الاستشارة بشأن حماية البيانات الشخصية، والتزام التوضيح، وعمليات الامتثال لقانون KVKK.
يُعدّ جمع البيانات الشخصية ومعالجتها وتخزينها ونقلها وحمايتها بشكل متوافق مع القانون في يومنا هذا مجالاً مهماً من مجالات الالتزام القانوني بالنسبة إلى الشركات، والمؤسسات العامة، وأصحاب العمل، ومنشآت التجارة الإلكترونية، والمؤسسات الصحية، وسائر الأشخاص الطبيعيين والاعتباريين الذين يعالجون البيانات.
يفرض 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) والتشريعات ذات الصلة التزامات متعددة تتعلق بمعالجة البيانات الشخصية. أما اللائحة العامة لحماية البيانات المطبقة في الاتحاد الأوروبي (GDPR)، فقد تكتسب أهمية خاصة، ولا سيما في عمليات معالجة البيانات المرتبطة بالأشخاص المقيمين في الاتحاد الأوروبي أو بالأنشطة المتصلة بسوق الاتحاد الأوروبي.
وقد تُسفر المعالجة غير المشروعة للبيانات الشخصية أو عدم حمايتها، إلى جانب العقوبات الإدارية، عن تعويض الأضرار المادية والمعنوية للأشخاص، وفقدان السمعة، ومنازعات قانونية متنوعة.
يقدّم مكتبنا خدمات الاستشارة والمحاماة في مجالات عمليات الامتثال لقانون KVKK، وقوائم جرد معالجة البيانات، ونصوص التوضيح، ونصوص الموافقة الصريحة، وسياسات معالجة البيانات الشخصية، والعلاقة بين المتحكم بالبيانات ومعالج البيانات، وإجراءات VERBİS، وخروقات البيانات الشخصية، وطلبات أصحاب البيانات، والبيانات الشخصية ذات الطبيعة الخاصة، وبيانات الموظفين، وإجراءات الرسائل التجارية الإلكترونية، ونقل البيانات، والامتثال لـGDPR.
قد تشمل البيانات الشخصية أي معلومة تتعلق بشخص طبيعي محدد الهوية أو قابل للتحديد. فالاسم واللقب، ومعلومات الاتصال، وبيانات الهوية، ومعلومات العملاء، وسجلات الموظفين، وتسجيلات الكاميرا، وعناوين الإنترنت، وبيانات الموقع، وغيرها من المعلومات العديدة، قد تكون جميعها بيانات شخصية. ويجب على الشركات، عند معالجة البيانات الشخصية، ألا تقتصر عنايتها على مرحلة جمع البيانات فحسب، بل أن تتوجه أيضاً إلى الغرض من معالجة البيانات، وأساسها القانوني، ومدة الاحتفاظ بها، والجهات التي تُشارَك معها، ومدى نقلها إلى الخارج، وكيفية تأمين أمن البيانات، والإجراءات المتعلقة بحقوق أصحاب البيانات.
يُعدّ 6698 sayılı Kişisel Verilerin Korunması Kanunu التشريع الأساسي الذي يهدف إلى حماية الحقوق والحريات الأساسية للأشخاص أثناء معالجة بياناتهم الشخصية، وإلى تحديد الأسس التي يجب على الأشخاص الطبيعيين والاعتباريين المعالجين للبيانات الالتزام بها. وقد فرض قانون KVKK على المتحكمين بالبيانات ومعالجيها التزامات متعددة، منها معالجة البيانات الشخصية بما يتوافق مع القانون، والتزام التوضيح، وتأمين أمن البيانات، والرد على طلبات أصحاب البيانات، والاحتفاظ بالبيانات الشخصية للمدة اللازمة، وعدم الاحتفاظ بالبيانات غير الضرورية، ونقل البيانات بشكل متوافق مع القانون.
يجب فحص الممارسات القائمة للشركات من الناحية القانونية بهدف مواءمة أنشطة معالجة البيانات الشخصية مع قانون KVKK. وفي إطار أعمال الامتثال، يمكن فحص عمليات معالجة البيانات، وفئات البيانات، وأغراض المعالجة، وشروط المعالجة، وعمليات نقل البيانات، وممارسات الاحتفاظ والإتلاف، والتدابير التقنية والإدارية، وإعداد خطة امتثال خاصة بالمنشأة.
تُعدّ قائمة جرد معالجة البيانات الشخصية أداة امتثال مهمة تُبيّن أي البيانات الشخصية تجمعها المؤسسة، ولأي أغراض، وعلى أي أساس قانوني، وممن، وبأي وسائل، ولمن تُنقل. ويمكن أن تُحدَّد في نطاق القائمة فئات البيانات، وأصحابها، وأغراض المعالجة، وأسبابها القانونية، ونقل البيانات، ومدد الاحتفاظ، وأنشطة معالجة البيانات.
يُعدّ نظام سجل معلومات المتحكمين بالبيانات (VERBİS)، الذي أنشأته هيئة حماية البيانات الشخصية، النظام الذي يُنفَّذ من خلاله التزام التسجيل بالنسبة إلى المتحكمين بالبيانات المستوفين لشروط معينة. ويمكن، بعد تقييم مدى وجود التزام بالتسجيل في VERBİS، ومدى الاستفادة من الاستثناء، والمعلومات الواجب الإفصاح عنها، وفئات البيانات، وأغراض المعالجة، ومعلومات النقل، ومدد الاحتفاظ، تنفيذ الإجراء القانوني اللازم.
يُعدّ إعلام أصحاب البيانات أثناء معالجة بياناتهم الشخصية التزاماً مهماً في نطاق قانون KVKK. وبحسب مجال نشاط المنشأة، قد يلزم إعداد نصوص توضيح متنوعة، منها نص توضيح للموظف، ونص توضيح للعميل، ونص توضيح للزائر، ونص توضيح للموقع الإلكتروني، ونص توضيح متعلق بتسجيلات الكاميرا، ونص توضيح لطلب التوظيف. ومن المهم أن تعكس نصوص التوضيح عمليات المعالجة الفعلية للبيانات.
لا يلزم أن يستند كل نشاط لمعالجة البيانات الشخصية إلى الموافقة الصريحة. ويجب، بادئ ذي بدء، تقييم أي شرط من شروط المعالجة القانونية المنصوص عليها في قانون KVKK يمكن تطبيقه على معالجة البيانات الشخصية. وفي الحالات التي تكون فيها الموافقة الصريحة ضرورية، يُعدّ أخذها بما يتوافق مع شروط كأن تتعلق بموضوع محدد، وأن تستند إلى الإعلام، وأن تُعطى بإرادة حرة، أمراً مهماً.
قد يلزم للشركات، بهدف إضفاء الطابع المنهجي على أنشطة معالجة البيانات الشخصية، إعداد سياسات وإجراءات متنوعة، منها سياسة معالجة البيانات الشخصية، وسياسة الاحتفاظ والإتلاف، وإجراء التعامل مع خرق البيانات، وإجراء أمن بيانات الموظفين، وإجراء تفويض الوصول، وإجراء نقل البيانات.
الاحتفاظ بالبيانات الشخصية إلى أجل غير مسمى ليس، كقاعدة عامة، نهجاً مناسباً. ويجب تحديد الغرض من الاحتفاظ بالبيانات، ومدة الاحتفاظ بها، ومدى وجود مدة احتفاظ إلزامية في التشريع ذي الصلة، وما الذي يجب فعله عند انتهاء مدة الاحتفاظ. وبالنسبة إلى البيانات التي انتهت مدة الاحتفاظ بها ولا يوجد سبب قانوني آخر لبقائها، قد تُثار عمليات الحذف (جعل البيانات الشخصية غير قابلة للوصول والاستخدام مجدداً من قبل المستخدمين المعنيين)، أو الإتلاف (جعل البيانات غير قابلة للوصول أو الاسترجاع أو الاستخدام مجدداً بأي شكل من الأشكال)، أو إخفاء الهوية (جعل البيانات غير قابلة للربط بشخص طبيعي محدد أو قابل للتحديد حتى في حال مطابقتها ببيانات أخرى).
تشير البيانات الشخصية ذات الطبيعة الخاصة إلى فئات من البيانات تتطلب حماية على مستوى أعلى. وقد تُعدّ من هذا القبيل بيانات العرق، والأصل الإثني، والرأي السياسي، والمعتقد الفلسفي، والدين والمذهب أو المعتقدات الأخرى، واللباس والزي، والعضوية في جمعية أو مؤسسة أو نقابة، والبيانات الصحية، والحياة الجنسية، والإدانات الجزائية والتدابير الأمنية، والبيانات البيومترية والجينية. وتوجد شروط قانونية أشد صرامة فيما يتعلق بمعالجة البيانات الشخصية ذات الطبيعة الخاصة.
يجوز لأصحاب العمل معالجة عدد كبير من البيانات الشخصية لموظفيهم، كبيانات الهوية، ومعلومات الاتصال، وبيانات الملف الشخصي، ومعلومات الراتب والدفع، وسجلات الإجازات، ومعلومات الأداء، وتسجيلات الكاميرا، وسجلات الدخول والخروج، والمعلومات الصحية. ويجب مراعاة التوازن بين المصالح المشروعة لصاحب العمل والحقوق والحريات الأساسية للموظف عند معالجة بيانات الموظفين. كما يجب تقييم مدى امتثال ممارسات كحفظ السير الذاتية، ومشاركة معلومات المرشحين، والتحقق من المراجع، واختبارات التوظيف، والمقابلات المصورة، ومعالجة البيانات ذات الطبيعة الخاصة، لقانون KVKK فيما يتعلق بالسيرة الذاتية ومعلومات الاتصال والتعليم التي تُؤخذ من المرشحين أثناء طلبات التوظيف.
نظراً لأن تسجيلات الكاميرا المستخدمة لأغراض أمنية في أماكن العمل والمتاجر والمواقع والمكاتب وسائر الأماكن قد تُعدّ بيانات شخصية، يجب تقييم مسائل كالغرض من استخدام الكاميرا، ومدة الاحتفاظ بالتسجيلات، وصلاحيات الوصول، والجهات التي يمكن مشاركة التسجيلات معها، والتزام التوضيح. كما يجب تأمين الامتثال لقانون KVKK فيما يتعلق بملفات تعريف الارتباط، وعناوين الإنترنت، ونماذج الاتصال، ومعلومات العضوية، وأدوات التحليل، وتقنيات الإعلان، وأنشطة التسويق، المرتبطة ببيانات المستخدمين الشخصية وتحركاتهم عبر الإنترنت من خلال المواقع الإلكترونية. ويجب تحديد نوع ملفات تعريف الارتباط المستخدمة في المواقع الإلكترونية والغرض من استخدامها ومدة الاحتفاظ بها وعلاقتها بأطراف ثالثة، وإعلام المستخدمين بذلك على النحو المناسب.
يُعدّ نقل البيانات الشخصية إلى أشخاص أو مؤسسات موجودة في الخارج موضوعاً يجب تقييمه بشكل منفصل في نطاق قانون KVKK. ولا سيما عند استخدام الخدمات السحابية، والبرمجيات التي تتخذ مقراً لها في الخارج، وخدمات البريد الإلكتروني، وأنظمة إدارة علاقات العملاء، والخوادم، ومنصات التواصل الاجتماعي والإعلان، إذ يُعدّ تحديد مدى نقل البيانات الشخصية إلى الخارج أمراً مهماً. ويجب تحديد الآلية القانونية الواجبة التطبيق في نقل البيانات إلى الخارج وفقاً للتشريع الساري.
يُعدّ التحديد الصحيح لمفهومَي المتحكم بالبيانات ومعالج البيانات أمراً مهماً في نطاق قانون KVKK. فإذا كانت منشأة ما تعالج البيانات الشخصية محدِّدة أغراضها ووسائلها الخاصة، فإنها تُعدّ متحكماً بالبيانات؛ أما مقدّمو الخدمات الذين يعالجون البيانات نيابة عن مؤسسة أخرى ووفقاً لتعليماتها، فقد يكونون في وضعية معالج البيانات. ويكتسب هذا التمييز أهمية من حيث المسؤولية، والعقد، وأمن البيانات، ونقل البيانات، والرقابة. ويُعدّ التحديد الواضح بموجب عقود لمسؤوليات الأطراف في الحالات التي تستعين فيها الشركات بخدمات خارجية كالمحاسبة، والموارد البشرية، والخدمات السحابية، ومراكز الاتصال، وشركات الشحن، والخدمات الفنية، أمراً مهماً.
قد يؤدي الاستيلاء غير المشروع على البيانات الشخصية، أو فقدانها، أو وصول أشخاص غير مخوّلين إليها، أو إرسالها إلى أشخاص خطأ، إلى خرق أمن البيانات. وقد تُعدّ الهجمات السيبرانية، وبرمجيات الفدية، وإرسال بريد إلكتروني خاطئ، وفقدان الحاسوب أو الهاتف، والوصول غير المصرح به، وتسرب قاعدة البيانات، ونقل البيانات الناجم عن الموظفين، من قبيل خرق البيانات. وعند وقوع خرق للبيانات، يجب على الشركات أن تتحرك بسرعة ليس فقط من حيث التدابير الأمنية التقنية، بل أيضاً من حيث الالتزامات القانونية؛ إذ قد يلزم تنفيذ إجراءات كتحديد الخرق، وتحديد نطاقه، وتحديد البيانات المتأثرة، وتقييم المخاطر، وتقييم مدى وجوب الإخطار إلى الجهات المختصة وأصحاب البيانات، وتحديد التدابير المانعة لتكرار الخرق.
يتمتع الأشخاص الطبيعيون الذين تُعالَج بياناتهم الشخصية، في نطاق قانون KVKK، بحقوق منها معرفة ما إذا كانت بياناتهم الشخصية تُعالَج أم لا، وطلب معلومات عن البيانات المعالجة، ومعرفة الغرض من المعالجة، ومعرفة الأطراف الثالثة التي نُقلت إليها البيانات، وطلب تصحيح البيانات الناقصة أو الخاطئة، وطلب حذف البيانات أو إتلافها عند تحقق الشروط القانونية. ويجب، بعد تقييم من قدّم هذه الطلبات الموجهة إلى الشركات، والبيانات المتعلقة بها، والأساس القانوني للطلب، ومدى معالجة الشركة للبيانات المعنية، إعداد رد متوافق مع التشريع ضمن الإجراءات والمهل المنصوص عليها في القانون.
يُعدّ العرض الصحيح للوضع القانوني للشركات في الإجراءات المتخذة أمام هيئة حماية البيانات الشخصية ومجلس حماية البيانات الشخصية أمراً مهماً. ويمكن لمكتبنا تقديم الدعم القانوني في مجالات فحص قرارات المجلس، والطلبات المقدمة إلى الهيئة، والردود على تحقيقات المجلس، وإخطارات خرق البيانات، وشكاوى أصحاب البيانات، والتقييمات القانونية المتعلقة بالعقوبات الإدارية. وقد تُثار عقوبات إدارية متنوعة في حال مخالفة الالتزامات المنصوص عليها في نطاق قانون KVKK؛ ويجب تقييم مقدار العقوبة القابلة للتطبيق ونطاقها وفقاً لطبيعة المخالفة والتشريع الساري في التاريخ المعني.
قد تعالج بعض الشركات العاملة في تركيا أيضاً بيانات أشخاص طبيعيين موجودين في الاتحاد الأوروبي. وفي هذه الحالة، يجب تقييم مدى قابلية تطبيق أحكام GDPR بشكل منفصل وفقاً لخصوصيات الواقعة. ولا سيما فيما يتعلق بالبيع إلى الاتحاد الأوروبي، والعملاء في أوروبا، والموظفين في الخارج، وعلاقات العمل مع شركات مقرها الاتحاد الأوروبي، والخدمات الرقمية، ونقل البيانات الدولي، إذ قد يُطرح الامتثال لـGDPR.
قد يُطرح في عمليات اندماج الشركات واستحواذها نقل بيانات العملاء والموظفين والموردين إلى الشركة الجديدة؛ ويجب، في هذه العمليات، تقييم الامتثال لقانون KVKK بشكل منفصل من حيث الأساس القانوني لنقل البيانات، وتغيير المتحكم بالبيانات، وأمن البيانات، ومدد الاحتفاظ، والنقل إلى الخارج، والعقود. كما قد تحتاج منشآت التجارة الإلكترونية إلى عملية امتثال شاملة لقانون KVKK فيما يتعلق بسجلات العملاء، ومعلومات الطلبات، ومعلومات العناوين، ومعلومات الدفع، وملفات تعريف الارتباط، وبيانات التسويق، وأنظمة العضوية، وإجراءات الشحن.
في أنشطة التسويق التي تُنفَّذ عبر الرسائل النصية والبريد الإلكتروني وسائر وسائل الاتصال الإلكترونية، يجب مراعاة تشريع الرسائل التجارية الإلكترونية إلى جانب قانون KVKK. ويجب تقييم الشروط القانونية اللازمة بشكل منفصل فيما يتعلق بإرسال رسالة تجارية إلى العملاء عبر الرسائل النصية، أو البريد الإلكتروني، أو الاتصال الهاتفي، أو الإشعارات.
قد تعالج التطبيقات المحمولة بيانات متنوعة للمستخدمين، كالموقع، ومعلومات الجهاز، وعنوان الإنترنت، وعادات الاستخدام، ومعلومات الاتصال؛ ويجب تقييم البيانات التي يجمعها التطبيق والأغراض التي يستخدمها من أجلها من الناحية القانونية. ومع انتشار أنظمة الذكاء الاصطناعي، يُنشئ نقل البيانات الشخصية إلى هذه الأنظمة ومعالجتها فيها مخاطر قانونية جديدة أيضاً؛ ولا سيما فيما يتعلق ببيانات التدريب، وبيانات المستخدمين والموظفين، واتخاذ القرار الآلي، وإنشاء الملفات التعريفية، وأمن البيانات، وخدمات الذكاء الاصطناعي المقدمة من أطراف ثالثة، إذ يكتسب تقييم تشريع حماية البيانات أهمية خاصة. والامتثال لحماية البيانات، بالنسبة إلى المنشآت، ليس عملية إعداد وثيقة لمرة واحدة؛ بل تتكون عملية امتثال فعّالة عموماً من مراحل إعداد خريطة البيانات، وتحديد أنشطة معالجة البيانات، وتحليل الأسباب القانونية، وتحديد المخاطر، وإعداد السياسات والنصوص اللازمة، وتنظيم العقود، وتقييم التدابير التقنية والإدارية، وتوعية الموظفين، وإعداد إجراءات خرق البيانات، والتحديث المنتظم للعمليات.
يمكن لمكتبنا تنفيذ عملية امتثال شاملة لقانون KVKK بحسب مجال نشاط الشركة: يُجرى تحليل الوضع الراهن من خلال فحص عمليات معالجة البيانات الشخصية للشركة والوثائق القائمة؛ وتُحدَّد، من خلال رسم خريطة البيانات، البيانات الشخصية التي تُجمع، وممن، وبأي وسائل، ولأي أغراض؛ ويُقيَّم، من خلال تحليل الأساس القانوني، شرط المعالجة القانونية القابل للتطبيق على كل نشاط معالجة بيانات؛ وفي مرحلة التوثيق، تُعدّ نصوص التوضيح، ونصوص الموافقة الصريحة، والسياسات، والإجراءات، والعقود، أو تُنقَّح الوثائق القائمة؛ ويُقيَّم، في نطاق أمن البيانات، مدى الالتزام القانوني بالتدابير التقنية والإدارية؛ ويُقيَّم مدى وجود التزام بالتسجيل في VERBİS وتُنفَّذ الإجراءات اللازمة؛ ويمكن تقديم دورات توعية قانونية للموظفين بشأن حماية البيانات الشخصية؛ ويُحدَّث الامتثال باستمرار وفقاً للتشريع، وقرارات المجلس، والتغييرات في عمليات معالجة البيانات لدى الشركة.
البيانات الشخصية هي أي معلومة تتعلق بشخص طبيعي محدد الهوية أو قابل للتحديد. وقد يكون الاسم، واللقب، ورقم الهاتف، وعنوان البريد الإلكتروني، وبيانات الهوية، وصورة الكاميرا، وبعض البيانات عبر الإنترنت، بيانات شخصية.
لا. توجد في نطاق قانون KVKK أكثر من شرط قانوني لمعالجة البيانات الشخصية. ويجب تقييم مدى ضرورة الموافقة الصريحة وفقاً لنشاط المعالجة المحدد.
لا. التزام التوضيح والموافقة الصريحة مفهومان قانونيان مختلفان. فالتوضيح يعني إعلام صاحب البيانات بمعالجة بياناته الشخصية، في حين تعني الموافقة الصريحة الرضا بنشاط معالجة بيانات محدد.
يجب بادئ ذي بدء تحديد البيانات الشخصية التي تعالجها الشركة. ثم يجب، بعد فحص أغراض المعالجة، والأسباب القانونية، وعمليات النقل، ومدد الاحتفاظ، إعداد السياسات والعقود ونصوص التوضيح والإجراءات اللازمة.
التزام التسجيل في VERBİS ليس واحداً بالنسبة إلى جميع المتحكمين بالبيانات. ويجب تقييم التزام التسجيل والاستثناءات في إطار التشريع ذي الصلة وقرارات المجلس.
بحسب طبيعة المخالفة، قد تُثار عقوبات إدارية ونتائج قانونية أخرى. كما قد تُثار مطالبات قانونية بشأن تعويض الأضرار المادية أو المعنوية للشخص الذي انتُهكت بياناته الشخصية.
يجب بادئ ذي بدء تحديد نطاق الخرق وطبيعته، وتحديد البيانات المتأثرة، وإجراء تقييم للمخاطر. ثم يجب تقييم مدى وجوب الإخطار إلى الهيئة وإلى أصحاب البيانات عند الاقتضاء، في نطاق التشريع ذي الصلة.
تسجيل الكاميرا وحده لا يخالف قانون KVKK. غير أنه يجب أن يكون الغرض من استخدام نظام الكاميرا، والتناسب، والتوضيح، ومدة الاحتفاظ، والوصول، وسائر الشروط القانونية الأخرى، متوافقة مع التشريع.
نعم في بعض الحالات. ففي حال معالجة شركة موجودة في تركيا لبيانات أشخاص موجودين في الاتحاد الأوروبي، أو ممارستها أنشطة تدخل في نطاق GDPR، يجب تقييم مدى قابلية تطبيق GDPR وفقاً للواقعة المحددة.
يُعدّ الحصول على دعم قانوني مهني أمراً مهماً بالنسبة إلى الشركة التي تعالج بيانات شخصية، سواء لبدء عملية الامتثال لقانون KVKK، أو لمراجعة ممارساتها القائمة من الناحية القانونية، أو للتعامل مع خرق بيانات، أو لتقييم طلبات أصحاب البيانات. وإذا كنتم بحاجة إلى دعم قانوني بشأن الاستشارة في مجال الامتثال لقانون KVKK، وVERBİS، وقائمة جرد معالجة البيانات الشخصية، ونصوص التوضيح، وإجراءات الموافقة الصريحة، وبيانات الموظفين، وتسجيلات الكاميرا، وملفات تعريف الارتباط، والتجارة الإلكترونية، ونقل البيانات، وخروقات البيانات، والبيانات الشخصية ذات الطبيعة الخاصة، وطلبات أصحاب البيانات، وإجراءات مجلس حماية البيانات الشخصية، وGDPR، يمكنكم التواصل معنا لتقييم عمليات معالجة البيانات في شركتكم.