Ответы на запросы субъектов данных по KVKK Турции

Если ваша компания обрабатывает персональные данные, связанные с Турцией, физические лица вправе спросить, какие сведения о них у вас хранятся, и потребовать определённых действий. Согласно турецкому Закону о защите персональных данных (Kişisel Verilerin Korunması Kanunu No. 6698, «KVKKKVKKЗакон о защите персональных данных № 6698Турецкий закон о защите данных — правила сбора, хранения и передачи персональных данных и орган, который их применяет.Словарь →»), статья 11 наделяет каждого субъекта данных (ilgili kişi) рядом прав — узнать, обрабатываются ли его данные, запросить информацию и копии, потребовать исправления, удаления или заявить возражение, — а статья 13 обязывает вас как ответственного за данные (veri sorumlusu / data controller) принять заявление и ответить на него в срок, установленный законом. В этом руководстве объясняется, какой процесс должна выстроить ваша компания, какой срок необходимо соблюсти и что происходит, если человек обращается в Совет по защите персональных данных (Kişisel Verileri Koruma Kurulu).

Какими правами обладает субъект данных по статье 11 KVKK?

Статья 11 Закона № 6698 перечисляет права, которые человек может реализовать в отношении вас. Проще говоря, любое лицо, чьи данные вы обрабатываете, может потребовать от вас:

• Подтвердить, обрабатываете ли вы вообще его данные — простой ответ «да» или «нет».
• Запросить информацию об этой обработке, если она ведётся, включая её цель и то, используются ли данные в соответствии с этой целью.
• Узнать получателей — кому данные были переданы, внутри Турции или за рубежом.
• Потребовать исправления, если данные неполны или неточны, и потребовать уведомить любых третьих лиц, которым вы их направили.
• Потребовать стирания или уничтожения там, где правовые основания для обработки отпали, опять же с уведомлением получателей.
• Возразить против результата, полученного исключительно автоматизированным анализом и работающего против него.
• Требовать возмещения вреда, причинённого незаконной обработкой (эта часть проходит через суды, а не через вашу внутреннюю службу).

Термин «субъект данных» (ilgili kişi) означает попросту живого человека, к которому относятся данные, — клиента, работника, посетителя сайта, соискателя. Эти права принадлежат человеку, а не вашей компании, и вы не можете отменить их договором.

Как заявление поступает к вам согласно статье 13

Статья 13 устанавливает канал обращения. Субъект данных подаёт письменное заявление ответственному за данные — то есть вашей компании — или использует иной способ, который Совет (Kurul) одобрил для зарегистрированных ответственных. Вы не можете настаивать на том, чтобы запрос имел определённую форму, если закон и разъяснения Совета допускают иные; важно лишь, чтобы вы могли идентифицировать человека и понять, чего он хочет.

Ваша первая задача — проверка личности. Прежде чем раскрыть какие-либо персональные данные, убедитесь, что заявитель — тот, за кого себя выдаёт. Передача чужих данных самозванцу сама по себе является нарушением. Держите проверку личности соразмерной — достаточной, чтобы быть уверенным, но не настолько обременительной, чтобы препятствовать подлинному запросу.

Обратите внимание, что статья 13 направляет заявление сначала ответственному за данные. Субъект данных обычно не может обратиться прямо в Совет, не дав вам возможности ответить. Это делает ваш внутренний процесс передовой линией соблюдения требований.

Срок ответа — ответьте в установленный законом период

Именно здесь компании чаще всего ошибаются. Статья 13 требует, чтобы вы завершили рассмотрение запроса как можно скорее и не позднее чем в течение 30 дней, в принципе бесплатно. Если ответ требует отдельных затрат, тариф, установленный Советом, может допускать взимание платы.

«Завершить» означает дать реальный ответ — принять запрос и исполнить его или отказать с указанием причин. Молчание не допускается. Если вы отказываете, вы должны письменно объяснить правовое основание отказа. Запоздалый, расплывчатый или необоснованный ответ во многом приравнивается к отсутствию ответа и подвергает вас риску жалобы.

Практический совет: зафиксируйте дату поступления действительного заявления, немедленно внесите срок в календарь и стремитесь ответить заметно раньше. Заложите время на проверку личности и на извлечение данных из систем и от поставщиков — эти этапы часто съедают график.

Как на практике рассматривать каждый вид запроса

Реализуемое право определяет ваш ответ:

Запросы о доступе и информации

Проверьте свои системы, подтвердите, храните ли вы данные человека, и объясните цель, правовое основание и получателей (внутри страны и за рубежом). Раскройте собственные данные лица — но будьте осторожны, чтобы при этом не раскрыть персональные данные третьих лиц.

Запросы об исправлении

Исправьте неточные или неполные данные, когда запрос обоснован, и, где того требует статья 11, уведомите третьих лиц, которым вы ранее их передали.

Запросы о стирании и уничтожении

Оцените, существует ли ещё законное основание для обработки. Если основание сохраняется — например, установленная законом обязанность хранения по налоговому, торговому или трудовому праву, — вы можете правомерно отказать и обязаны заявить об этом с указанием причин. Если основание отпало, удалите или уничтожьте данные и уведомите получателей.

Когда запрос затрагивает особо чувствительные данные (сведения о здоровье, биометрию, религиозную или политическую информацию) или требует подтвердить передачу за рубеж, анализ после поправок 2024 года стал тоньше. Рассматривайте такие случаи как требующие юридической проверки, а не рутинного ответа службы.

Когда субъект данных жалуется в Совет (Kurul)

Если вы отказываете в запросе, пропускаете срок или даёте неполноценный ответ, следующий шаг субъекта данных — жалоба в Совет по защите персональных данных (Kişisel Verileri Koruma Kurulu). Закон ожидает, что человек сначала обратится к вам, а затем перейдёт к эскалации — как правило, в установленные сроки, отсчитываемые от вашего ответа (или от момента, когда ответ должен был быть дан). Совет может рассмотреть жалобу, запросить у вас объяснения и документы и решить, выполнили ли вы требования.

Если Совет установит нарушение, он может предписать вам устранить его и наложить административные штрафы. Диапазоны штрафов установлены в Законе и периодически обновляются.

Урок для вашей компании — профилактический: чистый, документированный и своевременный ответ — ваша лучшая защита. Когда Совет рассматривает жалобу, ваш датированный журнал приёма заявлений, ваши шаги по проверке личности и ваши письменные обоснования служат доказательством того, что вы выполнили обязанность по статье 13.

Что следует выстроить иностранным компаниям

Если вы базируетесь за пределами Турции, но обрабатываете данные, связанные с людьми там, вы не находитесь вне досягаемости KVKK. Выстройте следующее до того, как поступит запрос:

• Поименованный канал приёма заявлений субъектов данных, отслеживаемый в рабочие дни.
• Этап проверки личности, строгий, но соразмерный.
• Трекер сроков, который запускает отсчёт с момента получения и заранее сигнализирует об установленном законом предельном дне.
• Шаблоны ответов для удовлетворения, частичного удовлетворения и отказа — каждый с указанием причин.
• Карта данных, чтобы вы действительно могли найти и извлечь данные человека из ваших систем и от поставщиков.
• Правило эскалации, направляющее вопросы об особо чувствительных данных и трансграничной передаче на юридическую проверку.

Зарегистрированные ответственные за данные должны также поддерживать в актуальном состоянии свои более широкие обязанности по KVKK — ваши уведомления о конфиденциальности, ваши законные основания, ваши механизмы передачи и, где применимо, вашу регистрацию в реестре ответственных за данные (VERBİS). Пересекает ли ваша обработка какой-либо порог регистрации и чего требуют действующие правила после поправок 2024 года, следует выяснить у турецкого юриста по защите данных, а не предполагать.

Частые вопросы