Traitement licite des données personnelles selon la KVKK : les bases légales
Si votre société traite des données personnelles liées à la Türkiye, chaque activité de traitement doit reposer sur une base légale prévue par la loi turque sur la protection des données (Kişisel Verilerin Korunması Kanunu n° 6698, ou « KVKKKVKKLoi n° 6698 sur la protection des données personnellesLa loi turque sur la protection des données — collecte, conservation et transfert des données personnelles, et l'autorité qui les fait respecter.Lexique → »). Pour les données personnelles ordinaires, cela signifie soit le consentement explicite de la personne (açık rıza), soit l'un des fondements juridiques alternatifs énumérés à l'article 5/2 — comme une obligation légale, l'exécution d'un contrat ou votre intérêt légitime. Les catégories particulières de données personnelles (özel nitelikli kişisel veri) relèvent d'un régime plus strict prévu à l'article 6, qui a été considérablement élargi par la loi n° 7499 en 2024. Ce guide explique chaque base en termes clairs afin que vous puissiez rattacher vos flux de données à un fondement juridique défendable.
Ce que signifie le « traitement licite » selon la KVKK
En vertu de la loi turque sur la protection des données (Kişisel Verilerin Korunması Kanunu n° 6698), vous ne pouvez pas traiter de données personnelles sans disposer d'une base légale pour le faire. Le « traitement » est défini de manière très large — collecter, enregistrer, conserver, organiser, transférer, divulguer ou même supprimer des données, tout cela compte. La question n'est donc pas de savoir si vous traitez des données personnelles ; si vous manipulez une quelconque information relative à une personne identifiée ou identifiable, c'est le cas. La vraie question est de savoir quel fondement juridique soutient chaque activité.
Deux rôles importent ici. Le responsable du traitement (veri sorumlusu) est la partie qui décide pourquoi et comment les données sont traitées — généralement votre société. Le sous-traitant (veri işleyen) traite les données pour le compte du responsable, sous ses instructions, comme un hébergeur cloud ou un prestataire de paie. L'obligation d'identifier une base légale incombe au responsable du traitement.
La structure de la loi. L'article 4 énonce les principes généraux que toute activité de traitement doit respecter. L'article 5 régit les bases légales pour les données personnelles ordinaires. L'article 6 fixe un régime plus strict pour les catégories particulières de données personnelles. Vous lisez ces dispositions ensemble : une base valable au titre de l'article 5 ou 6 est nécessaire, mais vous devez également respecter les principes de l'article 4.
Les principes de l'article 4 qui s'appliquent à toute base
Avant même d'aborder les bases légales, l'article 4 impose des principes qui lient tout traitement, quel que soit le fondement invoqué. Le choix d'une base légale ne vous dispense pas de ces principes. En termes clairs, votre traitement doit être :
- Licite et loyal (hukuka ve dürüstlük kurallarına uygun). Vous traitez les données honnêtement, dans le respect de la loi, et d'une manière à laquelle la personne peut raisonnablement s'attendre.
- Exact et, lorsque c'est nécessaire, tenu à jour. Vous prenez des mesures raisonnables pour corriger les données erronées.
- Traité pour des finalités déterminées, explicites et légitimes (limitation des finalités). Vous décidez de la finalité avant de collecter, et vous ne réaffectez pas discrètement les données par la suite.
- Pertinent, limité et proportionné à la finalité (minimisation des données). Vous ne collectez que ce dont vous avez réellement besoin — pas « tout, au cas où ».
- Conservé uniquement aussi longtemps que nécessaire (limitation de la conservation). Lorsque la raison légale ou commerciale prend fin, vous supprimez, détruisez ou anonymisez les données.
Un test utile : si vous ne pouvez pas expliquer, en une phrase, pourquoi vous conservez un champ de données donné et combien de temps vous le garderez, ce champ ne respecte probablement pas l'article 4 — quelle que soit la base légale que vous avez inscrite.
Le consentement explicite (açık rıza) — et pourquoi il est souvent la base la plus faible
La première base à laquelle on pense est le consentement explicite (açık rıza). Selon la KVKK, un consentement explicite valable doit être (1) lié à un objet précis, (2) fondé sur une information adéquate fournie au préalable, et (3) donné librement. Une case précochée, une clause générale du type « j'accepte tout », ou un consentement enfoui dans des conditions sans rapport ne seront en règle générale pas valables.
Deux caractéristiques du consentement le rendent fragile comme base pour un traitement commercial courant :
- Il peut être retiré. La personne peut revenir sur son consentement, et dès qu'elle le fait, votre fondement juridique pour cette activité disparaît. Si vous vous appuyiez uniquement sur le consentement, vous devez arrêter.
- Il ne peut pas être une condition du service lorsque le traitement n'est pas véritablement nécessaire à ce service. Un consentement que la personne n'avait pas réellement le choix de donner n'est pas « donné librement », et n'est donc pas valable.
C'est pourquoi les responsables du traitement réservent généralement le consentement aux traitements qui n'ont pas d'autre fondement — par exemple le marketing facultatif — et se tournent d'abord vers les bases alternatives de l'article 5/2 pour les traitements qu'ils doivent effectuer pour gérer la relation.
N'empilez pas le consentement sur une autre base valable « par précaution ». Si vous indiquez à une personne que ses données sont traitées sur la base du consentement et qu'elle le retire, vous pourriez devoir arrêter alors même qu'un fondement contractuel ou d'obligation légale existait. Choisissez la base qui correspond réellement, et appuyez-vous uniquement sur celle-là.
Les bases légales alternatives de l'article 5/2
L'article 5/2 vous permet de traiter des données personnelles ordinaires sans consentement lorsque l'une des conditions qu'il énumère s'applique. Ce sont les piliers de la conformité au quotidien. En termes clairs, vous pouvez traiter des données personnelles lorsque :
- Cela est expressément prévu par la loi. Un texte législatif autorise ou exige directement le traitement.
- Cela est nécessaire pour protéger la vie ou l'intégrité physique d'une personne qui ne peut donner son consentement (par exemple en raison d'une incapacité physique) ou dont le consentement n'est pas juridiquement valable.
- Cela est nécessaire à l'exécution d'un contrat — directement lié à la conclusion ou à l'exécution d'un contrat avec la personne. Traiter l'adresse d'un client pour livrer une commande en est un exemple classique.
- Cela est nécessaire pour que le responsable du traitement respecte une obligation légale. Les obligations fiscales, sociales et comptables relèvent couramment de ce cas.
- Les données ont été rendues publiques par la personne elle-même. Vous pouvez les traiter de manière conforme à la finalité de cette divulgation.
- Cela est nécessaire à la constitution, à l'exercice ou à la protection d'un droit en justice. Par exemple, conserver des documents pour se défendre dans un litige futur.
- Cela est nécessaire aux intérêts légitimes du responsable du traitement (meşru menfaat), à condition que cela ne porte pas atteinte aux droits et libertés fondamentaux de la personne.
Le dernier fondement — l'intérêt légitime — est souple mais exige une véritable mise en balance. Vous devez peser votre intérêt commercial contre les droits et les attentes de la personne, et documenter pourquoi votre intérêt ne prévaut pas sur eux. Ce n'est pas un fourre-tout ; c'est un jugement justifié et consigné.
Rattachez chaque activité de traitement à un fondement précis de l'article 5/2, et non à plusieurs à la fois. « Envoyer la facture » relève de la nécessité contractuelle ou de l'obligation légale ; « tenir un registre de prévention de la fraude » relève plus probablement de l'intérêt légitime. C'est ce rattachement clair que vous présenterez si l'autorité (Kurum) vous le demande.
Les données sensibles (article 6) après la loi n° 7499 (2024)
Les catégories particulières de données personnelles (özel nitelikli kişisel veri) sont traitées plus strictement parce qu'un usage abusif cause un préjudice plus grave. Selon la KVKK, elles comprennent les données relatives à la santé et à la vie sexuelle, à l'origine raciale ou ethnique, aux opinions politiques, aux convictions philosophiques, à la religion ou à la confession, à l'apparence, à l'appartenance à une association, une fondation ou un syndicat, aux condamnations pénales et mesures de sûreté, ainsi que les données biométriques et génétiques.
Le régime applicable à ces données a sensiblement changé avec la loi n° 7499 de 2024, qui a modifié l'article 6. Avant cette modification, le traitement de données sensibles sans consentement explicite n'était possible que dans des situations étroites et propres à chaque catégorie. La modification a élargi les fondements juridiques alternatifs, de sorte que les données sensibles peuvent désormais être traitées sans consentement explicite dans un ensemble plus large de circonstances définies — par exemple lorsqu'une loi l'autorise expressément, pour protéger la vie ou l'intégrité physique lorsque le consentement ne peut être obtenu, pour des données que la personne a rendues publiques, pour la constitution ou la protection de droits en justice, et à certaines fins d'emploi, de santé publique et fins similaires prévues par l'article — chacune étant soumise à ses propres conditions et, dans certains cas, à des garanties que l'Autorité de protection des données personnelles (Kurul) peut fixer.
Même après l'élargissement de 2024, l'article 6 reste plus strict que l'article 5. Les fondements disponibles sont plus restreints, plusieurs s'accompagnent de garanties supplémentaires, et le Kurul peut exiger des mesures adéquates additionnelles pour le traitement de données sensibles. Traitez toute donnée relative à la santé, biométrique ou liée aux convictions comme à haut risque et confirmez le fondement précis avant de la traiter.
Comme le texte modifié, sa date d'entrée en vigueur et la liste exacte des fondements autorisés sont détaillés et ont été récemment réformés, vous devez vérifier la rédaction actuelle de l'article 6 par rapport au texte consolidé de la loi pour votre cas d'usage précis, plutôt que de vous fier à un résumé général.
Étapes pratiques pour une société étrangère traitant des données liées à la Türkiye
Si votre société est établie à l'étranger mais traite des données personnelles liées à des personnes ou à des activités en Türkiye, la KVKK peut tout de même s'appliquer à vous, et l'obligation d'établir une base légale est la même. Une approche praticable :
- Recensez vos traitements. Dressez la liste de chaque activité — recrutement, paie, marketing, support, analytique — et des données qu'elle concerne.
- Attribuez une base légale par activité. Pour la plupart des traitements opérationnels, tournez-vous vers l'article 5/2 (nécessité contractuelle, obligation légale, intérêt légitime) avant le consentement.
- Signalez séparément les données sensibles. Tout champ relatif à la santé, biométrique ou lié aux convictions requiert un fondement de l'article 6 et, souvent, des garanties supplémentaires.
- Respectez l'article 4 en permanence. Minimisez ce que vous collectez, fixez des durées de conservation et consignez vos finalités.
- Vérifiez les obligations de transfert et d'enregistrement. Les règles de transfert à l'étranger (yurt dışına aktarım) et tout enregistrement auprès du registre des responsables du traitement (VERBİS) comportent leurs propres conditions et seuils — ces aspects sont techniques et ont été réformés, alors confirmez ce qui s'applique actuellement à vous.
La charge de démontrer la licéité vous incombe en tant que responsable du traitement. « Nous avions un consentement quelque part » suffit rarement. Un bref registre écrit — activité, base légale, finalité, durée de conservation — fait la différence pratique entre une position défendable et une position exposée.
Questions fréquentes
Avons-nous toujours besoin du consentement pour traiter des données personnelles selon la KVKK ?
Non. Le consentement explicite (açık rıza) n'est que l'une des bases légales. Pour les données personnelles ordinaires, l'article 5/2 de la KVKK n° 6698 prévoit des fondements alternatifs — comme l'obligation légale, l'exécution d'un contrat et l'intérêt légitime du responsable du traitement — qui vous permettent de traiter sans consentement lorsque les conditions sont réunies. Pour une grande partie des traitements commerciaux courants, ces alternatives constituent un fondement plus solide que le consentement, qui peut être retiré.
Qu'est-ce qui constitue une donnée personnelle sensible en Türkiye ?
Selon la KVKK, les catégories particulières (özel nitelikli kişisel veri) comprennent les données relatives à la santé et à la vie sexuelle, à l'origine raciale ou ethnique, aux opinions politiques, aux convictions philosophiques, à la religion ou à la confession, à l'apparence, à l'appartenance à une association, une fondation ou un syndicat, aux condamnations pénales et mesures de sûreté, ainsi que les données biométriques et génétiques. Ces données relèvent du régime plus strict de l'article 6 et requièrent en général un soin et des garanties supplémentaires.
Qu'a changé la loi n° 7499 pour les données sensibles en 2024 ?
La loi n° 7499 a modifié l'article 6 de la KVKK afin d'élargir les fondements juridiques permettant de traiter des données sensibles. Auparavant, le traitement de telles données sans consentement explicite n'était autorisé que dans des situations étroites. La modification a ajouté un ensemble plus large de conditions définies dans lesquelles les données sensibles peuvent être traitées sans consentement explicite, chacune avec ses propres exigences. Comme la rédaction et la date d'entrée en vigueur ont été récemment réformées, les fondements exacts en vigueur doivent être vérifiés par rapport au texte consolidé de la loi.
Pouvons-nous nous appuyer sur l'intérêt légitime pour traiter des données en Türkiye ?
Oui, pour les données personnelles ordinaires, l'article 5/2 de la KVKK reconnaît l'intérêt légitime du responsable du traitement (meşru menfaat) comme base légale — mais uniquement lorsque le traitement ne porte pas atteinte aux droits et libertés fondamentaux de la personne. Cela exige une mise en balance documentée pesant votre intérêt contre les droits et les attentes raisonnables de l'individu. Ce n'est pas un fourre-tout, et cela ne s'applique pas aux données sensibles, régies par l'article 6.
La KVKK s'applique-t-elle à une société étrangère sans bureau en Türkiye ?
C'est possible. Les obligations de la KVKK peuvent atteindre des responsables du traitement étrangers qui traitent des données personnelles liées à des personnes ou à des activités en Türkiye. Si la KVKK s'applique à votre traitement, vous devez établir une base légale au titre de l'article 5 ou 6, respecter les principes de l'article 4 et observer les règles de transfert et d'enregistrement. Savoir si et comment la loi s'applique à votre structure précise est une question de fait qu'il vaut la peine de confirmer avec un conseil turc.
