لمن هذه الصفحة
هذه الصفحة موجهة إلى المؤسسات الأجنبية التي تتعامل مع بيانات شخصية تركية، أينما كان مقرّها. قد تكون:
- شركة أجنبية لديها عملاء أو مستخدمون أتراك، أو حضور في التجارة الإلكترونية يصل إلى تركيا؛
- صاحب عمل يعالج بيانات موظفين في تركيا؛
- مجموعة تدير بالفعل برنامج امتثال لـ GDPR وتفترض أنه يغطي تركيا — وهذا غير صحيح تلقائياً؛
- مسؤولاً عن البيانات يواجه تحقيقاً من هيئة KVKK أو شكوى أو خرقاً للبيانات.
يقترب KVKKKVKKقانون حماية البيانات الشخصية رقم 6698قانون حماية البيانات في تركيا — قواعد جمع البيانات الشخصية وحفظها ونقلها، والهيئة التي تُنفّذها.المعجم → من GDPR بما يكفي ليبدو مألوفاً، ويختلف عنه بما يكفي ليكون فخاً. والفجوات — التسجيل في VERBİS، وقواعد النقل بعد 2024، وتوقيت الإخطار بالخرق — هي بالضبط حيث تُغرَّم الشركات الأجنبية.
هل تصف هذه الصفحة وضعك؟
ما هو KVKK ومن يجب أن يمتثل له
تخضع حماية البيانات التركية لـ قانون حماية البيانات الشخصية رقم 6698 (Kişisel Verilerin Korunması Kanunu، KVKK)، النافذ منذ 7 نيسان/أبريل 2016. ويُنفَّذ من قبل هيئة حماية البيانات الشخصية وجهازها صاحب القرار، المجلس (Kurul)، الذي تُشكِّل قراراته المنشورة الممارسة اليومية.
ينطبق القانون على المسؤولين عن البيانات ومعالِجيها الذين يتعاملون مع البيانات الشخصية لأشخاص في تركيا، بما في ذلك الشركات الأجنبية التي لا منشأة لها في تركيا متى بلغت معالجتها أفراداً هنا.
متى ينطبق KVKK وGDPR معاً
من الافتراضات الشائعة والمكلفة أن برنامج امتثال GDPR يفي بمتطلبات تركيا تلقائياً. وهذا غير صحيح. فكثير من الشركات الأجنبية تقع ضمن كلا النظامين في آنٍ واحد — GDPR لأنها تستهدف الاتحاد الأوروبي، وKVKK لأنها تعالج بيانات أشخاص في تركيا. تتشابه المبادئ، لكن الالتزامات تختلف في التسجيل، ودقائق الأساس القانوني، وآليات النقل، ومُهَل الإخطار. نرسم لك مواضع التداخل لتدير برنامجاً واحداً متماسكاً يمتثل للجهتين، بدلاً من برنامجين متناقضين. اطّلع على مقالتنا حول أثر GDPR على الشركات التي تتعامل مع تركيا.
المعالجة المشروعة والموافقة الصريحة (açık rıza)
لا يجوز معالجة البيانات الشخصية إلا استناداً إلى أساس قانوني. وتوجد الشروط في المادتين 5 و6 من KVKK، مع قواعد أكثر صرامة للفئات الخاصة من البيانات (الصحة والقياسات الحيوية والمعتقد الديني وما إليها). وحيثما اعتمدت على الموافقة، يجب أن تكون موافقة صريحة (açık rıza): مستنيرة وحرة ومحددة لغرض معيّن — أما الموافقة المجمّعة أو المؤشَّرة مسبقاً فلا تُحتسب. وبشكل منفصل، عليك أن تقدّم لأصحاب البيانات إشعاراً بالإحاطة (aydınlatma metni) يوضّح من أنت، وماذا تعالج، ولماذا.
التسجيل في VERBİS
يجب على معظم المسؤولين عن البيانات التسجيل في VERBİS (سجل المسؤولين عن البيانات) بموجب المادة 16 من KVKK قبل بدء المعالجة، والإبقاء على القيد محدّثاً. أما الإعفاءات والحدود الدنيا — القائمة على عوامل مثل عدد الموظفين والحجم المالي السنوي — فيحددها المجلس، وللمسؤولين الأجانب مسار تسجيل خاص بهم، عادةً عبر ممثّل مقيم في تركيا. ويُعدّ إغفال VERBİS أو التهاون فيه من أكثر المخالفات التي تُفرض عليها الغرامات، تحديداً لأنه ظاهر وقطعي.
نقل البيانات عبر الحدود بعد إصلاح 2024
يخضع إرسال البيانات الشخصية التركية إلى الخارج — إلى شركة أُم أو مزوّد سحابي أو نظام تابع للمجموعة — للتنظيم، وقد تغيّرت القواعد جوهرياً مع إصلاح 2024 (القانون رقم 7499) ولائحته التنفيذية لائحة النقل المؤرخة 10 تموز/يوليو 2024. ويعكس النظام الآن بنية GDPR، بثلاثة مسارات:
| المسار | متى ينطبق |
|---|---|
| قرار الكفاية | النقل إلى بلد (أو قطاع) قرّر المجلس أنه يوفّر حماية كافية |
| الضمانات المناسبة | البنود التعاقدية النموذجية (SCCs)، أو القواعد المؤسسية المُلزِمة (BCRs)، أو ضمانات معتمدة أخرى |
| الاستثناءات | استثناءات محددة ومحدودة تُقيَّم حالة بحالة (مثل الموافقة الصريحة، أو الضرورة التعاقدية) |
طلبات أصحاب البيانات وواجبات الاستجابة لديك
للأفراد حقوق بموجب KVKK — في معرفة ما إذا كانت بياناتهم تُعالَج، والوصول إليها وتصحيحها، وطلب حذفها، والاعتراض على معالجات معيّنة. وعلى المسؤول عن البيانات الذي يتلقى طلباً أن يستجيب خلال المدة القانونية، وأن يُبدي الأسباب عند الرفض. وتُشكّل الطلبات غير المُجابة أو المُساء التعامل معها طريقاً متكرراً للشكوى أمام الهيئة. نبني لك إجراء التعامل مع الطلبات ونماذجه بحيث يستجيب فريقك بشكل صحيح وفي الوقت المناسب.
«نحن ممتثلون لـ GDPR، إذن تركيا مغطّاة.»
KVKK (القانون رقم 6698) نظام قائم بذاته. يشبه GDPR لكنه يفترق عنه في التسجيل بـ VERBİS، والنقل عبر الحدود، وتوقيت الإخطار بالخرق — وكثيراً ما تخضع الشركة للنظامين معاً في آنٍ واحد.
«لا مكتب لنا في تركيا، فلا ينطبق علينا KVKK.»
يطال القانون المسؤولين عن البيانات ومعالِجيها الذين يتعاملون مع البيانات الشخصية لأشخاص في تركيا، بمن فيهم الشركات الأجنبية التي لا منشأة محلية لها. وللمسؤولين الأجانب مسار تسجيل خاص بهم، عادةً عبر ممثّل مقيم في تركيا.
«الموافقة تحلّ كل شيء — نحصل عليها عند التسجيل.»
الموافقة يجب أن تكون açık rıza: مستنيرة وحرة ومحددة لغرض معيّن. أما المجمّعة أو المؤشَّرة مسبقاً أو المفروضة على قاعدة «إما القبول أو الرفض» فلا تُحتسب، والموافقة قابلة للسحب — وغالباً ما يلائم أساس قانوني آخر بموجب المادتين 5 و6 نشاط المعالجة على نحو أفضل.
خروقات البيانات: قاعدة الـ72 ساعة
إذا جرى الوصول إلى بيانات شخصية أو الإفصاح عنها بشكل غير مشروع، تُلزم المادة 12/5 من KVKK بإخطار الهيئة "في أقصر وقت". ويقرأ قرار المجلس التأسيسي رقم 2019/10 (24 كانون الثاني/يناير 2019) ذلك على أنه خلال 72 ساعة من العلم بالخرق، مع إخطار الأفراد المتأثرين كذلك.
التحقيقات والغرامات والمسؤولية الجزائية
تأتي الملاحقة من اتجاهين. يفرض المجلس غرامات إدارية بموجب المادة 18 — عن الإخفاقات الأمنية (المادة 12)، والإخفاق في الإخطار بالخرق، وعدم التسجيل في VERBİS وغيرها. وتُعدَّل المبالغ بالليرة صعوداً كل عام، فتظل المخاطرة الفعلية في ازدياد؛ لذا ننصحك بالأرقام الجارية بدلاً من الاستشهاد برقم يصبح متقادماً. وبشكل منفصل، يُعدّ تسجيل البيانات الشخصية أو نقلها أو الحصول عليها بصورة غير مشروعة جريمة بموجب المواد 135–140 من TCKTCKقانون العقوبات التركي رقم 5237القانون الذي يحدد الجرائم وعقوباتها في تركيا — ومنها الاحتيال وخيانة الأمانة والتزوير وغسل الأموال والجرائم المرتكبة في إطار نشاط تنظيم.المعجم →، وتستوجب السجن، فقد يواجه أفراد داخل المنشأة مسؤولية جزائية شخصية إلى جانب غرامة الشركة. ندافع عن المسؤولين عن البيانات في تحقيقات الهيئة، وننسّق الجانب الجزائي حين ينشأ.
إدارة الأمر من الخارج
لا تحتاج إلى حضور في تركيا لتصبح ممتثلاً. فبموجب توكيل رسمي — مُصدَّق ومُصدَّق عليه بالأبوستيل في الخارج ومترجَم، أو موقَّع في قنصلية تركية — نسجّلك في VERBİS، ونصوغ سياساتك وإشعاراتك وفق القانون التركي، ونضع آليات النقل موضع التنفيذ، ونمثّلك أمام الهيئة. ونعمل كنقطة اتصال لك مقيمة في تركيا، بحيث لا تتسرّب الطلبات والإشعارات. ويرتبط هذا طبيعياً بـتأسيس الشركات وبـعقودك التجارية، حيث تندرج بنود معالجة البيانات.
أخطاء KVKK الشائعة التي ترتكبها الشركات الأجنبية
الغرامات التي نراها أكثر من غيرها تعود إلى قائمة قصيرة: افتراض أن برنامج GDPR يغطي تركيا؛ وتخطّي VERBİS أو نسيانه؛ ونقل البيانات إلى شركة أُم أو مزوّد سحابي في الخارج دون مسار مشروع (ودون إخطار SCC خلال خمسة أيام)؛ والاعتماد على الموافقة المجمّعة بدلاً من الأساس القانوني الصحيح؛ وتفويت نافذة الـ72 ساعة للخرق؛ وعدم وجود إشعار بالإحاطة (aydınlatma) بالتركية. وكل واحد منها زهيد الإصلاح قبل التفتيش وباهظ بعده. وللاطلاع على الالتزامات المجاورة، راجع قانون الأمن السيبراني الجديد في تركيا ومشهد تنظيم الذكاء الاصطناعي الناشئ.
لماذا محامٍ تركي متخصص في حماية البيانات
يُفسَّر KVKK عبر جسم متنامٍ من قرارات المجلس التي لا تكون دائماً بديهية من نص القانون، ولا يزال إصلاح النقل لعام 2024 في طور الترسّخ. والمحامي التركي المتخصص في حماية البيانات يقرأ تلك القرارات، ويعرف ما تتوقّعه الهيئة فعلاً في قيد VERBİS أو في إخطار بالخرق، ويستطيع الدفاع عنك عند فتح تحقيق — بدلاً من أن يتركك تُسقِط نظاماً غير مألوف على قالب GDPR. ونقرن ذلك بدعم متعدد التخصصات في مسائل المنافسة والشركات حين تتقاطع.
كيف نجعلك ممتثلاً لـ KVKK
تدقيق البيانات وتقييم الفجوات
نرسم خريطة للبيانات الشخصية التي بحوزتك، وأين تتدفق وأين تذهب إلى الخارج، ونقيسها في ضوء KVKK (وGDPR حيثما ينطبق أيضاً) لتحديد الفجوات.
تحديد الالتزامات
نبيّن لك بدقة ما يتطلّبه KVKK منك — التسجيل، الإشعارات، الأسس القانونية، عمليات النقل، الأمن — ضمن خطة ذات أولويات وبأتعاب ثابتة.
التسجيل في VERBİS والسياسات
نسجّلك في VERBİS ونصوغ إشعارات الإحاطة ونصوص الموافقة وسياسات معالجة البيانات والاحتفاظ بها وفق القانون التركي.
آليات النقل المشروع
نضع المسار الصحيح للنقل عبر الحدود — الكفاية أو SCCs أو ضمانة أخرى — ونقدّم إخطار SCC خلال خمسة أيام إلى الهيئة.
إجراءات الخرق والطلبات
نبني لك خطة الاستجابة للخرق خلال 72 ساعة وسير عمل طلبات أصحاب البيانات، مع نماذج يستطيع فريقك استخدامها فعلاً.
التمثيل أمام الهيئة
في حال نشوء شكوى أو تحقيق، نمثّلك أمام هيئة KVKK وندير الاستجابة وأي غرامة.
الامتثال المستمر والتدريب
نبقي برنامجك محدّثاً مع تطوّر القواعد وندرّب موظفيك ليصمد الامتثال في الممارسة العملية.
ما ينبغي ترتيبه
قبل تفتيش أو شكوى أو تشغيل مسار نقل جديد، هذه هي الأمور التي يُستحسن أن تكون جاهزة. معظمها زهيد الإصلاح مسبقاً وباهظ بعد فوات الأوان.
KVKK وحماية البيانات في تركيا — أسئلة شائعة
هل يغطي امتثالي لـ GDPR تركيا؟
لا. فـ KVKK (القانون رقم 6698) نظام منفصل. يشبه GDPR لكنه يختلف عنه في التسجيل بـ VERBİS، والنقل عبر الحدود، وتوقيت الإخطار بالخرق، فبرنامج GDPR لا يجعلك ممتثلاً في تركيا تلقائياً. وكثير من الشركات تخضع للنظامين في آنٍ واحد.
ما هو KVKK؟
هو قانون حماية البيانات الشخصية رقم 6698، قانون حماية البيانات في تركيا، النافذ منذ 7 نيسان/أبريل 2016، والمُنفَّذ من قبل هيئة حماية البيانات الشخصية ومجلسها (Kurul). وينظّم كيفية معالجة البيانات الشخصية لأشخاص في تركيا.
هل ينطبق KVKK على شركة أجنبية لا مكتب لها في تركيا؟
قد ينطبق. فحيثما بلغت معالجتك أشخاصاً في تركيا — عملاء أو مستخدمين أو موظفين أتراك — يمكن أن تقع ضمن KVKK حتى دون منشأة محلية، وتسجّل وتتصرّف عادةً عبر ممثّل مقيم في تركيا.
ما هو VERBİS وهل يجب أن أسجّل فيه؟
VERBİS هو سجل المسؤولين عن البيانات بموجب المادة 16 من KVKK. ويجب على معظم المسؤولين التسجيل قبل المعالجة وإبقاء القيد محدّثاً. ويحدد المجلس الإعفاءات والحدود الدنيا، وللمسؤولين الأجانب مسار تسجيل خاص بهم. وعدم التسجيل من أكثر المخالفات التي تُفرض عليها الغرامات.
هل أستطيع نقل بيانات شخصية تركية إلى شركتي الأُم في الخارج؟
نعم، لكن فقط عبر مسار مشروع بموجب نظام النقل لعام 2024: قرار كفاية، أو ضمانات مناسبة كالبنود التعاقدية النموذجية (SCCs) أو القواعد المؤسسية المُلزِمة، أو استثناء محدد. وحيثما استخدمت SCCs، عليك إخطار الهيئة بالبنود الموقّعة خلال خمسة أيام عمل.
ما الذي تغيّر في تعديل KVKK لعام 2024؟
أعاد القانون رقم 7499 (آذار/مارس 2024) ولائحة النقل المؤرخة 10 تموز/يوليو 2024 هيكلة النقل عبر الحدود، فاستبدلا بالنهج القديم كثيف الاعتماد على الموافقة بنية ثلاثية على غرار GDPR: الكفاية، والضمانات المناسبة، والاستثناءات المحدودة.
بأي سرعة يجب أن أبلّغ عن خرق للبيانات؟
تُلزم المادة 12/5 من KVKK بالإخطار "في أقصر وقت". ويقرأ قرار المجلس 2019/10 المؤرخ 24 كانون الثاني/يناير 2019 ذلك على أنه خلال 72 ساعة من العلم بالخرق، مع إخطار الأفراد المتأثرين كذلك.
ما هي açık rıza (الموافقة الصريحة)؟
موافقة مستنيرة وحرة ومحددة لغرض معيّن. أما الموافقة المجمّعة أو المؤشَّرة مسبقاً أو المفروضة على أساس "إما القبول أو الرفض" فليست صحيحة. وكثيراً ما يلائم أساس قانوني آخر بموجب المادتين 5–6 بشكل أفضل، لأن الموافقة يمكن سحبها.
ما حجم غرامات KVKK؟
تُفرض غرامات إدارية بموجب المادة 18 عن إخفاقات كضعف الأمن، والتأخر في الإخطار بالخرق، وعدم التسجيل في VERBİS. وتُعدَّل المبالغ بالليرة صعوداً كل عام، لذا ننصح بالأرقام الجارية بدلاً من الاستشهاد برقم يتقادم سريعاً.
هل يمكن أن يُسجَن شخص بسبب خرق للبيانات في تركيا؟
يُعدّ تسجيل البيانات الشخصية أو نقلها أو الحصول عليها بصورة غير مشروعة جريمة بموجب المواد 135–140 من قانون العقوبات التركي، وتستوجب السجن. وتسري هذه المسؤولية الجزائية إلى جانب الغرامة الإدارية للشركة، وقد تلحق بالأفراد.
ما حقوق أصحاب البيانات، وبأي سرعة يجب أن أستجيب؟
يمكن للأفراد السؤال عمّا إذا كانت بياناتهم تُعالَج، والوصول إليها وتصحيحها، وطلب حذفها، والاعتراض على معالجات معيّنة. وعليك الاستجابة خلال المدة القانونية وإبداء الأسباب عند أي رفض. والطلبات المُساء التعامل معها طريق متكرر للشكوى أمام الهيئة.
هل تستطيعون جعلنا ممتثلين ونحن خارج تركيا؟
نعم. فبموجب توكيل رسمي مُصدَّق ومُصدَّق عليه بالأبوستيل، نسجّلك في VERBİS، ونصوغ إشعاراتك وسياساتك وفق القانون التركي، ونُعِدّ عمليات النقل المشروعة، ونمثّلك أمام الهيئة — عاملين كنقطة اتصال لك مقيمة في تركيا. ويدير معظم العملاء الأجانب البرنامج بأكمله عن بُعد.
