Закон о защите данных в Турции, Закон № 6698 «О защите персональных данных» (Kişisel Verilerin Korunması Kanunu, KVKK), требует от каждой компании, которая обрабатывает персональные данные в Турции, пяти вещей: правового основания обработки (ст. 5 и 6), информирования субъекта (ст. 10), мер безопасности и сообщения об утечке (ст. 12), регистрации в реестре операторов до начала обработки (ст. 16) и, если данные уходят за рубеж, одной из гарантий ст. 9, на практике чаще всего стандартного договора, о котором Управлению сообщают в течение пяти рабочих дней после подписания (ст. 9/5). Российскому оператору эта конструкция знакома: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» тоже требует уведомления до начала обработки (ст. 22 ч. 1) и отдельного уведомления до трансграничной передачи (ст. 12 ч. 3).
Для компании первый вопрос в том, какие из ее потоков данных являются передачей за рубеж, каких оснований и документов для них не хватает в Турции и какие сроки уже пропущены. Сопровождение по KVKK ведет Serka Law Firm.
На каком основании можно обрабатывать персональные данные в Турции?
Общее правило ст. 5/1: без явного согласия субъекта (açık rıza) данные не обрабатываются. Явное согласие закон определяет как согласие по конкретному вопросу, основанное на информировании и выраженное свободной волей (ст. 3/1-a). Без согласия обработка допустима, если есть одно из оснований ст. 5/2: прямое указание закона; защита жизни или телесной неприкосновенности; заключение или исполнение договора, стороной которого является субъект; исполнение юридической обязанности оператора; данные сделаны общедоступными самим субъектом; установление, осуществление или защита права; законный интерес оператора, если он не нарушает основные права субъекта.
Специальные категории (раса, этническое происхождение, политические взгляды, философские убеждения, религия, конфессия или иные убеждения, одежда, членство в ассоциациях, фондах или профсоюзах, здоровье, сексуальная жизнь, судимость и меры безопасности, биометрические и генетические данные, ст. 6/1) с поправками Закона № 7499 от 02.03.2024 обрабатываются только по закрытому перечню ст. 6/3, среди которого явное согласие, прямое указание закона, защита права и исполнение обязанностей в сфере занятости, охраны труда и социального обеспечения; кроме того, обязательны достаточные меры, определенные Советом (ст. 6/4).
Что компания обязана сообщить субъекту и как отвечать на его запросы?
При получении данных оператор сообщает, кто он, с какой целью обрабатываются данные, кому и с какой целью они могут передаваться, способ и правовое основание сбора и права субъекта (ст. 10). Субъект вправе узнать, обрабатываются ли его данные, получить сведения о них, узнать цель и третьих лиц в Турции и за рубежом, которым данные переданы, потребовать исправления, удаления или уничтожения, возразить против неблагоприятного для него результата, полученного исключительно автоматизированным анализом данных, и потребовать возмещения ущерба (ст. 11). Оператор отвечает на запрос письменно или в электронной форме, в кратчайший срок и не позднее тридцати дней, бесплатно, если исполнение не требует отдельных затрат по тарифу Совета (ст. 13/2, 13/3); жалоба в Совет подается в течение тридцати дней с момента, когда стал известен ответ, и в любом случае не позднее шестидесяти дней со дня запроса, причем только после обращения к оператору (ст. 14/1, 14/2).
Когда данные передаются за рубеж и что для этого нужно?
После реформы Закона № 7499 ст. 9 работает по трем ступеням. Первая: одно из оснований ст. 5 или 6 и решение Совета об адекватности страны, отрасли или международной организации (ст. 9/1). Вторая, при отсутствии такого решения: основание ст. 5 или 6, возможность субъекта осуществлять свои права и обращаться к эффективным средствам защиты в стране получателя и одна из гарантий ст. 9/4: соглашение между государственными органами с разрешения Совета, обязательные корпоративные правила группы, одобренные Советом, стандартный договор, объявленный Советом, или письменное обязательство с разрешения Совета. Третья, если нет ни решения, ни гарантии: только разовая, нерегулярная передача в случаях ст. 9/6, например с явного согласия субъекта после информирования о возможных рисках.
Стандартный договор используется в тексте Совета без изменений, при двуязычной версии преимущественную силу имеет турецкий текст, и его подписывают стороны передачи или их уполномоченные лица (ст. 14 Положения о порядке и принципах передачи персональных данных за рубеж, Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, Официальная газета от 10.07.2024 № 32598). Уведомление Управлению направляется в течение пяти рабочих дней после подписания (ст. 9/5 Закона) с документами о полномочиях подписантов и нотариальным переводом иностранных документов (ст. 14/5 и 14/6 Положения). За неисполнение этой обязанности ст. 18/1-d устанавливает штраф от 50 000 до 1 000 000 турецких лир.
Передачей за рубеж Положение считает не только отправку данных, но и то, что данные «иным образом становятся доступными» получателю за рубежом (ст. 4/1-e). Управление в руководстве для адвокатов от 22.09.2026 указывает, что загрузка документов с персональными данными в генеративные ИИ-сервисы может быть передачей за рубеж по ст. 9, если поставщик, его серверы или его субподрядчики находятся за рубежом. То же определение применяется к зарубежному облаку, CRM, почтовому сервису и кадровой системе головной компании, если данные становятся доступны за рубежом.
Российская группа с офисом в Турции работает сразу в двух режимах. По российскому закону при сборе данных граждан РФ их запись, систематизация, накопление и хранение с использованием баз данных за пределами России не допускаются, кроме случаев, указанных в законе (ст. 18 ч. 5 152-ФЗ), а о трансграничной передаче оператор уведомляет уполномоченный орган до ее начала (ст. 12 ч. 3). По турецкому закону данные, собранные в Турции, уходят из Турции только по ст. 9 KVKK. Единая CRM или кадровая система группы проверяется по обоим законам.
Что такое VERBİS и кто должен в нем регистрироваться?
VERBİS (Veri Sorumluları Sicili) это публичный реестр операторов, который ведет Управление под надзором Совета (ст. 16/1). Физические и юридические лица, обрабатывающие персональные данные, регистрируются в нем до начала обработки; Совет может освободить от регистрации по объективным критериям: характер и объем данных, обработка в силу закона, передача третьим лицам (ст. 16/2). Заявление содержит цели обработки, категории субъектов и данных, получателей, данные, передача которых за рубеж предполагается, меры безопасности и максимальные сроки хранения (ст. 16/3); изменения сообщаются немедленно (ст. 16/4). Нарушение обязанности по регистрации наказывается штрафом от 20 000 до 1 000 000 турецких лир (ст. 18/1-ç).
Как действовать при утечке данных?
Если обрабатываемые данные получены другими лицами незаконным путем, оператор в кратчайший срок сообщает об этом субъекту и Совету (ст. 12/5). Совет решением от 24.01.2019 № 2019/10 истолковал «кратчайший срок» как 72 часа с момента, когда оператор узнал об утечке, а субъектов уведомляют в разумный кратчайший срок после их установления (так решение приведено в руководстве Управления для адвокатов). В России первое уведомление уполномоченного органа направляется в течение 24 часов, а результаты внутреннего расследования в течение 72 часов (ст. 21 ч. 3.1 152-ФЗ). Оператор также обязан принимать технические и организационные меры безопасности и отвечает вместе с обработчиком, который обрабатывает данные от его имени (ст. 12/1, 12/2).
Какие санкции предусматривает KVKK?
Ст. 18 устанавливает административные штрафы: за неисполнение обязанности информирования от 5 000 до 100 000 турецких лир, за нарушение обязанностей по безопасности данных от 15 000 до 1 000 000, за неисполнение решений Совета от 25 000 до 1 000 000, за нарушение обязанности регистрации от 20 000 до 1 000 000, за неуведомление о стандартном договоре от 50 000 до 1 000 000. Это суммы из текста закона; административные штрафы ежегодно увеличиваются на коэффициент переоценки (ст. 17/7 Закона № 5326 о проступках). Штраф обжалуется в административном суде (ст. 18/3). За преступления в отношении персональных данных закон отсылает к статьям 135–140 Уголовного кодекса Турции, а неудаление или неанонимизация данных вопреки ст. 7 наказывается по ст. 138 этого кодекса (ст. 17). Совет может приостановить обработку или передачу данных за рубеж при явной незаконности и риске трудно устранимого вреда (ст. 15/7).
Как мы проводим проверку соответствия
Мы начинаем не с шаблона политики, а с карты данных: какие данные компания собирает в Турции, где они хранятся, какие зарубежные сервисы и компании группы к ним имеют доступ и на каком основании. Затем подготавливаем тексты информирования, формы согласия там, где согласие действительно нужно, регистрацию в VERBİS, стандартные договоры и уведомления о них, порядок ответа на запросы субъектов и план действий при утечке, и сопоставляем все это с требованиями 152-ФЗ, если группа российская.
Основатель Serka Law Firm, адвокат Av. Serkan KARA, работает в юридической профессии с 2015 года и является разработчиком (профиль Google Developer g.dev/serka, участник Apple Developer Program), работающим с машинным обучением на уровне кода; поэтому проверка охватывает не только тексты, но и то, куда на самом деле уходят данные в ваших системах.
Нам пишут, чем занимается компания в Турции, чьи данные она обрабатывает (клиентов, сотрудников, пользователей приложения), в каких странах стоят ее серверы и облачные сервисы и зарегистрирована ли она в VERBİS. Написать нам. См. также услугу право в сфере технологий и защита персональных данных в Турции.
Тексты: Закон № 6698 (KVKK); Положение о передаче персональных данных за рубеж; Федеральный закон № 152-ФЗ.
Нормы Закона № 6698 и Положения от 10.07.2024 сверены с официальными текстами 30.09.2026, 152-ФЗ приведен в редакции от 26.07.2026. Страница описывает правила и не оценивает конкретную компанию; адвокат действует от вашего имени только после подписания соглашения об оказании юридической помощи.