在土耳其法律体系下，第6698号《个人数据保护法》（KVKK）旨在保护私营和公共部门中个人的基本权利与自由（特别是个人隐私权），并规定了处理个人数据的自然人及法人的法定合规义务。

I. 核心法定定义

  • 个人数据（Personal Data）： 与已识别或可识别的自然人相关的任何信息（姓名、土耳其身份证号、电子邮件、社交媒体账号、地址、电话、购物历史、监控录像、IP地址、求职申请表等）。
  • 特殊类别个人数据（敏感数据）： 一旦泄露可能导致当事人遭受不公对待或歧视的数据（种族、民族、政治观点、哲学信仰、宗教信仰、服装穿戴、社团/基金会/工会会籍、健康状况、性生活、刑事判决及安全措施数据，以及生物识别和基因数据）。
  • 数据控制者（Data Controller）： 决定个人数据处理目的和方式，并负责建立和管理数据记录系统的自然人或法人（企业法人自身具备数据控制者身份）。
  • 数据处理者（Data Processor）： 根据数据控制者的授权代其处理个人数据的自然人或法人。
  • VERBİS： 土耳其个人数据保护局运营的数据控制者登记信息系统。

II. 企业的法定适用范围

若机构在土耳其法律下通过完全或部分自动化方式，或作为结构化数据记录系统一部分的非自动化方式处理个人数据，则强制适用本法规定。

III. 法定制裁与处罚制度

1. 《土耳其刑法典》（TPC）下的刑事犯罪与监禁刑

对个人数据的违法处置行为适用第5237号《土耳其刑法典》第135条至140条规定的监禁刑：

  • 非法记录个人数据（第135/1条）： 处 1 年至 3 年有期徒刑。
  • 记录特殊类别敏感数据（第135/2条）： 加重二分之一刑罚（处 1.5 年至 4.5 年有期徒刑）。
  • 非法提供、传播或获取个人数据（第136/1条）： 处 2 年至 4 年有期徒刑。
  • 未依法销毁数据（第138条）： 超过法定保留期限未从系统中删除或匿名化数据的，处 1 年至 2 年有期徒刑。

若上述犯罪由公职人员利用职务便利或利用特定职业便利实施，刑罚加重二分之一（第137条）。

2. 行政违法与行政罚款（KVKK 第18条）

违反本法定义务的，土耳其个人数据保护委员会将根据每年调整的重新评估率处以高达数百万土耳其里拉的行政罚款：

  • 未履行告知义务；
  • 未采取数据安全保护措施（技术与组织措施）；
  • 未执行委员会做出的裁决；
  • 违反 VERBİS 登记与申报义务。

根据土耳其法律，对委员会做出的行政处罚裁定提出上诉的法定管辖机构为 **行政法院（Administrative Courts）**。

IV. 企业 KVKK 合规实施路线图

为确保企业在土耳其法律下的数据处理活动完全合规，须执行以下结构化合规步骤：

  • 现状分析与数据梳理： 梳理收集的所有个人数据、处理目的、保留期限、第三方传输情况及现有的技术安全措施。
  • 编制数据清单与 VERBİS 登记： 编制覆盖所有部门的《个人数据处理 envanter 清单》，达标企业须完成 VERBİS 系统注册登记。
  • 告知文本与显性同意机制： 为客户、员工及供应商制定法定告知书；针对法律强制要求显性同意的情形设计合规确认机制。
  • 合同与内部制度修订： 修订劳动合同、保密协议、供应商合同、数据保留与销毁政策。
  • 技术与组织安全措施： 强化网络安全基础设施、建立访问权限矩阵、并对员工开展个人数据保护合规培训。

法律声明：以上内容仅供一般性法律资讯参考，不构成针对特定个案的法律意见。如需开展企业数据保护合规审计，建议咨询专业律师。