土耳其第6698号《个人数据保护法》（KVKK）及其二级法规，为在土耳其商业环境中处理个人数据的自然人及法人设定了强制性的合规义务。为避免面临高额行政罚款及监管制裁，企业必须确保其数据处理流程符合最新的土耳其法定要求。

核心概念定义

  • 个人数据（Personal Data）： 与已识别或可识别的自然人相关的任何信息（如姓名、土耳其身份证号、电话、车牌号、电子邮件、IP地址、照片、录音及家庭信息等）。
  • 个人数据处理（Processing）： 对数据执行的任何操作，包括收集、记录、存储、修改、披露、传输或限制访问等。
  • 数据控制者（Data Controller）： 决定个人数据处理目的和方式，并负责建立和管理数据记录系统的自然人或法人。根据土耳其法律，企业法人自身即具备“数据控制者”的法定身份。
  • VERBİS： 土耳其个人数据保护局运营的数据控制者登记信息系统。

I. 数据控制者的告知义务（KVKK 第10条）

根据土耳其法律，数据控制者在收集个人数据时，必须向数据主体（客户、员工、访客等）主动履行告知义务，告知事项包括：

  • 数据控制者及其代表（如有）的身份；
  • 处理个人数据的具体目的；
  • 已处理数据可能传输的对象及目的；
  • 收集个人数据的方式及法定事由；
  • 数据主体在KVKK第11条下享有的法定权利。

II. VERBİS 登记义务与法定豁免

处理个人数据的数据控制者依法须在开始处理数据前注册登记 VERBİS 系统。然而，根据土耳其个人数据保护委员会（KVK Board）的决议，主要业务不涉及特殊类别（敏感）数据处理、年度员工人数少于50人且年资产负债表总额低于1亿土耳其里拉的企业，可免于 VERBİS 强制登记。

III. 法规最新修订：敏感数据与跨境数据传输

根据土耳其最新的法律改革（第7499号法律），土耳其数据保护制度做出了重大调整：

  • 敏感个人数据的处理（KVKK 第6条）： 针对健康、生物识别、宗教信仰等敏感数据的处理，取消了仅依赖“显性同意”的单一限制，增加了法律明确规定、主张或保护合法权利以及客观无法取得同意等替代性法定理由。
  • 跨境数据传输（KVKK 第9条）： 跨境传输数据不再将“显性同意”作为首选机制。新框架优先采用委员会发布的 **充分性认定（Adequacy Decisions）**、双方签署的 **标准合同条款（SCCs）** 或 **绑定企业规则（BCRs）** 等合规保障机制。

IV. 行政处罚与司法救济途径

对于未履行告知义务、未采取数据安全保护措施或违反 VERBİS 登记规定的数据控制者，监管部门将根据每年调整的重新评估率处以高达数百万里拉的行政罚款。根据土耳其法律，对土耳其个人数据保护委员会做出的处罚裁定提出上诉的法定管辖机构为 **行政法院（Administrative Courts）**。

法律声明：以上内容仅供一般性法律资讯参考，不构成针对特定个案的法律意见。如需开展企业KVKK合规审计，建议咨询专业律师。