遵守土耳其 KVKK 的要求

KVKK 是什么？

第 6698 号《个人数据保护法》是土耳其综合性的个人数据保护法。其目的在于保护基本权利与自由，尤其是隐私权，同时确立适用于处理个人数据的个人与组织的原则和义务。

该法适用于全部或部分通过自动化方式进行的处理，以及构成数据档案系统一部分的某些非自动化处理。它确立了以下角色：

• 数据控制者（Veri Sorumlusu）——决定处理的目的和方式。
• 数据处理者（Veri İşleyen）——代表数据控制者处理个人数据。
• 数据主体——其个人数据被处理的个人。
• 个人数据保护委员会——监管决策机构。
• 个人数据保护局——支撑监管框架的机构。

KVKK 于 2016 年 3 月 24 日颁布，并于 2016 年 4 月 7 日在官方公报公布。此后该框架历经修订，其中 2024 年生效的重要修订尤其涉及特殊类别个人数据和跨境数据传输。

KVKK 覆盖的组织

KVKK 适用于处于其适用范围内、并处理该法所涵盖个人数据的组织与个人。例如：

• 土耳其企业
• 用人单位
• 电子商务企业
• 银行与金融机构
• 医疗机构
• 教育机构
• 科技企业
• SaaS 提供商
• 广告与营销企业
• 电信运营商
• 在线市场平台
• 移动应用
• 网站与数字平台
• 公共机构
• 处理员工数据的组织
• 使用客户或潜在客户数据库的组织

在土耳其境外设立的组织也可能承担 KVKK 下的义务，具体取决于其处理活动以及与土耳其数据主体的关系。

对于在土耳其运营网站、移动应用、SaaS 平台、电子商务服务或其他数字产品的企业而言，KVKK 合规可能涉及同意管理、隐私声明、处理条件评估、安全控制、数据主体请求处理、VERBİS 义务以及跨境传输保障措施。

KVKK 保护哪些数据？

KVKK 涵盖与已识别或可识别个人有关的个人数据。例如：

• 姓名
• 电子邮件地址
• 电话号码
• 邮寄地址
• 身份识别信息
• 客户账户信息
• 员工信息
• 构成个人数据时的 IP 地址
• 在线标识符
• 位置信息
• 交易信息
• 与设备相关的信息
• 身份认证信息
• 客户记录
• 营销画像
• 某些 Cookie 与跟踪信息

某一技术性标识符是否构成个人数据，取决于它是否与已识别或可识别的自然人相关。

KVKK 还对特殊类别个人数据规定了额外要求。

KVKK 的处理原则

第 4 条确立了处理个人数据的基本原则。个人数据必须依照法律及相关法律原则处理，其中包括：

• 合法与公平——处理必须符合适用的法律要求，并以公平方式进行。
• 准确——个人数据应准确，并在必要时保持更新。
• 目的限制——数据应为特定、明确且正当的目的而处理。
• 数据最小化——个人数据应与处理目的相关、限于必要且适度。
• 存储限制——数据的保留期限应为适用法律规定的期限，或处理目的所需的期限。

这些原则应贯穿数据的整个生命周期，从收集和同意到存储、使用、共享与删除。

KVKK 下的明示同意是什么？

KVKK 将明示同意界定为自由作出、具体且知情的同意。因此，同意应是数据主体意愿的积极且有意义的表达。

同意管理应避免：

• 预先勾选的同意选项
• 含糊或笼统的同意
• 目的不清
• 隐蔽的同意机制
• 与无关处理不必要地捆绑在一起的同意
• 使拒绝变得不必要困难的界面

KVKK 当局强调了明示同意的三个核心要素：特定的对象、信息告知与自由选择。

同意撤回

当处理以明示同意为基础时，组织应提供管理该同意关系的实用机制。同意管理系统应能够：

• 记录同意作出的时间
• 记录同意所涵盖的范围
• 记录相关目的
• 记录用户的选择
• 留存同意的证据
• 支持同意偏好的变更
• 保存撤回记录
• 在同意为适用法律依据且已被撤回时，阻止后续处理

ConsentX 可帮助组织将这些技术控制落到实处。

KVKK 下的特殊类别个人数据

KVKK 对特殊类别个人数据提供额外保护，其中包括与以下事项有关的数据：

• 种族
• 族裔出身
• 政治观点
• 哲学信念
• 宗教
• 宗教派别或其他信仰
• 外貌
• 协会、基金会或工会成员身份
• 健康
• 性生活
• 刑事定罪与保安处分
• 生物识别数据
• 基因数据

第 6 条的重要修订已于 2024 年生效。原有结构被一套更宽的法定条件所取代，使特殊类别得以在不完全依赖明示同意的情况下被处理，包括某些法律要求、公共卫生目的、劳动与社会保障义务、权利保护以及其他规定情形。

因此，2024 年修订使重新审视既有的特殊类别数据同意流程尤为重要，而不应假定所有敏感数据处理都必须使用同一套同意机制。

特殊类别个人数据的处理

在处理特殊类别数据时，组织应判断：

• 涉及哪一类别的数据？
• 处理的目的是什么？
• 适用第 6 条的哪一条件？
• 是否需要明示同意？
• 适用哪些额外的安全措施？
• 谁可以访问这些信息？
• 应保留多长时间？
• 这些信息是否会传输给其他方？
• 是否会传输至土耳其境外？
• 应保留哪些证据？

在处理特殊类别个人数据时，KVKK 还要求采取由委员会确定的充分措施。

隐私声明与透明度

KVKK 第 10 条要求数据控制者在取得个人数据时向数据主体作出告知。告知内容包括：

• 数据控制者的身份
• 适用时其代表的身份
• 处理的目的
• 传输的接收方与目的
• 收集的方式与法律依据
• 相关的数据主体权利

对网站和应用而言，隐私声明应清晰、易于获取，并与数据收集环节适当衔接。

不应把同意横幅视为完整隐私声明的替代。

KVKK 下的 Cookie 与跟踪技术

KVKK 并不意味着每个 Cookie 都自动需要明示同意。恰当的法律处理取决于：

• 该 Cookie 或跟踪器收集哪些信息
• 这些信息是否构成个人数据
• 为何使用
• 是否适用第 5 条的其他条件
• 数据是否传输给第三方
• 该活动是否涉及跨境传输
• 是否涉及特殊类别信息

对于分析、广告及其他非必要跟踪，组织应评估适用的 KVKK 处理条件，并在需要时实施适当的同意或告知机制。

ConsentX 可帮助组织识别 Cookie 与跟踪器，并应用按地区区分的控制。

KVKK 下数据主体的权利

第 11 条赋予数据主体多项权利。个人可以要求：

• 确认其个人数据是否被处理
• 了解处理的相关信息
• 了解处理目的的信息
• 了解接收其数据的第三方信息
• 更正不准确或不完整的数据
• 在符合法定条件时删除或销毁数据
• 将更正或删除情况通知相关第三方
• 对仅通过自动化处理产生的某些不利结果提出反对
• 就非法处理造成的损害获得赔偿

KVKK 下的数据主体请求

数据主体可依照 KVKK 规定的程序向数据控制者提出请求。控制者通常应尽快、并至多在 30 天内办结请求。请求一般免费，但在适用规则界定的情形下可以收取费用。

ConsentX 可支持下列运营流程：

• 请求受理
• 身份核验流程
• 请求进度跟踪
• 证据收集
• 内部分派
• 期限监控
• 答复留档
• 审计轨迹

KVKK 下的数据安全

第 12 条要求数据控制者采取必要的技术与组织措施，以提供适当水平的安全保障。这些措施旨在防止：

• 非法处理
• 非法访问
• 个人数据的丢失或受损

数据控制者还必须自行开展或安排开展关于数据安全要求遵守情况的适当审计。

当处理由数据处理者执行时，采取适当安全措施的责任仍由数据控制者承担。

KVKK 下的数据泄露通报

当控制者处理的个人数据被他人非法获取时，控制者必须在最短时间内通知数据主体和委员会。KVKK 委员会将法定表述“最短时间”解释为在知悉泄露后不晚于 72 小时。若无法在 72 小时内完成通报，应说明延迟原因。

组织应保持：

• 泄露检测程序
• 事件响应流程
• 泄露记录
• 内部升级程序
• 向监管机构通报的流程
• 向数据主体沟通的程序

数据控制者与数据处理者

KVKK 区分数据控制者与数据处理者：前者是决定个人数据处理目的和方式的组织，后者是代表数据控制者处理个人数据的个人或组织。

数据处理者的例子包括：

• 云服务提供商
• 主机托管公司
• CRM 提供商
• 邮件平台
• 分析服务提供商
• 营销技术提供商
• 客户支持平台

数据控制者应对处理者保持适当监督，并确保在整个处理关系中履行安全与隐私义务。

KVKK 下的跨境数据传输

跨境数据传输是 KVKK 合规的重点领域。第 9 条已于 2024 年作出重大修订，为个人数据出境引入了新的框架。在该框架下，传输可依赖以下机制：

• 充分性决定
• 获批的约束性企业规则
• 由委员会公布的标准合同
• 某些经批准的书面承诺
• 法律规定的例外传输情形

标准合同是跨境传输可用的保障措施之一。法律要求在签署后五个工作日内向当局备案标准合同，KVKK 当局已公布覆盖控制者与处理者不同关系的标准合同范本。

这对于在国际范围内使用以下资源的组织尤为重要：

• 云基础设施
• SaaS 工具
• CRM 平台
• 分析服务
• 广告技术
• 邮件服务提供商
• 客户支持系统

跨境传输与同意

明示同意可以是将个人数据传输至境外的例外机制之一，但修订后的第 9 条框架并未把同意作为常规跨境传输的默认方案。

在依赖例外传输条件时，必须仔细评估法定要求与限制。对于持续性的跨境传输，组织通常应评估是否可以适用充分性决定或适当的保障措施。

VERBİS——数据控制者登记系统

KVKK 设立了称为 VERBİS 的数据控制者登记系统。属于登记义务范围的数据控制者必须登记并提供其处理活动的相关信息。登记框架可能要求以下信息：

• 控制者身份
• 处理目的
• 数据主体类别
• 数据类别
• 接收方
• 跨境传输
• 安全措施
• 最长存储期限

不过，法律允许委员会依客观标准设定豁免。KVKK 委员会已基于数据的性质与数量、处理活动以及组织特征等标准确立了豁免。

2025 年一项重要的委员会决定还扩大了豁免框架，覆盖主要业务涉及处理特殊类别个人数据的部分小型控制者，采用员工人数与资产负债规模的标准。

因此，企业应核实自身当前的 VERBİS 登记状态与适用的豁免标准，而不应依赖旧版合规资料中公布的员工人数或营收门槛。

数据留存与删除

KVKK 要求个人数据的存储期限为相关立法规定的期限，或处理目的所需的期限。当要求处理的理由不再存在时，个人数据应视情形予以删除、销毁或匿名化。

土耳其还设有关于个人数据删除、销毁或匿名化的专门条例，规定了相应程序。因此，组织应维护书面化的留存期限表和删除流程，涵盖：

• 立法规定的留存期限
• 与处理目的挂钩的留存期限
• 删除程序
• 销毁程序
• 匿名化程序
• 对所存数据的定期复核
• 已执行删除的证据

自动化决策

KVKK 承认数据主体有权反对仅通过自动化系统处理个人数据所作分析而产生的对其不利的结果。这与使用以下技术的企业相关：

• AI 系统
• 自动化画像
• 自动化客户评分
• 欺诈检测
• 招聘技术
• 个性化系统
• 自动化的资格判定

使用 AI 或自动化决策系统的组织，应评估相关的 KVKK 处理条件、透明度义务、数据主体权利与安全要求。

KVKK 下的直接营销

营销活动可能涉及多类个人数据处理，包括：

• 电子邮件地址
• 电话号码
• 客户画像
• 购买历史
• 行为信息
• 广告标识符
• 网站活动

组织应确定适当的法律依据，并确保与营销相关的处理符合 KVKK 的透明度与处理要求。

在需要明示同意时，同意应具体、知情且自由作出，并应保存同意记录作为证据。

KVKK 下的隐私设计

虽然 KVKK 并未照搬 GDPR 的术语，但组织仍应从一开始就把隐私与安全考量纳入系统与流程。注重隐私的落地实践可包括：

• 数据最小化
• 基于目的的收集
• 访问控制
• 同意管理
• 隐私声明
• 留存控制
• 数据主体请求处理流程
• 供应商评估
• 跨境传输评估
• 安全控制
• 审计日志

处理记录与治理

组织应对以下事项保持清晰掌握：

• 处理了哪些个人数据
• 为何处理
• 存储在何处
• 谁可以访问
• 哪些供应商会接收
• 是否离开土耳其
• 保留多长时间
• 哪一法定条件支撑该处理
• 是否需要明示同意
• 同意如何撤回
• 数据主体请求如何处理

对于属于 VERBİS 登记范围的组织，保持处理信息准确尤为重要，因为登记信息与组织的处理活动相互关联。

谁执行 KVKK？

KVKK 由个人数据保护局（Kişisel Verileri Koruma Kurumu）监督并执行。

个人数据保护委员会承担重要的监管、监督与执法职能，包括处理投诉、调查违法行为以及作出行政处罚。

为什么 KVKK 下的同意管理很重要

对数字业务而言，隐私合规并不止于发布一份隐私政策。一个网站可能涉及数十项收集或传输信息的技术，包括：

• 分析工具
• 广告像素
• 社交媒体脚本
• 会话录制工具
• 个性化技术
• 营销标签
• 嵌入内容
• CRM 集成

稳健的同意管理系统有助于组织了解这些技术、控制相应处理，并保存用户选择的证据。

ConsentX 将 Cookie 发现、同意管理、脚本预先拦截、同意记录、区域规则与 DSAR 工作流结合起来，帮助企业在各数字资产上把隐私控制落到实处。

KVKK 合规清单

可将此清单作为合规工作的起点：

• 梳理个人数据处理活动
• 厘清数据控制者与处理者
• 梳理处理目的
• 确定适用的第 5 条处理条件
• 识别特殊类别个人数据
• 在适用时评估第 6 条的条件
• 准备适当的隐私声明
• 审查 Cookie 与跟踪技术
• 确定哪些环节需要明示同意
• 确保同意自由作出、具体且知情
• 记录同意相关决定
• 提供撤回同意的机制
• 建立数据主体请求处理程序
• 监控 30 天答复期限
• 落实适当的安全措施
• 保持数据泄露响应流程
• 评估跨境传输
• 在适用时审查标准合同要求
• 跟踪相关标准合同的五个工作日备案要求
• 评估 VERBİS 登记要求
• 维护处理活动清单
• 确定留存期限
• 落实删除与匿名化程序
• 审查供应商与处理者关系
• 保存适当的审计证据
• 关注 KVKK 委员会的指引与监管动态