إشعار الخصوصية والموافقة الصريحة وفق نظام KVKK في تركيا

تقع كثير من الشركات العاملة في تركيا في خطأ شائع: تجمع بين إشعار حماية البيانات الشخصية وطلب الموافقة الصريحة في وثيقة واحدة. غير أن قانون حماية البيانات الشخصية التركي KVKK (Kişisel Verilerin Korunması Kanunu، القانون رقم 6698) والتعميم الصادر بموجبه يشترطان صراحةً الفصل التام بين هذين العنصرين. وعدم الامتثال لهذا المتطلب قد يُفضي إلى غرامات إدارية ومتابعات تنظيمية من قِبَل مجلس حماية البيانات — وهو ما يطال الشركات الأجنبية بقدر ما يطال الشركات التركية.

لماذا يختلف الإشعار عن الموافقة

ينظّم القانون هاتين الآليتين بأحكام مستقلة، وذلك ليس اعتباطاً.

الإشعار (aydınlatma بالتركية) التزامٌ مطلق مصدره المادة العاشرة من KVKK. يُلزَم المتحكم في البيانات بإبلاغ أصحابها فور جمعها بما يلي: هويته، وأغراض المعالجة، والجهات التي قد تُحال إليها البيانات وأغراض ذلك الإحالة، وأسلوب الجمع، والأساس القانوني للمعالجة. ويسري هذا الإشعار بصرف النظر عن الأساس القانوني المُعتمَد — سواء أكان موافقةً صريحةً أم تنفيذاً لعقد أم التزاماً قانونياً.

الموافقة الصريحة (açık rıza) في المقابل ليست سوى واحدة من ستة أسس قانونية لمعالجة البيانات وفق المادة الخامسة من KVKK. وتشمل الأسس الأخرى الالتزام القانوني، وتنفيذ العقد، والمصلحة المشروعة للمتحكم. إذا توافر أيٌّ من هذه الأسس، فلا حاجة إلى الموافقة أصلاً. أما حين يُستند إليها، فيجب أن تكون صادرة عن إرادة حرة ومحددة الغرض ومبنية على علم كافٍ.

قاعدة الفصل الإلزامي

تنص الفقرة (f) من المادة الخامسة لـتعميم إجراءات الوفاء بالتزام الإشعار (الجريدة الرسمية التركية، 10 مارس 2018) بصورة قاطعة: إذا استندت المعالجة إلى الموافقة الصريحة، وجب تنفيذ الإشعار والحصول على الموافقة بشكل منفصل تماماً. ولا يجوز إدراجهما في وثيقة أو نموذج واحد.

وعملياً يعني هذا:

• أن يكون إشعار الخصوصية وثيقةً قائمةً بذاتها، يستطيع صاحب البيانات قراءتها واستيعابها قبل أن يُطلب منه أي شيء.
• أن يُقدَّم طلب الموافقة بعد الإشعار، في نموذج مستقل أو عنصر مرئي يتميز عنه بوضوح.
• أن تُؤخذ موافقة خاصة على كل غرض معالجة يستند إلى هذه الموافقة؛ فلا تصح الموافقة الشاملة الواحدة.
• ألا يُربط الوصول إلى الخدمة بقبول الموافقة؛ إذ تفقد حينئذٍ طابعها الحر.

وتُقرر الفقرة (e) من المادة ذاتها أن عبء الإثبات يقع على عاتق المتحكم في البيانات: فهو مَن يجب عليه إثبات أن الإشعار قد وُجِّه فعلاً. وفي غياب السجلات والتوثيق، يصبح الدفاع أمام الجهة الرقابية أمراً عسيراً.

ما يجب أن يتضمنه الإشعار القانوني

تحدد المادة العاشرة من KVKK الحد الأدنى للمحتوى. ويجب أن يُفصح الإشعار الصحيح عن:

• هوية المتحكم في البيانات وممثله إن وُجد
• أغراض معالجة البيانات
• فئات المستلمين المحتملين وأغراض الإحالة إليهم
• أسلوب جمع البيانات والأساس القانوني للمعالجة
• حقوق صاحب البيانات وفق المادة الحادية عشرة من KVKK

ويشترط التعميم فوق ذلك الوضوح وسهولة الفهم. فالعبارات الفضفاضة من قبيل "لأغراض تجارية" دون تفصيل لا تستوفي المتطلبات القانونية؛ إذ يجب تسمية كل غرض بدقة.

المخالفات الأكثر شيوعاً

في أنطاليا وسائر المدن التركية — في قطاعات الفنادق والتجارة الإلكترونية والخدمات المهنية — تتكرر الأنماط ذاتها:

• نص الإشعار وخانة الموافقة مُدمجان في ملف PDF واحد أو صفحة واحدة.
• خانة الموافقة مُحددة مسبقاً — وهذا يُخل بشرط الإرادة الحرة.
• أغراض المعالجة مصاغة بشكل مبهم دون تحديد دقيق.
• موافقة واحدة تُغطي جميع أنواع المعالجة الممكنة.
• لا توجد سجلات تُثبت أن الإشعار قد وُجِّه.

هذه النقطة الأخيرة بالغة الأثر عملياً: حين تُقدَّم شكوى، فالمتحكم في البيانات هو من يجب عليه إثبات امتثاله لا دحض الادعاء.

للاطلاع على نظرة شاملة حول الامتثال لـ KVKK في تركيا وقواعد نقل البيانات الشخصية عبر الحدود، يمكنكم الرجوع إلى مقالاتنا التفصيلية.

الغرامات والتطبيق الرقابي

مجلس حماية البيانات الشخصية (Kişisel Verileri Koruma Kurulu) هو الجهة الرقابية المختصة. وتنص المادة الثامنة عشرة من KVKK على فرض غرامة إدارية تتراوح بين 5,000 و100,000 ليرة تركية على من يُخل بالتزام الإشعار المنصوص عليه في المادة العاشرة. وعدم الامتثال لقرارات المجلس يُعرّض للغرامة التي قد تبلغ 1,000,000 ليرة؛ كما يُعرّض عدم التسجيل في سجل المتحكمين في البيانات (VERBİS) لغرامة تتراوح بين 20,000 و1,000,000 ليرة. وقد أتاح القانون رقم 7499 الصادر في 2 مارس 2024 إمكانية الطعن في قرارات المجلس أمام المحاكم الإدارية.

ولا تُعفى الشركات الأجنبية من هذه الأحكام؛ فكل جهة تعالج بيانات أشخاص موجودين في تركيا — عبر مكتب محلي أو موقع إلكتروني أو تطبيق — يسري عليها القانون بصرف النظر عن بلد تسجيلها.

الأسئلة الشائعة

س: لدينا سياسة خصوصية على موقعنا الإلكتروني. هل يكفي ذلك؟

ليس بالضرورة. وجود سياسة خصوصية يُسهم في الوفاء بجزء من متطلبات الإشعار، لكن القانون يشترط أن يتم الإشعار لحظة جمع البيانات، لا أن يكون متاحاً على الموقع فحسب. إذا كانت البيانات تُجمع من خلال نموذج تسجيل، فيجب تقديم الإشعار مصاحباً لذلك النموذج.

س: هل يمكن استخدام خانة اختيار واحدة لتغطية عدة أغراض؟

لا. كل غرض معالجة يستند إلى الموافقة الصريحة يستلزم موافقة خاصة به موصوفة بوضوح. لا تُعدّ الموافقة الشاملة من نوع "أوافق على معالجة بياناتي" مستوفيةً للمتطلبات القانونية.

س: شركتنا تعالج البيانات لتنفيذ عقد، لا بموجب موافقة. هل ما زلنا ملزَمين بالإشعار؟

نعم. التزام الإشعار قائم بصرف النظر عن الأساس القانوني المعتمَد. إذا كنتم تعالجون البيانات لتنفيذ عقد، فما عليكم سوى توضيح ذلك في الإشعار — أما الإشعار نفسه فلا يمكن الاستغناء عنه.

س: مكتبنا القانوني خارج تركيا. هل يسري عليه KVKK؟

نعم، إذا كنتم تعالجون بيانات أشخاص موجودين في تركيا. فمعيار تطبيق القانون هو مكان وجود أصحاب البيانات، لا مكان تسجيل الشركة.

كيف يمكن لمكتب Mona Hukuk مساعدتك

يُقدّم مكتبنا القانوني في أنطاليا المشورة لكل من الشركات التركية والأجنبية في صياغة الإشعارات المتوافقة مع القانون، وبناء آليات الموافقة المنفصلة والموثَّقة، والتمثيل القانوني في إجراءات مجلس KVKK. سواء كانت شركتكم تعمل من داخل تركيا أو تستهدف عملاء فيها، فإن الفصل الصحيح بين الإشعار والموافقة هو نقطة البداية لأي امتثال مستدام.

تواصل معنا على contact@monahukuk.com أو اتصل على +90 (242) 606 14 32 لتحديد موعد استشارة في أنطاليا.