تسجيل VERBİS بموجب KVKK: من يجب أن يسجّل وكيف
إذا كانت شركتك تعالج بيانات شخصية مرتبطة بتركيا، فقد يُطلب منك التسجيل في VERBİS — سجل المسؤولين عن البيانات (Veri Sorumluları Sicili) الذي تحتفظ به هيئة حماية البيانات التركية. ينشأ هذا الالتزام من المادة 16 من قانون حماية البيانات الشخصية رقم 6698 (Kişisel Verilerin Korunması Kanunu، «KVKKKVKKقانون حماية البيانات الشخصية رقم 6698قانون حماية البيانات في تركيا — قواعد جمع البيانات الشخصية وحفظها ونقلها، والهيئة التي تُنفّذها.المعجم →»). باختصار: يجب على معظم الجهات التي تتصرف بوصفها «مسؤولاً عن البيانات» أن تسجّل قبل بدء المعالجة، ما لم تندرج ضمن إعفاء منشور — وقد يؤدي عدم التسجيل إلى غرامة إدارية. نوضّح فيما يلي من يجب أن يسجّل، ومن يُعفى، وما هي المعلومات التي يطلبها السجل، وكيف يرتبط التسجيل بتعيين شخص اتصال أو ممثل، وما الذي يحدث إذا تجاهلت ذلك.
ما هو VERBİS ومن أين يأتي الالتزام
VERBİS اختصار لـ Veri Sorumluları Sicil Bilgi Sistemi — النظام المعلوماتي الذي يُدير سجل المسؤولين عن البيانات (Veri Sorumluları Sicili). وهو سجل إلكتروني تحتفظ به هيئة حماية البيانات الشخصية (Kişisel Verileri Koruma Kurumu، «هيئة KVKK»)، تحت إشراف مجلس حماية البيانات الشخصية (Kişisel Verileri Koruma Kurulu، «المجلس»).
الأساس القانوني هو المادة 16 من قانون حماية البيانات الشخصية رقم 6698. تُلزم هذه المادة الأشخاص والجهات التي تندرج ضمن وصف المسؤول عن البيانات (veri sorumlusu — الطرف الذي يقرّر لماذا وكيف تُعالَج البيانات الشخصية) بالتسجيل في السجل قبل بدء معالجة البيانات الشخصية، ما لم ينطبق إعفاء. وللمجلس صلاحية وضع المعايير التي تحدّد من يجب أن يسجّل ونشر الإعفاءات.
القانون الحاكم: Kişisel Verilerin Korunması Kanunu رقم 6698، المادة 16 (Veri Sorumluları Sicili). كما يصدر المجلس قرارات وتنظيمات ثانوية تُفصّل من يجب أن يسجّل، وفئات الإعفاء، ومواعيد التسجيل.
التسجيل ليس الشيء نفسه مثل «الامتثال لـ KVKK». فحتى المسؤول المعفى من VERBİS يظل ملزَماً بالخضوع لبقية أحكام القانون — المعالجة المشروعة، وإشعارات الإحاطة، وأمن البيانات، والاستجابة لطلبات أصحاب البيانات. VERBİS هو التزام شفافية محدّد واحد، وليس مجمل واجباتك.
من يجب أن يسجّل في VERBİS؟
الجواب المختصر: يجب على المسؤولين عن البيانات الذين تنطبق عليهم المعايير التي يضعها المجلس أن يسجّلوا. ويقرّر المجلس هذه المعايير بالنظر إلى عوامل مثل طبيعة وحجم البيانات الشخصية المعالَجة، وما إذا كانت المعالجة جزءاً من النشاط الرئيسي للمسؤول، والأهم بالنسبة للشركات — مقاييس حجم المسؤول مثل عدد الموظفين والأرقام المالية/أرقام الميزانية السنوية.
عملياً، ينشأ عن ذلك ثلاث حالات شائعة:
- يجب عليك التسجيل بوضوح — مثل الشركات الأكبر التي تتجاوز حدود الحجم، وبعض المسؤولين (كأولئك الذين يتضمن نشاطهم الرئيسي معالجة فئات خاصة من البيانات) بغضّ النظر عن الحجم.
- من المرجّح أنك معفى — تندرج كثير من المؤسسات الصغيرة تحت الحدود التي وضعها المجلس، وتوجد عدة إعفاءات قائمة على النشاط (انظر القسم التالي).
- الأمر غير واضح فعلاً — أنت قريب من أحد الحدود، أو تغيّرت معالجتك خلال العام. وهنا يقع المسؤول في الخطأ غالباً.
إن عدد الموظفين الدقيق وأرقام الميزانية/الإيرادات السنوية التي تُفعّل الالتزام هي حدود محدّدة يضعها المجلس، وقد جرى تعديلها بمرور الوقت. وقد وصفناها هنا وصفاً نوعياً عن قصد. لا تتصرّف بناءً على رقم محفوظ — يجب التحقق من الأرقام السارية مقابل قرارات المجلس النافذة لسنة تسجيلك.
بالنسبة إلى الشركة الأجنبية، فإن المُفعِّل عادةً هو أنها تعالج بيانات شخصية في تركيا بوصفها مسؤولاً عن البيانات — مثل إدارة فرع تركي، أو توظيف عاملين في تركيا، أو تشغيل منصّة موجّهة إلى تركيا، أو التعامل بأي شكل آخر مع البيانات الشخصية لأشخاص في تركيا على نحو يُدخلها ضمن نطاق القانون. وحيثما تحقّق ذلك، يُتوقَّع عموماً من المسؤول أن يسجّل في VERBİS بالطريقة نفسها التي يسجّل بها المسؤول المحلي، خاضعاً للمعايير والإعفاءات ذاتها.
الإعفاءات: من لا يلزمه التسجيل
تتيح المادة 16 للمجلس إعفاء فئات من المسؤولين عن البيانات من التسجيل. والإعفاءات مبيّنة في قرارات المجلس والتنظيمات الثانوية، وتنقسم إلى نوعين عريضين.
الإعفاء القائم على الحجم
يُعفى عادةً المسؤولون الذين هم دون معايير الحجم التي وضعها المجلس. وهنا تكون حدود عدد الموظفين والميزانية/الإيرادات السنوية ذات أهمية: إذا كنت دونها — ولم يشملك حكم قائم على النشاط — فقد لا تحتاج إلى التسجيل.
الإعفاءات القائمة على النشاط
كما أعفى المجلس بعض المسؤولين بسبب ما هم عليه أو ما يفعلونه، لا بسبب حجمهم. ومن الفئات التي ظهرت في قائمة الإعفاءات بمرور الوقت، على سبيل المثال، بعض المهنيين والجمعيات والهيئات المماثلة التي تعالج البيانات فقط لأغراضها الداخلية المحدّدة. أما القائمة الدقيقة وشروطها فيحدّدها المجلس.
إن فئات الإعفاء وصياغتها محدّدة بقرار من المجلس وقابلة للتغيير. تعامَل مع أي قائمة تقرؤها — بما فيها هذه — بوصفها دافعاً للتحقّق، لا كلمة نهائية. فقد يكون إعفاءٌ انطبق العام الماضي قد ضُيِّق، ويمكن أن يُفقد الإعفاء لحظة تغيّر معالجتك أو حجمك.
الإعفاء من VERBİS لا يعفيك من بقية أحكام KVKK. فلا تزال مديناً بواجبات الأساس المشروع، والشفافية، والأمن، وحقوق أصحاب البيانات. احتفظ بأدلّة مكتوبة على سبب استنتاجك أنك معفى، تحسّباً لسؤال الهيئة.
ما هي المعلومات التي يطلبها السجل
يُبنى VERBİS حول جرد لمعالجة البيانات الشخصية (kişisel veri işleme envanteri). فلتسجيل، تُصرّح — وتُحدِّث باستمرار — بوصف منظَّم لمعالجتك. وتشمل فئات المعلومات التي يطلبها السجل عادةً:
- بيانات الهوية والاتصال للمسؤول عن البيانات، ولشخص الاتصال أو الممثل.
- فئات أصحاب البيانات (مثل الموظفين والعملاء والموردين ومستخدمي الموقع).
- فئات البيانات الشخصية المعالَجة، مع الإشارة بشكل منفصل إلى الفئات الخاصة (مثل البيانات الصحية أو البيومترية أو بيانات السجل الجنائي) لأنها تخضع لقواعد أكثر صرامة.
- الأغراض التي تُعالَج البيانات من أجلها.
- المتلقون أو فئات المتلقين الذين قد يُفصح لهم عن البيانات.
- النقل إلى الخارج — ما إذا كانت البيانات الشخصية تُنقل أو قد تُنقل إلى متلقين خارج تركيا.
- أقصى مدد الاحتفاظ لكل فئة من البيانات.
- التدابير التقنية والتنظيمية للأمن المتّخذة لحماية البيانات.
يجب أن يتطابق الجرد الذي تحتفظ به داخلياً مع تصريح VERBİS. فالتسجيل الذي لا يطابق كيفية معالجة عملك للبيانات فعلياً هو في ذاته مشكلة.
أعاد تعديل عام 2024 لقانون KVKK (القانون رقم 7499) صياغة نظام نقل البيانات الشخصية إلى الخارج (المادة 9)، مُدخِلاً مجموعة منظَّمة من آليات النقل. وبما أن تصريح VERBİS يتضمن ما إذا كنت تنقل بيانات خارج تركيا، فينبغي مراجعة وضع النقل عبر الحدود وقيدك في السجل معاً. ويجب التحقق من شروط النقل المحدّدة وأي ضمانات ذات صلة مقابل نظام المادة 9 الحالي والقواعد التنفيذية للمجلس.
شخص الاتصال والممثل بالنسبة للمسؤولين الأجانب
يرتبط التسجيل ارتباطاً وثيقاً بترشيح شخص للتعامل مع الهيئة ومع أصحاب البيانات.
شخص الاتصال (irtibat kişisi)
يعيّن المسؤول عن البيانات المؤسَّس في تركيا، عند تسجيله في VERBİS، شخص اتصال (irtibat kişisi). وهو نقطة التواصل مع الهيئة. والأهم أن كونه شخص اتصال لا ينقل إليه المسؤولية القانونية — إذ يظل المسؤول عن البيانات هو المسؤول عن الامتثال.
الممثل للمسؤولين المقيمين في الخارج
حيث لا يكون المسؤول عن البيانات مقيماً في تركيا، فإن المتوقّع المستقر هو أن يعيّن ممثلاً في تركيا (كياناً اعتبارياً مقيماً في تركيا أو مواطناً تركياً) ليكون قابلاً للوصول من الهيئة ومن أصحاب البيانات، وليُنجز تسجيل VERBİS نيابةً عن المسؤول. وينبغي توثيق صلاحية الممثل على نحو سليم.
بالنسبة إلى الشركة الأجنبية، فإن تحديد من يكون ممثلك في تركيا — وتوثيق صلاحيته — هو عادةً الخطوة البوّابية قبل أن تتمكن من التسجيل أصلاً. فخصّص لها وقتاً كافياً.
أما الشكل الدقيق ونطاق الصلاحية والوثائق المطلوبة للممثل فهي تفاصيل في التنظيم الثانوي، لذا ينبغي إعداد التعيين ليستوفي القواعد الحالية بدلاً من قالب عام.
ما الذي يحدث إذا لم تسجّل
إذا كنت ملزَماً بالتسجيل ولم تسجّل — أو عالجت بيانات شخصية دون إتمام تسجيل كنت ملزَماً به — فإنك تُعرّض الشركة لـ غرامة إدارية. ويقع نظام العقوبات المتعلق بمخالفة التزام التسجيل في المادة 18 من KVKK رقم 6698، التي تُعدّد المخالفات (kabahatler) والغرامات الإدارية التي يمكن للمجلس فرضها.
لم نذكر مبلغ غرامة عن قصد. فمبالغ الغرامات الإدارية في المادة 18 مقرّرة بالليرة التركية ويُعاد تقييمها كل عام بموجب آلية إعادة التقييم القانونية. ويجب التحقق من أي رقم مقابل الأرقام النافذة للسنة المعنية قبل الاعتماد عليه.
وإلى جانب الغرامة ذاتها، غالباً ما يكون وضع VERBİS غير المسجَّل أو غير الدقيق أول ما يظهر في شكوى أو تدقيق، وقد يُلوِّن نظرة الهيئة إلى بقية امتثالك. والتسجيل الصحيح — والحفاظ على تحديث القيد — هو المسار الأقل كلفة.
الأحكام الرئيسية في مكان واحد: واجب التسجيل — المادة 16؛ النقل عبر الحدود (بصيغته المعدّلة عام 2024 بالقانون رقم 7499) — المادة 9؛ الغرامات الإدارية — المادة 18؛ جميعها ضمن Kişisel Verilerin Korunması Kanunu رقم 6698. أما المواعيد والحدود والإعفاءات ومبالغ الغرامات فيحدّدها المجلس وإعادة التقييم السنوية، وتتغيّر بمرور الوقت.
تسلسل عملي للشركات الأجنبية
إذا كنت شركة أجنبية تحاول تحديد وضعك، فإن نهجاً هادئاً ومنظَّماً هو الأفضل عادةً:
- أكِّد دورك. هل أنت مسؤول عن البيانات (تقرّر اللماذا والكيف) أم مُعالِج يتصرّف لحساب طرف آخر؟ فواجب التسجيل يلحق بالمسؤول.
- ارسم خريطة معالجتك في تركيا. ما هي البيانات، وبيانات مَن، ولأي أغراض، ومن يتلقاها، وهل يذهب أيٌّ منها إلى الخارج؟
- تحقّق من المعايير والإعفاءات للسنة الحالية مقابل قواعد المجلس النافذة — حدود الحجم وأي إعفاء قائم على النشاط.
- رتِّب شخص الاتصال أو ممثلك في تركيا ووثِّق صلاحيته.
- جهِّز جرد المعالجة ووفِّق وضع النقل عبر الحدود مع نظام المادة 9 لما بعد 2024.
- سجِّل في VERBİS ضمن الموعد المنطبق، ثم حافظ على تحديث القيد كلما تغيّرت معالجتك.
لا ينبغي البتّ في أيٍّ من هذه الخطوات بناءً على رقم محفوظ أو قالب عام. فكلٌّ منها يتوقف على قواعد يضعها المجلس ويراجعها، وعلى الوقائع المحدّدة لكيفية تعامل عملك مع البيانات المرتبطة بتركيا.
الأسئلة الشائعة
هل يجب على شركة أجنبية فعلاً أن تسجّل في VERBİS؟
قد يجب. إذا كانت شركتك تتصرّف بوصفها مسؤولاً عن البيانات وتعالج بيانات شخصية في تركيا — مثلاً عبر فرع أو عاملين أتراك أو خدمة موجّهة إلى تركيا — فيُتوقَّع منك عموماً التسجيل في VERBİS وفق المعايير نفسها المنطبقة على المسؤول المحلي، وتعيين ممثل في تركيا. أما ما إذا كان الالتزام يُفعَّل فعلياً فيعتمد على حدود المجلس وإعفاءاته، لذا يجب فحص وضعك المحدّد.
نحن شركة صغيرة. هل نحن معفَون تلقائياً؟
ليس تلقائياً. تندرج كثير من المؤسسات الصغيرة تحت حدود الحجم التي وضعها المجلس فتُعفى، لكن الحدود أرقام محدّدة يضعها المجلس، وبعض الأنشطة تُفعّل التسجيل بغضّ النظر عن الحجم. ينبغي أن تؤكّد وضعك مقابل المعايير النافذة الحالية بدلاً من الافتراض.
ما الفرق بين شخص الاتصال والممثل؟
شخص الاتصال (irtibat kişisi) يعيّنه مسؤول عن البيانات مؤسَّس في تركيا ليكون نقطة التواصل مع الهيئة — دون أن يتحمّل المسؤولية القانونية للمسؤول. أما الممثل فهو ما يُتوقَّع من مسؤول مقيم خارج تركيا أن يعيّنه: شخص أو كيان مقيم في تركيا يمكن للهيئة وأصحاب البيانات الوصول إليه، ويستطيع إتمام التسجيل نيابةً عن المسؤول الأجنبي.
ما هي غرامة عدم التسجيل؟
قد يؤدي عدم التسجيل عند وجوبه إلى غرامة إدارية بموجب المادة 18 من KVKK رقم 6698. ولم نذكر مبلغاً هنا لأن الأرقام مقرّرة بالليرة التركية ويُعاد تقييمها كل عام، لذا يجب التحقق من الرقم الحالي للسنة المعنية قبل الاعتماد عليه.
هل غيّر تعديل KVKK لعام 2024 نظام VERBİS؟
أعاد تعديل عام 2024 (القانون رقم 7499) بالأساس صياغة قواعد نقل البيانات الشخصية إلى الخارج بموجب المادة 9. ويهمّ ذلك بالنسبة إلى VERBİS لأن تصريح السجل يتضمن ما إذا كنت تنقل بيانات خارج تركيا، لذا ينبغي مراجعة ترتيبات النقل عبر الحدود وقيدك في السجل معاً في ظل النظام الحالي.
إذا كنّا معفَين من VERBİS، فهل تبقى علينا واجبات KVKK؟
نعم. الإعفاء من التسجيل لا يعفيك من بقية أحكام القانون. فلا تزال مديناً بواجبات مثل وجود أساس مشروع، وتقديم إشعارات الإحاطة، وتأمين البيانات، والرد على طلبات أصحاب البيانات. VERBİS هو التزام شفافية واحد، وليس مجمل الامتثال.
