Соответствие требованиям KVKK для иностранных компаний в Турции: практическое руководство
Если ваша компания обрабатывает персональные данные людей, находящихся в Турции, турецкий закон о защите данных может применяться к вам, даже если у вас нет ни офиса, ни сервера, ни персонала в стране. Этот закон — Закон о защите персональных данных № 6698, известный по своей турецкой аббревиатуре KVKKKVKKЗакон о защите персональных данных № 6698Турецкий закон о защите данных — правила сбора, хранения и передачи персональных данных и орган, который их применяет.Словарь → (Kişisel Verilerin Korunması Kanunu). Это руководство простым языком объясняет, что такое KVKK, как он соотносится с европейским GDPR, на кого он распространяется и какие ключевые обязанности должна предусмотреть иностранная компания, включая важные изменения, внесённые поправочным Законом № 7499 в 2024 году.
Что такое KVKK и что он регулирует?
KVKK — это краткое название турецкого Закона о защите персональных данных № 6698 (Kişisel Verilerin Korunması Kanunu), действующего с 2016 года. Это центральный закон страны о том, как персональные данные могут собираться, храниться, использоваться, передаваться и удаляться.
«Персональные данные» означают любую информацию, относящуюся к идентифицированному или поддающемуся идентификации физическому лицу, например имя, идентификационный номер, адрес электронной почты, данные о местоположении или сетевой идентификатор. «Обработка» трактуется широко: сбор, запись, хранение, изменение, передача, перемещение или удаление данных — всё это входит в это понятие.
Закон устанавливает основные принципы, которые должна соблюдать любая обработка, такие как законность и добросовестность, точность, ограничение целью, минимизация данных и хранение только в течение необходимого срока. Он также перечисляет правовые основания, делающие обработку законной, — от явного согласия (açık rıza) лица до ряда оснований, не требующих согласия, таких как исполнение договора или соблюдение юридической обязанности.
Регулирующим законом является Kişisel Verilerin Korunması Kanunu № 6698, существенно изменённый Законом № 7499 от 2024 года. Детальные правила также вытекают из подзаконных актов и из обязательных решений Совета по защите персональных данных (Kurul).
Как KVKK соотносится с GDPR?
Если вы уже знакомы с европейским Общим регламентом по защите данных (GDPR), KVKK покажется вам привычным. Он построен на той же европейской модели и разделяет во многом ту же логику: разделение на контролёра/обработчика, правовые основания для обработки, права субъектов данных и независимый регулятор. Но это отдельный турецкий закон, и детали различаются.
Некоторые практические различия, которые замечают иностранные команды:
- Культура согласия. Исторически KVKK сильно опирался на явное согласие (açık rıza) как основание для обработки, и турецкая практика трактует согласие строго. Не следует исходить из того, что характерный для GDPR анализ «законных интересов» однозначно переносится на KVKK.
- Реестр. В рамках KVKK действует публичный реестр контролёров — VERBİS, в котором обязаны зарегистрироваться многие контролёры. У GDPR нет аналогичного центрального реестра.
- Собственный регулятор и практика. KVKK толкуется и применяется собственными турецкими Органом (Kurum) и Советом (Kurul), решения которых направляют соблюдение требований в Турции.
- Трансграничная передача. Правила передачи данных за пределы Турции — это собственные правила KVKK, и они были реформированы в 2024 году (см. ниже).
Соответствие GDPR — полезная отправная точка, но оно не заменяет соответствие KVKK. Иностранная компания может одновременно подпадать под оба режима — например, когда она обслуживает клиентов и в ЕС, и в Турции.
Кто обязан соблюдать требования: контролёры данных и обработчики данных
KVKK распределяет обязанности в зависимости от вашей роли в обработке данных. Две ключевые роли — это те же понятия, которые вы можете знать из GDPR.
Контролёр данных (veri sorumlusu)
Контролёр данных — это лицо или организация, которые решают, зачем и как обрабатываются персональные данные. Контролёр несёт основные правовые обязанности по KVKK, такие как информирование лиц, обеспечение безопасности данных, реагирование на запросы и, где это требуется, регистрация в VERBİS.
Обработчик данных (veri işleyen)
Обработчик данных — это лицо или организация, которые обрабатывают данные от имени контролёра и по его указаниям, например облачный хостинг, провайдер расчёта заработной платы или поставщик аналитических услуг. У обработчиков есть собственные обязанности по обеспечению безопасности и конфиденциальности, и они обычно связаны с контролёром письменным соглашением.
Правильно определить эту классификацию важно, потому что от неё зависит, какие обязанности ложатся на вас. Многие споры начинаются с разногласий о том, кто на самом деле был контролёром.
Распространяется ли KVKK на иностранные компании?
Да, может распространяться. KVKK не ограничивается компаниями, учреждёнными в Турции. На практике Орган (Kurum) и Совет (Kurul) заняли позицию, согласно которой закон может применяться, когда иностранная компания обрабатывает персональные данные людей, находящихся в Турции, — например, предлагая им товары или услуги либо отслеживая их поведение.
Это означает, что бизнес электронной коммерции, продающий товары в Турцию, SaaS-платформа с турецкими пользователями или иностранный работодатель с сотрудниками или подрядчиками в Турции — все они могут подпадать под действие KVKK, не имея зарегистрированного турецкого юридического лица.
«У нас нет офиса в Турции» само по себе не является надёжной защитой. Если вы направляете услуги людям в Турции или обрабатываете их данные, исходите из того, что KVKK может применяться, и оцените свою позицию, прежде чем полагаться на то, что вы находитесь вне сферы его действия.
Иностранному контролёру, подпадающему под действие закона, также может потребоваться действовать через представителя в Турции (irtibat kişisi) и выполнять обязанности, ориентированные на местную юрисдикцию. Поскольку то, как эти обязанности привязываются к компаниям-нерезидентам, зависит от конкретных обстоятельств, это один из первых вопросов, которые следует уточнить с турецким юристом.
Регулятор и реестр VERBİS
Надзор за соблюдением KVKK осуществляет Орган по защите персональных данных (Kişisel Verileri Koruma Kurumu, «Kurum»). Внутри Органа органом, принимающим решения, является Совет по защите персональных данных (Kişisel Verileri Koruma Kurulu, «Kurul»).
Совет (Kurul) — это та инстанция, с которой вы, скорее всего, столкнётесь. Он:
- расследует жалобы и действует по собственной инициативе;
- выносит обязательные решения и общие руководящие указания, определяющие порядок применения закона;
- может предписать прекратить обработку или удалить данные; и
- может налагать административные штрафы за нарушения.
Совет (Kurul) публикует краткое изложение многих своих решений, которые показывают, как абстрактные принципы применяются к реальным ситуациям, включая ситуации с участием иностранных компаний и трансграничных потоков данных.
VERBİS — реестр контролёров
VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) — это онлайн-реестр контролёров данных, который ведёт Орган (Kurum). Многие контролёры обязаны зарегистрироваться до начала обработки и поддерживать свою запись в актуальном состоянии, указывая такую информацию, как категории обрабатываемых данных, цели, получатели, сроки хранения и меры безопасности. Регистрироваться обязаны не все контролёры: KVKK и Совет (Kurul) устанавливают исключения и пороговые значения — например, на основе количества сотрудников либо характера и масштаба обработки, — с особыми правилами для контролёров, не имеющих учреждения в Турции.
KVKK предусматривает административные штрафы, а определённые действия могут также влечь последствия в соответствии с отдельными положениями турецкого уголовного права. Точные суммы штрафов, а также то, превышаете ли вы порог регистрации в VERBİS, зависят от показателей и критериев, которые со временем меняются, поэтому их следует сверять с действующими правилами, а не предполагать.
Ключевые обязанности по соблюдению требований
Если KVKK применяется к вашей обработке, основные обязанности контролёра обычно включают перечисленное ниже. Воспринимайте это как ориентировочную карту, а не как полный контрольный список.
- Иметь правовое основание. Каждой операции обработки требуется действительное правовое основание по KVKK — будь то явное согласие или одно из оснований, не требующих согласия.
- Информировать лиц. Вы должны сообщить людям в момент сбора, кто вы, какие данные вы берёте, зачем, на каком основании и кому они могут быть раскрыты (обязанность информирования, aydınlatma yükümlülüğü).
- Соблюдать права субъектов данных. Лица могут спросить, храните ли вы их данные, запросить доступ и исправление, а также добиваться удаления в определённых обстоятельствах. У вас должен быть процесс получения и ответа на эти запросы в срок, установленный законом.
- Обеспечивать безопасность данных. Вы должны принимать надлежащие технические и организационные меры для защиты данных, и Совет (Kurul) выпустил руководящие указания о том, что означает «надлежащие» на практике.
- Реагировать на утечки. Если происходит утечка данных, KVKK требует уведомления Органа (Kurum) и затронутых лиц в срок, установленный правилами.
- Регистрироваться в VERBİS, где это требуется, и документировать свою обработку с помощью реестров обработки и политик хранения/уничтожения.
Точный срок ответа на запросы субъектов данных и срок уведомления об утечке данных установлены законодательством и связанными с ним решениями. Оба намеренно изложены здесь качественно и должны быть сверены с действующими правилами, прежде чем вы встроите их в свои процессы.
Поправка 2024 года (Закон № 7499) и трансграничная передача
В 2024 году в KVKK были внесены существенные изменения Законом № 7499. Эта поправка важна для иностранных компаний, поскольку она затронула две наиболее чувствительные области закона.
Особые категории данных
KVKK предоставляет дополнительную защиту «особым категориям» персональных данных (özel nitelikli kişisel veriler), таким как данные о здоровье, религии, этнической принадлежности, биометрии или членстве в профсоюзе. Поправка 2024 года пересмотрела условия, при которых такие данные могут обрабатываться, расширив круг ситуаций за пределы исключительной опоры на явное согласие. Если ваша деятельность затрагивает чувствительные данные, прежний анализ может больше не быть верным.
Передача за пределы Турции
Поправка также перестроила правила передачи персональных данных за рубеж (yurt dışına aktarım). Реформированный режим выстроен вокруг многоуровневого подхода, который покажется знакомым по GDPR: передача на основании решения об адекватности (yeterlilik kararı); при его отсутствии — передача, обеспеченная надлежащими гарантиями (которые могут включать стандартные договорные положения, по-турецки standart sözleşme, а также обязательные корпоративные правила и аналогичные инструменты); и в ограниченных ситуациях — отдельные исключения.
Правила трансграничной передачи, доступные гарантии, любые связанные с ними шаги по подаче документов или уведомлению, а также режим данных особых категорий — всё это было переработано Законом № 7499 и до сих пор окончательно оформляется через подзаконные акты и практику Совета (Kurul). Заново проверьте каждый поток данных из Турции за рубеж на соответствие действующему режиму; не полагайтесь на настройку, сделанную до 2024 года.
Поскольку именно от этих областей зависит типичная иностранная компания — перемещение данных в головной офис, в глобальное облако или в материнскую компанию, — самым безопасным курсом будет составить карту своих потоков данных и оценить их по правилам, действующим после 2024 года.
Практические дальнейшие шаги для иностранной компании
Если вы подозреваете, что KVKK может применяться к вам, разумная начальная последовательность действий такова:
- Составьте карту данных. Определите, какие персональные данные людей в Турции вы обрабатываете, зачем и куда они направляются.
- Определите свою роль. Для каждой операции решите, являетесь ли вы контролёром или обработчиком.
- Подтвердите сферу применения и представительство. Получите оценку того, применяется ли KVKK и нужен ли вам представитель в Турции (irtibat kişisi).
- Проверьте VERBİS. Оцените, обязаны ли вы зарегистрироваться, исходя из действующих пороговых значений.
- Перепроверьте передачу данных и чувствительные данные в рамках режима 2024 года.
- Создайте базовые элементы: правовые основания, уведомления о конфиденциальности, процесс обработки запросов, меры безопасности и план реагирования на утечки.
KVKK вознаграждает компании, которые планируют заранее. Правила детальны, они лишь частично пересекаются с GDPR, и несколько ключевых моментов были изменены в 2024 году, поэтому короткий, сфокусированный анализ сейчас обычно обходится гораздо дешевле, чем устранение проблемы после жалобы или проверки. Наша команда поможет вам оценить, применяется ли KVKK к вашей деятельности и каковы ваши обязанности по действующему закону.
Частые вопросы
Применяется ли KVKK к моей компании, если у нас нет офиса в Турции?
Может применяться. KVKK не ограничивается компаниями, учреждёнными в Турции. Если вы обрабатываете персональные данные людей, находящихся в Турции, — например, предлагая им товары или услуги либо отслеживая их активность, — закон может применяться к вам даже без местного юридического лица. Поскольку это зависит от конкретных обстоятельств, стоит уточнить вопрос у турецкого юриста, а не предполагать, что вы находитесь вне сферы применения.
В чём разница между контролёром данных и обработчиком данных по KVKK?
Контролёр данных (veri sorumlusu) решает, зачем и как обрабатываются персональные данные, и несёт основные правовые обязанности. Обработчик данных (veri işleyen) обрабатывает данные только по указаниям контролёра — например, облачный провайдер или провайдер расчёта заработной платы — и имеет собственные, более узкие обязанности по безопасности и конфиденциальности. Ваша роль определяет, какие обязанности к вам применяются.
KVKK — это то же самое, что GDPR?
Нет. KVKK (Закон № 6698) построен на сходной европейской модели и во многом разделяет структуру и терминологию GDPR, но это отдельный турецкий закон со своим регулятором, своим реестром VERBİS и собственными правилами, включая собственный режим трансграничной передачи данных. Компания может одновременно подпадать под действие и KVKK, и GDPR.
Что такое VERBİS и обязан ли я регистрироваться?
VERBİS — это турецкий онлайн-реестр контролёров данных. Многие контролёры обязаны зарегистрироваться и поддерживать свою запись в актуальном состоянии, но KVKK и Совет (Kurul) устанавливают исключения и пороговые значения на основе таких факторов, как численность персонала и характер обработки, с особыми правилами для контролёров, не учреждённых в Турции. Обязаны ли вы регистрироваться, следует проверять по действующим критериям, которые со временем меняются.
Что изменилось в поправке к KVKK 2024 года?
Закон № 7499 от 2024 года существенно изменил KVKK. Он пересмотрел условия обработки данных особых категорий (чувствительных данных) и реформировал правила передачи персональных данных за пределы Турции, введя многоуровневый подход, основанный на решениях об адекватности (yeterlilik kararı), надлежащих гарантиях, таких как стандартные договорные положения, и ограниченных исключениях. Любой трансграничный поток данных, настроенный до 2024 года, следует перепроверить на соответствие действующим правилам.
Что произойдёт, если мы нарушим KVKK?
Совет по защите персональных данных (Kurul) может провести расследование, предписать прекратить обработку или удалить данные, а также наложить административные штрафы. Определённые действия могут также влечь последствия в соответствии с отдельными положениями турецкого уголовного права. Конкретные суммы штрафов устанавливаются законом и со временем обновляются, поэтому их следует сверять с действующими показателями.
