土耳其 GDPR 与 KVKK 对比
“GDPR 与土耳其 KVKK 的主要区别是什么?”
简要回答
欧盟 GDPR 与土耳其第 6698 号个人数据保护法 (KVKK) 具有共同的核心原则, 但遵守其中一部法律并不意味着也遵守另一部. 跨境企业面临的最大运营差异, 涉及适用范围、合法依据、特殊类别数据、国际传输、VERBIS 登记及当地代表.
两部法律何时可能同时适用?
GDPR 第 3 条为欧盟境内设立机构, 以及向欧盟境内人士提供商品或服务或对其进行监测的某些非欧盟企业, 规定了明确的地域适用范围判断标准. KVKK 有其自身的适用范围、排除规定及土耳其主管机构实践; 不应将 GDPR 第 3 条的判断标准直接用于土耳其合规决定. 在两个市场经营的企业, 可能需要分别根据每套制度进行评估.
应记住的要点
- 合法依据: 分别根据 GDPR 第 6 条及 KVKK 第 5 条梳理每项活动; 在两部法律中, 同意都不是唯一可能的依据.
- 特殊类别数据: GDPR 第 9 条及修订后的 KVKK 第 6 条, 采用不同的条件及保障措施.
- 传输: 即使针对同一次云端或集团传输, 也应独立审查 GDPR 第 V 章及修订后的 KVKK 第 9 条.
- 当地管理: KVKK 可能要求 VERBIS 登记及土耳其数据控制者代表; GDPR 则有独立的第 27 条代表规则.
合法依据、告知与个人权利
对于普通个人数据, 在满足各自具体条件时, 两部法律均允许基于明确同意以外的理由处理. 必须针对每个处理目的, 以文件记录法律判断标准及告知要求. 不应仅将 GDPR 隐私声明翻译后直接作为 KVKK 声明使用: 应核查控制者身份、目的、传输接收方、收集方式、法律依据, 以及 KVKK 第 11 条下可享有的权利.
2024 年 KVKK 修法后的特殊类别数据
土耳其于 2024 年修订 KVKK 第 6 条. 处理特殊类别数据的可用条件已经改变, 因此声称始终需要明确同意的旧建议可能已过时. 对于健康、生物识别、刑事定罪及其他敏感数据, 应评估适用条件及土耳其数据保护委员会规定的额外保障措施. GDPR 第 9 条则要求根据其自身例外规定另行分析.
跨境数据传输
KVKK 第 9 条也于 2024 年修订. 其框架现包括充分性决定、标准合同等适当保障措施, 以及在有限情况下针对偶发传输的例外. 土耳其标准合同与欧盟 GDPR 标准合同条款不能相互替代. 在向境外传输数据之前, 应明确适用土耳其机制下的输出方、输入方、数据类别、后续传输及申报或通知步骤.
VERBIS 与当地代表
VERBIS 是土耳其的数据控制者登记系统. 是否需要登记, 取决于控制者情况及任何适用例外. 如设立于土耳其境外的控制者必须登记, 土耳其登记规则要求任命数据控制者代表. 欧盟 GDPR 第 27 条代表并不自动满足该土耳其要求. 请使用我们的 代表核查清单 审查土耳其办理步骤.
实务合规审查
- 梳理土耳其及欧盟的数据流通、控制者、处理者及系统.
- 根据每部适用法律, 为每个目的记录合法依据及告知文件.
- 根据现行文本审查特殊类别数据及国际传输机制.
- 核查 VERBIS、当地代表、保留、安全及权利请求程序.
官方来源: 第 6698 号 KVKK 法律; 土耳其传输规则及标准合同; EU GDPR.