سلسلة KVKK 5/5: اختراق البيانات والنقل إلى الخارج والعقوبات

تستدعي حادثة أمن البيانات استجابة سريعة وموثقة. كما تحتاج الخدمات السحابية الأجنبية والتحويلات بين شركات المجموعة إلى آلية قانونية مناسبة؛ فلا يغني بند موافقة عام عن الامتثال لقواعد النقل.

يتناول الجزء الأخير واجبات الأمن والإبلاغ والإطار المعدل للنقل الدولي والعقوبات المحتملة.

1. واجبات أمن البيانات

توجب المادة 12 من القانون رقم 6698 اتخاذ التدابير التقنية والتنظيمية المناسبة لمنع المعالجة والوصول غير المشروعين وحماية البيانات الشخصية. وتُحدد التدابير بحسب المخاطر ونوع البيانات وبيئة المعالجة الفعلية.

الاستعانة بمعالج لا تزيل مسؤولية المتحكم وفق المادة 12. ينبغي أن تحدد العقود واجبات الحماية والإبلاغ عن الحوادث والوصول وإعادة البيانات أو حذفها.

2. اختراق البيانات وقاعدة 72 ساعة

إذا حصل آخرون على البيانات المعالجة بطرق غير مشروعة، توجب المادة 12/5 إبلاغ المجلس والأشخاص المتأثرين. ويفسر قرار المجلس رقم 2019/10 مهلة إبلاغ المجلس بأنها دون تأخير، وفي أقصى حد خلال 72 ساعة من علم المتحكم بالاختراق.

• لا يُنتظر اكتمال التحقيق قبل الإبلاغ. وإذا تجاوز الإبلاغ 72 ساعة، تُوضح أسباب التأخير، وتُستكمل المعلومات الناقصة تدريجياً دون تأخير إضافي.

• بعد تحديد الأشخاص المتأثرين، يُبلّغون خلال أقصر مدة معقولة، مباشرة عند توفر وسيلة اتصال، أو بوسيلة مناسبة أخرى.

• توثيق الواقعة وآثارها والاستجابة والإخطارات. وعلى المعالج إبلاغ المتحكم دون تأخير.

• تحديد المسؤوليات في خطة استجابة للحوادث ومراجعتها دورياً.

من الأمثلة تسرب معلومات العملاء بسبب ثغرة في متجر إلكتروني، أو إرسال الأجور إلى مستلم خاطئ، أو فقدان جهاز، أو هجوم فدية. وفقدان إتاحة البيانات، كتشفيرها ببرمجية فدية، حادث أمني يستلزم التحقيق؛ أما تحقق سبب الإبلاغ القانوني فيُقيّم وفق الوقائع، ومنها الأدلة على الحصول غير المشروع على البيانات.

3. نقل البيانات إلى الخارج بعد إصلاح 2024

عدّل القانون رقم 7499 المادة 9، وبدأ نفاذ التعديل في 1 يونيو 2024. ونُشرت اللائحة التنفيذية في الجريدة الرسمية بتاريخ 10 يوليو 2024، العدد 32598. وانتهت الفترة الانتقالية للنظام السابق القائم على الموافقة في 1 سبتمبر 2024.

قرار الكفاية والضمانات المناسبة

يتطلب النقل أساس معالجة ينطبق من المادتين 5 أو 6، إلى جانب مسار صحيح للنقل. يُتحقق أولاً من وجود قرار كفاية للمجلس يغطي الدولة أو القطاع أو المنظمة الدولية. وعند غيابه، يمكن استخدام الضمانات المناسبة مع استيفاء الشروط القانونية، بما فيها الحقوق القابلة للإنفاذ ووسائل الانتصاف الفعالة للأفراد.

• العقود القياسية التي ينشرها المجلس، بحسب صفة الأطراف كمتحكمين أو معالجين.
• القواعد المؤسسية الملزمة المعتمدة من المجلس لمجموعة الشركات.
• تعهد مكتوب يوفر الحماية الكافية، مع موافقة المجلس.
• مسار الاتفاق الخاص بالجهات العامة والمنظمات المحددة في المادة 9، مع موافقة المجلس أيضاً. وليس كل عقد دولي خاص مؤهلاً لهذا المسار.

العقد القياسي

يُستخدم النص القياسي المناسب المنشور من المجلس دون تغيير مضمونه الإلزامي، وتُستكمل الملاحق اللازمة ويُتحقق من سلطة الموقعين. ويجب إخطار الهيئة خلال خمسة أيام عمل بعد التوقيع. يُحتفظ بالعقد الموقع ودليل الإخطار، وتُراعى قواعد التعديل والإنهاء.

النقل العرضي والموافقة

عند غياب قرار الكفاية وتعذر الضمانات المناسبة فقط، يمكن الاستناد إلى أحد استثناءات المادة 9 المحدودة، بشرط أن يكون النقل عرضياً. ومن هذه الاستثناءات الموافقة الصريحة بعد الإحاطة بالمخاطر المحتملة. ولا يصلح ذلك حلاً اعتيادياً للاستضافة السحابية المستمرة خارج تركيا أو تدفقات البيانات الدورية بين شركات المجموعة.

4. الغرامات الإدارية والمسؤولية الجنائية

نطاقات الغرامات الإدارية لعام 2026

هذه نطاقات 2026 المنشورة من الهيئة بعد إعادة تقييم بنسبة 25.49%. يتحدد المبلغ بحسب المخالفة والتقييم، ولا يُطبق الحد الأقصى آلياً. وتُحدّث المبالغ سنوياً.

التعويض والجرائم

يجوز لمن تضرر من معالجة غير مشروعة طلب التعويض وفق القواعد المطبقة. وتتناول المواد 135–138 من قانون العقوبات التركي جرائم تسجيل البيانات أو إفشائها أو نشرها أو الحصول عليها دون وجه مشروع، وعدم إتلافها عندما يوجب القانون ذلك، مع مراعاة شروط التجريم والظروف المشددة. ولا تثبت الجريمة تلقائياً بمجرد وقوع مخالفة إدارية؛ بل تُقيّم أركان كل جريمة على حدة.

5. الاستعداد للتفتيش

قد يباشر المجلس التحقيق بناءً على شكوى أو من تلقاء نفسه. والتطبيق الفعلي لا يقل أهمية عن الوثائق المكتوبة.

• إبقاء جرد البيانات وسجل VERBİS محدثين عندما يكون التسجيل واجباً.

• إعداد إشعارات مناسبة للموظفين والعملاء والمرشحين والزوار، مع إثبات تقديمها.

• تطبيق قواعد الاحتفاظ والإتلاف وحفظ سجلات الإتلاف حيث يلزم.

• الاحتفاظ بعقود المعالجين ووثائق النقل الدولي وإخطارات العقود القياسية.

• توثيق التدابير والتدريب ومسؤوليات الوصول والاختبارات.

• حفظ طلبات الأشخاص المعنيين والردود وسجلات الاستجابة للحوادث والإبلاغ عن الاختراقات.

يجب أن تصف الوثائق ما تقوم به المنشأة فعلاً؛ فلا تحقق النماذج غير المطبقة الامتثال بمفردها.

المصادر الرسمية

• القانون رقم 6698: المواد 9 و12 و17 و18
• قرار الإبلاغ عن الاختراقات رقم 2019/10
• الجدول الرسمي لغرامات 2026

الجزء السابق: بيانات العاملين والبصمة والكاميرات والبريد الإلكتروني.

معلومات عامة عن القانون التركي. تمت مراجعة المراجع بتاريخ 30 أكتوبر 2026. تتطلب كل حادثة أو عملية نقل تقييماً قانونياً خاصاً.