KVKK в Турции: согласие и уведомление — обязательно разделять

Компании, работающие в Турции, нередко допускают одну и ту же ошибку: объединяют уведомление об обработке персональных данных и форму получения согласия в едином документе. Между тем турецкий Закон о защите персональных данных KVKK (Kişisel Verilerin Korunması Kanunu, Закон № 6698) и принятый на его основе подзаконный акт прямо требуют раздельного оформления этих двух элементов. Несоблюдение данного требования влечёт административные штрафы и проверки со стороны Совета KVKK — и это касается иностранных компаний в той же мере, что и турецких.

Уведомление и согласие — принципиально разные вещи

Закон регулирует эти два инструмента разными нормами, и за этим стоит чёткая логика.

Обязанность уведомить (aydınlatma по-турецки) закреплена в статье 10 KVKK. Оператор персональных данных обязан сообщить субъекту данных в момент их сбора: кто собирает данные, для каких целей, кому они могут быть переданы, каким способом получены и на каком правовом основании обрабатываются. Эта обязанность является безусловной — она действует вне зависимости от того, какое правовое основание применяется: согласие, исполнение договора или законодательное требование.

Явное согласие (açık rıza) — лишь одно из шести оснований для обработки данных, предусмотренных статьёй 5 KVKK. Остальные включают исполнение договора, выполнение законодательного требования, законный интерес оператора и ряд других. Если применимо иное основание, согласие не требуется вовсе. Когда же оператор всё-таки опирается на согласие, оно должно быть дано добровольно, для конкретной цели и осознанно.

Правило обязательного разделения

Подпункт (f) статьи 5 Коммюнике о порядке исполнения обязанности уведомления (официальная газета от 10 марта 2018 года) прямо устанавливает: если обработка данных основана на явном согласии, уведомление субъекта и получение его согласия должны осуществляться раздельно. Объединять их в единой форме или документе запрещается.

На практике это означает следующее:

• Уведомление — самостоятельный документ, который человек может прочитать и осмыслить до того, как его о чём-либо попросят.
• Форма согласия следует после уведомления — в отдельном элементе, чётко отличимом визуально и структурно.
• Для каждой цели обработки, основанной на согласии, необходимо отдельное и конкретно описанное согласие; общие формулировки вроде «согласен на обработку данных» не соответствуют требованиям.
• Нельзя обусловливать доступ к сервису наличием согласия — это подрывает его добровольный характер.

Подпункт (e) той же статьи возлагает бремя доказывания на оператора: именно он обязан подтвердить, что уведомление состоялось. При отсутствии документации защититься при жалобе практически невозможно.

Что должно содержать законное уведомление

Статья 10 KVKK определяет минимальный состав информации. Уведомление обязано чётко указывать:

• Наименование (имя) оператора и его представителя (при наличии)
• Цели обработки персональных данных
• Категории получателей, которым данные могут передаваться, и цели такой передачи
• Способ сбора данных и правовое основание обработки
• Права субъекта данных по статье 11 KVKK

Коммюнике дополнительно требует ясности и простоты языка. Расплывчатые формулировки вроде «в коммерческих целях» недопустимы: каждая цель должна быть названа конкретно и однозначно.

Типичные нарушения

В Анталье и по всей Турции — в гостиничном бизнесе, интернет-торговле, сфере профессиональных услуг — повторяются одни и те же ошибки:

• Текст уведомления и флажок согласия объединены в одном PDF или на одной странице.
• Флажок согласия проставлен по умолчанию — это нарушает требование добровольности.
• Цели обработки описаны размыто: «в маркетинговых целях» без расшифровки.
• Единое согласие охватывает все мыслимые виды обработки данных.
• Никаких записей о проведённом уведомлении не ведётся.

Последний пункт заслуживает особого внимания: если субъект данных подал жалобу, именно оператор должен доказать факт уведомления, а не опровергать сомнения.

Для более широкого контекста рекомендуем ознакомиться с нашей статьёй о соответствии требованиям KVKK в Турции, а также с материалом о трансграничной передаче персональных данных.

Штрафы и правоприменительная практика

Совет KVKK (Kişisel Verileri Koruma Kurulu) — государственный орган, уполномоченный исполнять закон. Согласно статье 18 KVKK, нарушение обязанности уведомления (статья 10) влечёт административный штраф от 5 000 до 100 000 турецких лир. Неисполнение решений Совета обходится дороже — от 25 000 до 1 000 000 TL; за непостановку на учёт в реестре операторов (VERBİS) грозит штраф от 20 000 до 1 000 000 TL. Законом № 7499, вступившим в силу 2 марта 2024 года, штрафные решения Совета теперь могут быть оспорены в административном суде.

Иностранные компании не пользуются каким-либо иммунитетом. Если организация обрабатывает данные лиц, находящихся на территории Турции — через местное отделение, сайт или мобильное приложение — KVKK распространяется на неё вне зависимости от страны регистрации.

Часто задаваемые вопросы

В: На нашем сайте есть политика конфиденциальности. Этого достаточно?

Не обязательно. Наличие политики конфиденциальности — часть требований к уведомлению, однако закон устанавливает конкретный момент его осуществления: уведомление должно происходить в момент сбора данных. Если данные собираются через форму регистрации, уведомление следует предоставить вместе с этой формой.

В: Можно ли одним флажком охватить несколько целей обработки?

Нет. Для каждой цели, основанной на согласии, необходимо получить отдельное и конкретное согласие. Общая фраза «Я согласен на обработку персональных данных» юридически недостаточна.

В: Мы обрабатываем данные в целях исполнения договора, а не по согласию. Нужно ли нам всё равно уведомлять?

Да. Обязанность уведомить субъекта данных не зависит от применяемого правового основания. При обработке для исполнения договора достаточно указать это в уведомлении — но само уведомление остаётся обязательным.

В: Наша компания находится за пределами Турции. Распространяется ли KVKK на нас?

Да, если вы обрабатываете данные лиц, находящихся в Турции. Принцип территориальности ориентируется на место нахождения субъекта данных, а не на юрисдикцию компании.

Как Mona Hukuk может помочь

Наша юридическая фирма в Анталье консультирует как турецкие, так и иностранные компании по вопросам разработки политик уведомления и согласия в соответствии с KVKK, а также представляет их интересы в делах перед Советом KVKK. Если ваши операции охватывают Турцию — независимо от того, где расположена ваша штаб-квартира, — мы поможем привести документацию и процессы в порядок.

Свяжитесь с нами по адресу info@monahukuk.com или по телефону +90 (242) 606 14 32, чтобы записаться на консультацию в Анталье.