KVKK 与 GDPR：外国公司必须了解的要点
如果您已经熟悉 GDPR，那么在应对土耳其的数据保护法（KVKKKVKK第6698号《个人数据保护法》土耳其的数据保护法——个人数据的收集、存储与传输规则，以及执行这些规则的机构。词典 →，第 6698 号法律 / Kişisel Verilerin Korunması Kanunu No. 6698）时，您已经占了先机——但这并不意味着可以一路畅通无阻。两套制度共享相同的架构：二者都以权利为本，都建立在数据控制者（veri sorumlusu）/ 数据处理者（veri işleyen）的模式之上，也都立足于相同的核心原则。然而，它们之间的差异是真实存在的，而且常常让外国公司措手不及。KVKK 脱胎于一种以"明示同意"（açık rıza）为核心的文化，它带有一个 GDPR 中并不存在的登记环节（VERBİS），它并不要求设立 GDPR 意义上的数据保护官（DPO），而且在 2024 年 3 月的改革（第 7499 号法律 / Law No. 7499）之后，其跨境传输（yurt dışına aktarım）规则发生了实质性的变化。最重要的一条结论就是：符合 GDPR 并不等于符合 KVKK。本指南将为您梳理二者的重叠之处，更有用的是，梳理其中的差距。
简短的答案：同一张图纸，不同的建筑
对于一家已经在运行 GDPR 合规体系的外国公司而言，最诚实的总结是：您可以沿用大部分思路，但不能照搬复制您的合规方案。土耳其的《个人数据保护法》第 6698 号——即 Kişisel Verilerin Korunması Kanunu，简称 KVKK——与 GDPR 建立在同样的欧洲基础之上。它保护同一项权利，使用同样的术语，并要求您做许多相同的事情。
但 KVKK 是一部土耳其的主权法律，由土耳其的监管机构（Kurum）执行，拥有自己的程序、自己的登记册，以及以土耳其里拉计价的罚款。凡是 GDPR 与 KVKK 出现分歧之处，在土耳其境内以土耳其的版本为准——而想当然地认为二者可以互换，正是外国企业最常犯、也最昂贵的错误。
KVKK 与 GDPR 一致之处
先说好消息，因为好消息分量不轻。如果您的机构在 GDPR 方面已经成熟，那么您框架中的很大一部分可以直接迁移过来。
二者都是以权利为本的制度
与 GDPR 一样，KVKK 把数据保护视为个人的一项基本权利，而不仅仅是一道合规手续。在土耳其，这项权利植根于宪法，并由第 6698 号法律加以细化。个人（在 KVKK 的术语中称为 ilgili kişi——即"数据主体"或"相关人"）享有可强制执行的权利：了解其数据是否被处理、请求获取信息、要求更正或删除，以及提出异议。这些权利与 GDPR 下的数据主体权利高度对应，因此一套 GDPR 的权利处理流程是一个很好的起点。
控制者 / 处理者模式相同
KVKK 采用了您从 GDPR 中熟知的同一种双主体结构：
- 数据控制者（veri sorumlusu）——确定处理目的与方式的一方。这就是 GDPR 中的"控制者"。
- 数据处理者（veri işleyen）——代表控制者并按其指示处理数据的一方。这就是 GDPR 中的"处理者"。
分配角色、为处理者关系签署书面协议，以及明确谁对什么负责——这些工作的运作方式，与您现有的 GDPR 体系完全一致。
核心原则相互重叠
两部法律都要求个人数据的处理必须合法、公正，出于特定且正当的目的，保持准确并及时更新，限于必要范围，且保存时间不超过所需。一套 GDPR 的"通过设计保护数据"的思维方式可以清晰地映射到 KVKK 的原则之上。目的地相似，不同的是路线和文书工作。
KVKK 与 GDPR 的分歧之处——让外国公司栽跟头的部分
这是真正关键的一节。相似之处令人安心；而差异之处才是合规失败的地方。下表是一份高层次的对照，随后的小节将解释最常绊倒外国公司的四处分歧。
| 问题 | GDPR（欧盟） | KVKK（土耳其，第 6698 号法律） |
|---|---|---|
| 合法依据 | 六项依据，包括灵活的"正当利益"依据 | 明示同意，加上一份限定的法定例外清单；历史上更以同意为中心 |
| 登记 | 没有中央化的控制者登记册 | VERBİS——针对超过门槛者的强制性数据控制者登记册 |
| 指定官员 | 在特定情形下强制设立数据保护官（DPO） | 不要求设立 GDPR 意义上的 DPO；而是设登记册"联络人"（irtibat kişisi） |
| 跨境传输 | 充分性 / 适当保障措施 / 减损例外 | 2024 年（第 7499 号法律）改革为分层模式，引入新工具 |
| 罚则 | 与全球营业额挂钩的欧盟统一框架 | 以土耳其里拉计的行政罚款，每年重新指数化 |
1. 明示同意的传统遗留
最重要的文化差异在于每部法律如何看待合法依据。GDPR 有意提供六项依据，让您选择最合适的一项；在实践中，许多欧盟控制者依赖合同、法定义务或正当利益，把同意作为最后手段。
KVKK 的成长路径恰恰相反。多年来它被解读为以明示同意为中心：明示同意（açık rıza）居于核心地位，周围环绕着一份限定的法定例外清单，而依赖类似 GDPR"正当利益"那样依据的空间则更为狭窄。2024 年的改革使 KVKK 在合法依据问题上更接近 GDPR 的做法，但措辞自成一体，而且土耳其监管机构和交易对手的实务习惯仍然反映着那段以同意为先的历史。
2. VERBİS——一个 GDPR 中没有对应物的登记册
GDPR 中没有任何与 VERBİS（即 Veri Sorumluları Sicili，数据控制者登记册）类似的东西。GDPR 在多年前就废除了向监管机构的一般性通报；而土耳其保留了登记册。许多在土耳其经营的数据控制者必须在 VERBİS 中登记，并保持其登记信息为最新。
您的机构是否有义务登记，取决于由委员会（Kurul）设定的门槛——通常与雇员人数、年度财务数据等因素挂钩，并设有特定行业的豁免。由于这些门槛在此处是定性设定的，且会随时间变化，您应当确认您的具体情形，而不要想当然地认定自己属于或不属于范围之内。一家完全符合 GDPR 的外国公司，仍可能仅仅因为从未登记，而在土耳其构成违规。
3. 没有 DPO 的强制要求——但有一名"联络人"
GDPR 在特定情形下要求设立数据保护官（DPO）——一个具有法定职责和保护的独立角色。KVKK 并没有那种意义上的 DPO 强制要求。
KVKK 转而要求的，是针对在 VERBİS 中登记的控制者，指定一名联络人（irtibat kişisi）。这是一个范围更窄的角色：公司与主管机关（Kurum）之间的联络点，而不是对公司处理活动进行独立监督的监督官。在土耳其境外设立的外国控制者，可能还需要在土耳其指定一名代表。实务要点在于：不要想当然地认为您现有的 DPO 就满足了 KVKK，也不要想当然地认为一名 VERBİS 联络人就履行了您的 GDPR DPO 职责。它们是解决不同问题的不同角色。
4. 跨境传输——2024 年彻底改革
这是两套制度走得最近的领域，但也恰恰是外国公司最常违反 KVKK 的领域。它值得单独一节，见下文。
2024 年改革与跨境传输
2024 年 3 月 12 日，第 7499 号法律修订了 KVKK，连同随后出台的实施条例，把土耳其原先那套高度以同意为基础的个人数据出境模式，替换为一套分层框架，其结构与 GDPR 用户已经熟悉的相吻合。
从宏观上看，个人数据现在可以通过以下三条途径之一离开土耳其：
- 充分性决定（yeterlilik kararı）——传输至委员会（Kurul）已正式认定为提供充分保护的国家、行业或国际组织。
- 适当保障措施——在没有充分性决定的情况下，基于诸如委员会的标准合同条款（SCCs）、用于集团内部数据流动的有约束力的公司规则（BCRs），或经批准的承诺书等工具进行传输。
- 例外情形——基于明示同意或特定法定理由的、有限的、偶发性的传输。
如果您熟悉 GDPR 第五章，这种结构会让您感到似曾相识。但其中的工具是土耳其的：委员会的 SCCs 不是欧盟委员会的 SCCs，以土耳其文本为准，而且还有一些程序性步骤——包括在签署委员会的 SCCs 后的一段规定的较短期限内向主管机关（Kurum）作出通报——这些是 GDPR 中没有对应物的。
双向传输的难题
还有一个结构性的不对称，GDPR 成熟的集团必须为之规划。由于欧盟尚未作出认可土耳其的充分性决定，从欧盟流入土耳其的数据，仍需要其自身的 GDPR 保障措施（通常是由欧盟一方落实的欧盟委员会 SCCs）——这与数据流出土耳其所需的土耳其工具完全分开。因此，许多集团会并行运行两套传输合同。
| 数据流向 | 适用制度 | 您通常需要什么 |
|---|---|---|
| 离开土耳其（流向欧盟或其他地方） | KVKK（第 6698 号法律，经改革后） | 一套土耳其的传输机制——例如委员会的 SCCs（土耳其文本）或 BCRs，外加任何必需的备案 |
| 从欧盟进入土耳其 | GDPR | 由欧盟一方落实的一项 GDPR 保障措施（例如欧盟委员会 SCCs） |
对于支撑这些数据流的协议而言，这与我们处理数据处理协议及合同条款的方式相互重叠。
为 GDPR 成熟企业准备的一份实用映射练习
与其从头重建，不如把 KVKK 就绪程度当作针对您现有 GDPR 体系的一次差距分析。一种站得住脚的做法通常如下：
- 重新对照合法依据。逐项审视每一处理活动，对照第 6698 号法律第 5 条核查其依据——不要想当然地认为您的 GDPR 依据（尤其是正当利益）可以照搬。
- 核查 VERBİS。判断您是否达到登记门槛，若达到则进行登记，指定一名联络人，并保持登记信息为最新。
- 本地化您的告知文件。KVKK 要求其自身的告知文本（aydınlatma metni），并在以同意为依据时要求明示同意表格——这些文件与您的 GDPR 隐私告知并非同一份。
- 重建传输机制。识别每一条离开土耳其的数据流，选择一项符合 2024 年制度的现行机制，并完成任何必需的备案；同时单独确认流入土耳其的数据流的 GDPR 保障措施。
- 理清角色。确认您是否需要一名 GDPR DPO、一名 VERBİS 联络人、一名土耳其代表——或其中某种组合。
- 对齐事件响应。两套制度都要求作出数据泄露通报；构建一套能满足二者中较严格时限要求的统一流程（请确认当前的土耳其要求），并在现实的时间压力下加以演练。
罚则：两套制度，两份各自独立的风险敞口
不合规在两套制度下分别评估，而且二者可能同时发威。
在 KVKK 之下，主管机关的委员会（Kurul）可以处以行政罚款——例如针对安全失职、登记失职，或违反其决定的行为——并同时下达纠正令。这些罚款以土耳其里拉设定，且每年重新指数化，因此任何具体数字都很快过时；在依赖之前请确认当前的金额区间。情节严重的非法处理还可能触发《土耳其刑法典》（第 5237 号法律）的刑事条款。
在 GDPR 之下，欧盟监管机构可以处以其自身的罚款和执法措施，数据主体也可以提起民事索赔。对于一个跨国集团而言，真正的危险在于平行的风险敞口：一次配置错误的传输，或一份缺失的告知，就可能在土耳其和欧盟同时引发后果。
数据保护很少单独存在。如果您正在在土耳其设立一家外资公司，从第一天起就把 KVKK 内建进去，要比事后补装便宜得多；而在交易中，它构成数据保护尽职调查的一部分。如需一份结构化的 KVKK 对 GDPR 差距评估，请与我们的伊斯坦布尔团队联系。
常见问题
符合 GDPR 是否意味着我的公司符合 KVKK？
不是。KVKK（第 6698 号法律）和 GDPR 共享相同的架构——二者都以权利为本，都采用控制者 / 处理者模式——但它们是各自独立的法律。KVKK 有自己的登记环节（VERBİS）、自己的传输规则（由 2024 年第 7499 号法律改革）、自己的合法依据措辞，以及自己的土耳其里拉罚则。一家完全符合 GDPR 的公司，仍可能违反 KVKK，例如从未在 VERBİS 登记。请把 KVKK 就绪程度当作针对您 GDPR 体系的差距分析，而不是它的翻版。
KVKK 与 GDPR 之间主要的结构性差异是什么？
在结构层面，二者非常相似：都把数据保护视为一项基本权利，都采用数据控制者（veri sorumlusu）/ 数据处理者（veri işleyen）的划分，也都共享相同的核心处理原则。实务上的差异在于：KVKK 在合法依据上历史上以明示同意为中心；VERBİS 登记册（GDPR 中没有对应物）；不存在 GDPR 意义上的数据保护官强制要求；以及 2024 年对跨境传输规则的彻底改革。
VERBİS 是什么，GDPR 是否有对应物？
VERBİS（即 Veri Sorumluları Sicili，数据控制者登记册）是一个土耳其的登记册，许多数据控制者必须在其中登记并保持更新。GDPR 没有对应物——它已废除向监管机构的一般性通报。您的公司是否必须登记，取决于由委员会（Kurul）设定的门槛，通常与雇员人数、年度财务数据等因素挂钩，并有一些豁免，因此您应当确认自己的具体情形，而不要想当然。
KVKK 是否像 GDPR 那样要求设立数据保护官？
不在 GDPR 的意义上要求。KVKK 并不强制要求设立数据保护官。相反，在 VERBİS 登记的控制者必须指定一名联络人（irtibat kişisi），这是一个与主管机关（Kurum）对接的、范围更窄的联络角色，而不是独立的监督官。外国控制者可能还需要在土耳其设一名代表。GDPR DPO 与 VERBİS 联络人是不同的角色，彼此不能相互替代。
2024 年的改革如何改变了从土耳其出境的跨境数据传输？
2024 年第 7499 号法律及其实施条例，用一套分层框架替换了原先那套高度以同意为基础的模式：充分性决定、适当保障措施（例如委员会的标准合同条款或有约束力的公司规则），以及有限的例外情形。其结构类似 GDPR 第五章，但工具是土耳其的，以土耳其文本为准，而且还有一些 GDPR 中没有对应物的程序性步骤。由于截止期限和备案窗口期都很细致且已有变化，请在移动任何数据之前，针对您的具体传输确认当前适用的机制。
我可以把个人数据从欧盟传输到我的土耳其公司吗？
那个方向由 GDPR 而非 KVKK 管辖。由于欧盟尚未就土耳其作出充分性决定，从欧盟流入土耳其的传输通常需要其自身的 GDPR 保障措施——常见的是由欧盟一方落实的欧盟委员会标准合同条款。这与您为数据离开土耳其所需的土耳其机制是分开的，这也是为什么许多集团会并行运行两套传输合同。
