Клиент, бывший сотрудник или кандидат, откликнувшийся на вакансию, пишет в вашу компанию и спрашивает, какие данные о нём вы храните. Обращение попадает в ящик электронной почты, приходит курьерским конвертом на коммутатор или поступает в колл-центр. Спустя несколько недель кто-то звонит по телефону и устно излагает ситуацию, после чего вопрос считается закрытым.
1 октября 2026 года Kişisel Verileri Koruma Kurumu (KVKK, Управление по защите персональных данных Турции) опубликовало публичное объявление, в котором обратило внимание именно на эту практику. В этой статье мы кратко излагаем объявление, а также положения Закона и Коммюнике, на которых оно основано, используя формулировки самих источников, а затем рассматриваем, как процедуру ответа на обращения можно превратить в отслеживаемый и частично автоматизированный рабочий процесс. Статья передаёт то, что сказано в источниках, и не заменяет юридическую консультацию.
Что говорится в объявлении?
Управление отмечает, что в ходе проверок, проведённых по жалобам, оно выявило: некоторые контролёры данных отвечали на обращения субъектов данных только по телефону, путём личного информирования или другими подобными устными способами. Согласно объявлению, в ходе рассмотрения обращения можно связаться с субъектом данных по телефону или лично, чтобы запросить дополнительные сведения или документы, уточнить обращение либо проинформировать о ходе процесса. Однако такое устное общение не признаётся ответом, которого требует законодательство.
В объявлении объясняется и то, почему важен письменный или электронный ответ: благодаря ему такие сведения, как удовлетворён ли запрос, каковы основания отказа, какие действия выполнены по обращению и в какую дату сообщён ответ, становятся ясными, проверяемыми и доказуемыми. Управление считает это важным как для того, чтобы субъект данных мог пользоваться своими правами, так и для того, чтобы обращение можно было подтвердить документально при рассмотрении жалоб и в возможных судебных разбирательствах.
В заключительной части объявления то, чего ожидают от контролёров данных, сведено к четырём пунктам: завершать рассмотрение обращений в соответствии с порядком, предусмотренным Законом и Коммюнике; сообщать окончательный ответ в письменной или электронной форме; учитывать, что устные способы ответом не считаются; ясно указывать, в каком объёме удовлетворены запросы, а по отклонённым — понятно излагать основания.
Сроки и условия в Законе и Коммюнике
Объявление не вводит нового правила, а обращает внимание на действующие положения. Вот они:
Права (Закон, ст. 11). Статья 11 Закона № 6698 (турецкий закон о защите персональных данных) перечисляет права каждого человека, например: обратиться к контролёру данных и узнать, обрабатываются ли его персональные данные; спросить о цели обработки; узнать, каким третьим лицам переданы данные; потребовать исправления неполных или неверных данных и, при наличии условий, их удаления; возразить против неблагоприятного для него результата анализа, проведённого исключительно автоматизированными системами; потребовать возмещения ущерба.
Срок и ответ (Закон, ст. 13). Согласно Закону, субъект данных направляет свои запросы в письменной форме либо иными способами, которые определит Kurul (Совет по защите персональных данных, далее — Совет). Контролёр данных завершает рассмотрение запросов в зависимости от их характера «в кратчайший срок и самое позднее в течение тридцати дней». Он либо удовлетворяет запрос, либо отклоняет его с объяснением причин и сообщает свой ответ в письменной форме или в электронном виде.
Каналы и дата обращения (Коммюнике, ст. 5). Коммюнике о порядке и принципах обращения к контролёру данных перечисляет способы, которыми можно подать обращение: в письменной форме либо с помощью зарегистрированной электронной почты (KEP), защищённой электронной подписи, мобильной подписи, адреса электронной почты, зарегистрированного в системе контролёра данных, или программного обеспечения (приложения), разработанного для подачи обращений. В обращении обязательно должны быть указаны: имя и фамилия (подпись — если обращение письменное), идентификационный номер (для иностранцев — гражданство и номер паспорта), адрес для вручения уведомлений, при наличии — адрес электронной почты, номера телефона и факса для уведомлений, а также предмет запроса. Согласно Коммюнике, датой обращения считается: при письменных обращениях — дата, когда документ вручён контролёру данных или его представителю, при остальных способах — дата, когда обращение поступило контролёру данных.
Содержание ответа (Коммюнике, ст. 6). Коммюнике указывает, что контролёр данных обязан принимать необходимые административные и технические меры, чтобы завершать рассмотрение обращений эффективно, законно и в соответствии с принципом добросовестности. В качестве обязательных элементов ответного письма названы сведения о контролёре данных или его представителе, идентификационные и контактные данные заявителя, предмет запроса и пояснения контролёра данных по обращению. Если запрос удовлетворяется, требуемое выполняется в кратчайший срок, и субъекту данных сообщается об этом.
Следующий шаг (Закон, ст. 14). Если обращение отклонено, ответ признан недостаточным или ответ не дан в срок, субъект данных может подать жалобу в Совет в течение тридцати дней со дня, когда ему стало известно об ответе, и в любом случае в течение шестидесяти дней со дня обращения. Согласно Закону, подать жалобу, не исчерпав путь обращения, нельзя. Поэтому стадия обращения становится первой записью, на которую смотрят при возможной проверке.
Зачем процесс и зачем автоматизация?
В средней и крупной компании обращения приходят не через один вход. Корпоративная электронная почта, адрес KEP, входящая корреспонденция филиала или головного офиса, веб-форма и служба поддержки клиентов могут одновременно служить точками входа. Проверяемость и доказуемость, на которые делает упор объявление, требуют сводить эти разрозненные входы в одну запись и вести по каждому шагу журнал с датами.
Эта работа повторяющаяся, правила для неё определены, а выполнение привязано к срокам. Это делает её подходящим кандидатом для автоматизации процессов. Цель автоматизации — не принимать решения, а защитить обращение от потери, не допустить пропуска срока и отправки ответа с недостающим элементом. Решение об удовлетворении запроса или отказе и его обоснование остаются на усмотрение уполномоченных лиц.
Общий рабочий процесс: шесть шагов
Приведённая ниже схема — общий рабочий процесс, выведенный из требований, изложенных в источниках; он не привязан к конкретному продукту и должен быть адаптирован под структуру каждой организации.
- Единая запись. Обращения, поступившие по всем каналам, превращаются в одну запись обращения. В каждую запись вносятся уникальный номер, канал поступления и дата обращения, определяемая по Коммюнике. Бумажные документы сканируются и привязываются к той же записи.
- Обязательные поля и проверка личности. При открытии записи проверяется, указаны ли обязательные сведения, перечисленные в Коммюнике. Чтобы подтвердить, что заявитель действительно является субъектом данных, применяется метод, определённый организацией; если запрашиваются недостающие сведения, этот запрос и его дата заносятся в запись. Согласно объявлению, такие запросы дополнительной информации можно делать и по телефону, но заметка о разговоре должна быть приложена к записи.
- Контроль сроков. В записи указывается крайний срок, рассчитанный от даты обращения исходя из тридцатидневного предельного срока. Промежуточные напоминания (например, на середине срока и на его последней неделе) уходят ответственному сотруднику и его руководителю. Выражение Закона «в кратчайший срок» делает осмысленным установление целевого срока, не дожидающегося последнего дня.
- Сбор данных и шаблон ответа. В зависимости от вида запроса (информация, исправление, удаление, возражение) у владельцев соответствующих систем запрашиваются сведения. Ответ формируется из шаблона, включающего обязательные элементы, указанные в ст. 6, п. 4 Коммюнике: сведения о контролёре данных, сведения о заявителе, предмет запроса и пояснение. В шаблоне удовлетворённые и отклонённые запросы приводятся в отдельных разделах, а основание отказа — в отдельном, явно выделенном поле.
- Согласование человеком. Перед отправкой ответ проходит согласование у ответственного за защиту данных или в юридическом подразделении. Если удовлетворены такие запросы, как удаление или исправление, к этапу согласования прикладывается доказательство того, что операция действительно выполнена.
- Уведомление и архив. Ответ отправляется в письменной форме или в электронном виде; дата и канал отправки заносятся в запись. Обращение, приложения к нему, промежуточная переписка, согласование и ответ архивируются в одном деле. Это дело позволяет получить ответы на вопросы, названные в объявлении (удовлетворён запрос или отклонён, каково обоснование, какое действие выполнено, в какую дату сообщено), в одном месте.
Часть этих шагов — например, сбор обращений из каналов, расчёт крайнего срока, напоминания и заполнение шаблона — можно автоматизировать с помощью программных роботов или инструментов управления рабочими процессами. Подтверждение личности, обоснование отказа и согласование должны оставаться за уполномоченными сотрудниками внутри организации.
Вывод
Объявление KVKK от 1 октября 2026 года не вводит новой обязанности, а уточняет действующее правило: ответ на обращение должен быть письменным или электронным, даваться в пределах тридцатидневного предельного срока и чётко отражать удовлетворение запроса, отказ и обоснование. Привязать это правило к процессу из единой записи, контроля сроков, шаблона, согласования и архива, а не вспоминать о нём вручную каждый раз, — значит и снизить риск, и облегчить нагрузку на команду.
С точки зрения Orient Global наша рекомендация проста: сначала составьте перечень обращений за последние несколько месяцев с разбивкой по каналу поступления и по тому, за сколько дней на них ответили. Затем наладьте шаги единой записи и контроля сроков; автоматизацию добавляйте поверх этих двух шагов, сохраняя точки согласования.
#interimmanagement #forwarddeployedengineering