حماية البيانات الشخصية (KVKK) في تركيا

ويقوم القانون على مجموعة مألوفة من التعريفات:

• مسؤول البيانات (veri sorumlusu): الشخص الطبيعي أو الاعتباري الذي يحدد أغراض المعالجة ووسائلها ويكون مسؤولًا عن إنشاء نظام تسجيل البيانات وإدارته. وتنظّم لائحة سجل مسؤولي البيانات صراحةً مسؤولي البيانات غير المقيمين في تركيا.
• معالج البيانات (veri işleyen): الشخص الطبيعي أو الاعتباري الذي يعالج البيانات الشخصية لحساب مسؤول البيانات استنادًا إلى الصلاحية التي يمنحها له.
• المعالجة: كل عملية تقريبًا تُجرى على البيانات الشخصية، بما فيها الجمع والتسجيل والتخزين والتعديل والإفصاح والنقل.

ماذا يعني هذا لكم

إذا كنتم تبيعون لمستهلكين أتراك، أو توظّفون أشخاصًا في تركيا، أو تديرون موقعًا أو تطبيقًا يجمع بيانات من مستخدمين في البلاد، فأنتم على الأرجح مسؤولو بيانات بمفهوم قانون KVKK، ولو كانت خوادمكم ومقركم الرئيسي في الخارج. والنتيجة العملية أن السؤال الأول في الامتثال نادرًا ما يكون «هل ينطبق القانون؟» بل «أين فجواتنا، وما حجم انكشافنا؟».

ثم يورد قانون KVKK استثناءات محددة تكون فيها المعالجة مشروعة دون موافقة، ومنها أن تكون:

• مأذونًا بها صراحةً في القانون؛
• لازمة لمعالجة بيانات أطراف عقد، متى اتصلت مباشرةً بإبرامه أو تنفيذه؛
• لازمة للوفاء بالتزام قانوني يقع على مسؤول البيانات؛
• ضرورية لحماية حياة الشخص أو سلامته البدنية، أو حياة غيره أو سلامته، متى تعذّر عليه إبداء موافقته لاستحالة فعلية أو لم يُعتدّ بموافقته قانونًا؛ أو
• ضرورية للمصالح المشروعة لمسؤول البيانات، شريطة ألا تُمَس الحقوق الأساسية لصاحب البيانات.

أما البيانات ذات الطبيعة الخاصة (تعدّدها المادة 6/1: العرق، والأصل الإثني، والرأي السياسي، والمعتقد الفلسفي، والدين، والمذهب أو المعتقدات الأخرى، والزي واللباس، والعضوية في الجمعيات أو الأوقاف أو النقابات، والصحة، والحياة الجنسية، والإدانات الجزائية والتدابير الأمنية، والبيانات البيومترية والجينية) فمعالجتها محظورة إلا في الحالات المعدَّدة في المادة 6/3 المعدّلة النافذة منذ 1 يونيو 2024: ومنها الموافقة الصريحة، والنص الصريح في القانون، والبيانات التي أعلنها صاحبها وفق إرادة الإعلان، وإنشاء حق أو استعماله أو حمايته، وأغراض الخدمات الصحية من قِبل أشخاص ملزمين بكتمان السر، والالتزامات القانونية في مجالات التوظيف والصحة والسلامة المهنيتين والضمان الاجتماعي. ويجب كذلك اتخاذ التدابير الكافية التي يحددها المجلس (المادة 6/4). ولأن العتبة أعلى، فمعالجتها (في ملفات الموارد البشرية أو الخدمات الصحية مثلًا) تقتضي عناية خاصة.

من الأخطاء الشائعة والمكلفة معاملةُ الموافقة الصريحة بوصفها حلًا لكل حالة. فالموافقة المدمجة في عقد أو المجعولة شرطًا لتقديم الخدمة يصعب التوفيق بينها وبين شرط الإرادة الحرة، وإذا سقطت تلك الموافقة لم يبقَ للمعالجة القائمة عليها وحدها أي أساس قانوني.

• يعلم ما إذا كانت بياناته الشخصية تُعالَج ويطلب معلومات عنها؛
• يعلم غرض المعالجة وما إذا كانت البيانات تُستخدم وفقًا له؛
• يعرف الأطراف الثالثة، في تركيا أو خارجها، التي تُنقل إليها البيانات؛
• يطلب تصحيح البيانات غير الدقيقة ومحوها أو إتلافها متى زالت أسباب المعالجة؛
• يطلب إخطار الأطراف الثالثة التي نُقلت إليها البيانات بالتصحيح والمحو؛
• يعترض على نتيجة في غير صالحه مستخلصة حصرًا عبر التحليل الآلي؛ و
• يطالب بالتعويض عن الضرر الناجم عن المعالجة غير المشروعة.

ويبتّ مسؤول البيانات في هذه الطلبات في أقرب وقت وخلال ثلاثين يومًا على الأكثر (المادة 13/2). فإذا رُفض الطلب أو كان الرد قاصرًا أو لم يصدر رد في الموعد، جاز لصاحب البيانات تقديم شكوى إلى المجلس خلال ثلاثين يومًا من علمه بالرد، وفي جميع الأحوال خلال ستين يومًا من تاريخ الطلب؛ ولا تُقبل الشكوى قبل استنفاد طريق الطلب إلى مسؤول البيانات (المادة 14). وعمليًا يعني ذلك أنكم بحاجة إلى مسار استقبال فعّال (نقطة اتصال مرصودة، ونموذج رد جاهز، ومسؤول داخلي عن الملف) قبل ورود الطلب الأول لا بعده.

ويواجه مسؤولو البيانات الأجانب الذين لا منشأة لهم في تركيا خطوة إضافية: إذ تُلزمهم المادة 5/1-ب من اللائحة بالتسجيل قبل بدء المعالجة عبر ممثل لمسؤول البيانات، وهو شخص اعتباري مقيم في تركيا أو مواطن تركي. ولأن السجل علني (المادة 16/1) فإن غياب القيد يسهل كشفه، ولمخالفة واجب التسجيل والإخطار غرامة مستقلة (المادة 18/1-ç).

• قرار ملاءمة يصدره المجلس بشأن دولة المقصد أو قطاعات فيها أو منظمة دولية؛
• ضمانات مناسبة كالعقد النموذجي الذي يعلنه المجلس، أو القواعد المؤسسية الملزمة التي يعتمدها، أو تعهد مكتوب يأذن المجلس بالنقل بموجبه، بشرط أن يتمكن صاحب البيانات من ممارسة حقوقه واللجوء إلى طرق طعن فعالة في دولة المقصد؛ أو
• أسس استثنائية محددة، ومنها الموافقة الصريحة لصاحب البيانات بعد إعلامه بالمخاطر المحتملة، بالنسبة إلى عمليات النقل العارضة فقط.

ويجب إخطار الهيئة بالعقد النموذجي خلال خمسة أيام عمل من توقيعه (المادة 9/5)، ولعدم الإخطار غرامة مستقلة (المادة 18/1-د). ويمنح هذا التحول المجموعات متعددة الجنسيات آليات عملية على النمط الأوروبي لم تكن موجودة سابقًا في القانون التركي، غير أن هذه الآليات لا تحميكم إلا إذا كانت الأوراق قائمة فعلًا ومودَعة في وقتها.

إذا كانت مجموعتكم تنقل بيانات موظفين أو عملاء أتراك إلى شركة أم أو مزود خدمات سحابية أو مركز خدمات مشترك في الخارج، فالنقل يحتاج إلى أساس قانوني موثَّق بموجب قانون KVKK. والاكتفاء بسياسة GDPR عالمية لا يكفي.

والخلاصة العملية: المجموعة الممتثلة للائحة GDPR تحتاج عادةً إلى طبقة محلية مركّزة (إشعارات باللغة التركية، وقيد في VERBİS، ومستندات نقل مودَعة) لا إلى إعادة بناء البرنامج من جديد.

وبصورة مستقلة، يجرّم قانون العقوبات التركي (المواد 135-140، بإحالة من المادة 17 من قانون KVKK) تسجيل البيانات الشخصية على وجه غير مشروع (المادة 135)، وإعطاءها للغير أو نشرها أو الاستيلاء عليها على وجه غير مشروع (المادة 136)، وعدم إتلافها رغم انقضاء المدد القانونية (المادة 138). وتضيف المادة 17/2 من قانون KVKK أن من لا يمحو البيانات أو لا يجعلها مجهولة الهوية خلافًا للمادة 7 يُعاقب وفق المادة 138. ولا تتوقف ملاحقة هذه الجرائم على شكوى (المادة 139)، وقد تعرّض أفرادًا داخل الشركة لمسؤولية شخصية، ويُحكم على الشخص الاعتباري بتدابير أمنية خاصة به (المادة 140). كما يجوز للمتضررين رفع دعاوى تعويض مدنية وفق القواعد العامة (المادة 14/3).

ولأن كثيرًا من قرارات المجلس يُنشر، فإن الكلفة العملية للإخفاق الجسيم كثيرًا ما تتجاوز مبلغ الغرامة المعلن: إذ يستطيع الشركاء والمستثمرون والعملاء المحتملون الاطلاع عليه.

وإذا فتح المجلس تحقيقًا، بناءً على شكوى أو من تلقاء نفسه متى علم بادعاء مخالفة (المادة 15/1)، فإن جودة ردكم المكتوب تكتسب أهمية بالغة. إذ على مسؤول البيانات أن يرسل المعلومات والمستندات التي يطلبها المجلس خلال خمسة عشر يومًا، وأن يتيح عند اللزوم التفتيش في الموقع (المادة 15/3). والرد المتأخر أو الناقص أو الخالي من السجلات المؤيدة (سجلات الموافقات، والإشعارات، وسياسات الأمن) يُضعف الملف. وهذا من أكثر المجالات التي يؤتي فيها الاستعداد قبل وقوع أي حادثة ثماره مباشرةً.

ونحن نقدم المشورة للعملاء عبر دورة الحياة الكاملة، من تقييم الفجوات وصياغة السياسات إلى إيداعات VERBİS واتفاقيات النقل والإخطار بالاختراقات والتمثيل أمام المجلس. ومن الافتراضات الشائعة أن الشركة الممتثلة إجمالًا للائحة GDPR ممتثلة لذلك في تركيا؛ وكثيرًا ما لا تكون كذلك، بسبب VERBİS، وقاعدة الموافقة الأصلية، وقواعد الإخطار المحلية. فالامتثال المبكر المنظَّم أقل كلفةً بكثير من الرد على تحقيق بعد وقوع الأمر.