ينظّم KVKK (القانون رقم 6698) كيفية جمع البيانات الشخصية واستخدامها في تركيا، ويمتد نطاقه خارج الحدود ليشمل أي شركة أجنبية تعالج بيانات أشخاص موجودين في تركيا، بصرف النظر عن وجود مكتب لها. ويجب على المتحكّمين الأجانب بالبيانات التسجيل في VERBİS بصرف النظر عن حجمهم، ومنذ إصلاح المادة 9 عام 2024، يستلزم نقل البيانات إلى الخارج عقداً نموذجياً تعتمده الهيئة (يُخطَر به خلال خمسة أيام عمل من توقيعه) أو أساساً قانونياً آخر للنقل؛ وتصل غرامات المخالفة حالياً إلى نحو 17 مليون ليرة تركية.
يحدّد قانون حماية البيانات الشخصية التركي KVKK (القانون رقم 6698) من يجوز له جمع البيانات الشخصية واستخدامها في تركيا، وما يجب عليه إخبار الأشخاص به بشأن ذلك، وما يترتب على الإخلال بهذه الالتزامات. دخل القانون حيّز النفاذ في أبريل 2016، وتتولى إنفاذه هيئة حماية البيانات الشخصية (Kurul)، التي تفرض غرامات قد تبلغ عشرات الملايين من الليرات التركية في أشد المخالفات.
لا يقتصر نطاق KVKK على الشركات المؤسَّسة في تركيا. فقد تدخل شركة أجنبية لا مكتب لها في تركيا ضمن نطاقه لمجرد معالجتها بيانات شخصية لأشخاص موجودين في تركيا، كمتجر إلكتروني له عملاء أتراك، أو تطبيق له مستخدمون أتراك، أو شركة ضمن مجموعة دولية تستقبل سجلات الموارد البشرية من فرعها التركي. يوضّح هذا الدليل ما يفرضه القانون فعلياً، ومن يجب عليه التسجيل، وكيف يمكن نقل البيانات إلى خارج تركيا بصورة قانونية بعد إصلاح عام 2024، وأكثر الأخطاء شيوعاً التي تقع فيها الشركات الأجنبية.
يُطبَّق KVKK على كل من يعالج بيانات شخصية، كلياً أو جزئياً، بالوسائل الآلية، أو يدوياً ضمن نظام فهرسة، في سياق أنشطة تتصل بتركيا. ويُعرَّف مصطلح «المعالجة» تعريفاً واسعاً يشمل الجمع والتسجيل والتخزين والتكييف والإفصاح، بل ومجرد الاحتفاظ بالبيانات. ويميّز القانون بين نوعين من الفاعلين تختلف التزاماتهما:
يمتد نطاق KVKK خارج الحدود التركية: فقد تُعدّ شركة أجنبية لا كيان قانوني لها في تركيا متحكّماً بالبيانات بموجب القانون إذا كانت تعالج بيانات شخصية لأشخاص موجودين في تركيا أو تستهدف السوق التركية. ويشمل ذلك عملياً منصات التجارة الإلكترونية الأجنبية التي تبيع لمستهلكين أتراك، وتطبيقات البرمجيات كخدمة (SaaS) التي لديها حسابات مستخدمين أتراك، والمجموعات متعددة الجنسيات التي يرسل فرعها التركي بيانات الموظفين أو العملاء إلى الشركة الأم في الخارج.
البيانات الشخصية هي أي معلومة تتعلق بشخص طبيعي محدَّد الهوية أو قابل للتحديد، وتشمل الأسماء، والرقم الوطني للهوية، والبريد الإلكتروني، وعنوان IP، وبيانات الموقع الجغرافي. أما «الفئات الخاصة من البيانات الشخصية» (özel nitelikli kişisel veri)، وهي فئة أضيق، فتشمل العرق والأصل الإثني والرأي السياسي والمعتقد الفلسفي والدين والمذهب والمظهر الخارجي والانتماء إلى جمعيات أو نقابات، والبيانات الصحية والحياة الجنسية والأحكام الجزائية والتدابير الأمنية، والبيانات البيومترية والجينية. ولا يجوز معالجة هذه الفئة إلا بموافقة صريحة أو استناداً إلى أحد الأسس القانونية المحدودة المنصوص عليها، وتتعامل الهيئة مع مخالفاتها بصرامة أكبر.
بموجب المادة 5 من KVKK، لا يجوز معالجة البيانات الشخصية إلا بموافقة صريحة (açık rıza) من صاحب البيانات، أو استناداً إلى أحد الأسس التالية دون حاجة إلى موافقة:
وعملياً، تستند معظم عقود العمل التركية وإجراءات استقبال العملاء والعلاقات مع الموردين إلى أساس ضرورة العقد أو المصلحة المشروعة بدلاً من الموافقة الشاملة، التي انتقدتها الهيئة مراراً باعتبارها أساساً قانونياً ضعيفاً حين تُستعمل كأداة جامعة لكل الأغراض.
تُلزم المادة 10 المتحكّمين بإفصاح، عند جمع البيانات أو قبله، عن هويتهم، وغرض المعالجة، والجهات التي قد تُنقَل إليها البيانات وغرض ذلك النقل، وطريقة الجمع وأساسه القانوني، وحقوق صاحب البيانات المنصوص عليها في المادة 11. ويقوم هذا الواجب بصرف النظر عمّا إذا كانت الموافقة هي الأساس القانوني للمعالجة أم لا، فهو يسري حتى حين تستند المعالجة إلى عقد أو التزام قانوني. وتفي معظم الشركات بهذا الواجب عبر نص إفصاح مكتوب (aydınlatma metni) يُقدَّم عند التسجيل أو على الموقع الإلكتروني أو ضمن عقد العمل.
يحق لكل من تُعالَج بياناته الشخصية في تركيا أن يتقدّم إلى المتحكّم المعني بطلب:
ويجب على المتحكّم الرد على هذا الطلب مجاناً وخلال ثلاثين يوماً، إما بتلبيته أو برفضه رفضاً مسبَّباً. وإذا رُفض الطلب أو لم يُرَدّ عليه في الموعد، جاز للشخص المعني التقدّم بشكوى إلى الهيئة.
سجل المتحكّمين بالبيانات (VERBİS) هو السجل المركزي الذي يجب على كل متحكّم مشمول بالقانون الانضمام إليه قبل معالجة أي بيانات شخصية، بموجب المادة 16. ويستلزم التسجيل الإفصاح، ضمن أمور أخرى، عن فئات البيانات الشخصية المعالجة، وأغراض المعالجة، والفئات التي قد تُنقَل إليها البيانات، والتدابير الأمنية التقنية والتنظيمية المتّخذة.
واعتباراً من عام 2026، يكون التسجيل إلزامياً لـ:
وهذه الفئة الأخيرة هي التي تغفل عنها معظم الشركات الأجنبية. وقد كان الإنفاذ صارماً بشأنها في عام 2026: فرضت الهيئة غرامات على شركات أجنبية ذات حضور تركي محدود جداً، بما فيها مكاتب اتصال لا تمارس نشاطاً تجارياً مباشراً، لعدم تسجيلها، لمجرد أنها كانت تعالج بيانات موظفين أو عملاء لها صلة بتركيا.
تنظّم المادة 9 نقل البيانات الشخصية إلى خارج تركيا، وقد أعيدت صياغتها جوهرياً بموجب القانون رقم 7499 في مارس 2024، إذ استُبدل النظام القائم أساساً على الموافقة بهيكل متدرّج يحاكي إلى حدّ بعيد اللائحة الأوروبية العامة لحماية البيانات (GDPR). واعتباراً من 1 يونيو 2024، يجوز أن يستند نقل البيانات إلى الخارج إلى أحد الأسس الثلاثة التالية، بالترتيب:
ويطال هذا التنظيم شركات أكثر مما يبدو للوهلة الأولى: فإرسال سجلات الموارد البشرية إلى شركة أم في الخارج، أو استضافة بيانات العملاء على خوادم خارج تركيا، أو مشاركة بيانات التحليلات مع فرع خارجي، كلّها تُعدّ نقلاً عابراً للحدود خاضعاً للتنظيم، أياً كانت الوسيلة التقنية المستخدَمة.
إذا حصل آخرون على بيانات شخصية يعالجها متحكّم بوسائل غير قانونية، وجب على المتحكّم إخطار أصحاب البيانات المتضررين والهيئة في أقرب وقت ممكن. وتعتبر إرشادات الهيئة أن «أقرب وقت ممكن» يعني، على الأكثر، مهلة 72 ساعة من لحظة علم المتحكّم بالخرق، بما يوازي معيار اللائحة الأوروبية GDPR وإن كان نصّ القانون نفسه لا يحدّد عدد الساعات صراحةً. ويجب أن يتضمّن الإخطار وصف طبيعة الخرق، وفئات أصحاب البيانات والسجلات المتأثرة وعددها التقريبي، والآثار المحتملة، والتدابير المتّخذة أو المقترَحة استجابةً لذلك.
تحقّق هيئة حماية البيانات الشخصية في الشكاوى، وتجري عمليات تفتيش، ويجوز لها أن تأمر المتحكّم بمعالجة أي خرق. وتُعاد تقييم الغرامات الإدارية سنوياً، وتتراوح تقريباً في عام 2026، بحسب طبيعة المخالفة، كما يلي:
وبمعزل عن ذلك، تُرتّب المادتان 17 و18 من KVKK مسؤولية جزائية، بالإحالة إلى المواد من 135 إلى 140 من قانون العقوبات التركي، على تسجيل البيانات الشخصية أو إفشائها أو الحصول عليها بصورة غير قانونية، بعقوبات حبس قد تمتد من سنة إلى ست سنوات بحسب طبيعة الجرم وما إذا كانت الفئات الخاصة من البيانات معنيّة به. ويتناول دليلنا المستقل عقوبات مخالفات KVKK هذا الموضوع بتفصيل أوسع.
أكثر الأخطاء شيوعاً التي تقع فيها الشركات الأجنبية العاملة في تركيا أو التي تبيع إلى السوق التركية ثلاثة: افتراض أن عدم وجود مكتب تركي يُخرجها من نطاق KVKK، في حين أن القانون يتبع البيانات لا الكيان؛ ومعاملة التسجيل في VERBİS باعتباره اختيارياً لحضور محدود، مع أن المتحكّمين الأجانب ملزَمون بالتسجيل بصرف النظر عن حجمهم؛ ونقل البيانات إلى شركة أم أو مزوّد خدمات سحابية في الخارج دون العقد النموذجي وإخطار الخمسة أيام عمل الذي تشترطه المادة 9 حالياً. وينبغي لأي مراجعة عملية للامتثال في شركة أجنبية أن ترسم خريطة للبيانات الشخصية التي تُجمَع من أشخاص في تركيا، وتتحقق من الأساس القانوني لكل نشاط معالجة، وتتأكد مما إذا كان التسجيل في VERBİS واجباً، وتتحقق من أن كل تدفق بيانات عابر للحدود، موارد بشرية أو عملاء أو تحليلات، يستند إلى أحد الأسس القانونية الثلاثة للنقل.
نعم. يمتد نطاق KVKK خارج الحدود التركية ليشمل أي متحكّم يعالج بيانات شخصية لأشخاص موجودين في تركيا أو يستهدف السوق التركية، بصرف النظر عن مكان تأسيس الشركة.
نعم، إذا كانت مؤسَّسة في الخارج. فخلافاً للشركات التركية التي لا يلزمها التسجيل إلا عند تجاوز عتبات عدد الموظفين أو الإيرادات، يجب على المتحكّمين الأجانب التسجيل في VERBİS بصرف النظر عن حجمهم متى عالجوا بيانات شخصية ذات صلة بتركيا.
نعم، لكن يجب أن يستند النقل إلى أحد الأسس الثلاثة في المادة 9، وأكثرها شيوعاً العقد النموذجي الصادر عن الهيئة، ويجب إخطار الهيئة بالعقد الموقَّع خلال خمسة أيام عمل.
فوات هذا الأجل هو حالياً السبب الأكثر شيوعاً لفرض غرامات الإنفاذ المتعلقة بالنقل العابر للحدود، وقد تصل غرامات عدم الامتثال لقرارات الهيئة إلى ملايين الليرات.
لا. تجيز المادة 5 المعالجة دون موافقة حين تكون ضرورية لتنفيذ عقد، أو للوفاء بالتزام قانوني، أو لتحقيق مصلحة مشروعة للمتحكّم، أو استناداً إلى عدة أسس أخرى محدَّدة؛ فالموافقة ليست سوى أحد عدة أسس قانونية ممكنة.
تعتبر إرشادات الهيئة مهلة 72 ساعة من لحظة علم المتحكّم بالخرق الحدّ الأقصى العملي لإخطار كل من الهيئة والأشخاص المتضررين.
يمتد نطاق KVKK أبعد مما قد يوحي به اسمه، وقد جعل إصلاح عام 2024 لقواعد النقل العابر للحدود من الإجراءات الشكلية المتعلقة بنقل البيانات إلى الخارج، لا مجرد قرار جمعها، خطر امتثال حقيقياً على الشركات الأجنبية. وضبط التسجيل والإشعارات وآلية النقل بشكل صحيح منذ البداية أقل تكلفة بكثير من تصحيحها بعد فتح الهيئة تحقيقاً.
يقدّم مكتب Bayraktar Attorneys الاستشارة للشركات الأجنبية والمجموعات متعددة الجنسيات في الامتثال لـ KVKK من الأساس: التسجيل في VERBİS، ونصوص الإفصاح، واتفاقيات معالجة البيانات، والعقود النموذجية والإشعارات اللازمة للنقل القانوني العابر للحدود. إذا كانت شركتك تجمع أو تعالج بيانات شخصية ذات صلة بتركيا، تواصل معنا للحصول على تقييم للامتثال.
