المعالجة المشروعة للبيانات الشخصية وفق KVKK: الأسس القانونية
إذا كانت شركتك تعالج بيانات شخصية مرتبطة بتركيا، فيجب أن يستند كل نشاط معالجة إلى أساس قانوني منصوص عليه في قانون حماية البيانات التركي (Kişisel Verilerin Korunması Kanunu رقم 6698، أو «KVKKKVKKقانون حماية البيانات الشخصية رقم 6698قانون حماية البيانات في تركيا — قواعد جمع البيانات الشخصية وحفظها ونقلها، والهيئة التي تُنفّذها.المعجم →»). فبالنسبة للبيانات الشخصية العادية، يعني ذلك إما الرضا الصريح للشخص (açık rıza) أو أحد الأسس القانونية البديلة المدرجة في المادة 5/2 — كالالتزام القانوني، أو تنفيذ عقد، أو مصلحتك المشروعة. أما الفئات الخاصة من البيانات الشخصية (özel nitelikli kişisel veri) فتخضع لنظام أكثر صرامة في المادة 6، الذي جرى توسيعه بشكل كبير بالقانون رقم 7499 عام 2024. يشرح هذا الدليل كل أساس بلغة واضحة كي تتمكن من ربط تدفقات بياناتك بأساس قانوني يمكن الدفاع عنه.
ما معنى «المعالجة المشروعة» وفق KVKK
بموجب قانون حماية البيانات التركي (Kişisel Verilerin Korunması Kanunu رقم 6698)، لا يجوز لك معالجة البيانات الشخصية ما لم يكن لديك أساس قانوني للقيام بذلك. وتُعرَّف «المعالجة» تعريفاً واسعاً جداً — فجمع البيانات وتسجيلها وتخزينها وتنظيمها ونقلها والإفصاح عنها بل وحتى حذفها كلها تُعدّ معالجة. لذا فالسؤال ليس ما إذا كنت تعالج بيانات شخصية؛ فإن كنت تتعامل مع أي معلومة عن شخص محدَّد أو قابل للتحديد فأنت تعالجها. السؤال الحقيقي هو أي أساس قانوني يدعم كل نشاط.
هناك دوران يهمّان هنا. المسؤول عن البيانات (veri sorumlusu) هو الطرف الذي يقرر لماذا وكيف تُعالَج البيانات — وهو عادةً شركتك. أما معالِج البيانات (veri işleyen) فيعالج البيانات نيابةً عن المسؤول وبناءً على تعليماته، كمزوّد الاستضافة السحابية أو جهة إعداد الرواتب. ويقع واجب تحديد الأساس القانوني على عاتق المسؤول.
بنية القانون. تحدد المادة 4 المبادئ العامة التي يجب أن يحترمها كل نشاط معالجة. وتحكم المادة 5 الأسس القانونية للبيانات الشخصية العادية. وتضع المادة 6 نظاماً أكثر صرامة للفئات الخاصة من البيانات الشخصية. وتُقرأ هذه المواد معاً: فوجود أساس صحيح بموجب المادة 5 أو 6 ضروري، لكن يجب أيضاً الالتزام بمبادئ المادة 4.
مبادئ المادة 4 التي تنطبق على كل أساس
قبل أن تصل إلى الأسس القانونية، تفرض المادة 4 مبادئ تُلزم كل معالجة، أياً كان الأساس الذي تعتمد عليه. واختيار أساس قانوني لا يعفيك من هذه المبادئ. وبعبارة بسيطة، يجب أن تكون معالجتك:
- مشروعة ومنصفة (hukuka ve dürüstlük kurallarına uygun). أن تعالج بأمانة، وفي حدود القانون، وبطريقة يتوقعها الشخص على نحو معقول.
- دقيقة ومحدَّثة عند الاقتضاء. أن تتخذ خطوات معقولة لتصحيح البيانات الخاطئة.
- معالَجة لأغراض محددة وصريحة ومشروعة (تحديد الغرض). أن تحدد الغرض قبل الجمع، وألا تعيد استخدام البيانات لاحقاً في الخفاء.
- ملائمة ومحدودة ومتناسبة مع الغرض (تدنية البيانات). أن تجمع فقط ما تحتاجه فعلاً — لا «كل شيء تحسّباً».
- محفوظة فقط للمدة اللازمة (تحديد مدة التخزين). عندما ينتهي السبب القانوني أو التجاري، تحذف البيانات أو تتلفها أو تجعلها مجهولة الهوية.
اختبار مفيد: إن لم تستطع أن تشرح، في جملة واحدة، لماذا تحتفظ بحقل بيانات معيّن ولكم من الوقت ستحتفظ به، فالأرجح أن هذا الحقل يخالف المادة 4 — بصرف النظر عن الأساس القانوني الذي دوّنته.
الرضا الصريح (açık rıza) — ولماذا يكون غالباً أضعف الأسس
الأساس الأول الذي يتبادر إلى الذهن هو الرضا الصريح (açık rıza). وبموجب KVKK، يجب أن يكون الرضا الصريح الصحيح (1) مرتبطاً بموضوع محدد، و(2) مبنياً على معلومات كافية تُقدَّم مسبقاً، و(3) ممنوحاً بحرية. أما المربّع المؤشَّر مسبقاً، أو بند «أوافق على كل شيء» الشامل، أو الرضا المدفون في شروط لا صلة لها بالموضوع، فلا يُعتد به عموماً.
هناك سمتان تجعلان الرضا هشّاً كأساس للمعالجة التجارية الاعتيادية:
- يمكن سحبه. فقد يسحب الشخص رضاه، وبمجرد أن يفعل يزول أساسك القانوني لذلك النشاط. وإن كنت تعتمد على الرضا وحده، فعليك التوقف.
- لا يمكن أن يكون شرطاً لتقديم الخدمة متى كانت المعالجة غير ضرورية فعلاً لتلك الخدمة. فالرضا الذي لم يكن أمام الشخص خيار حقيقي سوى منحه ليس «ممنوحاً بحرية»، ومن ثمّ فهو غير صحيح.
لهذا السبب، يخصص المسؤولون عادةً الرضا للمعالجة التي لا أساس آخر لها — كالتسويق الاختياري مثلاً — ويلجؤون أولاً إلى الأسس البديلة في المادة 5/2 للمعالجة التي يتعين عليهم القيام بها لإدارة العلاقة.
لا تكدّس الرضا فوق أساس صحيح آخر «من باب الاحتياط». فإن أخبرت الشخص أن بياناته تُعالَج على أساس الرضا ثم سحبه، فقد يتعين عليك التوقف رغم وجود أساس تعاقدي أو التزام قانوني. اختر الأساس الذي ينطبق حقاً، واعتمد عليه وحده.
الأسس القانونية البديلة في المادة 5/2
تتيح لك المادة 5/2 معالجة البيانات الشخصية العادية دون رضا عند توافر أحد شروطها المدرجة. وهذه هي ركائز الامتثال اليومي. وبعبارة بسيطة، يجوز لك معالجة البيانات الشخصية حيث:
- ينص القانون صراحةً على ذلك. أي حين يأذن نصّ تشريعي بالمعالجة أو يشترطها مباشرةً.
- تكون ضرورية لحماية حياة شخص أو سلامته الجسدية ممن لا يستطيع منح الرضا (بسبب عجز جسدي مثلاً) أو ممن لا يكون رضاه صحيحاً قانوناً.
- تكون ضرورية لتنفيذ عقد — بأن تتصل مباشرةً بإبرام عقد مع الشخص أو تنفيذه. ومعالجة عنوان العميل لتسليم طلبيته مثال كلاسيكي.
- تكون ضرورية لامتثال المسؤول لالتزام قانوني. وتندرج هنا عادةً الواجبات الضريبية والعمّالية والمحاسبية.
- يكون الشخص نفسه قد أعلن البيانات للعموم. فيجوز لك معالجتها بما يتسق مع غرض ذلك الإفصاح.
- تكون ضرورية لإثبات حق قانوني أو ممارسته أو حمايته. كالاحتفاظ بالسجلات للدفاع عن نزاع مستقبلي مثلاً.
- تكون ضرورية للمصالح المشروعة للمسؤول (meşru menfaat)، شريطة ألا يضرّ ذلك بالحقوق والحريات الأساسية للشخص.
والأساس الأخير — المصلحة المشروعة — مرن لكنه يتطلب موازنة حقيقية. فعليك أن تزن مصلحتك التجارية في مقابل حقوق الشخص وتوقعاته، وأن توثّق لماذا لا تتغلب مصلحتك عليها. فهو ليس أساساً يشمل كل شيء؛ بل هو حكم مبرَّر وموثَّق.
اربط كل نشاط معالجة بأساس واحد محدد من المادة 5/2، لا بعدة أسس معاً. فـ«إرسال الفاتورة» ضرورة تعاقدية أو التزام قانوني؛ و«الاحتفاظ بسجل لمكافحة الاحتيال» أقرب إلى المصلحة المشروعة. والربط الواضح هو ما ستُظهره إن سألت الجهة المختصة.
البيانات الخاصة (المادة 6) بعد القانون رقم 7499 (2024)
الفئات الخاصة من البيانات الشخصية (özel nitelikli kişisel veri) تُعامَل بصرامة أكبر لأن إساءة استخدامها تسبب ضرراً أشد. وبموجب KVKK، تشمل هذه البيانات ما يتعلق بالصحة والحياة الجنسية، والأصل العِرقي أو الإثني، والرأي السياسي، والمعتقد الفلسفي، والدين أو المذهب، والمظهر، والعضوية في جمعية أو مؤسسة أو نقابة، والإدانات الجنائية والتدابير الأمنية، والبيانات البيومترية والجينية.
وقد تغيّر نظام هذه البيانات جوهرياً بـالقانون رقم 7499 لعام 2024 الذي عدّل المادة 6. فقبل التعديل، لم تكن معالجة البيانات الخاصة دون رضا صريح ممكنة إلا في حالات ضيقة خاصة بكل فئة. أما التعديل فقد وسّع الأسس القانونية البديلة بحيث بات يمكن معالجة البيانات الخاصة دون رضا صريح في مجموعة أوسع من الحالات المحددة — كأن يجيز القانون ذلك صراحةً، أو لحماية الحياة أو السلامة الجسدية حين يتعذّر الحصول على الرضا، أو فيما يتصل ببيانات أعلنها الشخص للعموم، أو لإثبات حق قانوني أو حمايته، ولأغراض معينة تتعلق بالتوظيف والصحة العامة وما شابهها مما نصت عليه المادة — على أن تخضع كل حالة لشروطها الخاصة، وفي بعض الحالات لضمانات قد يحددها مجلس حماية البيانات الشخصية.
حتى بعد توسيع 2024، تظل المادة 6 أكثر صرامة من المادة 5. فالأسس المتاحة أضيق، وعدد منها مصحوب بضمانات إضافية، وقد يشترط المجلس تدابير كافية إضافية لمعالجة البيانات الخاصة. عامِل أي بيانات صحية أو بيومترية أو متعلقة بالمعتقد على أنها عالية الخطورة، وتأكد من الأساس المحدد قبل معالجتها.
ولأن النص المعدَّل وتاريخ نفاذه والقائمة الدقيقة للأسس المسموح بها تفصيلية وخضعت لإصلاح حديث، ينبغي أن تتحقق من الصياغة الحالية للمادة 6 مقابل النص الموحَّد للقانون بالنسبة لحالتك المحددة، بدلاً من الاعتماد على ملخص عام.
خطوات عملية لشركة أجنبية تعالج بيانات مرتبطة بتركيا
إذا كانت شركتك مؤسَّسة في الخارج لكنها تعالج بيانات شخصية مرتبطة بأشخاص أو عمليات في تركيا، فقد يظل KVKK منطبقاً عليك، ويبقى واجب إرساء أساس قانوني هو نفسه. وإليك نهجاً عملياً:
- احصر معالجتك. ضع قائمة بكل نشاط — التسجيل، الرواتب، التسويق، الدعم، التحليلات — والبيانات التي يمسّها.
- خصّص أساساً قانونياً واحداً لكل نشاط. بالنسبة لمعظم المعالجة التشغيلية، الجأ إلى المادة 5/2 (الضرورة التعاقدية، الالتزام القانوني، المصلحة المشروعة) قبل الرضا.
- ميّز البيانات الخاصة على حدة. فأي حقل صحي أو بيومتري أو متعلق بالمعتقد يحتاج أساساً من المادة 6، وغالباً ضمانات إضافية.
- احترم المادة 4 طوال الوقت. قلّل ما تجمعه، وحدّد مُدَد الاحتفاظ، ودوّن أغراضك.
- تحقق من واجبات النقل والتسجيل. فقواعد النقل عبر الحدود وأي تسجيل في سجل المسؤولين عن البيانات (VERBİS) لها شروطها وحدودها الخاصة — وهي تقنية وخضعت لإصلاح، فتأكد مما ينطبق عليك حالياً.
يقع عبء إثبات المشروعية عليك أنت بصفتك المسؤول. و«كان لدينا رضا في مكان ما» نادراً ما يكفي. فسجلّ مكتوب موجز — النشاط، الأساس القانوني، الغرض، مدة الاحتفاظ — هو الفارق العملي بين موقف يمكن الدفاع عنه وآخر مكشوف.
الأسئلة الشائعة
هل نحتاج دائماً إلى الرضا لمعالجة البيانات الشخصية بموجب KVKK؟
لا. الرضا الصريح (açık rıza) ليس سوى أحد الأسس القانونية. فبالنسبة للبيانات الشخصية العادية، تنص المادة 5/2 من KVKK رقم 6698 على أسس بديلة — كالالتزام القانوني، وتنفيذ عقد، والمصلحة المشروعة للمسؤول — تتيح لك المعالجة دون رضا عند توافر الشروط. وبالنسبة لكثير من المعالجة التجارية الاعتيادية، تكون هذه البدائل أساساً أمتن من الرضا الذي يمكن سحبه.
ما الذي يُعدّ بيانات شخصية من الفئة الخاصة في تركيا؟
بموجب KVKK، تشمل الفئات الخاصة (özel nitelikli kişisel veri) البيانات المتعلقة بالصحة والحياة الجنسية، والعِرق أو الأصل الإثني، والرأي السياسي، والمعتقد الفلسفي، والدين أو المذهب، والمظهر، وعضوية الجمعيات أو المؤسسات أو النقابات، والإدانات الجنائية والتدابير الأمنية، والبيانات البيومترية والجينية. وتخضع هذه البيانات لنظام المادة 6 الأكثر صرامة، وتتطلب عموماً عناية وضمانات إضافية.
ماذا غيّر القانون رقم 7499 بشأن البيانات الخاصة في 2024؟
عدّل القانون رقم 7499 المادة 6 من KVKK لتوسيع الأسس القانونية لمعالجة البيانات الخاصة. فقد كانت معالجة هذه البيانات دون رضا صريح مسموحة سابقاً في حالات ضيقة فقط. وأضاف التعديل مجموعة أوسع من الشروط المحددة التي يمكن بموجبها معالجة البيانات الخاصة دون رضا صريح، لكل منها متطلباته الخاصة. ولأن الصياغة وتاريخ النفاذ خضعا لإصلاح حديث، ينبغي التحقق من الأسس الحالية الدقيقة مقابل النص الموحَّد للقانون.
هل يمكننا الاعتماد على المصلحة المشروعة لمعالجة البيانات في تركيا؟
نعم، بالنسبة للبيانات الشخصية العادية، تعترف المادة 5/2 من KVKK بالمصلحة المشروعة للمسؤول (meşru menfaat) كأساس قانوني — لكن فقط حيث لا تضرّ المعالجة بالحقوق والحريات الأساسية للشخص. ويتطلب ذلك موازنة موثَّقة تزن مصلحتك في مقابل حقوق الفرد وتوقعاته المعقولة. وهو ليس أساساً يشمل كل شيء، ولا ينطبق على البيانات الخاصة التي تحكمها المادة 6.
هل ينطبق KVKK على شركة أجنبية ليس لها مكتب في تركيا؟
قد ينطبق. فقد تمتد التزامات KVKK إلى المسؤولين الأجانب الذين يعالجون بيانات شخصية مرتبطة بأشخاص أو أنشطة في تركيا. وإذا انطبق KVKK على معالجتك، فعليك إرساء أساس قانوني بموجب المادة 5 أو 6، والالتزام بمبادئ المادة 4، ومراعاة قواعد النقل والتسجيل. أما ما إذا كان القانون ينطبق على هيكلك المحدد وكيف، فمسألة تتوقف على الوقائع ويجدر التحقق منها مع محامٍ تركي.
