Répondre aux demandes des personnes concernées sous la KVKK turque
Si votre entreprise traite des données à caractère personnel liées à la Türkiye, des particuliers peuvent vous demander ce que vous détenez à leur sujet et exiger que vous y donniez suite. En vertu de la loi turque sur la protection des données personnelles (Kişisel Verilerin Korunması Kanunu No. 6698, « KVKKKVKKLoi n° 6698 sur la protection des données personnellesLa loi turque sur la protection des données — collecte, conservation et transfert des données personnelles, et l'autorité qui les fait respecter.Lexique → »), l'article 11 confère à chaque personne concernée (ilgili kişi) un ensemble de droits — savoir si ses données sont traitées, demander des informations et des copies, et demander la rectification, l'effacement ou s'opposer au traitement — et l'article 13 vous oblige, en tant que responsable du traitement (veri sorumlusu), à recevoir sa demande et à y répondre dans le délai fixé par la loi. Ce guide explique la procédure que votre entreprise doit mettre en place, le délai que vous devez respecter et ce qui se passe si la personne porte l'affaire devant l'Autorité de protection des données personnelles (Kişisel Verileri Koruma Kurulu).
Quels droits une personne concernée détient-elle au titre de l'article 11 de la KVKK ?
L'article 11 de la loi n° 6698 énumère les droits qu'un particulier peut exercer à votre encontre. En termes simples, toute personne dont vous traitez les données peut vous demander de :
- Confirmer si vous traitez ou non ses données — un simple oui ou non.
- Demander des informations sur ce traitement s'il existe, y compris la finalité et le fait que les données soient utilisées conformément à cette finalité.
- Connaître les destinataires — à qui les données ont été transférées, en Türkiye ou à l'étranger.
- Demander la rectification si les données sont incomplètes ou inexactes, et vous demander d'en informer les tiers à qui vous les avez communiquées.
- Demander l'effacement ou la destruction lorsque les fondements juridiques du traitement ont disparu, là encore avec notification aux destinataires.
- S'opposer à un résultat produit exclusivement par une analyse automatisée qui lui est défavorable.
- Réclamer une indemnisation pour le préjudice causé par un traitement illicite (cette partie relève des tribunaux, et non de votre service interne).
L'expression « personne concernée » (ilgili kişi) désigne simplement la personne physique vivante à laquelle se rapportent les données — un client, un salarié, un visiteur de site web, un candidat à un emploi. Ces droits appartiennent à la personne, et non à votre entreprise, et vous ne pouvez pas les écarter par contrat.
Comment une demande vous parvient en vertu de l'article 13
L'article 13 définit le canal. La personne concernée adresse une demande écrite au responsable du traitement — c'est-à-dire à votre entreprise — ou utilise une autre méthode que le Kurul a approuvée pour les responsables enregistrés. Vous ne pouvez pas exiger que la demande revête une forme particulière si la loi et les orientations du Kurul en autorisent d'autres ; ce qui compte, c'est que vous puissiez identifier la personne et comprendre ce qu'elle souhaite.
Votre première tâche est la vérification. Avant de divulguer la moindre donnée à caractère personnel, assurez-vous que le demandeur est bien celui qu'il prétend être. Remettre les données d'autrui à un imposteur constitue en soi une violation. Maintenez votre contrôle d'identité proportionné — suffisant pour être sûr, sans être si lourd qu'il fasse obstacle à une demande légitime.
Construisez le dispositif de réception avant que la demande n'arrive. Décidez à l'avance : quelle boîte de réception ou adresse reçoit les demandes, qui est responsable du dossier, comment vous vérifiez l'identité, et où vous consignez le départ du délai. Une demande que vous ne retrouvez pas est une demande à laquelle vous répondrez en retard.
Notez que l'article 13 dirige la demande d'abord vers le responsable du traitement. Une personne concernée ne peut normalement pas saisir directement le Kurul sans vous laisser la possibilité de répondre. Cela fait de votre processus interne la première ligne de conformité.
Le délai de réponse — répondre dans le délai légal
C'est là que les entreprises se trompent le plus souvent. L'article 13 vous impose de traiter la demande dans les meilleurs délais et, au plus tard, dans un délai de 30 jours, gratuitement en principe. Si la réponse nécessite un coût distinct, un tarif fixé par le Kurul peut autoriser la perception de frais.
Ce que dit la loi : l'article 13 de la KVKK impose au responsable du traitement de conclure la demande d'une personne concernée au plus tard dans un délai de 30 jours à compter de sa réception, gratuitement en principe (le Kurul peut fixer un tarif lorsque la réponse entraîne un coût réel). Le délai court à partir du moment où une demande valable vous parvient.
« Conclure » signifie donner une véritable réponse — accepter la demande et y donner suite, ou la rejeter en la motivant. Le silence n'est pas une option. Si vous refusez, vous devez exposer par écrit le fondement juridique du refus. Une réponse tardive, vague ou non motivée est traitée à peu près comme une absence de réponse et vous expose à une plainte.
Conseil pratique : consignez la date à laquelle la demande valable vous est parvenue, inscrivez immédiatement l'échéance au calendrier et visez une réponse bien avant. Prévoyez du temps pour les contrôles d'identité et pour extraire les données de vos systèmes et de vos prestataires — ces étapes grignotent souvent le calendrier.
Comment traiter chaque type de demande en pratique
Le droit exercé façonne votre réponse :
Demandes d'accès et d'information
Interrogez vos systèmes, confirmez si vous détenez ou non les données de la personne, et expliquez la finalité, le fondement juridique et les destinataires (nationaux et transfrontaliers). Communiquez les données propres à la personne — mais veillez à ne pas révéler au passage les données à caractère personnel de tiers.
Demandes de rectification
Corrigez les données inexactes ou incomplètes lorsque la demande est justifiée et, lorsque l'article 11 l'exige, informez les tiers avec lesquels vous les aviez précédemment partagées.
Demandes d'effacement et de destruction
Examinez s'il subsiste un fondement licite au traitement. Si un fondement demeure — par exemple une obligation légale de conservation au titre du droit fiscal, commercial ou du travail — vous pouvez légitimement refuser et devez le dire en le motivant. Si aucun fondement ne subsiste, supprimez ou détruisez les données et informez-en les destinataires.
Droit applicable : les droits substantiels figurent à l'article 11 de la loi n° 6698 ; l'obligation de demande et de réponse figure à l'article 13. Les données à caractère particulier (sensibles) (özel nitelikli kişisel veri) et les transferts transfrontaliers (yurt dışına aktarım) sont régis par des dispositions distinctes (notamment les articles 6 et 9), tous deux réécrits par la loi n° 7499 de 2024 — appliquez le texte en vigueur, et non un commentaire ancien.
Lorsqu'une demande touche à des données sensibles (santé, données biométriques, informations religieuses ou politiques) ou vous demande de confirmer un transfert à l'étranger, l'analyse est plus délicate depuis les modifications de 2024. Traitez ces cas comme relevant d'un examen juridique plutôt que d'une réponse de routine.
Lorsque la personne concernée porte plainte devant le Kurul
Si vous refusez la demande, manquez le délai ou apportez une réponse insuffisante, l'étape suivante pour la personne concernée est une plainte auprès de l'Autorité de protection des données personnelles (Kişisel Verileri Koruma Kurulu). La loi attend de la personne qu'elle s'adresse d'abord à vous, puis qu'elle porte l'affaire plus haut — généralement dans des délais déterminés courant à compter de votre réponse (ou du moment où votre réponse était due). Le Kurul peut examiner la plainte, vous demander des explications et des documents, et déterminer si vous vous êtes conformé.
Si le Kurul constate une violation, il peut vous ordonner d'y remédier et infliger des amendes administratives. Les fourchettes d'amendes sont fixées par la loi et actualisées périodiquement.
N'indiquez pas de mémoire les montants des amendes, les délais de plainte ou les délais de notification de violation. Les fourchettes des sanctions pécuniaires, le nombre de jours dans lequel une personne concernée peut porter plainte après votre réponse, ainsi que tout délai de notification d'une violation de données à caractère personnel au Kurul sont des chiffres précis figurant dans la loi n° 6698 et les décisions du Kurul. Vérifiez chacun d'eux auprès des sources en vigueur avant de le citer.
La leçon pour votre entreprise est préventive : une réponse propre, documentée et dans les délais est votre meilleure protection. Lorsque le Kurul examine une plainte, votre journal de réception daté, vos étapes de vérification d'identité et vos motifs écrits sont la preuve que vous avez rempli votre obligation au titre de l'article 13.
Ce que les entreprises étrangères devraient mettre en place
Si vous êtes établi hors de Türkiye mais traitez des données liées à des personnes qui s'y trouvent, vous n'échappez pas à la portée de la KVKK. Mettez en place les éléments suivants avant qu'une demande n'arrive :
- Un canal de réception identifié pour les demandes des personnes concernées, surveillé les jours ouvrés.
- Une étape de vérification d'identité ferme mais proportionnée.
- Un suivi des délais qui fait courir le compteur dès la réception et signale tôt l'échéance légale.
- Des modèles de réponse pour les réponses d'acceptation, partielles et de refus — chacune motivée.
- Une cartographie des données pour pouvoir réellement retrouver et extraire les données de la personne dans vos systèmes et chez vos prestataires.
- Une règle d'escalade renvoyant les questions de données sensibles et de transfert transfrontalier vers un examen juridique.
Les responsables enregistrés doivent également tenir à jour leurs obligations KVKK plus larges — vos mentions d'information sur la confidentialité, vos fondements licites, vos mécanismes de transfert et, le cas échéant, votre inscription au registre des responsables (VERBİS). La question de savoir si votre traitement franchit un seuil d'inscription, et ce qu'exigent les règles en vigueur après les modifications de 2024, doit être vérifiée avec un avocat turc spécialisé en protection des données plutôt que présumée.
Un bref examen juridique de votre flux de réception et de vos modèles aujourd'hui revient bien moins cher que de défendre une plainte devant le Kurul plus tard. Lexin Legal conseille les entreprises étrangères dans la mise en place et la conduite de processus de traitement des demandes des personnes concernées conformes à la KVKK.
Questions fréquentes
Qu'est-ce qu'une demande d'une personne concernée au sens de la KVKK ?
Il s'agit d'une demande qu'un particulier (la « personne concernée » / ilgili kişi) adresse à votre entreprise au titre de l'article 11 de la loi n° 6698 — par exemple, pour savoir si vous traitez ses données, pour obtenir des informations à leur sujet, ou pour vous demander de corriger, de supprimer ou d'arrêter certains traitements. L'article 13 vous impose, en tant que responsable du traitement (veri sorumlusu), de recevoir la demande et d'y répondre dans le délai fixé par la loi.
De combien de temps une entreprise dispose-t-elle pour répondre à une demande KVKK ?
L'article 13 vous impose de conclure une demande valable dans les meilleurs délais et, au plus tard, dans le délai maximal fixé par la loi n° 6698. Ce délai correspond à un nombre de jours précis énoncé dans la loi — vous devez vérifier le chiffre en vigueur dans le texte actuel avant de vous y fier, car vous engager sur un chiffre erroné dans une politique ou une réponse crée un risque. Visez une réponse bien avant l'échéance.
Une entreprise étrangère peut-elle être soumise aux demandes des personnes concernées au titre de la KVKK ?
Oui. Si votre entreprise traite des données à caractère personnel liées à des personnes en Türkiye, la KVKK peut s'appliquer à vous même si vous êtes établi à l'étranger. Vous devriez mettre en place un processus documenté de réception, de vérification et de réponse, et prendre conseil en droit turc sur la question de savoir si vous devez vous enregistrer et sur les cas limites impliquant des données sensibles ou des transferts.
Que se passe-t-il si nous refusons la demande d'une personne concernée ?
Vous pouvez refuser lorsque la loi l'autorise — par exemple lorsqu'une obligation de conservation ou un autre fondement licite s'applique encore — mais vous devez répondre par écrit et de manière motivée dans le délai légal. Si la personne n'est pas d'accord, elle peut porter plainte devant l'Autorité de protection des données personnelles (Kişisel Verileri Koruma Kurulu), qui peut enquêter et, si elle constate une violation, ordonner des mesures correctives et infliger des amendes administratives.
La modification de la KVKK de 2024 a-t-elle changé la manière dont nous traitons les demandes ?
La loi n° 7499 de 2024 a modifié des parties importantes du régime — notamment les règles relatives aux données à caractère particulier (sensibles) (özel nitelikli kişisel veri) et aux transferts transfrontaliers (yurt dışına aktarım) au titre des articles 6 et 9. Les droits fondamentaux de l'article 11 et l'obligation de réponse de l'article 13 demeurent, mais la manière dont vous appréciez les questions de données sensibles et de transfert a évolué ; traitez donc les orientations antérieures à 2024 avec prudence et vérifiez les règles en vigueur.
Pouvons-nous facturer des frais pour répondre à une demande ?
En principe, la réponse est gratuite. Si la conclusion de la demande entraîne un coût distinct, la loi autorise la perception de frais dans la limite d'un tarif que le Kurul peut fixer. Vérifiez le tarif en vigueur avant toute facturation et n'utilisez jamais des frais pour décourager une demande légitime.
