KVKK 下个人数据的合法处理：各项法律依据
如果贵公司处理与土耳其相关的个人数据，那么每一项处理活动都必须建立在土耳其个人数据保护法（Kişisel Verilerin Korunması Kanunu No. 6698，简称"KVKKKVKK第6698号《个人数据保护法》土耳其的数据保护法——个人数据的收集、存储与传输规则，以及执行这些规则的机构。词典 →"）所规定的某一法律依据之上。对于普通个人数据而言，这意味着要么获得当事人的明确同意（açık rıza），要么符合第 5/2 条所列的某一项替代性法律理由——例如法律义务、合同的履行或贵公司的正当利益。特殊类别的个人数据（özel nitelikli kişisel veri）则适用第 6 条中更为严格的制度，该条已被 2024 年的第 7499 号法律（Law No. 7499）大幅扩展。本指南以通俗的语言解释每一项依据，帮助您将自身的数据流映射到一个站得住脚的法律基础之上。
在 KVKK 下，"合法处理"意味着什么
根据土耳其个人数据保护法（Kişisel Verilerin Korunması Kanunu No. 6698），除非您拥有合法依据，否则不得处理个人数据。"处理"的定义非常宽泛——收集、记录、存储、组织、传输、披露，甚至删除数据，都算在内。因此，问题不在于您是否处理个人数据；只要您处理任何关于一个已识别或可识别个人的信息，您就是在处理。真正的问题是哪一项法律依据支撑着每一项活动。
这里有两个角色很重要。数据控制者（veri sorumlusu）是决定为何以及如何处理数据的一方——通常就是贵公司。数据处理者（veri işleyen）则代表控制者、按其指示处理数据，例如云托管商或薪资服务供应商。确定合法依据的义务落在控制者身上。
本法的结构。第 4 条规定了每一项处理活动都必须遵守的一般原则。第 5 条规范普通个人数据的法律依据。第 6 条则为特殊类别的个人数据设定了更为严格的制度。这些条文应结合起来阅读：依据第 5 条或第 6 条取得有效依据是必要的，但您还必须遵守第 4 条的各项原则。
适用于每一项依据的第 4 条原则
在触及法律依据之前，第 4 条已经施加了一些约束所有处理活动的原则，无论您依赖哪一项理由。选择某一法律依据并不能让您免除这些原则。用通俗的话说，您的处理必须做到：
- 合法且公平（hukuka ve dürüstlük kurallarına uygun）。您的处理诚实、在法律范围内进行，并以当事人可以合理预期的方式进行。
- 准确，并在必要时保持更新。您采取合理措施纠正错误数据。
- 为特定、明确且正当的目的进行处理（目的限制）。您在收集之前确定目的，且事后不会悄悄地将数据挪作他用。
- 与目的相关、有限且适度（数据最小化）。您只收集自己实际需要的内容——而不是"以防万一全都收集"。
- 仅在所需期限内保留（存储限制）。当法律或业务上的理由消失后，您应删除、销毁或匿名化数据。
一个实用的检验方法：如果您无法用一句话说明为什么持有某一字段的数据以及保留多久，那么无论您写下的是哪一项法律依据，该字段很可能都不符合第 4 条。
明确同意（açık rıza）——以及为什么它往往是最薄弱的依据
人们最先想到的依据就是明确同意（açık rıza）。根据 KVKK，有效的明确同意必须（1）针对特定事项，（2）以事先提供的充分信息为基础，并且（3）出于自愿。预先勾选的选项框、笼统的"我接受一切"条款，或埋藏在无关条款中的同意，通常都不符合要求。
同意作为日常业务处理依据之所以脆弱，有两个特点：
- 它可以被撤回。当事人可以收回其同意，一旦撤回，您针对该活动的合法依据便不复存在。如果您当初仅依赖同意，那么您必须停止处理。
- 当处理对某项服务并非真正必要时，同意不能成为提供该服务的条件。当事人别无选择而不得不给出的同意，并非"自愿"给出，因此无效。
正因如此，控制者通常将同意保留给那些没有其他依据可循的处理活动——例如可选的营销——而对于运营这段关系所必须进行的处理，则首先求助于第 5/2 条中的替代性理由。
不要为了"保险起见"而在另一项有效依据之上再叠加同意。如果您告诉当事人其数据是基于同意进行处理的，而当事人撤回了同意，那么即便存在合同或法律义务方面的依据，您也可能不得不停止处理。请选择真正契合的依据，并仅依赖那一项。
第 5/2 条中的替代性法律依据
当第 5/2 条所列条件之一成立时，该条允许您在无需同意的情况下处理普通个人数据。这些是日常合规工作的主力。用通俗的话说，在以下情形下您可以处理个人数据：
- 法律明确规定。某项成文法直接授权或要求该处理。
- 为保护某人的生命或身体完整性所必需，而该人无法给出同意（例如因身体丧失行为能力），或其同意在法律上无效。
- 为履行合同所必需——与同当事人订立或履行合同直接相关。处理客户地址以配送订单就是一个典型例子。
- 为控制者履行法律义务所必需。税务、雇佣和记账方面的义务通常归于此类。
- 数据已由当事人本人公开。您可以在与该公开目的一致的范围内对其进行处理。
- 为确立、行使或保护某项法律请求所必需。例如，为应对未来的争议而保留记录。
- 为控制者的正当利益（meşru menfaat）所必需，前提是这不损害当事人的基本权利和自由。
最后一项理由——正当利益——具有弹性，但需要进行真正的利益权衡。您必须将自身的业务利益与当事人的权利和预期相权衡，并记录为什么您的利益不会凌驾于其权利之上。它并非万能依据；它是一种有理有据、有记录的判断。
请将每一项处理活动映射到第 5/2 条中某一项具体理由，而不是一次套用好几项。"开具发票"属于合同必要性或法律义务；"保留反欺诈日志"更可能属于正当利益。当主管机关问起时，您要展示的正是这种清晰的映射。
第 7499 号法律（2024）之后的特殊类别数据（第 6 条）
特殊类别的个人数据（özel nitelikli kişisel veri）之所以受到更严格的对待，是因为滥用此类数据会造成更大的损害。根据 KVKK，这类数据包括关于健康和性生活、种族或民族出身、政治观点、哲学信仰、宗教或教派、外貌、协会／基金会／工会成员身份、刑事定罪和安全措施，以及生物识别和基因数据。
这类数据的制度随着2024 年第 7499 号法律而发生了实质性变化，该法律修改了第 6 条。在修订之前，未经明确同意处理特殊类别数据仅在狭窄、按类别区分的情形下才有可能。该修订扩展了替代性法律理由，使得特殊类别数据如今可以在更广泛的一系列法定情形下无需明确同意即可处理——例如，在法律明确允许的情况下、为保护生命或身体完整性而无法取得同意的情况下、涉及当事人已公开的数据、为确立或保护法律请求，以及该条所列的某些雇佣、公共卫生及类似目的——每一种情形都受其各自的条件约束，并在某些情况下受个人数据保护委员会（Kurul）可能设定的保障措施约束。
即便在 2024 年扩展之后，第 6 条仍然比第 5 条更严格。可用的理由更为狭窄，其中若干理由附带额外的保障措施，而委员会（Kurul）还可能要求为处理特殊类别数据采取额外的充分措施。请将任何与健康、生物识别或信仰相关的数据视为高风险数据，并在处理之前确认具体适用的理由。
由于修订后的条文、其生效日期以及所许可理由的确切清单都很详细，且系近期改革而来，因此就您的具体使用情形而言，您应当对照合并后的法规核实第 6 条的现行措辞，而不要依赖于笼统的概述。
处理与土耳其相关数据的外国公司可采取的实务步骤
如果贵公司设立在境外，但处理与土耳其境内的人员或业务相关的个人数据，KVKK 仍可能适用于您，而确立合法依据的义务是相同的。一种可行的做法是：
- 盘点您的处理活动。列出每一项活动——入职、薪资、营销、客服、分析——以及它所涉及的数据。
- 为每项活动指定一项法律依据。对于大多数运营性处理，应先求助于第 5/2 条（合同必要性、法律义务、正当利益），而非同意。
- 单独标注特殊类别数据。任何与健康、生物识别或信仰相关的字段都需要一项第 6 条理由，并且通常需要额外的保障措施。
- 始终遵守第 4 条。最小化您的收集范围，确定保留期限，并写明您的目的。
- 核查跨境传输（yurt dışına aktarım）和登记义务。跨境传输规则以及向数据控制者登记系统（VERBİS）进行的任何登记都有其各自的条件和门槛——这些内容技术性较强且已经过改革，因此请确认当前对您适用的具体规定。
证明处理合法性的举证责任落在作为控制者的您身上。"我们某处有同意"很少能站得住脚。一份简短的书面记录——活动、法律依据、目的、保留期限——正是站得住脚的立场与暴露在外的立场之间的实务差别。
常见问题
在 KVKK 下，我们处理个人数据是否始终需要同意？
不需要。明确同意（açık rıza）只是合法依据之一。对于普通个人数据，KVKK 第 6698 号第 5/2 条提供了替代性理由——例如法律义务、合同的履行以及控制者的正当利益——在条件满足时，您无需同意即可处理。对于大量的日常业务处理而言，这些替代理由比可被撤回的同意是更稳固的基础。
在土耳其，什么算作特殊类别的个人数据？
根据 KVKK，特殊类别（özel nitelikli kişisel veri）包括关于健康和性生活、种族或民族出身、政治观点、哲学信仰、宗教或教派、外貌、协会／基金会／工会成员身份、刑事定罪和安全措施，以及生物识别和基因数据。这类数据适用更严格的第 6 条制度，通常需要额外的谨慎和保障措施。
第 7499 号法律在 2024 年对特殊类别数据作出了哪些改变？
第 7499 号法律修改了 KVKK 第 6 条，扩展了处理特殊类别数据的法律理由。此前，未经明确同意处理此类数据仅在狭窄情形下才被允许。该修订增加了一组更广泛的法定条件，在这些条件下可以无需明确同意处理特殊类别数据，每一项都有其自身的要求。由于措辞和生效日期系近期改革而来，确切的现行理由应对照合并后的法规予以核实。
在土耳其，我们能否依赖正当利益来处理数据？
可以，对于普通个人数据，KVKK 第 5/2 条承认控制者的正当利益（meşru menfaat）为一项合法依据——但仅限于处理不损害当事人基本权利和自由的情况。这需要进行有记录的利益权衡，将您的利益与个人的权利和合理预期相权衡。它并非万能依据，且不适用于受第 6 条规范的特殊类别数据。
对于在土耳其没有办事处的外国公司，KVKK 是否适用？
有可能适用。KVKK 的义务可能延伸至处理与土耳其境内的人员或活动相关的个人数据的外国控制者。如果 KVKK 适用于您的处理，您必须依据第 5 条或第 6 条确立合法依据、遵守第 4 条的原则，并遵守传输和登记规则。本法是否以及如何适用于您的具体架构，是一个取决于具体事实的问题，值得向土耳其法律顾问确认。
