回应土耳其 KVKK 下的数据主体请求

如果贵公司处理与土耳其相关的个人数据，个人有权询问您持有他们的哪些信息，并要求您对此采取行动。根据土耳其《个人数据保护法》（Kişisel Verilerin Korunması Kanunu No. 6698，简称"KVKKKVKK第6698号《个人数据保护法》土耳其的数据保护法——个人数据的收集、存储与传输规则，以及执行这些规则的机构。词典 →"），第 11 条赋予每一位数据主体（ilgili kişi）一系列权利——了解其数据是否被处理、请求获取信息和副本、要求更正、删除或提出异议；而第 13 条则要求您作为数据控制者（veri sorumlusu），接收他们的申请并在法律规定的期限内予以答复。本指南将说明贵公司必须运行的流程、您必须遵守的期限，以及当个人将事项升级至个人数据保护委员会（Kişisel Verileri Koruma Kurulu）时会发生什么。

数据主体在 KVKK 第 11 条下享有哪些权利？

第 6698 号法律第 11 条列举了个人可以对您行使的权利。简单来说，任何被您处理数据的人都可以要求您：

• 确认您是否处理其数据——简单的是或否。
• 请求获取信息——如果确实存在处理活动，包括处理目的以及数据是否按照该目的使用。
• 了解接收方——数据被转移给了谁，无论是在土耳其境内还是境外。
• 要求更正——如果数据不完整或不准确，并要求您通知曾收到该数据的任何第三方。
• 要求清除或销毁——当处理的法律依据已不复存在时，同样需通知接收方。
• 提出异议——针对仅通过自动化分析得出、对其不利的结果。
• 主张赔偿——因非法处理造成的损害（这部分须通过法院途径，而非贵公司的内部受理窗口）。

"数据主体"（ilgili kişi）一词仅指数据所涉及的在世个人——客户、员工、网站访客、求职者。这些权利属于个人，而非贵公司，您不能通过合同将其剥夺。

申请如何依据第 13 条到达您手中

第 13 条规定了申请渠道。数据主体向数据控制者提出书面申请——也就是向贵公司提出——或采用委员会（Kurul）为已登记的控制者批准的其他方法。如果法律和委员会指引允许其他形式，您不能坚持要求请求必须采用某种特定形式；重要的是您能够识别该个人并理解其诉求。

您的首要任务是核验。在披露任何个人数据之前，请先确认申请人确为其所声称的本人。把他人的数据交给冒充者本身就是一种违规。请保持身份核查的相称性——足以使您确信，但又不至于繁重到妨碍真实的请求。

请注意，第 13 条规定申请应首先指向控制者。数据主体通常不能在未给您回应机会的情况下径直诉诸委员会（Kurul）。这使得您的内部流程成为合规的第一道防线。

回应期限——在法定期间内答复

这是企业最常出错的地方。第 13 条要求您尽快、且最迟在 30 天内处理完该请求，原则上免费。如果回应需要单独的成本支出，委员会（Kurul）制定的收费标准可能允许收取费用。

"处理完毕"意味着给出真正的答复——接受请求并采取行动，或附理由予以拒绝。沉默不是一种选项。如果您拒绝，必须以书面形式说明拒绝的法律依据。逾期、含糊或未说明理由的答复，其后果与不答复几乎无异，会使您面临投诉。

实务提示：记录有效申请到达您手中的日期，立即将截止日期录入日历，并力求远在期限之前作出回应。要为身份核查以及从各系统和供应商处调取数据预留时间——这些步骤往往会吞噬日程。

实务中如何处理各类请求

所行使的权利决定了您的答复方式：

访问与信息请求

搜索您的系统，确认是否持有该个人的数据，并说明处理目的、法律依据以及接收方（境内与跨境）。披露该个人本人的数据——但要注意，在此过程中不要泄露第三方的个人数据。

更正请求

在请求合理时，更正不准确或不完整的数据，并在第 11 条要求的情况下，通知此前曾共享该数据的第三方。

清除与销毁请求

评估处理的合法依据是否仍然存在。如果某项依据仍然存在——例如税务、商业或劳动法下的法定保留义务——您可以合法拒绝，并须附理由说明。如果不再有任何依据，则删除或销毁数据并通知接收方。

当请求涉及敏感数据（健康、生物识别、宗教或政治信息）或要求您确认某项境外转移时，在 2024 年修订之后，分析会更为微妙。请将这类情形作为需要法律审查的案件来处理，而非常规的受理窗口答复。

当数据主体向委员会（Kurul）投诉时

如果您拒绝请求、错过期限或给出不充分的回应，数据主体的下一步就是向个人数据保护委员会（Kişisel Verileri Koruma Kurulu）投诉。法律要求个人先向您申请，然后再升级——通常须在从您的答复之时（或从您本应答复之时）起算的特定时限内进行。委员会（Kurul）可以审查投诉、要求您作出说明并提供文件，并裁定您是否合规。

如果委员会认定存在违法，它可以责令您予以纠正，并可处以行政罚款。罚款档次由法律规定，并会定期更新。

对贵公司而言，启示在于预防：一份干净、有记录、按时的回应是您最好的保护。当委员会审查投诉时，您带日期的受理记录、您的身份核验步骤以及您的书面理由，正是证明您履行了第 13 条义务的证据。

外国公司应当建立什么

如果您的总部位于土耳其境外，但处理与当地人员相关的数据，您并不在 KVKK 的管辖范围之外。请在请求到来之前建立以下机制：

• 一个指定的受理渠道，用于接收数据主体申请，并在工作日进行监控。
• 一道身份核验步骤，既坚定又相称。
• 一个期限追踪器，自收到申请起开始计时，并尽早标示法定的天数期限。
• 回应模板，分别对应接受、部分接受和拒绝的答复——每一种都附理由。
• 一张数据地图，使您能够真正在各系统和供应商中找到并调取该个人的数据。
• 一条升级规则，将敏感数据和跨境问题送交法律审查。

已登记的控制者还必须保持其更广泛的 KVKK 义务处于最新状态——您的隐私告知、您的合法依据、您的转移机制，以及在适用情况下您在控制者登记系统（VERBİS）中的登记。您的处理活动是否跨越任何登记门槛，以及 2024 年修订后现行规则的要求，应当向土耳其数据保护律师核实，而非想当然。

常见问题