土耳其个人数据的删除、销毁与匿名化

当客户合同终止、员工离职或市场营销同意被撤回时，贵公司所持有的个人数据将何去何从？土耳其《个人数据保护法》（KVKK，第 6698 号法律）不允许无限期保存个人数据。一旦处理数据所依据的理由消失，数据控制者就必须删除、销毁或匿名化这些数据。该义务源自 KVKK 第 7 条以及据此制定的《关于个人数据删除、销毁或匿名化的条例》（官方公报，2017 年 10 月 28 日）。本指南解释三种处置方式之间的区别、留存与销毁政策的要求，以及企业必须遵守的期限。

处置义务何时产生？

KVKK 第 7 条第 1 款十分明确：即使数据的处理原本合法，一旦要求处理该数据的理由不复存在，数据控制者就必须依职权（主动）或应数据主体请求将其删除、销毁或匿名化。该条例将此界定为法律第 5 条和第 6 条所列全部处理条件的消失。这些条件通常在以下情形下消失：

• 处理数据的目的已实现或已不复存在，
• 处理所依据的明示同意被撤回，
• 相关立法规定的最长留存期限届满，
• 因基础合同已终止而不再需要该数据。

其他法律规定的留存义务（例如税务或商事立法中的最短记录保存期限）不受影响；在这些期限届满之前，不得处置相关数据。

三种处理方式及其区别

该条例将"处置"（imha）作为涵盖三种不同操作的统称，并对每一种分别作出定义：

• 删除（第 8 条）： 使个人数据以任何方式对相关用户均不可访问、不可再利用。数据在一段时间内可能仍在技术上存在于系统中；关键在于有权处理该数据的用户不再能够访问它。
• 销毁（第 9 条）： 使个人数据以任何方式对任何人均不可访问、不可恢复、不可再利用。粉碎纸质记录或不可逆地损毁磁性介质均属于此方式。
• 匿名化（第 10 条）： 使个人数据即使与其他数据进行匹配也无论如何都无法与已识别或可识别的自然人相关联。经妥善匿名化的数据不再属于个人数据，因此它是统计和分析用途中最受青睐的方式。

个人数据留存与销毁政策

条例第 5 条要求有义务在数据控制者登记册（VERBİS）中登记的数据控制者制定个人数据留存与销毁政策。该政策至少应涵盖（第 6 条）：

• 记录媒介以及要求留存的法律或技术理由，
• 已采取的技术与管理措施，
• 参与留存与销毁的人员的职务与职责，
• 载明留存与销毁期限的表格，
• 定期销毁的间隔时间。

有一点值得强调：制定政策本身并不意味着数据确实已依法处置（第 5 条第 2 款）。此外，无须制定政策的控制者仍然完整地承担删除、销毁和匿名化义务（第 5 条第 3 款）。

定期销毁与期限

期限因控制者是否拥有政策而有所不同：

• 拥有政策的控制者在义务产生之日之后的首个定期销毁周期中处置数据。间隔时间由政策确定，但在任何情况下均不得超过六个月（第 11 条第 2 款）——即定期销毁必须至少每六个月进行一次。
• 无政策义务的控制者在义务产生之日起三个月内完成处置（第 11 条第 3 款）。
• 若处置系应数据主体请求进行，且全部处理条件均已消失，则该请求必须在至多三十日内处理完毕（第 12 条）。

在可能造成无法弥补或难以弥补的损害以及明显违法的情形下，委员会可以缩短这些期限（第 11 条第 4 款）。

合规的书面记录

条例不仅要求控制者处置数据，还要求对处置行为进行书面记录。所有删除、销毁和匿名化操作均须予以记录，且在不影响其他法律义务的前提下，这些记录须保存至少三年（第 7 条第 3 款）。控制者还必须在其政策和程序中说明所采用的方法。在实践中，建议企业：

1. 建立个人数据处理清单，并为每一类数据设定最长留存期限。
2. 制定留存与销毁政策，并确定定期销毁的间隔时间（不超过六个月）。
3. 以笔录形式记录每一次处置操作，并保存至少三年。
4. 在三十日期限内处理数据主体的请求。
5. 定期审查并更新政策与清单。

常见问题

删除与销毁有何区别？ 在删除中，数据对有权处理它的相关用户变为不可访问，但可能在技术上于系统中保留一段时间。在销毁中，数据被彻底清除，使任何人都无法以任何方式恢复。

每家公司都必须制定留存与销毁政策吗？ 不是。该义务适用于须在 VERBİS 登记的控制者。然而，无须制定政策的公司在数据留存期限届满后，仍须履行处置数据的义务。

定期销毁最迟应在何时进行？ 间隔时间可在政策中自由确定，但在任何情况下均不得超过六个月。因此，拥有政策的控制者必须至少每六个月进行一次定期销毁。

匿名化的数据是否属于 KVKK 的适用范围？ 经妥善匿名化的数据无法再与特定个人关联，因而丧失个人数据属性，不再受 KVKK 约束。但若仍可通过匹配还原身份，则该匿名化不成立。

Mona Hukuk 如何提供帮助

在 Mona Hukuk，我们协助企业建立个人数据清单、制定留存与销毁政策、搭建定期销毁流程，并以符合法律要求的方式记录处置操作。凭借我们在信息技术与人工智能法领域的专业能力，我们帮助贵公司全面遵守 KVKK 的处置义务。

如需在安塔利亚获得咨询，您可以发送邮件至 contact@monahukuk.com，或拨打 +90 (242) 606 14 32。