الامتثال لقانون KVKK للشركات الأجنبية في تركيا: دليل عملي

إذا كانت شركتك تعالج البيانات الشخصية لأشخاص موجودين في تركيا، فقد ينطبق عليك قانون حماية البيانات التركي حتى وإن لم يكن لديك مكتب أو خادم أو موظفون داخل البلاد. هذا القانون هو قانون حماية البيانات الشخصية رقم 6698، المعروف باختصاره التركي KVKKKVKKقانون حماية البيانات الشخصية رقم 6698قانون حماية البيانات في تركيا — قواعد جمع البيانات الشخصية وحفظها ونقلها، والهيئة التي تُنفّذها.المعجم → (Kişisel Verilerin Korunması Kanunu). يشرح هذا الدليل، بعبارات واضحة، ما هو قانون KVKK، وكيف يقارن باللائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR)، ومن يشمله، والالتزامات الرئيسية التي يتعين على الشركة الأجنبية التخطيط لها، بما في ذلك التغييرات المهمة التي أدخلها القانون المعدِّل رقم 7499 لعام 2024.

ما هو قانون KVKK، وماذا ينظّم؟

KVKK هو الاسم المختصر لقانون حماية البيانات الشخصية رقم 6698 في تركيا (Kişisel Verilerin Korunması Kanunu)، وهو ساري المفعول منذ عام 2016. وهو القانون المحوري في البلاد بشأن كيفية جمع البيانات الشخصية وتخزينها واستخدامها ومشاركتها وحذفها.

يُقصد بـ«البيانات الشخصية» أي معلومات تتعلق بشخص طبيعي محدد أو قابل للتحديد، مثل الاسم أو رقم الهوية أو عنوان البريد الإلكتروني أو بيانات الموقع أو المعرّف الإلكتروني. وتُفهم «المعالجة» بمعناها الواسع: فالجمع والتسجيل والتخزين والتعديل والمشاركة والنقل والحذف كلها تندرج ضمنها.

يحدّد القانون مبادئ أساسية يجب أن تحترمها أي معالجة، مثل المشروعية والإنصاف، والدقة، وتحديد الغرض، وتقليل البيانات إلى الحد الأدنى، والتخزين للمدة اللازمة فقط. كما يورد الأسس القانونية التي تجعل المعالجة مشروعة، بدءاً من الرضا الصريح (açık rıza) للشخص وصولاً إلى عدة أسس لا تتطلب الرضا، مثل تنفيذ عقد أو الامتثال لالتزام قانوني.

كيف يقارن قانون KVKK باللائحة GDPR؟

إذا كنت على دراية باللائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR)، فسيبدو لك قانون KVKK مألوفاً. فقد بُني على النموذج الأوروبي نفسه ويشترك في جانب كبير من المنطق ذاته: تقسيم بين المتحكم والمعالِج، وأسس مشروعة للمعالجة، وحقوق لأصحاب البيانات، وجهة تنظيمية مستقلة. لكنه قانون تركي منفصل، والتفاصيل تختلف.

بعض الفروق العملية التي يلاحظها الفرق الأجنبية:

• ثقافة الرضا. اعتمد قانون KVKK تاريخياً بشكل كبير على الرضا الصريح (açık rıza) كأساس للمعالجة، والممارسة التركية تتعامل مع الرضا بصرامة. لا ينبغي أن تفترض أن تحليل «المصالح المشروعة» على غرار GDPR ينطبق حرفياً على KVKK.
• سجل رسمي. يُشغّل قانون KVKK سجلاً عاماً للمتحكمين هو VERBİS، ويتعين على كثير من المتحكمين التسجيل فيه. ولا يوجد في GDPR سجل مركزي مماثل.
• جهته التنظيمية وسوابقه الخاصة. يُفسَّر قانون KVKK ويُنفَّذ من قبل السلطة والمجلس التركيين، اللذين توجّه قراراتهما الامتثال في تركيا.
• النقل عبر الحدود. قواعد إرسال البيانات خارج تركيا خاصة بـ KVKK، وقد جرى إصلاحها في عام 2024 (انظر أدناه).

من يجب أن يمتثل: المتحكمون في البيانات والمعالِجون

يوزّع قانون KVKK الالتزامات بناءً على دورك في معالجة البيانات. والدوران الرئيسيان هما المفهومان نفساهما اللذان قد تعرفهما من GDPR.

المتحكم في البيانات (veri sorumlusu)

المتحكم في البيانات هو الشخص أو المؤسسة التي تقرّر لماذا وَكيف تُعالَج البيانات الشخصية. ويتحمّل المتحكم المسؤوليات القانونية الرئيسية بموجب KVKK، مثل إعلام الأفراد، وتأمين البيانات، والاستجابة للطلبات، والتسجيل في VERBİS عند الاقتضاء.

المعالِج للبيانات (veri işleyen)

المعالِج للبيانات هو الشخص أو المؤسسة التي تعالج البيانات نيابةً عن المتحكم وبناءً على تعليماته، مثل مزوّد الاستضافة السحابية أو مزوّد كشوف الرواتب أو مورّد التحليلات. وللمعالِجين التزاماتهم الخاصة بالأمن والسرية، وهم عادةً مرتبطون بالمتحكم عبر ترتيب مكتوب.

من المهم تصنيف هذا الدور بشكل صحيح، لأنه يحدّد أي الالتزامات تقع عليك. وكثير من النزاعات تبدأ بخلاف حول من كان المتحكم الفعلي.

هل يطال قانون KVKK الشركات الأجنبية؟

نعم، قد يفعل. فقانون KVKK ليس مقتصراً على الشركات المؤسَّسة في تركيا. ومن الناحية العملية، اتخذت السلطة والمجلس موقفاً مفاده أن القانون قد ينطبق عندما تعالج شركة أجنبية البيانات الشخصية لأشخاص موجودين في تركيا، مثلاً بتقديم سلع أو خدمات لهم أو بمراقبة سلوكهم.

وهذا يعني أن نشاطاً للتجارة الإلكترونية يبيع في تركيا، أو منصة برمجيات كخدمة (SaaS) لها مستخدمون أتراك، أو صاحب عمل أجنبي لديه موظفون أو متعاقدون في تركيا، قد تقع جميعها ضمن نطاق KVKK دون أن يكون لها كيان تركي مسجَّل.

قد يحتاج المتحكم الأجنبي الواقع ضمن النطاق أيضاً إلى التصرف من خلال ممثل في تركيا وإلى الوفاء بالتزامات ذات طابع محلي. ولأن كيفية تعلّق هذه الالتزامات بالشركات غير المقيمة تتوقف على الوقائع المحددة، فإن هذه من أولى النقاط التي ينبغي التأكد منها مع محامٍ تركي.

الجهة التنظيمية وسجل VERBİS

يخضع قانون KVKK لإشراف سلطة حماية البيانات الشخصية (Kişisel Verileri Koruma Kurumu، «الـ Kurum»). وداخل هذه السلطة، فإن جهة اتخاذ القرار هي مجلس حماية البيانات الشخصية (Kişisel Verileri Koruma Kurulu، «الـ Kurul»).

المجلس هو الجهة التي يُرجّح أن تتعامل معها أكثر من غيرها. فهو:

• يحقّق في الشكاوى ويتصرف من تلقاء نفسه؛
• يصدر قرارات ملزمة وإرشادات عامة تُشكّل كيفية تطبيق القانون؛
• يستطيع أن يأمر بوقف المعالجة أو بحذف البيانات؛ و
• يستطيع فرض غرامات إدارية على المخالفات.

ينشر المجلس ملخصات للعديد من قراراته، وهي تُظهر كيفية تطبيق المبادئ المجرّدة على مواقف واقعية، بما في ذلك تلك التي تشمل شركات أجنبية وتدفقات بيانات عبر الحدود.

VERBİS، سجل المتحكمين

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) هو السجل الإلكتروني لدى السلطة الخاص بالمتحكمين في البيانات. ويتعين على كثير من المتحكمين التسجيل قبل بدء المعالجة والإبقاء على قيدهم محدَّثاً، مع الإفصاح عن معلومات مثل فئات البيانات التي يعالجونها، وأغراضهم، والمستلمين، ومدد الاحتفاظ، والتدابير الأمنية. وليس كل متحكم مُلزَماً بالتسجيل: إذ يحدّد قانون KVKK والمجلس إعفاءات وحدوداً، مثلاً استناداً إلى عدد الموظفين أو طبيعة المعالجة ونطاقها، مع قواعد خاصة للمتحكمين الذين ليس لهم منشأة في تركيا.

الالتزامات الرئيسية للامتثال

إذا انطبق قانون KVKK على معالجتك، فإن الالتزامات الأساسية للمتحكم تشمل عادةً ما يلي. تعامل مع هذا باعتباره خارطة توجيهية، لا قائمة تحقق كاملة.

• وجود أساس قانوني. يحتاج كل نشاط معالجة إلى أساس قانوني صحيح بموجب KVKK، سواءٌ الرضا الصريح أو أحد الأسس التي لا تتطلب رضاً.
• إعلام الأفراد. يجب أن تُخبر الأشخاص، وقت الجمع، بهويتك، وما البيانات التي تأخذها، ولماذا، وعلى أي أساس، ولمن قد يُفصَح عنها (واجب الإعلام، aydınlatma yükümlülüğü).
• احترام حقوق أصحاب البيانات. يستطيع الأفراد أن يسألوا عمّا إذا كنت تحتفظ ببياناتهم، وأن يطلبوا الاطلاع والتصحيح، وأن يلتمسوا الحذف في حالات محددة. ويجب أن يكون لديك إجراء لتلقّي هذه الطلبات والرد عليها خلال المهلة التي يحددها القانون.
• الحفاظ على أمن البيانات. يجب أن تتخذ تدابير تقنية وتنظيمية مناسبة لحماية البيانات، وقد أصدر المجلس إرشادات بشأن ما يعنيه «المناسب» من الناحية العملية.
• التعامل مع الاختراقات. إذا وقع اختراق للبيانات، يستوجب قانون KVKK إخطار السلطة والأفراد المتضررين خلال المهلة التي تحددها القواعد.
• التسجيل في VERBİS عند الاقتضاء، وتوثيق معالجتك من خلال قوائم الجرد وسياسات الاحتفاظ/الإتلاف.

تعديل 2024 (القانون رقم 7499) والنقل عبر الحدود

في عام 2024، عُدِّل قانون KVKK تعديلاً جوهرياً بموجب القانون رقم 7499. وهذا التعديل مهم للشركات الأجنبية لأنه مسّ مجالين من أكثر مجالات القانون حساسيةً.

الفئات الخاصة من البيانات

يمنح قانون KVKK حمايةً إضافية لـ«الفئات الخاصة» من البيانات الشخصية (özel nitelikli kişisel veriler)، مثل البيانات المتعلقة بالصحة أو الدين أو العِرق أو القياسات الحيوية أو العضوية النقابية. وقد نقّح تعديل 2024 الشروط التي يجوز بموجبها معالجة هذه البيانات، فوسّع الحالات إلى ما يتجاوز الاعتماد على الرضا الصريح وحده. فإذا كانت عملياتك تمسّ بيانات حساسة، فقد لم يعد التحليل القديم صحيحاً.

النقل خارج تركيا

كما أعاد التعديل تشكيل قواعد إرسال البيانات الشخصية إلى الخارج (yurt dışına aktarım). ويقوم النظام المُصلَح على نهج متعدد الطبقات سيبدو مألوفاً من GDPR: نقل على أساس قرار كفاية؛ وفي غياب ذلك، نقل مدعوم بضمانات مناسبة (يمكن أن تشمل الشروط التعاقدية النموذجية، بالتركية standart sözleşme، فضلاً عن القواعد المؤسسية الملزمة وأدوات مماثلة)؛ وفي حالات محدودة، استثناءات محددة.

ولأن هذه هي بالضبط المجالات التي تعتمد عليها الشركة الأجنبية النموذجية — نقل البيانات إلى المقر الرئيسي، أو إلى سحابة عالمية، أو إلى شركة أم — فإن أسلم مسار هو رسم خرائط لتدفقات بياناتك وتقييمها بموجب قواعد ما بعد 2024.

خطوات عملية تالية للشركة الأجنبية

إذا اشتبهت في أن قانون KVKK قد ينطبق عليك، فإن تسلسلاً منطقياً للبدء هو:

• ارسم خريطة لبياناتك. حدّد أي بيانات شخصية لأشخاص في تركيا تعالجها، ولماذا، وإلى أين تذهب.
• احسم دورك. قرّر لكل نشاط ما إذا كنت متحكماً أم معالِجاً.
• أكّد النطاق والتمثيل. احصل على رأي بشأن ما إذا كان قانون KVKK ينطبق وما إذا كنت بحاجة إلى ممثل في تركيا.
• تحقّق من VERBİS. قيّم ما إذا كان يجب عليك التسجيل، وفق العتبات الحالية.
• أعد فحص عمليات النقل والبيانات الحساسة بموجب نظام 2024.
• ابنِ الأساسيات: أسس قانونية، وإشعارات خصوصية، وإجراء لمعالجة الطلبات، وتدابير أمنية، وخطة للتعامل مع الاختراقات.

يكافئ قانون KVKK الشركات التي تخطّط مبكراً. فالقواعد تفصيلية، ولا تتداخل مع GDPR إلا جزئياً، وقد تغيّرت عدة نقاط رئيسية في عام 2024، ولذا فإن مراجعة قصيرة ومركّزة الآن عادةً ما تكون أرخص بكثير من إصلاح مشكلة بعد شكوى أو تدقيق. ويستطيع فريقنا مساعدتك في تقييم ما إذا كان قانون KVKK ينطبق على عملياتك وما هي التزاماتك بموجب القانون الحالي.

الأسئلة الشائعة