一位客户、前员工或求职者写信给贵公司，询问公司持有哪些关于他们的数据。申请可能落入某个电子邮箱，可能装在快递信封里送到总机，也可能转到呼叫中心。几周后，有人打电话口头说明情况，事情就被视为了结。
Kişisel Verileri Koruma Kurumu（KVKK，土耳其个人数据保护局）在2026年10月1日发布的一则公告中，恰恰提请关注这种做法。本文按原文表述，概述该公告及其所依据的第6698号法律（土耳其《个人数据保护法》，下称"该法"）和《向数据控制者提出申请的程序与原则公报》（下称"该公报"）的相关规定，然后探讨如何将答复申请转变为可追溯、部分自动化的工作流。本文转述资料内容，不能替代法律意见。
公告说了什么？
该局表示，在审查投诉时发现，一些数据控制者仅通过电话、当面说明或类似口头方式答复数据主体的申请。根据公告，在申请过程中，可以通过电话或当面与数据主体沟通，以索取补充信息或文件、澄清申请或说明流程。但这种口头沟通不被接受为法规所要求的答复。
公告还解释了书面或电子答复的重要性：它使请求是否被接受、拒绝的理由、针对申请采取的行动以及答复的通知日期变得清晰、可审计、可证明。该局认为，这对于数据主体行使权利，以及在投诉程序和可能随之而来的司法程序中证明申请情况，都很重要。
公告最后将其对数据控制者的期望归纳为四点：按照该法和该公报规定的程序办结申请；以书面或电子形式通知最终答复；注意口头方式不算作答复；清楚说明请求得到满足的程度，并对被拒绝的请求给出可理解的理由。
该法和该公报中的期限与条件
公告并未引入新规则，而是提请关注现有规定。这些规定如下：
权利（该法第11条）。 第6698号法律第11条列出了每个人通过向数据控制者提出申请所享有的权利，例如：了解其个人数据是否正在被处理；询问处理目的；知悉数据被传输给哪些第三方；要求更正不完整或不准确的数据，并在满足条件时要求删除；对完全由自动化系统分析得出的不利结果提出异议；以及要求赔偿损害。
期限与答复（该法第13条）。 根据该法，数据主体以书面形式或个人数据保护委员会（Kurul，下称"委员会"）确定的其他方式提交请求。数据控制者根据请求性质，"尽快且最迟在三十天内"办结请求。它可以接受请求，或附理由予以拒绝，并以书面或电子形式通知其答复。
申请渠道与日期（该公报第5条）。 《向数据控制者提出申请的程序与原则公报》列出了提交申请的方式：书面形式，或通过注册电子邮件（KEP）、安全电子签名、移动签名、在数据控制者系统中登记的电子邮箱地址，或为提交申请而开发的软件或应用程序。申请必须包含姓名（书面申请须签名）、身份证号（外国公民为国籍和护照号）、送达地址、可用于通知的电子邮箱地址、电话和传真号码（如有），以及请求事项。根据该公报，书面申请的申请日期为文件送达数据控制者或其代表之日，其他方式为申请到达数据控制者之日。
答复内容（该公报第6条）。 该公报规定，数据控制者必须采取必要的管理和技术措施，以有效、合法、诚信地办结申请。答复函必须包含以下必备要素：数据控制者或其代表的信息、申请人的身份和联系方式、请求事项以及数据控制者就申请作出的说明。如请求被接受，应尽快予以落实，并告知数据主体。
下一步（该法第14条）。 如申请被拒绝、答复被认为不充分或未在期限内答复，数据主体可在得知答复之日起三十天内，且无论如何在申请之日起六十天内，向委员会提出投诉。根据该法，在用尽申请途径之前不得提出投诉。因此，申请阶段成为任何审查中首先被检视的记录。
为何需要流程？为何需要自动化？
在中大型企业中，申请并非只从一个入口进入。企业电子邮箱、KEP地址、分支机构或总部的纸质文件、网页表单和客户服务都可能同时成为入口。公告所强调的可审计性和可证明性，要求将这些分散的入口整合为单一记录，并为每一步留下带日期的轨迹。
这项工作重复、基于规则且受期限驱动，因此非常适合流程自动化。自动化并不是为了做出决定；其目的是防止申请丢失、期限错过，以及答复缺少必备要素就发出。接受或拒绝的决定及其理由仍由获授权人员负责。
通用工作流：六个步骤
以下框架是根据资料中的条件归纳的通用工作流。它不与任何特定产品挂钩，各组织需要结合自身结构加以调整。
- 单一记录。 通过各渠道收到的申请都形成一条申请记录。每条记录带有唯一编号、进入渠道以及该公报所定义的申请日期。纸质文件经扫描后关联到同一记录。
- 必填字段与身份核验。 建立记录时，检查是否具备该公报所列的必备信息。采用组织选定的方法确认申请人确为数据主体本人；如索取缺失信息，应将该请求及其日期录入记录。根据公告，此类补充信息请求也可通过电话提出，但应在记录中添加通话备注。
- 期限跟踪。 记录带有以申请日期起算三十天上限为基础的到期日。中间提醒（例如在期限过半和最后一周）发送给负责人及其主管。该法中"尽快"的表述，使得设定不等到最后一天的目标期限更为合理。
- 数据收集与答复模板。 根据请求类型（信息、更正、删除、异议），向相关系统负责人索取信息。答复由包含该公报第6/4条必备要素的模板生成：数据控制者信息、申请人信息、请求事项和说明。被接受和被拒绝的请求出现在模板的不同部分，拒绝理由设有单独的明确字段。
- 人工审批。 答复发出前，由数据保护官或法务部门审批。如删除或更正等请求已被接受，则在审批步骤中附上该操作已实际执行的证明。
- 通知与归档。 以书面或电子形式发送答复，并将发送日期和渠道录入记录。申请、附件、往来函件、审批和答复归档于同一卷宗。借助该卷宗，可以在一处回答公告所列的问题（接受还是拒绝、依据什么理由、采取了哪些行动、答复在哪一天通知）。
其中部分步骤，如整合渠道、计算到期日、发送提醒和填写模板，可借助软件机器人或工作流工具实现自动化。但身份核验、拒绝理由和审批应仍由组织内的获授权人员负责。
结论
KVKK 2026年10月1日的公告并未引入新义务，而是澄清了现有规则：对申请的答复必须采用书面或电子形式，必须在三十天上限内作出，并且必须清楚表明请求是被接受还是被拒绝及其理由。与其每次依赖人员记住这些要求，不如将其纳入"记录、期限跟踪、模板、审批、归档"的工作流，既能降低风险，也能减轻团队的工作负担。
对于做过物流的人来说，这一模式并不陌生：每批货物都有唯一的跟踪号，每次交接都有带日期的扫描记录，承诺的交付日期一旦延误就会触发提醒，交付凭证存档备查。上述六个步骤将同样的管理纪律应用于数据主体申请。Orient Global的一位顾问在运营、物流和供应链领域践行这种纪律已有30多年，包括在一家大型科技分销企业端到端负责物流和仓储，并在多家领先的零售、物流和分销组织管理全国范围的仓储和运输运营。
从Orient Global的角度看，我们的建议很简单：首先，按申请进入的渠道和答复所用天数，列出过去几个月的申请。然后建立单一记录和期限跟踪这两个步骤；在此基础上增加自动化，同时保留审批节点。
#interimmanagement #forwarddeployedengineering