KVKK

因此，组织应为每项处理活动确定适当的 KVKK 处理条件，而不是为每一种个人数据处理都请求同意。

KVKK 下的明示同意是什么？

KVKK 将明示同意定义为满足以下条件的同意：

• 自由作出
• 具体
• 知情

因此，同意应当是数据主体意愿的积极且有意义的表达。

同意管理应当避免：

• 预先勾选的同意选项
• 含糊或笼统的同意
• 不明确的目的
• 隐藏的同意机制
• 不必要地与无关处理捆绑的同意
• 使拒绝变得不必要困难的界面

KVKK 主管机构强调了明示同意的三个核心要素：特定事项、信息告知和自由选择。

撤回同意

当处理以明示同意为依据时，组织应提供一种切实可行的机制来管理同意关系。

同意管理系统应使组织能够：

• 记录同意的给予时间
• 记录同意所涵盖的内容
• 记录相关目的
• 记录用户的选择
• 保存同意证据
• 支持同意偏好的更改
• 保存撤回记录
• 在同意为适用法律依据且已被撤回时，阻止后续处理

ConsentX 可以帮助组织落实这些技术控制措施。

KVKK 下的特殊类别个人数据

KVKK 为特殊类别个人数据提供额外保护。

这些数据包括与以下方面相关的数据：

• 种族
• 民族出身
• 政治观点
• 哲学信仰
• 宗教
• 宗教派别或其他信仰
• 外貌
• 协会、基金会或工会成员身份
• 健康
• 性生活
• 刑事定罪和安全措施
• 生物识别数据
• 基因数据

2024年特殊类别数据的变化

对第6条的重大修订已于2024年生效。

原有结构被一套更广泛的法定条件所取代，据此，特殊类别数据可以在不完全依赖明示同意的情况下进行处理。这些条件包括某些法律要求、公共卫生目的、就业和社会保障义务、权利保护以及其他特定情形。

因此，2024年的修订使组织重新评估针对特殊类别数据的既有同意流程变得尤为重要。

组织不应自动假定每项涉及敏感数据的处理活动都必须使用相同的同意机制。

特殊类别个人数据的处理

在处理特殊类别数据时，组织应确定：

1. 1涉及哪一类数据？
2. 2处理的目的是什么？
3. 3适用第6条的哪项条件？
4. 4是否需要明示同意？
5. 5适用哪些额外的安全措施？
6. 6谁可以访问这些信息？
7. 7应保留多长时间？
8. 8信息是否被传输给其他方？
9. 9是否被传输到土耳其境外？
10. 10应保留哪些证据？

KVKK 还要求在处理特殊类别个人数据时采取委员会确定的充分措施。

隐私声明与透明度

KVKK 第10条要求数据控制者在获取个人数据时告知数据主体。

告知信息包括：

• 数据控制者的身份
• 其代表的身份（如适用）
• 处理目的
• 传输的接收方和目的
• 收集的方式和法律依据
• 相关的数据主体权利

因此，对于网站和应用程序，隐私声明应当清晰、易于获取，并与数据收集点适当关联。

同意横幅不应被视为完整隐私声明的替代品。

KVKK 下的 Cookie 与跟踪技术

KVKK 并不意味着每个 Cookie 都自动需要明示同意。

适当的法律处理取决于：

• Cookie 或跟踪器收集哪些信息
• 这些信息是否构成个人数据
• 使用它的原因
• 是否适用第5条的其他处理条件
• 数据是否被传输给第三方
• 该活动是否涉及跨境传输
• 是否涉及特殊类别信息

对于分析、广告及其他非必要跟踪，组织应评估适用的 KVKK 处理条件，并在需要时实施适当的同意或告知机制。

ConsentX 可以帮助组织识别 Cookie 和跟踪器，并应用针对特定地区的控制措施。

KVKK 下的数据主体权利

第11条赋予数据主体多项权利。

个人可以请求：

• 确认其个人数据是否被处理
• 有关处理的信息
• 有关处理目的的信息
• 有关接收其数据的第三方的信息
• 更正不准确或不完整的数据
• 在符合法律条件时删除或销毁数据
• 将更正或删除情况通知相关第三方
• 对完全通过自动化处理产生的某些不利结果提出异议
• 就非法处理造成的损害获得赔偿

KVKK 数据主体请求

数据主体可以按照 KVKK 规定的程序向数据控制者提交请求。

控制者通常必须尽快且最迟在30天内完成对请求的处理。请求通常是免费的，但在适用规则规定的情形下可以收取费用。

ConsentX 可以为以下方面的业务工作流程提供支持：

• 请求受理
• 身份验证工作流程
• 请求跟踪
• 证据收集
• 内部分派
• 截止期限监控
• 答复记录
• 审计追踪

KVKK 下的数据安全

第12条要求数据控制者采取必要的技术和组织措施，以提供适当水平的安全保障。

这些措施旨在防止：

• 非法处理
• 非法访问
• 个人数据的丢失或泄露

数据控制者还必须就数据安全要求的遵守情况进行或安排适当的审计。

当处理由数据处理者执行时，数据控制者仍对适当的安全措施负责。

KVKK 数据泄露通知

当控制者处理的个人数据被他人非法获取时，控制者必须在最短时间内通知数据主体和委员会。

KVKK 委员会将法定表述“最短时间”解释为不迟于知悉泄露后72小时。如无法在72小时内完成通知，应说明延迟的原因。

组织应当保持：

• 泄露检测程序
• 事件响应流程
• 泄露记录文件
• 内部上报程序
• 监管通知工作流程
• 数据主体沟通程序

数据控制者与数据处理者

KVKK 区分以下两者：

数据控制者

决定个人数据处理目的和方式的组织。

数据处理者

代表数据控制者处理个人数据的个人或组织。

处理者的示例可能包括：

• 云服务提供商
• 托管公司
• CRM 提供商
• 电子邮件平台
• 分析服务提供商
• 营销技术提供商
• 客户支持平台

数据控制者应对处理者保持适当的监督，并确保在整个处理关系中落实安全和隐私义务。

KVKK 下的跨境数据传输

跨境数据传输是 KVKK 合规的一个重要领域。

第9条已于2024年作出重大修订，为向境外传输个人数据引入了新的框架。

根据修订后的框架，传输可以依据以下机制进行：

• 充分性决定
• 经批准的约束性公司规则
• 委员会发布的标准合同
• 某些经批准的书面承诺
• 特定的例外传输情形

标准合同

标准合同是可用于跨境传输的保障措施之一。

该法要求标准合同在签署后五个工作日内通知主管机构。

KVKK 主管机构已发布涵盖不同控制者与处理者关系的标准合同范本。

这对于使用以下国际服务的组织尤为重要：

• 云基础设施
• SaaS 工具
• CRM 平台
• 分析服务
• 广告技术
• 电子邮件服务提供商
• 客户支持系统

跨境传输与同意

明示同意可以作为向境外传输个人数据的例外机制之一，但修订后的第9条框架并未使同意成为常规跨境传输的默认解决方案。

在依赖例外传输条件时，必须审慎评估相关法定要求和限制。

对于持续进行的跨境传输，组织通常应评估是否存在充分性决定或适当的保障措施。

VERBİS——数据控制者登记册

KVKK 设立了数据控制者登记册，即 VERBİS。

负有登记义务的数据控制者必须进行登记，并提供有关其处理活动的信息。

登记框架可能要求提供以下信息：

• 控制者身份
• 处理目的
• 数据主体类别
• 数据类别
• 接收方
• 跨境传输
• 安全措施
• 最长存储期限

但是，该法允许委员会根据客观标准设定豁免。

现行 VERBİS 豁免

KVKK 委员会已依据数据的性质和数量、处理活动以及组织特征等标准设定了豁免。

委员会2025年的一项重要决定还依据员工人数和财务余额标准，扩大了对某些主要活动涉及处理特殊类别个人数据的小型控制者的豁免框架。

因此，企业应核实其当前的 VERBİS 登记状态及适用的豁免标准，而不应依赖以往合规资料中公布的旧员工人数或营业额门槛。

数据保留与删除

KVKK 要求个人数据的存储期限为相关法律规定的期限，或为处理目的所需的期限。

当需要处理的理由不复存在时，个人数据应当被：

• 删除
• 销毁
• 匿名化

视情况而定。

土耳其还专门制定了《个人数据删除、销毁或匿名化条例》，为上述活动规定了程序。

因此，组织应保持书面记录的保留计划和删除程序。

自动化决策

KVKK 承认数据主体有权对完全通过自动化系统处理的个人数据分析所产生的对其不利的结果提出异议。

这与使用以下技术的企业相关：

• AI 系统
• 自动化画像
• 自动化客户评分
• 欺诈检测
• 招聘技术
• 个性化系统
• 自动化资格决定

使用 AI 或自动化决策系统的组织应评估相关的 KVKK 处理条件、透明度义务、数据主体权利和安全要求。

KVKK 下的直接营销

营销活动可能涉及多种类别的个人数据处理，包括：

• 电子邮件地址
• 电话号码
• 客户画像
• 购买历史
• 行为信息
• 广告标识符
• 网站活动

组织应确定适当的法律依据，并确保与营销相关的处理符合 KVKK 的透明度和处理要求。

在需要明示同意时，同意应当具体、知情且自由作出。

还应保存同意记录作为证据。

KVKK 下的隐私设计

尽管 KVKK 并未简单照搬 GDPR 的术语，组织仍应从一开始就将隐私和安全考量纳入系统和流程。

注重隐私的实施方式可以包括：

• 数据最小化
• 基于目的的收集
• 访问控制
• 同意管理
• 隐私声明
• 保留控制
• 数据主体请求工作流程
• 供应商评估
• 跨境传输评估
• 安全控制
• 审计日志

数据处理记录与治理

组织应清楚掌握：

• 处理哪些个人数据
• 为何处理这些数据
• 数据存储在何处
• 谁可以访问
• 哪些供应商接收这些数据
• 数据是否离开土耳其
• 数据保留多长时间
• 哪项法律条件支持处理
• 是否需要明示同意
• 如何撤回同意
• 如何处理数据主体请求

对于须进行 VERBİS 登记的组织，保持准确的处理信息尤为重要，因为登记信息与组织的处理活动相关联。

KVKK 的执法与处罚

个人数据保护委员会负责 KVKK 框架下的监管执法。

该法对以下违规行为规定了行政罚款：

• 未履行告知义务
• 未履行数据安全义务
• 未遵守委员会的决定
• 未遵守 VERBİS 义务
• 未遵守跨境传输标准合同的通知要求

罚款金额每年调整。主管机构每个日历年发布更新后的行政罚款金额。

因此，严重的合规失误可能带来重大的财务和运营风险。

谁负责执行 KVKK？

KVKK 的监督和执行机构是：

个人数据保护局（Kişisel Verileri Koruma Kurumu）

个人数据保护委员会履行重要的监管、监督和执法职能，包括处理投诉、审查违规行为和实施行政处罚。