关键要点： 跨境个人数据传输 从土耳其出境时，并非受简单的仅凭同意规则规范。企业必须识别实际数据流，确认KVKK第5条或第6条下的基础处理条件，并选择正确的第9条传输机制。
适合哪些读者： 国际企业、土耳其公司、外国母公司、云与SaaS提供商、全球人力资源团队、CRM提供商、平台及处理与土耳其有关数据的服务提供商。
土耳其跨境个人数据传输概览
| 主要规则 | 第6698号《个人数据保护法》（KVKK）第9条 |
| 首要问题 | 受KVKK约束的控制者或处理者是否将数据发送至境外接收方，或使其可访问数据？ |
| 主要传输路径 | 充分性决定、适当保障或范围狭窄的例外传输 |
| 私营部门保障 | 标准合同、有约束力的公司规则及经授权的书面承诺 |
| 操作期限 | 五个工作日 ，用于在完成签署后通知已签署的标准合同 |
土耳其个人数据保护局（KVKK）已发布官方 向境外传输个人数据的英语概览 及详细的 《向境外传输个人数据指南》。本指南解释其对在土耳其与其他国家之间运营的企业的实务影响。
土耳其法律下的跨境个人数据传输是什么？
土耳其数据保护法所称的境外传输，是指由 控制者 或 处理者 在受KVKK约束的情况下，向境外控制者或处理者发送个人数据，或以其他方式使该接收方可访问数据。
该概念范围广泛。传输并不一定要求电子表格或数据库从土耳其实物迁移。使境外接收方可远程访问个人数据，也可能构成国际传输。
例如：
- 将个人数据存储在境外服务器；
- 允许外国母公司访问员工记录；
- 给予境外服务提供商远程访问土耳其客户数据库的权限；
- 将客户信息传输至外国呼叫中心；
- 使用境外处理者进行薪酬、CRM、支持或分析工作；
- 允许外国分包商处理个人数据；以及
- 将客户详情从土耳其平台发送至境外酒店或服务提供商。
主管机关解释，即使个人数据仅在屏幕上被查看以进行故障排查、管理或支持，从第三国远程访问仍可能构成传输。满足标准时，境外云存储也可能构成国际传输。关于具体例子，请参阅我们的指南： 根据KVKK将土耳其客户数据存储在境外.
何时存在国际传输？
梳理跨境数据流的公司应检验三个要素：
- 传输数据者，就相关处理活动而言，是受KVKK约束的控制者或处理者。
- 该控制者或处理者发送个人数据，或以其他方式使其可被访问。
- 接收方控制者或处理者位于土耳其境外。
这些要素与国际SaaS、云、人力资源、CRM、支持、基础设施及集团公司安排相关。传输评估应聚焦实际技术访问模式，而非仅看隐私告知措辞。
外国公司直接从土耳其用户收集数据是否收到一项“传输”？
不一定。如果土耳其境内个人直接在境外设立公司的网页中输入姓名及电子邮箱，该个人是在直接向该外国公司提供信息。就第9条而言，可能不存在向外国接收方发送信息的独立控制者或处理者。
这并不一定使基础处理落在KVKK之外。面向土耳其用户的外国电子商务企业、SaaS平台、交易平台、移动应用及订阅服务，应单独评估其处理活动是否适用土耳其数据保护要求。
外国公司随后将数据发送至另一名境外处理者时，该后续披露可能构成受第9条框架约束的国际传输。
KVKK能否适用于位于土耳其境外的公司？
KVKK并不包含与以下法规第3条相同的地域适用范围条款： GDPR。但主管机关对跨境数字环境中的有效保护采取广泛解释。
外国企业不应假定没有土耳其子公司或办事处，就自动置于土耳其数据保护法之外。主管机关还认为，境外控制者发生影响土耳其境内个人的数据泄露，视情况可能触发土耳其通知义务。
如何合法向境外传输个人数据？
修订后的第9条确立了结构化层级。实践中，企业应按以下顺序分析国际传输：
- 核查国际条约或其他土耳其法律是否包含特定传输规则。
- 确认基础处理满足KVKK第5条或第6条下的适用条件。
- 确定是否存在充分性决定。
- 没有充分性决定时，确定能否使用适当保障。
- 仅在这些机制不可用时，才应考虑例外传输机制；例外传输通常必须是偶发的，而非系统性的。
公司不应仅因数据被传输至境外，就直接转向明确同意。传输机制必须反映实际数据流及操作频率。
第一条路径：基于充分性决定的传输
土耳其数据保护委员会认定某外国、该国特定行业或某国际组织提供充分保护水平时，若同时满足适用第5条或第6条处理条件，个人数据即可传输至该处。
评估充分性时，委员会可考虑：
- 与土耳其个人数据传输方面的互惠；
- 外国的数据保护立法及实践；
- 适用于相关国际组织的规则；
- 独立数据保护机关的存在及有效性；
- 可用的行政及司法救济；
- 参加国际数据保护公约的情况；
- 国际或区域组织成员身份；以及
- 土耳其的国际条约义务。
充分性决定必须至少每四年审查一次，委员会可修改、暂停或撤回决定，并向未来发生效力。因此，依赖充分性的企业应监控相关司法管辖区、行业或组织的状态。
第二条路径：适当保障
不适用充分性决定时，第9条允许基于适当保障传输，前提是满足必要处理条件，且个人能够在目的地国家行使权利并获得有效法律救济。
主要保障包括：
- 符合条件的公共机构之间、不属于国际条约的协议；
- 有约束力的公司规则；
- 标准合同；以及
- 经委员会批准的书面承诺。
对于大多数私营国际企业，标准合同及有约束力的公司规则可能是商业上最相关的机制。
KVKK标准合同
标准合同提供合同机制，用于建立适当保障，而无需就每次传输另行取得委员会事先授权。土耳其数据保护委员会通过四种范本，涵盖主要控制者与处理者组合：
SS-1：控制者至控制者
用于数据传出方及境外接收方均作为控制者的情况。
SS-2：控制者至处理者
用于传出方为控制者、境外接收方代表其处理个人数据的情况。这可能适用于云、托管、薪酬、CRM、客户支持及外部技术提供商。这些角色区别也应反映在与处理者使用的 数据处理协议 中。
SS-3：处理者至处理者
用于双方均作为处理者的情况，包括土耳其处理者聘用外国分处理者的情形。
SS-4：处理者至控制者
用于土耳其传出方作为处理者、境外接收方作为控制者的情况。
选择标准合同前，正确识别各方角色至关重要。 主管机关的英语标准合同材料 提供官方控制者/处理者范本。
公司能否修改KVKK标准合同？
仅可在有限范围内修改。获批措辞旨在提供土耳其框架要求的保障。除相关条款明确提供可选或替代措辞外，当事人不应增加、删除或修改。
当事人之间可另行约定商业条款，但不应削弱获批标准合同的运作。企业应避免将KVKK范本视为可自由谈判的普通商业协议。
标准合同附件必须包括哪些信息？
附件是合规工作的核心部分。传输文件可能需要列明：
- 传出方及接收方的活动；
- 数据主体类别；
- 个人数据类别；
- 特殊类别的 个人数据（适用时）；
- 传输法律依据；
- 传输频率；
- 处理性质及目的；
- 后续处理目的；
- 数据保存期限；
- 接收方及接收方群体；
- 分处理安排；以及
- 技术及管理安全措施。
笼统描述会造成合规风险。与明确具体数据、传输原因、接收方、保存时长及境外处理活动相比，“为商业目的传输客户数据”的实用性较低。
标准合同五个工作日通知要求
已签署的标准合同通常必须通知土耳其个人数据保护局，期限为 完成签署后五个工作日内.
当事人可在合同中约定由传出方或接收方通知。未作约定的，由传出方负责。处理者在某些情况下也可能承担责任，并可能需要在没有控制者单独指示时履行义务。
未遵守可能导致KVKK下的行政罚款。经常使用标准合同的企业，应将五个工作日期限纳入合同管理及合规流程。
如何提交标准合同？
根据主管机关指南，通知可通过可用方式进行，包括实物提交、邮寄、注册电子邮件（KEP）及主管机关指定的其他机制，包括可用时的电子通知模块。
提交材料应包括填写完整且已签署的标准合同，以及证明签字人权限的支持文件。外语支持文件可能需要经公证的土耳其语译文。境外签发的官方文件，可能依相关国际框架需要认证或附加证明书。
土耳其语要求与通知后变更
标准合同可用多种语言签署，但就土耳其国际传输框架而言，以土耳其语文本为准。跨国合同系统应确保土耳其语版本准确反映获批范本。
合规并不止于首次通知。合同信息变更或标准合同终止时，可能需要进一步通知，包括涉及后续接收方、接收方群体及分处理者的变更。
土耳其有约束力的公司规则
有约束力的公司规则（BCR） 是适用于经常在不同司法管辖区集团公司之间传输个人数据的国际公司集团的一种适当保障。
获批BCR可便利土耳其集团成员与外国集团成员之间的传输。认可两种主要结构：
- 适用于控制者的有约束力的公司规则；以及
- 适用于处理者的有约束力的公司规则。
BCR可能适用于涉及集中人力资源数据库、全球CRM基础设施、集团统一客户管理、网络安全、会计、报告及集中合规或IT运营的共享系统。
有约束力的公司规则必须包含什么？
主管机关列出一系列重要要素，包括：
- 组织结构及联系方式；
- 个人数据流描述；
- 对相关集团成员具有法律约束力的承诺；
- 遵守土耳其数据保护原则；
- 安全措施及特殊类别数据保障；
- 后续传输限制；
- 数据主体权利及救济；
- 外国集团成员违法的责任；
- 数据主体获取BCR的便利性；
- 员工培训、合规监控及内部审计；
- 记录修订的机制；
- 与土耳其数据保护局合作；以及
- 应对可能不利影响保障的外国法律的机制。
BCR须获委员会批准后方可作为依据。批准不意味着集团开展的每项处理活动均自动遵守KVKK；每次传输及处理活动仍必须满足适用法律要求。
书面承诺
没有充分性决定时，当事人可准备包含充分保障的书面承诺，并提交委员会申请授权。
承诺应规定传输目的及范围、法律依据、数据保护原则、透明度、数据主体权利、安全措施、特殊类别个人数据、后续传输、救济、外国法律变更、暂停或终止、数据删除或返还，以及土耳其法律及管辖。
与标准合同不同，签署承诺本身 不 构成传输授权。当事人必须等待委员会授权。申请仍在审查时开始传输，可能导致违法国际传输。
第三条路径：例外传输
没有充分性决定且无法使用适当保障时，某些传输可依据例外传输规定进行。必须从严解释这些例外，且传输通常必须为 偶发传输.
偶发传输不定期、不具有持续性，且不属于日常业务过程。持续访问外国数据库、在境外反复处理薪酬及持续云处理，通常难以认定为偶发。
KVKK下的例外传输事由
明确同意
个人获告知缺乏充分性决定或适当保障可能产生的风险后，可明确同意偶发传输。同意必须具体、知情且自由作出。
履行与个人的合同
为履行个人与控制者之间的合同，或采取个人请求的合同前措施所必需时，可能可进行偶发传输。必要性要求与合同具有紧密、客观联系，例如向境外发送旅客详情以安排境外酒店预订。
为个人利益订立的合同
为履行控制者与他人之间、为个人利益订立的合同所必需时，可能可进行传输，但须满足必要性及传输偶发性。
重大公共利益
为重大公共利益所必需时，可进行偶发传输，包括预防犯罪、国家安全、公共卫生、竞争、税务、海关及金融监督等领域。
确立、行使或保护权利
为外国法院或主管机关法律程序所必需时，可传输个人数据。数据最小化仍然重要：可能时匿名化，并仅传输确实需要的内容。
保护生命或身体完整性
个人无法给予有效同意，且传输为保护其本人或他人生命或身体完整性所必需时，可能允许例外传输。
来自某些公共登记簿的传输
满足法定访问要求时，可能可传输向公众或具有合法利益者开放的登记簿数据。这不允许不加区分地传输整份公共登记簿。
为何日常业务传输不应依赖例外
例外传输是最后手段机制。它们通常不应作为以下常规国际基础设施的依据：
- 持续云存储；
- 全球人力资源系统；
- 国际CRM系统；
- 常规集团报告；
- 定期薪酬处理；
- 反复国际支持访问；
- 永久远程访问；或
- 向境外处理者进行系统性传输。
采用这些模式的企业通常应考虑充分性决定或适当保障，尤其是标准合同或获批BCR。
后续传输如何处理？
首次传输合法，并不意味着分析结束。第9条也适用于后续国际传输。最初外国接收方进一步传输信息时，控制者及处理者必须确保土耳其法律要求的保护持续。
这对涉及多个分处理者的云及SaaS结构尤其相关。公司应梳理关联企业、分处理者、托管提供商、支持供应商、备份提供商及其他下游接收方，而非仅梳理首个境外接收方。
KVKK跨境传输实务合规核查清单
此工作流程应成为更广泛的 KVKK合规 计划的一部分，不应被视为独立合同任务。
- 映射国际数据流。 识别哪些数据离开土耳其或变得可在境外访问。
- 识别当事人。 确定哪家实体是控制者、处理者或分处理者。
- 识别处理条件。 必要时确认适用的第5条或第6条条件。
- 核查特别立法及条约。 行业特定规则可能影响分析。
- 核查充分性。 确认目的地国家、行业或组织是否适用充分性决定。
- 选择保障。 根据结构考虑标准合同、BCR或承诺。
- 使用正确标准合同。 准确匹配控制者/处理者角色。
- 填写附件。 描述实际数据流、类别、目的、接收方、保存及安全措施。
- 遵守五个工作日期限。 分配通知责任并保留提交证据。
- 审查后续传输。 纳入分处理者及下游接收方。
- 更新隐私告知及清单。 反映实际系统及国际访问安排。
- 监控变更。 新增处理者、接收方、目的或外国法律风险，可能需要进一步行动。
常见问题 (FAQ)
将个人数据传输至土耳其境外是否总是需要明确同意？
并非如此。第9条提供充分性决定、标准合同、BCR及经授权承诺等机制。明确同意主要与例外且通常偶发的传输相关。
土耳其公司能否将个人数据存储在外国云服务器上？
可能可以，但境外云存储可能构成国际传输。公司必须评估基础处理，并选择适当的第9条机制。
从境外远程访问存储在土耳其的数据是否属于国际传输？
可能属于。允许境外人员访问或查看个人数据，可能使境外控制者或处理者可访问该数据。
使用外国SaaS提供商是否触发KVKK国际传输规则？
可能触发。土耳其控制者或处理者使作为控制者或处理者的境外SaaS提供商可访问个人数据时，应评估第9条。
员工信息能否传输至外国母公司？
可以，前提是满足适用KVKK要求。定期集团内部传输通常应使用标准合同或获批BCR等可持续保障。
什么是KVKK标准合同？
它们是土耳其数据保护委员会通过的合同范本，用于在不适用充分性决定时提供适当保障。
KVKK标准合同有几种类型？
四种：控制者至控制者、控制者至处理者、处理者至处理者及处理者至控制者。
KVKK标准合同是否需要委员会事先批准？
当事人使用获批范本本身，不需要另行事先批准。已签合同通常必须在完成签署后五个工作日内通知。
KVKK标准合同必须何时通知？
当事人完成签署后五个工作日内。
公司能否变更KVKK标准合同措辞？
通常不能，除非获批合同明确提供可选或替代条款。
什么是有约束力的公司规则？
BCR是同一公司集团成员使用的、具有约束力的内部数据保护规则，用于为反复发生的国际集团内部传输建立保障。
BCR是否需要在土耳其获批？
是。BCR必须经土耳其数据保护委员会批准后，方可作为相关保障依据。
公司能否对常规云传输使用明确同意？
这通常存在问题。例外传输旨在适用于偶发传输，而持续云业务通常具有系统性及持续性。
拥有土耳其客户的外国公司是否自动不受KVKK约束？
并非如此。外国企业处理与土耳其境内个人及服务有关的数据时，视情况仍可能受土耳其数据保护要求约束。
直接从土耳其客户收集信息是否构成跨境传输？
个人直接向外国公司提供信息时，该收集本身可能不构成第9条传输。基础处理仍可能落入KVKK范围。
KVKK是否涵盖后续传输？
是。对于向关联企业、分处理者、托管提供商及其他下游接收方的后续传输，也必须维持保障。
国际企业关键要点
修订后的土耳其国际数据传输制度，并非围绕数据主体是否同意这一简单问题构建。公司应识别哪些数据离开土耳其或变得可在境外访问、谁传出、谁接收、为何传输、处理是否合法、是否存在充分性，以及适用哪种保障。
这对国际云基础设施、外国处理者、全球人力资源系统、境外CRM平台、集中客户支持及跨国公司结构尤为重要。传输机制应反映实际技术及商业数据流，而非仅使用隐私政策中的宽泛措辞。
对于反复开展的业务，文件完备的标准合同或获批BCR框架，通常比依赖例外传输或宽泛同意措辞更可持续。
