Законная обработка персональных данных по KVKK: правовые основания

Если ваша компания обрабатывает персональные данные, связанные с Турцией, каждая операция по обработке должна опираться на правовое основание, предусмотренное турецким Законом о защите персональных данных (Kişisel Verilerin Korunması Kanunu No. 6698, или «KVKKKVKKЗакон о защите персональных данных № 6698Турецкий закон о защите данных — правила сбора, хранения и передачи персональных данных и орган, который их применяет.Словарь →»). Для обычных персональных данных это означает либо явное согласие лица (açık rıza), либо одно из альтернативных правовых оснований, перечисленных в статье 5/2, — таких как юридическая обязанность, исполнение договора или ваш законный интерес. Особые категории персональных данных (özel nitelikli kişisel veri) подчиняются более строгому режиму в статье 6, который был существенно расширен Законом No. 7499 в 2024 году. Это руководство простыми словами объясняет каждое основание, чтобы вы могли соотнести свои потоки данных с надёжной правовой опорой.

Что означает «законная обработка» по KVKK

В соответствии с турецким Законом о защите персональных данных (Kişisel Verilerin Korunması Kanunu No. 6698) вы не вправе обрабатывать персональные данные, если у вас нет для этого правового основания. Понятие «обработка» определено очень широко — сбор, запись, хранение, систематизация, передача, раскрытие и даже удаление данных подпадают под него. Поэтому вопрос не в том, обрабатываете ли вы персональные данные; если вы работаете с любой информацией об установленном или поддающемся установлению лице, то обрабатываете. Настоящий вопрос — какое правовое основание поддерживает каждую операцию.

Здесь важны две роли. Контролёр данных (veri sorumlusu) — это сторона, которая решает, зачем и как обрабатываются данные; обычно это ваша компания. Обработчик данных (veri işleyen) обрабатывает данные от имени контролёра по его указаниям — например, облачный провайдер или поставщик услуг расчёта заработной платы. Обязанность определить правовое основание лежит на контролёре.

Принципы статьи 4, применимые к каждому основанию

Прежде чем перейти к правовым основаниям, статья 4 устанавливает принципы, которые обязательны для всей обработки, независимо от того, на какое основание вы опираетесь. Выбор правового основания не освобождает вас от них. Простыми словами, ваша обработка должна быть:

• Законной и добросовестной (hukuka ve dürüstlük kurallarına uygun). Вы обрабатываете данные честно, в рамках закона и так, как разумно ожидало бы лицо.
• Точной и, при необходимости, поддерживаемой в актуальном состоянии. Вы предпринимаете разумные шаги, чтобы исправить неверные данные.
• Обрабатываемой для определённых, явных и законных целей (ограничение целью). Вы определяете цель до сбора и не меняете её тихо впоследствии.
• Относящейся к делу, ограниченной и соразмерной цели (минимизация данных). Вы собираете только то, что вам действительно нужно, — а не «всё на всякий случай».
• Хранимой только в течение необходимого срока (ограничение хранения). Когда правовое или деловое основание отпадает, вы удаляете, уничтожаете или анонимизируете данные.

Явное согласие (açık rıza) — и почему оно часто самое слабое основание

Первое основание, о котором думают люди, — это явное согласие (açık rıza). По KVKK действительное явное согласие должно быть (1) привязано к конкретному предмету, (2) основано на достаточной информации, предоставленной заранее, и (3) дано свободно. Заранее проставленная галочка, общая оговорка «я принимаю всё» или согласие, спрятанное в несвязанных условиях, как правило, не будут признаны действительными.

Две особенности согласия делают его хрупким основанием для рутинной деловой обработки:

• Его можно отозвать. Лицо может забрать своё согласие, и как только оно это сделает, ваше правовое основание для этой операции отпадает. Если вы опирались исключительно на согласие, вы обязаны прекратить обработку.
• Оно не может быть условием предоставления услуги, если обработка не является действительно необходимой для этой услуги. Согласие, которое лицо вынуждено было дать без реального выбора, не является «свободно данным» и, следовательно, недействительно.

По этой причине контролёры обычно оставляют согласие для обработки, у которой нет иного основания, — например, для необязательного маркетинга, — а для обработки, необходимой для ведения отношений, в первую очередь обращаются к альтернативным основаниям статьи 5/2.

Альтернативные правовые основания в статье 5/2

Статья 5/2 позволяет обрабатывать обычные персональные данные без согласия, когда применяется одно из перечисленных в ней условий. Это рабочие лошадки повседневного соблюдения требований. Простыми словами, вы можете обрабатывать персональные данные, когда:

• Это прямо предусмотрено законом. Закон напрямую разрешает или требует обработки.
• Это необходимо для защиты жизни или физической неприкосновенности лица, которое не может дать согласие (например, в силу физической недееспособности) или чьё согласие юридически недействительно.
• Это необходимо для исполнения договора — непосредственно связано с заключением или исполнением договора с лицом. Обработка адреса клиента для доставки заказа — классический пример.
• Это необходимо для исполнения контролёром юридической обязанности. Налоговые, трудовые и бухгалтерские обязанности обычно относятся сюда.
• Данные были обнародованы самим лицом. Вы можете обрабатывать их в соответствии с целью такого раскрытия.
• Это необходимо для установления, осуществления или защиты юридического требования. Например, сохранение записей для защиты в будущем споре.
• Это необходимо для законных интересов контролёра (meşru menfaat), при условии, что это не наносит ущерба основным правам и свободам лица.

Последнее основание — законный интерес — гибкое, но требует реального взвешивания. Вы должны соотнести свой деловой интерес с правами и ожиданиями лица и задокументировать, почему ваш интерес не перевешивает их. Это не универсальное основание; это обоснованное, зафиксированное суждение.

Особые категории данных (статья 6) после Закона No. 7499 (2024)

Особые категории персональных данных (özel nitelikli kişisel veri) регулируются строже, потому что злоупотребление ими причиняет больший вред. По KVKK к ним относятся данные о здоровье и половой жизни, расовом или этническом происхождении, политических взглядах, философских убеждениях, религии или секте, внешности, членстве в объединениях/фондах/профсоюзах, судимостях и мерах безопасности, а также биометрические и генетические данные.

Режим для этих данных существенно изменился с принятием Закона No. 7499 от 2024 года, который внёс поправки в статью 6. До поправки обработка особых категорий данных без явного согласия была возможна только в узких, специфичных для каждой категории ситуациях. Поправка расширила альтернативные правовые основания так, что особые категории данных теперь могут обрабатываться без явного согласия в более широком наборе определённых обстоятельств — например, когда закон прямо это разрешает, для защиты жизни или физической неприкосновенности, когда согласие не может быть получено, в отношении данных, обнародованных самим лицом, для установления или защиты юридических требований, а также для определённых целей в сфере занятости, общественного здравоохранения и аналогичных целей, изложенных в статье, — каждое из которых подчинено собственным условиям и в некоторых случаях гарантиям, которые может установить Совет по защите персональных данных (Kurul).

Поскольку изменённый текст, дата его вступления в силу и точный перечень разрешённых оснований детализированы и недавно реформированы, вам следует сверить действующую редакцию статьи 6 с консолидированным текстом закона применительно к вашему конкретному случаю, а не полагаться на общее изложение.

Практические шаги для иностранной компании, обрабатывающей данные, связанные с Турцией

Если ваша компания зарегистрирована за рубежом, но обрабатывает персональные данные, связанные с людьми или деятельностью в Турции, KVKK всё равно может применяться к вам, и обязанность установить правовое основание остаётся той же. Рабочий подход:

• Проведите инвентаризацию обработки. Перечислите каждую операцию — приём на работу, расчёт заработной платы, маркетинг, поддержку, аналитику — и данные, которых она касается.
• Назначьте одно правовое основание на каждую операцию. Для большинства операционной обработки обращайтесь к статье 5/2 (необходимость для договора, юридическая обязанность, законный интерес) прежде, чем к согласию.
• Отмечайте особые категории данных отдельно. Любое поле, связанное со здоровьем, биометрией или убеждениями, требует основания по статье 6 и зачастую дополнительных гарантий.
• Соблюдайте статью 4 на всех этапах. Минимизируйте объём собираемого, устанавливайте сроки хранения и фиксируйте свои цели.
• Проверьте передачи и обязанности по регистрации. Правила трансграничной передачи (yurt dışına aktarım) и регистрация в реестре контролёров данных (VERBİS) имеют собственные условия и пороги — они носят технический характер и были реформированы, поэтому подтвердите, что применяется к вам в настоящее время.

Частые вопросы