土耳其网络安全事件中企业的法律责任

网络攻击绝不仅仅是一场技术危机，它是多层次法律责任的来源。企业往往忽视向数据保护委员会通报之外的后果：客户的赔偿请求、针对攻击者的刑事追诉、行政罚款以及董事会的问责。本指南越过《土耳其个人数据保护法》（KVKK）规定的72小时通报义务——我们在另一篇指南中专门论述该义务——转而围绕《土耳其债务法》（TBK）和《土耳其刑法》（TCK）阐述网络安全事件为企业带来的真正法律风险。

通报只是开端

KVKK第12条要求的事件通报并不是事件的唯一后果。已经完成通报并不能免除企业对客户的赔偿责任、针对责任人的刑事追诉，或行政罚款。这些后果沿着相互独立的法律轨道运行：通报是行政法上的义务；赔偿是私法上的债务；刑事侦查则由检察官依职权推进。因此，事件发生后的应对策略必须远远超出填写一份通报表格。

对客户与数据主体的赔偿责任

数据被泄露的客户可就其所遭受的物质与精神损害向企业请求赔偿。此类请求有两种可能的法律依据。

合同责任： 当企业与客户之间存在服务关系，且合同就数据安全含有明示或默示的承诺时，即适用TBK第112条。根据该条，若债务未被适当履行，除非债务人证明不能将任何过错归咎于己，否则应赔偿债权人的损失。关键在于举证责任的倒置：客户无需证明企业的过错；反而是企业必须证明其已采取必要的安全措施且无过错。

侵权责任： 在不存在合同关系的情形下，TBK第49条规定，任何人以有过错且违法的行为使他人受到损害的，应赔偿该损害。安全基础设施不足、系统未及时更新或访问控制疏于管理，均可确立企业的过错。此外，TBK第66条规定的"雇主责任"也可能被触发：雇员在执行工作时给第三人造成损害的，雇主可被追究责任，且雇主只有在证明其于选任、监督雇员以及组织企业运营方面尽到了必要注意时，方可免责。

刑事层面：TCK项下的犯罪

网络安全事件的刑法层面主要针对行为人。TCK（第5237号法律）中三项关键条款尤为突出：

• TCK第243条——侵入信息系统： 任何人非法进入信息系统的全部或一部分，或继续滞留其中的，处最高一年有期徒刑或司法罚金。若因该行为致使系统中的数据灭失或被更改，刑罚提高至六个月至二年有期徒刑。
• TCK第244条——妨碍、破坏系统，毁灭或更改数据： 任何人妨碍或破坏信息系统运行的，处一年至五年有期徒刑；任何人损坏、毁灭、更改数据，使数据无法访问或将其转移至他处的，处六个月至三年有期徒刑。若该行为针对银行、信贷机构或公共机关的系统实施，刑罚加重二分之一。
• TCK第136条——非法给予或获取数据： 任何人非法给予、传播或获取个人数据的，处二年至四年有期徒刑。

尽管这些犯罪主要针对攻击者，企业却并非完全不受触及。故意或因重大过失而为事件提供便利的雇员或管理人员，可能构成对非法披露数据的共同参与；将个人数据故意转移给第三人的行为，就企业负责人而言，也可能成为TCK第136条项下的侦查对象。

行政罚款与网络保险

行政制裁是有别于赔偿与刑罚的第三种后果。根据KVKK第18条，未履行数据安全义务的数据控制者可能面临以百万计的行政罚款，且该金额每年按法定重估率进行调整。违反通报义务与未采取数据安全措施属于不同的违法类别，可分别予以处罚。

面对这一系列叠加的风险，网络保险是一种日益普及的风险管理工具。一份结构完善的保单可以涵盖事件应对费用、数字取证调查、第三方赔偿请求，以及在某些情形下与行政罚款相关的抗辩费用。然而，保单包含重要的除外条款；故意、重大过失或未达到所申报的安全标准，均可能被排除在保障范围之外。

公司治理：事件发生前的准备

减轻责任最有效的途径在于事件发生前所采取的措施。制订事件应急预案、对数据加密、限制访问权限并定期进行渗透测试，无论对技术韧性还是法律抗辩都具有决定性意义。董事会层面对网络安全的监督，以及对所作决定和所采取措施的书面记录，在必要时对于证明企业及其董事无过错至关重要。所采取措施的书面记录，构成TBK第112条与第66条项下免责证据的基础。

常见问题

我们公司已向数据保护委员会通报，还需要做别的吗？ 需要。通报仅是一项行政义务。对客户的赔偿风险、可能的刑事追诉以及行政罚款并不因通报而终止；它们需要一套独立的法律策略。

如果攻击是由外部黑客实施的，企业是否仍需承担责任？ 可能需要。行为人的刑事责任并不消灭企业对客户的赔偿责任。若企业无法证明其已采取必要的安全措施且无过错，则仍可能承担损害赔偿。

企业是否会因雇员造成的泄露而被追责？ 是的。根据TBK第66条，雇主应对其雇员在执行工作时给第三人造成的损害负责；只有在证明其于选任、监督及工作组织方面尽到必要注意时，方可免责。

网络保险能否涵盖全部损失？ 不能。保单在保障范围和除外条款方面各不相同。故意、重大过失或未达到所承诺的安全标准等情形，可能不在保障范围之内；在投保前进行法律审查十分重要。

Mona Hukuk 如何提供帮助

网络安全事件产生的是一种多层次的责任，始于通报，延伸至赔偿与刑法领域。在 Mona Hukuk，我们协助企业制订事件应急预案、开展事件后法律风险评估、就客户赔偿请求进行抗辩、在刑事程序中提供代理，并对网络保险保单进行法律审查。

如需在安塔利亚获得咨询，您可发送邮件至 contact@monahukuk.com 或致电 +90 (242) 606 14 32。