决定概览
土耳其宪法法院作出重要决定，限制个人数据保护委员会依据未写入法律的规则处以行政罚款。在2026年1月27日决定中，法院认定，因公司违反“公开目的”使用已公开个人数据而予以处罚，违反宪法上的罪刑法定原则。
该决定直接影响外国及本地企业，尤其是从事直接营销及销售的企业，在从公开来源收集数据时如何解释《个人数据保护法》（第6698号法律或KVKK）下的义务。
争议背景
案件涉及在土耳其运营的保险及养老公司Viennalife Emeklilik ve Hayat A.Ş.。该公司从公开服务目录网站获取一名个人的姓名及电话号码，随后联系该个人，推介其商业服务。
该个人向个人数据保护局投诉，指称其个人数据未经明确同意被处理。公司援引KVKK第5(2)(d)条抗辩，该条允许在数据主体已自行公开数据时，无需明确同意处理个人数据。
KVKK委员会的立场
KVKK委员会驳回公司抗辩。委员会依据自身行政《适用指南》认为，要依“公开”例外无需同意而合法处理数据，就不得在数据主体公开该数据的特定目的之外使用。
委员会认定，该个人公开联系方式是为提供专业服务，而非接收保险营销电话。因此，委员会认定公司未采取KVKK第12(1)(a)条要求的必要数据安全措施，并依据第18(1)(b)条处以100,000土耳其里拉行政罚款。下级法院随后因计算错误将罚款减为17,828土耳其里拉，但维持委员会的法律理由。
宪法法院的法律评估
公司将案件提交宪法法院，主张违反法定原则。法院基于以下理由支持公司：
- 法定原则： 《土耳其宪法》第38条规定，任何人不得因行为发生时法律未明确界定为违法的行为受到处罚。该原则要求包括行政罚款在内的任何处罚制裁，均具有清晰、可预见的法定界限。
- 缺乏法定依据： KVKK第5条明确规定，数据主体自行公开的数据可无需明确同意处理。但法律未规定对违反最初“公开目的”使用此类数据予以处罚。
- 行政指南越权： 关于“公开目的”的限制仅存在于KVKK委员会《适用指南》中，而不在正式法律中。宪法法院认定，通过行政指南宽泛解释法条并处以罚款，会使法律变得不可预见。
法院认定行政罚款违反宪法，并命令重新审理，以消除该违反行为的后果。
常见问题 (FAQ)
这是否意味着企业可在土耳其自由抓取并使用所有公开数据？
并非如此。宪法法院裁判严格聚焦行政罚款的法定原则。法院认定，KVKK委员会不能依据第6698号法律未明确写明的标准（如“公开目的”）处以罚款。但数据控制者仍须遵守KVKK第4条的一般数据处理原则，系统性数据抓取仍可能引发其他法律或监管风险。
KVKK委员会是否仍可因营销电话对公司罚款？
可以，前提是处理违反KVKK或《电子商务监管法》的明确规定。如果个人数据并非真正公开，或公司未经同意处理需要明确同意的数据，委员会仍有权处以高额行政罚款。
该决定对公司合规有什么实际影响？
该决定为因处理公开数据而面临KVKK调查的企业提供有力抗辩。它确立，KVKK委员会不能通过内部指引或宽泛解释扩展法律文本来执行处罚。公司应审查主要依赖委员会《适用指南》、而非明确法条的既往或待决KVKK罚款。
KVKK法律会因此裁判而修订吗？
极有可能。为在未来执行“公开目的”限制，土耳其议会需要修订第6698号法律第5条，明确规定公开数据只能按照其被公开的目的处理。在此修法生效前，委员会依据这一特定事由对公司罚款的权限受到严格限制。
法律代理与合规支持
应对土耳其数据保护执法，需要准确了解行政法、宪法界限及商业现实。监管环境严格，对行政罚款提出抗辩需要高度专业的法律方法。
如果您的公司正面临KVKK调查、处理跨境数据传输合规，或需要审计本地营销实践，准确的法律安排必不可少。
