数据控制者

数据控制者决定什么?

控制者决定个人数据处理的 目的及方式 . 在实务中, 决策权分析着重于谁决定收集哪些数据、如何收集、为何使用、涉及谁的数据、是否共享, 以及保留多长时间.

公司中的控制者是谁?

根据 KVKK 机构第 106 号出版物, 法律实体符合成文法定义时, 即为数据控制者. 部门或员工不具有独立法律人格, 不会仅因代表公司接收、记录或以其他方式处理个人数据, 就成为独立控制者. 但是, 企业集团中的每家公司都可能是独立控制者, 因为各自具有独立法律人格.

KVKK 核心责任

企业被确定为数据控制者后, 其合规计划应涵盖第 6698 号法律及相关 KVKK 规则下的以下义务:

• 告知: 提供隐私声明, 涵盖控制者身份、处理目的、传输、收集方式及法律依据, 以及数据主体权利.
• 安全: 采取适当的技术及组织措施、开展必要审计, 并管理处理者的安全责任.
• 数据主体请求: 维持接收及回应有关访问权及其他第 11 条权利请求的程序.
• 事件: 评估非法访问或披露, 并及时履行适用的通知义务.
• VERBIS: 评估是否需要在数据控制者登记信息系统登记; 豁免并不免除其他 KVKK 义务.

KVKK 第 106 号出版物中的示例

服务提供商不会仅因服务于客户就自动成为“处理者”. 决定性问题是谁确定相关处理的目的及方式:

• 市场研究公司: 如果决定调查哪些员工、收集哪些数据及如何进行调查, 可能构成共同控制者.
• 支付服务提供商: 如果独立决定所需数据、处理目的、条款及法律责任, 可能就客户支付数据担任控制者.
• 律师: 如果律师决定如何处理为法律咨询而收到的个人数据, 可能与客户一同担任控制者.
• 财务顾问: 如果专业职责要求独立作出决定, 如报告涉嫌欺诈, 可能就客户账户记录担任控制者.
• 云存储提供商: 如果仅根据公共机构指示存储数据, 且不为自身目的使用数据, 可能构成处理者.

在土耳其的实务落实

企业应梳理其处理活动、确认每项活动的决策者、以文件记录控制者与处理者关系、审查隐私声明及保留期限, 并测试其请求、安全及事件响应程序. 角色应根据处理活动评估, 而不是根据服务提供商的职位名称或是否存在通用合同判断.

常见问题

数据控制者能否同时担任数据处理者?

可以. 云服务提供商、会计事务所或其他服务提供商, 可就自身人员数据担任控制者, 同时就仅按客户指示处理的数据担任处理者.

签订数据处理协议能否决定角色?

不能. 实际决策权及法律义务才是关键. 合同可以分配技术任务, 但如果提供商独立决定处理目的或方式, 合同不能改变成文法规定的分类.

VERBIS 登记能否替代 KVKK 合规?

不能. 在需要登记的情况下, 登记并不替代控制者在合法处理、告知、数据安全、数据主体请求、保留及事件管理方面的义务.

主要来源: 本条目概述个人数据保护局的 《数据控制者与数据处理者》, KVKK 第 106 号出版物 (2025 年 6 月). 这是实务摘要, 不能替代立法的土耳其语文本或针对具体处理活动的建议.