"如果为我们提供电子商务基础设施或软件的公司发生数据泄露，谁来负责？在合同中和事件发生时我们应该怎么做？"每一家将重要业务交给外部供应商的公司，都应把这个问题列入议程。Kişisel Verileri Koruma Kurumu（KVKK，土耳其个人数据保护局）在2026年9月发布的数据泄露公告表明，这个问题并非纸上谈兵。
一则日期为2026年9月30日的公告指出，泄露源于数据控制者的电子商务基础设施服务提供商系统中的信息安全事件，并经数据处理者的通知而被发现；受影响人数为3,642人。另一则日期为2026年9月23日的公告称，数据处理者系统中的一台服务器遭到未经授权的访问，泄露同样是经数据处理者通知才获悉的，受影响者为779人。列表中日期为9月30日的公告共有九则。
本文关注的不是事件的技术应对步骤，而是供应商关系的法律和管理层面。关于事件发生时的技术应对，请参阅我们关于网络泄露与事件响应的文章。
框架：法律如何分配责任？
第6698号法律（土耳其个人数据保护法，下称"该法"）定义了两种角色。数据控制者是确定处理目的和手段的一方；数据处理者是根据数据控制者授予的权限、代表其处理数据的自然人或法人。根据KVKK 2025年6月的指南，根据合同不能将数据用于自身目的的云服务提供商具有数据处理者的地位。提供电子商务基础设施、托管或软件服务的公司在大多数情形下也处于这一地位；准确的定性须根据关系的具体内容作出。
该法题为"关于数据安全的义务"的第12条在这一关系中具有决定性意义：
- 采取措施的义务（第1款）： 数据控制者必须采取必要的技术和行政措施，防止非法处理和访问数据，并确保数据的妥善保管。
- 连带责任（第2款）： 如果数据由他人代表数据控制者处理，数据控制者与该人就采取这些措施承担连带责任。因此，KVKK强调数据处理者同样负有采取措施的义务。
- 审计（第3款）： 数据控制者必须开展确保该法得到实施所必需的审计，或委托他人开展。
- 通知（第5款）： 如果数据被他人以非法手段获取，数据控制者应尽快通知相关人员，并通知个人数据保护委员会（Kurul，下称"委员会"）；委员会必要时可公开相关情况。
简而言之，即使事件发生在供应商的系统中，该法条文也将通知义务置于数据控制者身上。此外，该法第18条对未履行第12条数据安全义务者规定了行政罚款。
72小时规则与供应商的角色
委员会通过2019年1月24日第2019/10号决定，对"尽快"一词作出了解释。据此，数据控制者必须自获悉泄露之日起毫不迟延地、最迟在72小时内通知委员会。该决定中与供应商关系相关的突出规定如下：
- 如果数据在由数据处理者持有期间被他人获取，数据处理者必须毫不迟延地通知数据控制者。
- 确定受影响人员后，也必须在合理可能的情况下尽快通知他们，可能时应采取直接通知的方式。
- 如因正当理由超过72小时，必须说明迟延的原因；如果表格中的信息无法一次性提供，可以分阶段提交。
- 必须记录有关泄露、其影响和所采取措施的信息；必须制定并定期审查数据泄露应对计划。
实践中的薄弱环节在于：72小时期限从数据控制者获悉泄露之时起算。由于9月公告中的泄露都是经数据处理者通知才获悉的，供应商报告的速度和详细程度直接影响公司能否按时履行自身义务。
公布方面也有更新。根据KVKK 2026年1月20日的公告，委员会通过第2025/2451号决定，将泄露通知的公布期限限定为60天；如果有记录证明已更早通知相关人员，已公布的通知可以提前撤下。这使得及时、有记录地通知受影响人员在声誉方面同样重要。
实用路径：合同阶段和事件发生时的检查清单
以下各项是根据上述来源得出的一般框架；每家公司应与其法务团队一起，根据自身的合同结构和行业加以调整。
合同阶段
- 以书面形式明确角色。 规定供应商处理哪些数据、出于何种目的、依据谁的指示。KVKK指南指出，数据控制者可以通过数据处理协议，就安全措施的细节等事项将决策权交给数据处理者；这一权限的边界应在合同中明确。
- 将通知期限纳入72小时之内。 写明供应商应在什么时限内、通过哪个渠道、以哪些最低限度的信息（受影响的数据类别、人数估计、事件开始时间）向您报告疑似事件。
- 明确措施和审计。 由于存在连带责任，应记录供应商已采取的技术和行政措施；在合同中加入您进行审计、要求提供报告和获取信息的权利。
- 涵盖分包商。 明确供应商是否让其他公司处理数据，以及如果是，相同的义务如何传递下去。
- 增加记录保存和合作义务。 事件发生后的记录保存、对向委员会提供信息的支持以及沟通协调，都应写入合同。
事件发生时
- 记录时间。 记录收到供应商首次通知的时刻；72小时的计算将以此记录为依据。
- 启动应对计划。 委员会决定所设想的计划中确定的负责人（法务、IT、传播）应立即召集。
- 分阶段收集信息。 不必等到掌握所有细节再开始准备通知；缺失的信息可以日后补充。
- 确定并告知受影响人员。 如果可以直接沟通，应优先采用；记录已完成通知的情况。
- 评估后续影响。 事件结束后，审查合同、供应商选择标准和应对计划。
结论
2026年9月的公告具体表明，泄露不仅可能始于公司自身的系统，也可能始于其所使用服务的提供商。在这种情况下，第6698号法律第12条分担了责任，但将通知委员会和相关人员的义务留给了数据控制者。因此，供应商关系并不是在采购阶段签署后便被遗忘的文本，而是必须与通知期限、审计权和应对计划一并管理的风险领域。
从Orient Global的角度看，一个冷静而可行的第一步，是编制处理个人数据的供应商清单，并逐一核查其通知期限和沟通渠道。
为什么物流经验在此很重要。 物流或分销企业依赖第三方运营：承运商、仓储运营商、电子商务平台和软件供应商，它们常常代表企业持有客户的姓名、地址和电话号码。管理这样的网络是一项日常纪律：规定例外情况须多快、通过哪个渠道报告的服务水平协议，对每个合作伙伴的审计权，明确哪个分包商负责哪个环节，以及每次交接都有带日期的记录。上述合同检查清单对数据供应商提出的正是同样的要求。Orient Global的一位顾问拥有30多年运营、物流和供应链经验：在一家大型科技分销企业，他全面负责物流、仓储、技术服务和行政运营，组建并领导100多人的团队，并通过KPI驱动的项目实现了持久的提升。他还在领先的零售、物流和分销机构管理过全国性仓储和运输业务以及大型分销网络。作为一名工业工程师，他如今通过人工智能和自动化将这种供应链管理纪律带给中小企业。认识我们的顾问。
本文仅供一般参考，不能替代法律意见。
#interimmanagement #forwarddeployedengineering