هل يسري قانون حماية البيانات التركي (KVKK) على شركتك؟ دليل للشركات الأجنبية

قانون حماية البيانات التركي قد يُلزم شركةً لا وجود لها في تركيا أصلاً. فنص القانون رقم 6698، المعروف اختصاراً بـ KVKK، لا يقول شيئاً عن نطاقه الإقليمي، لكن مجلس حماية البيانات فسّره توسعاً وفرض غرامات على شركات أجنبية لأنها تعالج بيانات أشخاص موجودين في تركيا. أما المداخل العملية لذلك فاعتيادية تماماً: البيع لعملاء في تركيا، أو موقع أو تطبيق موجه للسوق التركية، أو توظيف أشخاص هنا، أو تلقي بيانات موظفين وعملاء من شركة تابعة تركية. والامتثال للائحة الأوروبية GDPR مفيد لكنه لا يجيب عن الأسئلة التركية، لأن KVKK يفترق عنها تحديداً حيث يصبح الامتثال عملياً لا نظرياً.

متى يطال القانون التركي شركة أجنبية؟

نهج المجلس قائم على الأثر. واجهة باللغة التركية، أسعار بالليرة، توصيل إلى عناوين تركية، قاعدة مستخدمين تركية ملموسة: كل ذلك ورد في قرارات مدّت سريان القانون إلى شركات أجنبية. والإنفاذ عملياً يتحرك بالشكاوى: عميل غير راضٍ أو موظف سابق أو منافس يقدم شكوى، وأول ما يفحصه المجلس هو الالتزامات الشكلية. ولهذا فإن الطبقة الشكلية، على تواضعها، تحسم أغلب الملفات.

التسجيل في سجل VERBİS والممثل في تركيا

الشركات المسؤولة عن البيانات والمقيمة خارج تركيا ملزمة بالتسجيل في سجل مسؤولي البيانات (VERBİS) قبل المعالجة، ولا تستفيد من الإعفاءات التي تعفي كثيراً من الشركات التركية الصغيرة. ويتطلب التسجيل تعيين ممثل في تركيا، إما مواطن تركي أو شخص اعتباري مؤسس في تركيا، بقرار رسمي موثق ومصدق بالأبوستيل.

أما الشركات المؤسسة في تركيا، ومنها الشركات التابعة لمجموعات أجنبية، فيتوقف تسجيلها على عتبات عددية: حتى منتصف 2026، خمسون موظفاً فأكثر سنوياً أو ميزانية تتجاوز الحد المقرر، أو معالجة البيانات الحساسة كنشاط رئيسي. والقيد في السجل علني، والمجلس يقارن في ملفات الشكاوى بين ما أعلنته الشركة في السجل وما تقوله نصوص الخصوصية لديها وما تفعله فعلاً. والتسجيل غير الدقيق أسوأ من التسجيل المتأخر.

إعادة كتابة قواعد نقل البيانات إلى الخارج عام 2024

هذه هي النقطة التي يخطئ فيها غالباً أصحاب الخبرة الأوروبية. حتى عام 2024 كان نقل البيانات خارج تركيا يقوم عملياً على الموافقة الصريحة. ثم أعاد القانون رقم 7499 بناء المادة 9 من KVKK ببنية مألوفة الشكل: قرارات كفاية، وضمانات مناسبة منها العقود النموذجية التي تنشرها الهيئة، وقواعد الشركات الملزمة، وبقيت الموافقة الصريحة خياراً احتياطياً للنقل العرضي فقط.

نقطتان تشغيليتان أهم من البنية كلها. الأولى: لم تصدر الهيئة قرارات كفاية حتى الآن، فالعقود النموذجية هي الأداة العملية للتدفقات المعتادة داخل المجموعات. الثانية: العقد النموذجي الموقع يجب إخطار الهيئة به خلال خمسة أيام عمل، وإغفال هذا الإخطار عليه غرامة إدارية مستقلة بذاتها. كل مجموعة أجنبية تتبادل شركتها التركية بيانات الموارد البشرية أو العملاء مع المركز الرئيسي احتاجت أوراقاً جديدة بعد أيلول/سبتمبر 2024، وعدد غير قليل منها لم يستكملها بعد.

أين يكون القانون التركي أشد من اللائحة الأوروبية؟

نص الإحاطة (aydınlatma)، أي إشعار الخصوصية، يجب تقديمه لحظة جمع البيانات بمحتوى إلزامي، وباللغة التركية لأصحاب البيانات في تركيا. الموافقة يجب أن تكون محددة وحرة، والموافقة المدمجة في الشروط العامة باطلة. يعرف القانون التركي أساس المصلحة المشروعة لكنه يفسَّر تفسيراً أضيق من نظيره الأوروبي، فما يستند بارتياح إلى المصلحة المشروعة في أوروبا قد يحتاج أساساً آخر هنا. خرق أمن البيانات يجب إبلاغ المجلس به خلال 72 ساعة وفق الممارسة المستقرة، وإبلاغ المتضررين دون تأخير، والمجلس ينشر مختارات من بلاغات الخرق على موقعه، فيتحول الإشكال القانوني إلى إشكال علني. الغرامات يعاد تقييمها سنوياً وقد تجاوزت حدودها العليا المستويات الرمزية بكثير. ولا يوجد نظام "مسؤول حماية بيانات" كما في أوروبا: الشركات التركية تعيّن شخص اتصال، والأجنبية تعمل عبر ممثلها المسجل.

ما ننصح به، بالترتيب

ارسم خريطة تدفقات البيانات التي تمس تركيا، بما فيها الصامتة منها كنظام موارد بشرية مستضاف في الخارج. احسم مسألة التسجيل بصدق لأنها أول ما يُفحص. أبرم العقود النموذجية لتغطية التدفقات داخل المجموعة، وقيّد مهلة الأيام الخمسة للإخطار. طابق نصوص التنوير التركية مع ما يحدث للبيانات فعلاً. وجهّز خطة استجابة للخرق تفترض أن عدّاد الـ72 ساعة سيبدأ مساء يوم جمعة. وفي خبرتنا، الشركات التي تتعثر ليست سيئة النية غالباً، بل هي التي افترضت أن ملفها الأوروبي سيترجم نفسه بنفسه.

أسئلة تصلنا كثيراً

نحن ملتزمون باللائحة الأوروبية، أيكفي ذلك؟ لا. التسجيل في VERBİS، والممثل، والنصوص التركية، وإخطارات النقل لا مقابل لها في الملف الأوروبي. التطابق في المبادئ لا يمتد إلى الأوراق.

هل نحتاج إلى تأسيس شركة في تركيا؟ لا. الممثل المسجل يفي بالمتطلبات الشكلية. أما الحاجة إلى كيان فمسألة تجارية وضريبية لا علاقة لها بقانون حماية البيانات.

ما حجم المخاطرة الواقعية على شركة لا أصول لها في تركيا؟ تحصيل الغرامات في الخارج صعب، لكن ليست هذه النقطة. الأطراف التركية باتت تشترط الامتثال تعاقدياً، والنشر العلني لوقائع الخرق يضر بالعلامة التجارية، والإنفاذ يصل عادة في اللحظة التي تتفاوض فيها الشركة على أمر مهم لها في تركيا.

يقدم مكتب Uçkun Aktaş Öksüm المشورة للشركات الدولية في برامج الامتثال لقانون KVKK والتسجيل في VERBİS ومستندات نقل البيانات والاستجابة لخروقات الأمن. هذه المذكرة معلومات عامة وليست استشارة قانونية في حالة بعينها، وتعكس القانون النافذ في تموز/يوليو 2026.

استشارة

يمكنكم إرسال أسئلتكم ومستنداتكم المتعلقة بوضعكم؛ وتُعامل الطلبات بسرّية.