Регистрация в VERBİS по KVKK: кто обязан регистрироваться и как

Если ваша компания обрабатывает персональные данные, связанные с Турцией, вы можете быть обязаны зарегистрироваться в VERBİS — Реестре операторов данных (Veri Sorumluları Sicili), который ведёт турецкий орган по защите персональных данных. Эта обязанность вытекает из статьи 16 Закона о защите персональных данных № 6698 (Kişisel Verilerin Korunması Kanunu, «KVKKKVKKЗакон о защите персональных данных № 6698Турецкий закон о защите данных — правила сбора, хранения и передачи персональных данных и орган, который их применяет.Словарь →»). Если коротко: большинство организаций, выступающих в роли «оператора данных» (veri sorumlusu), должны зарегистрироваться до начала обработки, если только на них не распространяется опубликованное исключение, — а отсутствие регистрации может привести к административному штрафу. Ниже мы объясняем, кто обязан регистрироваться, кто освобождён от этой обязанности, какую информацию запрашивает реестр, как регистрация связана с назначением контактного лица или представителя и что происходит, если вы её пропустите.

Что такое VERBİS и откуда берётся эта обязанность

VERBİS расшифровывается как Veri Sorumluları Sicil Bilgi Sistemi — информационная система, которая ведёт Реестр операторов данных (Veri Sorumluları Sicili). Это онлайн-реестр, который ведёт Орган по защите персональных данных (Kişisel Verileri Koruma Kurumu, «Орган KVKK»/Kurum) под надзором Совета по защите персональных данных (Kişisel Verileri Koruma Kurulu, «Совет»/Kurul).

Правовое основание — статья 16 Закона о защите персональных данных № 6698. Эта статья требует, чтобы лица и организации, которые квалифицируются как оператор данных (veri sorumlusu — сторона, определяющая цели и способы обработки персональных данных), зарегистрировались в реестре до начала обработки персональных данных, если только не применяется исключение. Совет (Kurul) уполномочен устанавливать критерии, определяющие, кто обязан регистрироваться, и публиковать исключения.

Регистрация — это не то же самое, что «соблюдение KVKK». Даже оператор, освобождённый от VERBİS, по-прежнему обязан соблюдать остальные положения Закона — законную обработку, информационные уведомления, безопасность данных и реагирование на запросы субъектов данных. VERBİS — это одна конкретная обязанность по прозрачности, а не вся совокупность ваших обязанностей.

Кто обязан регистрироваться в VERBİS?

Короткий ответ: операторы данных, которые соответствуют критериям, установленным Советом (Kurul), обязаны регистрироваться. Совет определяет эти критерии, учитывая такие факторы, как характер и объём обрабатываемых персональных данных, является ли обработка частью основной деятельности оператора и — что важно для бизнеса — показатели размера оператора, такие как число работников и годовые финансовые/балансовые показатели.

На практике это означает, что возникают три типичные ситуации:

• Вы явно обязаны зарегистрироваться — например, более крупные компании, превышающие пороговые значения по размеру, и некоторые операторы (например, те, чья основная деятельность связана с обработкой особых категорий данных) независимо от размера.
• Вы, вероятно, освобождены — многие малые организации находятся ниже порогов, установленных Советом, и существует несколько исключений на основе вида деятельности (см. следующий раздел).
• Ситуация по-настоящему неоднозначна — вы находитесь близко к порогу, или ваша обработка изменилась в течение года. Именно здесь оператор чаще всего ошибается.

Для иностранной компании триггером обычно является то, что она обрабатывает персональные данные в Турции в качестве оператора данных — например, ведёт турецкий филиал, нанимает персонал в Турции, управляет платформой, ориентированной на Турцию, или иным образом обрабатывает персональные данные людей в Турции так, что это подпадает под действие Закона. В таком случае от оператора, как правило, ожидается регистрация в VERBİS на тех же основаниях, что и от отечественного оператора, с учётом тех же критериев и исключений.

Исключения: кто не обязан регистрироваться

Статья 16 позволяет Совету освобождать категории операторов данных от регистрации. Исключения изложены в решениях Совета и подзаконных актах и делятся на два широких типа.

Исключение по размеру

Операторы, находящиеся ниже критериев размера Совета, как правило, освобождаются. Именно здесь имеют значение пороги по числу работников и годовому балансу/обороту: если вы находитесь ниже них — и на вас не распространяется правило на основе вида деятельности — вам, возможно, не нужно регистрироваться.

Исключения на основе вида деятельности

Совет также освободил некоторых операторов в силу того, чем они являются или чем занимаются, а не их размера. Категории, которые со временем фигурировали в перечне исключений, включают, например, определённых специалистов, а также объединения (ассоциации) и аналогичные органы, обрабатывающие данные только для собственных внутренних, чётко определённых целей. Точный перечень и его условия устанавливаются Советом.

Какую информацию требует реестр

VERBİS построен вокруг инвентаризации обработки персональных данных (kişisel veri işleme envanteri). Чтобы зарегистрироваться, вы декларируете — и поддерживаете в актуальном состоянии — структурированное описание вашей обработки. Категории информации, которые запрашивает реестр, обычно включают:

• Идентификационные и контактные данные оператора данных, а также контактного лица или представителя.
• Категории субъектов данных (например, работники, клиенты, поставщики, пользователи сайта).
• Категории обрабатываемых персональных данных, причём особые категории (özel nitelikli kişisel veri — такие как данные о здоровье, биометрические данные или данные о судимости) отмечаются отдельно, поскольку к ним применяются более строгие правила.
• Цели, для которых обрабатываются данные.
• Получатели или категории получателей, которым данные могут раскрываться.
• Передача за рубеж (yurt dışına aktarım) — передаются ли или могут ли передаваться персональные данные получателям за пределами Турции.
• Максимальные сроки хранения для каждой категории данных.
• Технические и организационные меры безопасности, принятые для защиты данных.

Инвентаризация, которую вы ведёте внутри организации, и декларация в VERBİS должны соответствовать друг другу. Регистрация, которая не отражает того, как ваш бизнес фактически обрабатывает данные, сама по себе является проблемой.

Контактное лицо и представитель для иностранных операторов

Регистрация тесно связана с назначением лица, которое будет взаимодействовать с Органом (Kurum) и с субъектами данных.

Контактное лицо (irtibat kişisi)

Оператор данных, учреждённый в Турции, который регистрируется в VERBİS, назначает контактное лицо (irtibat kişisi). Контактное лицо является точкой связи с Органом. Важно понимать, что выполнение функций контактного лица не переносит на него юридическую ответственность — ответственным за соблюдение требований остаётся оператор данных.

Представитель для операторов, базирующихся за рубежом

Если оператор данных не является резидентом Турции, устоявшееся ожидание состоит в том, что он назначает представителя в Турции (юридическое лицо — резидента Турции или гражданина Турции), доступного для Органа и субъектов данных, который завершает регистрацию в VERBİS от имени оператора. Полномочия представителя должны быть надлежащим образом документально оформлены.

Точная форма, объём полномочий и документация, требуемые для представителя, относятся к деталям, изложенным в подзаконных актах, поэтому назначение следует оформлять так, чтобы оно соответствовало действующим правилам, а не общему шаблону.

Что происходит, если вы не зарегистрируетесь

Если вы обязаны зарегистрироваться, но не делаете этого — или обрабатываете персональные данные без завершения регистрации, которую были обязаны осуществить, — вы подвергаете компанию административному штрафу. Режим наказаний за нарушения обязанности по регистрации содержится в статье 18 KVKK № 6698, которая перечисляет правонарушения (kabahatler) и административные штрафы, которые может налагать Совет.

Помимо самого штрафа, незарегистрированное или неточное положение в VERBİS часто оказывается первым, что всплывает при жалобе или проверке, и может повлиять на то, как Орган (Kurum) оценивает остальную часть вашего соблюдения требований. Правильная регистрация — и поддержание записи в актуальном состоянии — это более дешёвый путь.

Практическая последовательность действий для иностранных компаний

Если вы — иностранная компания, пытающаяся определить своё положение, спокойный и упорядоченный подход обычно работает лучше всего:

• Подтвердите свою роль. Являетесь ли вы оператором данных (veri sorumlusu — вы определяете цели и способы) или обработчиком (veri işleyen), действующим за кого-то другого? Обязанность по регистрации возлагается на оператора.
• Картируйте свою обработку в Турции. Какие данные, чьи данные, для каких целей, кто их получает и уходит ли что-либо за рубеж?
• Проверьте критерии и исключения на текущий год по действующим правилам Совета — пороги по размеру и любые исключения на основе вида деятельности.
• Определите своё контактное лицо или представителя в Турции и документально оформите их полномочия.
• Подготовьте инвентаризацию обработки и приведите своё положение по трансграничной передаче в соответствие с режимом статьи 9 после 2024 года.
• Зарегистрируйтесь в VERBİS в установленный срок, а затем поддерживайте запись в актуальном состоянии всякий раз, когда меняется ваша обработка.

Ни один из этих шагов не следует решать на основании запомнившейся цифры или общего шаблона. Каждый из них зависит от правил, которые устанавливает и пересматривает Совет, и от конкретных фактов того, как ваш бизнес обращается с данными, связанными с Турцией.

Частые вопросы