《个人数据保护法》（KVKK）第 6698 号旨在保护个人数据处理过程中的个人权利和自由。该法律同时保护数据主体（其数据被处理的人）和数据控制者（处理数据的人）。
为防止个人数据的滥用和无差别收集，KVKK 第 17 条和第 18 条规定了刑事和行政责任。这些条款旨在加强数据控制者的责任，并强调保护个人数据的重要性。
根据 KVKK 第 17 条，土耳其刑法（TCK）第 135–140 条适用于与个人数据相关的犯罪。这些条款最后一次更新于 2021 年。
什么是 TCK？
TCK（Türk Ceza Kanunu）指土耳其刑法，规定了土耳其的刑事犯罪和处罚。
| 犯罪行为 | 刑事处罚 |
|---|---|
| 非法记录个人数据 | 1 至 3 年监禁 |
| 非法记录敏感数据（例如宗教、种族、健康等） | 1 至 3 年监禁，加重二分之一 |
| 非法转移、传播或获取个人数据 | 2 至 4 年监禁 |
| 以公职人员身份或利用职业特权实施犯罪 | 刑罚加重二分之一 |
| 未按法律要求删除数据 | 1 至 2 年监禁 |
| 未销毁刑法命令删除的数据 | 刑罚加重 100% |
什么是 Yargıtay？
Yargıtay 是土耳其的最高上诉法院——民事和刑事事务的最高上诉法院。它确保全国法院判决的一致性，并作为法律解释的最终裁决者。
KVKK 第 18 条规定了对违反其义务的数据控制者的行政罚款。这些罚款适用于自然人和私法法人，并根据土耳其的重估率每年更新。对此类处罚提出异议或撤销，遵循土耳其行政罚款异议与撤销的一般规则。
更新后的行政罚款（2021 年）
| 违规行为 | 适用罚款（TRY） |
|---|---|
| 未履行告知义务（KVKK 第 10 条） | 9,012 – 180,263 |
| 未确保数据安全（KVKK 第 12 条） | 27,037 – 1,802,640 |
| 不遵守个人数据保护委员会的决定（KVKK 第 15 条） | 45,062 – 1,802,640 |
| 未在 VERBIS 注册（KVKK 第 16 条） | 36,050 – 1,802,640 |
什么是 VERBIS？
VERBIS（Veri Sorumluları Sicil Bilgi Sistemi）是土耳其的数据控制者登记信息系统，数据控制者必须在此注册。
这些罚款旨在确保问责制，并加强在土耳其处理个人数据的所有实体对数据保护重要性的认识。对于希望使其实践符合欧洲标准的组织，我们的土耳其 GDPR 合规指南提供了进一步的法律和实践见解。
一名保险公司员工将公司系统中的姓名、联系方式和车牌号码列表发送到个人电子邮箱。该泄露影响了 91 人。委员会认定其数据丢失防护措施不足，对该公司处以 90,000 TRY 罚款。
2019 年，一家旅游公司未能防止泄露，也未及时通知主管机关。罚款：泄露 400,000 TRY，延迟通知 100,000 TRY。
米马尔·锡南美术大学未能及时回应数据主体的数据请求。委员会要求采取内部纪律处分并改进系统，以将数据访问限制为仅限数据主体本人。
Clickbus 在四天内未能停止数据泄露，且缺乏必要的技术保障。罚款总额：550,000 TRY。
随着技术的进步，处理个人数据的需求也在增加——这导致数据泄露和相应罚款的增加。上述处罚金额根据重估率每年更新，近年来快速增长，反映了对在土耳其处理个人数据的自然人和私法法人的问责要求。
违反土耳其的数据保护法律可能导致严重的财务和刑事后果。自然人和公司都必须遵守 KVKK 和 TCK 的规定。寻求专业法律建议至关重要，以避免承担责任，尤其是在罚款上升以及 KVKK 委员会和 Yargıtay 更严格执法的背景下。
