Обязателен ли KVKK для компаний? Обязанности и штрафы

Короткий ответ на вопрос «Обязателен ли KVKK (турецкий закон о защите персональных данных) для компаний?» таков: всё зависит от того, обрабатываете ли вы персональные данные. Практически любая компания, которая хранит расчётные ведомости сотрудников, список клиентов, журнал посетителей или видеозаписи с камер, подпадает под действие Закона № 6698 «О защите персональных данных» (Kişisel Verilerin Korunması Kanunu). Однако не все обязанности применяются ко всем одинаково: в частности, для регистрации в VERBİS (Информационная система реестра контролёров данных) существуют исключения, введённые решениями Kurul (Совет по защите персональных данных, далее — Совет).

В этой статье мы кратко излагаем по первоисточникам основные обязанности, которые Закон возлагает на компании, исключения для VERBİS, а также то, какой административный штраф и по какой статье предусмотрен за нарушение. Срок и порядок уведомления Совета при утечке данных подробно разобраны в статье об уведомлении об утечке данных по KVKK.

На кого распространяется Закон?

Согласно статье 2 Закона № 6698, Закон применяется к физическим лицам, чьи персональные данные обрабатываются, а также к физическим и юридическим лицам, которые обрабатывают эти данные полностью или частично автоматизированным способом либо неавтоматизированным способом, если данные являются частью системы учёта данных. Для компании ключевое понятие — «контролёр данных» (veri sorumlusu): статья 3 Закона определяет его как физическое или юридическое лицо, которое устанавливает цели и средства обработки персональных данных, создаёт систему учёта данных и управляет ею. Поставщик услуг, обрабатывающий данные от имени компании, считается «обработчиком данных» (veri işleyen).

Статья 28 Закона выводит ряд случаев за пределы сферы его действия; например, деятельность, касающуюся исключительно самого человека и членов его семьи, проживающих в том же жилище, или анонимную обработку данных в целях официальной статистики. Эти исключения не охватывают обычную обработку данных в рамках коммерческой деятельности. Поэтому для компании, у которой есть работники или клиенты, ответ на вопрос «Обязателен ли KVKK?» по тексту Закона — да.

Основные обязанности компаний

Информирование (aydınlatma, ст. 10). При получении персональных данных контролёр данных обязан информировать субъектов данных о личности контролёра, цели обработки, о том, кому и с какой целью данные могут быть переданы, о способе их сбора и правовом основании, а также о правах, предусмотренных статьёй 11.

Обращения субъектов данных (ст. 11 и 13). Люди могут воспользоваться такими правами, как право узнать, обрабатываются ли их данные, потребовать исправления, удаления и возмещения ущерба, обратившись к контролёру данных. Согласно статье 13, обращение должно быть рассмотрено в кратчайший срок в зависимости от характера запроса и не позднее тридцати дней, как правило бесплатно. О том, как отслеживать этот процесс, рассказано в статье об автоматизации процесса обработки обращений по KVKK.

Безопасность данных (ст. 12). Контролёр данных обязан принимать все необходимые технические и административные меры для предотвращения незаконной обработки данных и доступа к ним, а также для обеспечения сохранности данных. Если данные обрабатывает другое лицо, за эти меры контролёр отвечает совместно с ним; кроме того, он обязан проводить или заказывать проверки применения Закона в собственной организации. Обязанность работников и обработчиков данных хранить тайну сохраняется и после прекращения исполнения обязанностей. Обязанность уведомления в случае утечки данных также закреплена в пункте 5 этой статьи.

Исполнение решений Совета (ст. 15). Сведения и документы, запрошенные Советом в ходе проверки, должны быть направлены в течение пятнадцати дней. Если Совет выявит нарушение закона и примет решение о его устранении, решение должно быть исполнено без промедления и не позднее тридцати дней со дня его вручения.

Уведомление о передаче данных за рубеж (ст. 9). Согласно статье 9 в редакции изменений 2024 года, если при передаче данных за рубеж используется стандартный договор, о нём сообщается в Kurum (Управление по защите персональных данных, далее — Управление) в течение пяти рабочих дней со дня подписания договора.

Особые практики, такие как использование инструментов генеративного ИИ или биометрический учёт рабочего времени, — конкретные примеры этих обязанностей; о них можно прочитать в статьях о внутренней политике компании в области ИИ и о биометрическом учёте рабочего времени.

Обязательна ли регистрация в VERBİS для всех?

Статья 16 Закона устанавливает, что физические и юридические лица, обрабатывающие персональные данные, «обязаны до начала обработки данных зарегистрироваться в Реестре контролёров данных» (Veri Sorumluları Sicili, далее — Реестр), и наделяет Совет полномочием вводить исключения по объективным критериям. Об изменениях в регистрационных сведениях также необходимо немедленно уведомлять. По материалам Управления, изученным при подготовке этой статьи, система исключений сложилась следующим образом:

• Решение № 2018/87 (19.07.2018): От регистрации в Реестре освобождены контролёры данных — физические или юридические лица, у которых годовая численность работников менее 50, а итоговая сумма годового баланса ниже суммы, указанной в решении, и для которых обработка персональных данных специальных категорий не является основным видом деятельности. Решение принято в дополнение к тем, кто ранее был освобождён Решением № 2018/32.
• Решение № 2023/1154 (06.07.2023): Критерий численности работников остался прежним, а порог итоговой суммы годового баланса был повышен в связи с экономическими условиями.
• Решение № 2025/1572 (04.09.2025): Из числа контролёров данных, основным видом деятельности которых является обработка персональных данных специальных категорий, те, у кого годовая численность работников менее 10, а итоговая сумма годового баланса ниже суммы, указанной в решении, также включены в число освобождённых.
• Решение № 2025/2393 (25.12.2025): Для тех, кто ведёт учётные книги по балансовому методу (bilanço esası), критерии численности работников и баланса применяются совместно; для тех, кто не ведёт их по балансовому методу, сведений о балансе нет, поэтому принимается во внимание только численность работников.

Размер действующих балансовых порогов следует смотреть в текстах соответствующих решений. Важное различие: предметом этих решений является только обязанность регистрации и уведомления в Реестре. В решениях нет исключений для обязанностей по информированию, безопасности данных или рассмотрению обращений; компания, освобождённая от VERBİS, подчиняется остальным положениям Закона.

Административные штрафы: какие нарушения перечисляет ст. 18?

Статья 18 Закона перечисляет нарушения, за которые предусмотрен административный штраф, в пяти подпунктах:

• (a) неисполнение обязанности по информированию, предусмотренной статьёй 10;
• (b) неисполнение обязанностей по безопасности данных, предусмотренных статьёй 12;
• (c) неисполнение решений, принятых Советом в соответствии со статьёй 15;
• (ç) нарушение обязанности регистрации и уведомления в Реестре, предусмотренной статьёй 16;
• (d) по подпункту, добавленному в 2024 году, — непредставление уведомления о передаче данных за рубеж, предусмотренного пунктом 5 статьи 9.

Для каждого подпункта нижний и верхний пределы определены в Законе отдельно. Согласно пункту 2 статьи, изменённому в 2024 году, штрафы по подпунктам (a)–(ç) применяются к контролёру данных, а штраф по подпункту (d) — к физическим лицам и юридическим лицам частного права, являющимся контролёрами или обработчиками данных. Пункт 3, также добавленный в 2024 году, предусматривает, что на административные штрафы, наложенные Советом, можно подать иск в административные суды.

Размеры штрафов не фиксированы. Согласно объявлению Управления от 31 декабря 2025 года, штрафы по статье 18 переоцениваются в начале каждого календарного года в соответствии с пунктом 7 статьи 17 Kabahatler Kanunu (Закон об административных правонарушениях). Поэтому в этой статье суммы не приводятся; актуальную таблицу следует отслеживать на странице Управления.

Наряду с административными санкциями статья 17 Закона в отношении преступлений, связанных с персональными данными, отсылает к статьям 135–140 Türk Ceza Kanunu (TCK, Уголовный кодекс Турции); для тех, кто в нарушение статьи 7 не удаляет или не анонимизирует данные, она указывает также на статью 138 TCK.

С чего начать?

Шаги ниже — общая схема, выведенная из изложенных выше положений:

1. Инвентаризация: Выясните, какое подразделение какие персональные данные, с какой целью и в какой системе обрабатывает и кому передаёт. Этот перечень служит исходными данными и для информационного уведомления об обработке данных (aydınlatma metni), и для возможного уведомления в VERBİS.
2. Оценка по VERBİS: Задокументируйте своё положение с учётом действующих решений Совета, исходя из численности работников, способа ведения учётных книг и того, является ли основной деятельностью обработка персональных данных специальных категорий.
3. Информационные уведомления: Подготовьте для каждой группы лиц — работников, кандидатов, клиентов и посетителей — тексты, охватывающие все пункты, перечисленные в статье 10.
4. Канал обращений: Наладьте систему учёта, которая позволит отслеживать обращения в тридцатидневный срок.
5. Безопасность и поставщики: Запланируйте технические и административные меры, договоры с обработчиками данных и периодический внутренний аудит.

Часто задаваемые вопросы

Обязателен ли KVKK для небольших компаний? Для применения Закона не установлено порога по размеру компании. Критерии масштаба фигурируют в решениях Совета только применительно к исключению из регистрации в VERBİS.

Какое наказание предусмотрено за нерегистрацию в VERBİS? Нарушение обязанности регистрации и уведомления в Реестре при наличии обязанности регистрироваться входит в число нарушений, за которые подпунктом (ç) статьи 18 предусмотрен административный штраф.

На кого налагается штраф по KVKK? Штрафы по подпунктам (a)–(ç) применяются к контролёру данных, а штраф по подпункту (d) — к физическим лицам и юридическим лицам частного права, являющимся контролёрами или обработчиками данных.

Заключение

Любая компания, обрабатывающая персональные данные, подпадает под действие KVKK; исключения по критериям масштаба в решениях Совета касаются только регистрации в VERBİS. С точки зрения Orient Global, начать с инвентаризации персональных данных — самый эффективный шаг: он ставит на единую основу и информационные уведомления, и оценку по VERBİS, и меры безопасности.

Эта статья носит общий информационный характер и не является юридической или финансовой консультацией. По вопросам, касающимся вашей ситуации, проконсультируйтесь со специалистом.

#interimmanagement #forwarddeployedengineering