ما هو قانون حماية البيانات الشخصية – KVKK؟

ما هو KVKK؟ ماذا يعني KVKK؟

KVKK هو اختصار للأحرف الأولى من قانون حماية البيانات الشخصية رقم 6698؛ وقد دخل حيز التنفيذ بهدف حماية الحقوق والحريات الأساسية للأفراد، وخاصة الحق في الخصوصية، في معالجة البيانات الشخصية وتنظيم الإجراءات والمبادئ التي يجب أن يتبعها الأشخاص الحقيقيون والاعتباريون الذين يعالجون البيانات الشخصية بوسائل آلية كليًا أو جزئيًا أو بوسائل غير آلية شريطة أن تكون جزءًا من أي نظام لتسجيل البيانات.

ويشير أيضًا إلى الاختصارات المكونة من الأحرف الأولى لهيئة حماية البيانات الشخصية، وهي مؤسسة أنشئت بموجب هذا القانون، وتتمتع بالاستقلال الإداري والمالي وهي شخصية اعتبارية عامة، ومجلس حماية البيانات الشخصية، الذي تم تحديد صلاحياته وواجباته في القانون ذي الصلة.

ما هي البيانات الشخصية لـ KVKK؟ ما هي البيانات الشخصية الخاصة؟

تعتبر أية معلومات تكشف عن هوية شخص طبيعي محدد أو قابل للتحديد وتكون خاصة بذلك الشخص (الاسم، اللقب، تاريخ الميلاد، العنوان المنزلي، عنوان العمل، عنوان البريد الإلكتروني، عنوان IP، رقم الهاتف، رقم الفاكس، معلومات بطاقة الائتمان، رقم الجنسية، الرقم الضريبي، رقم جواز السفر، رقم الضمان الاجتماعي، رقم رخصة القيادة، لوحة ترخيص السيارة، السيرة الذاتية، الصورة، الفيديو، إلخ) بيانات شخصية ضمن نطاق قانون حماية البيانات الشخصية رقم 6698؛ لا يمكن معالجة البيانات من قبل أشخاص حقيقيين أو اعتباريين إلا بموافقة صريحة من الشخص المعني.

بالإضافة إلى ذلك، تتضمن المادة 6 من قانون حماية البيانات الشخصية رقم 6698 البيانات المتعلقة بعرق الأفراد وأصلهم العرقي ورأيهم السياسي ومعتقدهم الفلسفي ودينهم وطائفتهم أو معتقداتهم الأخرى ومظهرهم وملابسهم وعضويتهم في الجمعيات أو المؤسسات أو النقابات والصحة والحياة الجنسية والإدانات الجنائية والتدابير الأمنية، بالإضافة إلى البيانات البيومترية والوراثية، والتي تعتبر بيانات شخصية خاصة ويحظر معالجتها دون موافقة صريحة من الأطراف ذات الصلة.

ما هي الموافقة الصريحة لـ KVKK؟ ما هو نص الإفصاح؟

تنص المادة 3 من قانون حماية البيانات الشخصية رقم 6698 بعنوان "التعاريف" على تعريف الموافقة الصريحة على النحو التالي؛ يتم تعريفها على أنها موافقة مبنية على معلومات ويتم التعبير عنها بإرادة حرة فيما يتعلق بموضوع محدد؛ وكما يمكن فهمه من هذا التعريف، فإن الموافقة الصريحة يجب أن تكون مبنية على المعلومات.

إن حقيقة عدم وجود متطلبات شكلية محددة فيما يتعلق بكيفية تقديم هذه المعلومات وكيفية الحصول على الموافقة الصريحة تجعل من الممكن الوفاء بالتزامات المعلومات والموافقة الصريحة في البيئة الإلكترونية من خلال نص المعلومات وزر القبول الموجود أسفله أو من خلال مركز الاتصال، شريطة أن يقع عبء الإثبات على عاتق مراقب البيانات.

متى دخل قانون مكافحة الفساد KVKK حيز التنفيذ؟

اعتمد الاتحاد الأوروبي "توجيه البرلمان الأوروبي ومجلس أوروبا بشأن حماية الأفراد فيما يتعلق بمعالجة البيانات الشخصية وحرية حركة هذه البيانات" في عام 1995 بهدف توحيد اللوائح بين الدول الأعضاء فيما يتعلق بحماية البيانات الشخصية. تشكل هذه التوجيهات مصدرًا للوائح القانونية في القوانين المحلية للدول الأعضاء، بما في ذلك تركيا، واللائحة العامة لحماية البيانات (GDPR) رقم 2016/679 للاتحاد الأوروبي، والتي أصدرها البرلمان الأوروبي والمجلس الأوروبي والمفوضية الأوروبية في عام 2016، ودخلت حيز التنفيذ في عام 2018 ولا تزال التشريع الحالي في الاتحاد الأوروبي اليوم.

وفي بلدنا، تم إعداد مشروع قانون حماية حقوق الإنسان بشكل فعال، ومفاوضات العضوية مع الاتحاد الأوروبي، وزيادة التعاون الدولي والتجارة، وتم تقديمه إلى رئاسة الجمعية الوطنية الكبرى في تركيا في 26 ديسمبر/كانون الأول 2014؛ أصبح قانوناً في 24 مارس 2016 ودخل حيز التنفيذ عند نشره في الجريدة الرسمية بتاريخ 7 أبريل 2016 ورقم 29677.

لمن يعتبر KVKK إلزاميا؟

تنص المادة 2 من قانون حماية البيانات الشخصية رقم 6698 على نطاق القانون على أنه "ينطبق على الأشخاص الحقيقيين والاعتباريين الذين يعالجون البيانات الشخصية بوسائل آلية كليًا أو جزئيًا أو بوسائل غير آلية شريطة أن يكونوا جزءًا من أي نظام لتسجيل البيانات".

تشير معالجة البيانات الشخصية إلى أي عملية يتم إجراؤها على البيانات، مثل الحصول عليها أو تسجيلها أو تخزينها أو حفظها أو تغييرها أو إعادة ترتيبها أو الكشف عنها أو نقلها أو الاستحواذ عليها أو إتاحتها أو تصنيفها أو منع استخدامها؛ يخضع الجميع، دون تمييز بين الأشخاص الحقيقيين والاعتباريين الذين يقومون بهذه الأعمال، للالتزام بالامتثال للأنظمة التي وضعها KVKK.

من هو مسؤول البيانات في KVKK؟ من هو معالج البيانات؟

وفقاً للمادة 3 من قانون حماية البيانات الشخصية رقم 6698، بعنوان "التعاريف"، يُعرَّف مسؤول البيانات بأنه الشخص الطبيعي أو القانوني الذي يحدد أغراض ووسائل معالجة البيانات الشخصية وهو المسؤول عن إنشاء وإدارة نظام تسجيل البيانات.

يتم تعريف معالج البيانات في نفس المادة على أنه الشخص الطبيعي أو القانوني الذي يعالج البيانات الشخصية نيابة عن مراقب البيانات بناءً على السلطة الممنوحة من قبل مراقب البيانات. ولكي نميز بين المفهومين، لا بد من تحديد الشخص الذي سيجيب على أسئلة "لماذا" و"كيف" سيتم تنفيذ نشاط المعالجة.

ما الذي يجب القيام به في نطاق KVKK؟

بموجب قانون حماية البيانات الشخصية رقم 6698، يمكن إدراج التزامات مسؤول البيانات على أنها إبلاغ طلبات الأشخاص المعنيين (الشخص المعني: الشخص الذي تتم معالجة بياناته الشخصية)، واتخاذ التدابير اللازمة لضمان أمن البيانات، والتسجيل في سجل مسؤولي البيانات (VERBIS)، والرد على طلبات الأشخاص المعنيين وحذف أو تدمير أو إخفاء هوية البيانات الشخصية تلقائيًا أو بناءً على طلب الشخص المعني في حالة إزالة الأسباب التي تتطلب المعالجة وتنفيذ قرارات مجلس حماية البيانات الشخصية.

ما هي العقوبات والجزاءات التي يفرضها KVKK؟

وفقًا لقانون العقوبات التركي رقم 5237، سيتم الحكم على أي شخص يقوم بتسجيل البيانات الشخصية بشكل غير قانوني بالسجن من سنة إلى ثلاث سنوات؛ (حسب طبيعة البيانات، قد يتم زيادة هذه العقوبة إلى النصف) كل من حصل على هذه البيانات أو نشرها بشكل غير قانوني يعاقب بالسجن من سنتين إلى أربع سنوات؛ يعاقب بالسجن من سنة إلى سنتين كل من يخالف واجب حذف أو إتلاف أو إخفاء هوية هذه البيانات.

بالإضافة إلى ذلك، ووفقاً لقانون حماية البيانات الشخصية رقم 6698، سيتم فرض غرامات إدارية تتراوح بين 5000 ليرة تركية و10000 ليرة تركية على مراقبي البيانات الذين يفشلون في الوفاء بالتزاماتهم بالإبلاغ، وسيتم فرض غرامات تتراوح بين 15000 ليرة تركية و1000000 ليرة تركية على أولئك الذين يفشلون في الوفاء بالتزاماتهم فيما يتعلق بأمن البيانات، وسيتم فرض غرامات تتراوح بين 20000 ليرة تركية و1000000 ليرة تركية على أولئك الذين ينتهكون التزام التسجيل في سجل مراقبي البيانات.

ما هي الفروقات بين KVKK وGDPR؟

على الرغم من اتخاذ اللوائح القانونية للاتحاد الأوروبي كنموذج أثناء إعداد قانون حماية البيانات الشخصية رقم 6698، إلا أن هناك بعض الاختلافات بين KVKK واللائحة العامة لحماية البيانات؛

بموجب اللائحة العامة لحماية البيانات، فإن أي شركة أو فرد يعالج البيانات، حتى لو لم يكن مسؤول البيانات (بما في ذلك الأطراف الثالثة مثل مقدمي الخدمات السحابية)، يعتبر مسؤولاً عن المعالجة القانونية للبيانات، بينما بموجب المادة 18/2 من قانون حماية البيانات الشخصية رقم 6698، يتم تحديد مستوى مختلف من المسؤولية لمسؤول البيانات ومعالج البيانات، ويتم تطبيق عقوبة الغرامة الإدارية فقط على مسؤولي البيانات، والالتزام بالتسجيل في سجل مسؤولي البيانات يغطي مسؤولي البيانات فقط.

على الرغم من أن مفهوم الحق في النسيان، والذي يتم التعبير عنه عمومًا باعتباره حق الأفراد في التحكم في بياناتهم الشخصية وحذفها حيثما أمكن، تم تضمينه في إطار تنظيمي قانوني لأول مرة مع اللائحة العامة لحماية البيانات؛ لا يوجد تنظيم منفصل بخصوص هذا الأمر في قانون حماية البيانات الشخصية رقم 6698، ويتشكل هذا المفهوم من خلال قرارات المحكمة العليا والمحكمة الدستورية في بلدنا.

في حين أن مبالغ كبيرة من العقوبات مثل 200 مليون يورو أو أربعة في المائة من الإيرادات العالمية لمزود الخدمة متوقعة لانتهاكات قواعد حماية البيانات التي قدمها اللائحة العامة لحماية البيانات، فمن الواضح أن الغرامات الإدارية ذات الصلة في قانون حماية البيانات الشخصية رقم 6698 تقتصر على مبالغ أقل نسبيًا (5 آلاف ليرة تركية - 1 مليون ليرة تركية).

لا يشمل قانون حماية البيانات الشخصية رقم 6698 اللوائح المتعلقة بالمؤسسات مثل "الحق في نقل البيانات" الذي ينظمه اللائحة العامة لحماية البيانات، و"مسؤول حماية البيانات الإلزامي" لمعالجة البيانات الحساسة، و"تقييم تأثير حماية البيانات الإلزامي" لأنشطة معالجة البيانات المحفوفة بالمخاطر.