ли информация другой стороне?
9. 9Передаётся ли она за пределы Турции?
10. 10Какие доказательства следует сохранять?

KVKK также требует принятия достаточных мер, определённых Советом, при обработке особых категорий персональных данных.

Уведомления о конфиденциальности и прозрачность

Статья 10 KVKK обязывает операторов данных информировать субъектов данных при получении персональных данных.

Информация включает:

• Сведения об операторе данных
• Сведения о его представителе, если применимо
• Цель обработки
• Получателей и цели передач
• Способ и правовое основание сбора
• Соответствующие права субъекта данных

Поэтому для веб-сайтов и приложений уведомления о конфиденциальности должны быть понятными, доступными и надлежащим образом связанными с точкой сбора данных.

Баннеры согласия не следует рассматривать как замену полноценного уведомления о конфиденциальности.

Cookie и технологии отслеживания по KVKK

KVKK не означает, что каждый cookie автоматически требует явного согласия.

Надлежащий правовой режим зависит от того:

• Какую информацию собирает cookie или трекер
• Являются ли эти сведения персональными данными
• Для чего они используются
• Применяется ли иное условие обработки по статье 5
• Передаются ли данные третьим лицам
• Связана ли деятельность с международными передачами
• Затрагиваются ли сведения особых категорий

Для аналитики, рекламы и другого несущественного отслеживания организациям следует оценить применимое условие обработки по KVKK и при необходимости внедрить надлежащий механизм согласия или уведомления.

ConsentX может помочь организациям выявлять cookie и трекеры и применять региональные меры контроля.

Права субъектов данных по KVKK

Статья 11 предоставляет субъектам данных ряд прав.

Физические лица могут запрашивать:

• Подтверждение того, обрабатываются ли их персональные данные
• Информацию об обработке
• Информацию о целях обработки
• Информацию о третьих лицах, получающих их данные
• Исправление неточных или неполных данных
• Удаление или уничтожение при наличии предусмотренных законом условий
• Уведомление соответствующих третьих лиц об исправлениях или удалениях
• Возражение против определённых неблагоприятных результатов, полученных исключительно посредством автоматизированной обработки
• Возмещение ущерба, причинённого незаконной обработкой

Запросы субъектов данных по KVKK

Субъекты данных могут направлять запросы оператору данных в порядке, установленном KVKK.

Оператор, как правило, должен завершить рассмотрение запроса как можно скорее и не позднее чем в течение 30 дней. Запросы, как правило, бесплатны, хотя в случаях, определённых применимыми правилами, может допускаться взимание платы.

ConsentX может поддерживать рабочие процессы для:

• Приёма запросов
• Процессов проверки личности
• Отслеживания запросов
• Сбора доказательств
• Внутреннего распределения
• Контроля сроков
• Документирования ответов
• Журналов аудита

Безопасность данных по KVKK

Статья 12 обязывает операторов данных принимать необходимые технические и организационные меры для обеспечения надлежащего уровня безопасности.

Эти меры призваны предотвращать:

• Незаконную обработку
• Незаконный доступ
• Утрату или компрометацию персональных данных

Операторы данных также должны проводить или организовывать надлежащие проверки соблюдения требований к безопасности данных.

Если обработку выполняет обработчик данных, оператор данных сохраняет ответственность за надлежащие меры безопасности.

Уведомление об утечке данных по KVKK

Если персональные данные, обрабатываемые оператором, незаконно получены другими лицами, оператор должен уведомить субъекта данных и Совет в кратчайший срок.

Совет KVKK истолковал законодательную формулировку «кратчайший срок» как не позднее 72 часов с момента, когда стало известно об утечке. Если уведомление не может быть направлено в течение 72 часов, следует указать причины задержки.

Организациям следует поддерживать:

• Процедуры обнаружения утечек
• Процессы реагирования на инциденты
• Документацию по утечкам
• Внутренние процедуры эскалации
• Процессы уведомления регулятора
• Процедуры информирования субъектов данных

Операторы данных и обработчики данных

KVKK разграничивает:

Оператор данных

Организация, которая определяет цели и средства обработки персональных данных.

Обработчик данных

Лицо или организация, обрабатывающие персональные данные от имени оператора данных.

Примерами обработчиков могут быть:

• Поставщики облачных услуг
• Хостинговые компании
• Поставщики CRM
• Платформы электронной почты
• Поставщики аналитики
• Поставщики маркетинговых технологий
• Платформы поддержки клиентов

Оператору данных следует обеспечивать надлежащий контроль над обработчиками и следить за тем, чтобы обязательства в сфере безопасности и конфиденциальности соблюдались на протяжении всех отношений по обработке.

Международные передачи данных по KVKK

Международные передачи данных — одна из основных областей соблюдения KVKK.

Статья 9 была существенно изменена в 2024 году, в результате чего был введён новый режим передачи персональных данных за рубеж.

В рамках изменённого режима передачи могут основываться на таких механизмах, как:

• Решение об адекватности
• Утверждённые обязательные корпоративные правила
• Стандартные договоры, опубликованные Советом
• Определённые утверждённые письменные обязательства
• Установленные исключительные обстоятельства передачи

Стандартные договоры

Стандартные договоры — одна из гарантий, доступных для международных передач.

Закон требует, чтобы стандартный договор был направлен в Орган в течение пяти рабочих дней после подписания.

Орган KVKK опубликовал типовые стандартные договоры, охватывающие различные отношения между операторами и обработчиками.

Это особенно важно для организаций, использующих зарубежные:

• Облачную инфраструктуру
• SaaS-инструменты
• CRM-платформы
• Аналитические сервисы
• Рекламные технологии
• Почтовые сервисы
• Системы поддержки клиентов

Международные передачи и согласие

Явное согласие может быть одним из исключительных механизмов передачи персональных данных за рубеж, однако изменённый режим статьи 9 не делает согласие решением по умолчанию для регулярных международных передач.

При использовании исключительных условий передачи необходимо тщательно оценивать установленные законом требования и ограничения.

Для постоянных международных передач организациям, как правило, следует оценить, имеется ли решение об адекватности или надлежащая гарантия.

VERBİS — Реестр операторов данных

KVKK учреждает Реестр операторов данных, известный как VERBİS.

Операторы данных, на которых распространяется обязанность регистрации, должны зарегистрироваться и предоставить сведения о своей деятельности по обработке.

Система регистрации может требовать таких сведений, как:

• Сведения об операторе
• Цели обработки
• Категории субъектов данных
• Категории данных
• Получатели
• Международные передачи
• Меры безопасности
• Максимальные сроки хранения

Однако закон позволяет Совету устанавливать исключения на основе объективных критериев.

Действующие исключения из VERBİS

Совет KVKK установил исключения с использованием критериев, включающих характер и объём данных, деятельность по обработке и особенности организации.

Важное решение Совета 2025 года также расширило систему исключений для определённых небольших операторов, основная деятельность которых связана с обработкой персональных данных особых категорий, с использованием критериев численности сотрудников и финансового баланса.

Поэтому компаниям следует проверять свой текущий статус регистрации в VERBİS и применимые критерии исключения, а не полагаться на устаревшие пороговые значения численности сотрудников или выручки, опубликованные в прежних материалах по соблюдению требований.

Хранение и удаление данных

KVKK требует хранить персональные данные в течение срока, установленного соответствующим законодательством, или в течение срока, необходимого для цели обработки.

Если основания, требующие обработки, перестали существовать, персональные данные должны быть:

• Удалены
• Уничтожены
• Анонимизированы

в зависимости от обстоятельств.

В Турции также действует специальное Положение об удалении, уничтожении или анонимизации персональных данных, которое устанавливает порядок этих действий.

Поэтому организациям следует вести документированные графики хранения и процедуры удаления.

Автоматизированное принятие решений

KVKK признаёт право субъекта данных возражать против неблагоприятного для него результата, полученного путём анализа персональных данных, обработанных исключительно с помощью автоматизированных систем.

Это актуально для компаний, использующих:

• Системы ИИ
• Автоматизированное профилирование
• Автоматизированный скоринг клиентов
• Выявление мошенничества
• Технологии подбора персонала
• Системы персонализации
• Автоматизированные решения о соответствии критериям

Организациям, использующим ИИ или системы автоматизированного принятия решений, следует оценить соответствующие условия обработки по KVKK, обязанности по обеспечению прозрачности, права субъектов данных и требования к безопасности.

Прямой маркетинг по KVKK

Маркетинговая деятельность может включать обработку персональных данных нескольких категорий, в том числе:

• Адреса электронной почты
• Номера телефонов
• Профили клиентов
• Историю покупок
• Поведенческую информацию
• Рекламные идентификаторы
• Активность на веб-сайте

Организациям следует определить надлежащее правовое основание и обеспечить соответствие обработки, связанной с маркетингом, требованиям KVKK к прозрачности и обработке.

Если требуется явное согласие, оно должно быть конкретным, информированным и свободно выраженным.

Записи о согласии также следует хранить в качестве доказательств.

Встроенная конфиденциальность по KVKK

Хотя KVKK не просто воспроизводит терминологию GDPR, организациям следует с самого начала учитывать вопросы конфиденциальности и безопасности в системах и процессах.

Внедрение с учётом конфиденциальности может включать:

• Минимизацию данных
• Сбор данных с учётом цели
• Контроль доступа
• Управление согласием
• Уведомления о конфиденциальности
• Контроль сроков хранения
• Процессы обработки запросов субъектов данных
• Оценку поставщиков
• Оценку международных передач
• Меры безопасности
• Журналирование для аудита

Учёт обработки данных и управление

Организациям следует иметь чёткое представление о том:

• Какие персональные данные они обрабатывают
• Зачем они их обрабатывают
• Где они хранятся
• Кто имеет к ним доступ
• Какие поставщики их получают
• Покидают ли они Турцию
• Как долго они хранятся
• Какое правовое условие обосновывает обработку
• Требуется ли явное согласие
• Как отзывается согласие
• Как обрабатываются запросы субъектов данных

Для организаций, подлежащих регистрации в VERBİS, поддержание точных сведений об обработке особенно важно, поскольку данные реестра связаны с деятельностью организации по обработке.

Обеспечение соблюдения KVKK и санкции

Совет по защите персональных данных отвечает за обеспечение соблюдения требований в рамках системы KVKK.

Закон предусматривает административные штрафы за нарушения, в том числе за:

• Неисполнение обязанности по информированию
• Несоблюдение обязанностей по безопасности данных
• Неисполнение решений Совета
• Несоблюдение обязанностей в отношении VERBİS
• Несоблюдение требования об уведомлении о стандартном договоре для международных передач

Денежные суммы подлежат ежегодной корректировке. Орган ежегодно публикует обновлённые размеры административных штрафов на каждый календарный год.

Поэтому серьёзные нарушения требований могут повлечь значительные финансовые и операционные риски.

Кто обеспечивает соблюдение KVKK?

Надзор за соблюдением KVKK и его применение осуществляет:

Орган по защите персональных данных (Kişisel Verileri Koruma Kurumu)

Совет по защите персональных данных выполняет важные регуляторные, надзорные и правоприменительные функции, включая рассмотрение жалоб, изучение нарушений и наложение административных санкций.