التدقيق ليس يومًا،
بل نظام يعمل كل يوم.

يُلزم قانون KVKK كل متحكم في البيانات بالتسجيل في نظام معلومات سجل المتحكمين في البيانات (VERBİS). وينطبق ذلك على الشركات التي يتجاوز عدد موظفيها 50 موظفًا سنويًا أو تتجاوز ميزانيتها السنوية 100 مليون ليرة تركية. وتوجد بعض الإعفاءات دون هذا الحد، لكن التسجيل يبقى إلزاميًا لكل من يعالج فئات خاصة من البيانات (الصحة، والسجل الجنائي، والقياسات الحيوية وغيرها). والتسجيل ليس لمرة واحدة، إذ يجب تحديثه كلما تغيرت أغراض المعالجة. وتتراوح الغرامات الإدارية على عدم التسجيل بين 100,000 و1.5 مليون ليرة تركية.

يتشابهان في المنطق لكنهما ليسا متطابقين. فقد دخل KVKK حيز التنفيذ عام 2016 في تركيا، ودخلت GDPR حيز التنفيذ عام 2018 في الاتحاد الأوروبي. وتشترك القواعد في كثير من المبادئ الأساسية: تحديد الغرض، وتقليل البيانات، والمساءلة. لكن GDPR أشد صرامة بكثير: فهي تشترط البنود التعاقدية القياسية (SCC) لعمليات النقل عبر الحدود، ويسري فيها إلزام تعيين مسؤول حماية البيانات (DPO) في حالات أكثر، ومهلة الرد على طلبات أصحاب البيانات 30 يومًا، وإخطار الخروقات خلال 72 ساعة، وقد تصل الغرامات إلى 4% من حجم الأعمال السنوي العالمي. وعلى الشركة التركية التي لها وجود في الاتحاد الأوروبي أو تبيع للمقيمين فيه تطبيق الاثنين معًا. ونصيحتنا العملية: ابدأ التصميم من GDPR وانتقل منها إلى KVKK ولا تعكس الترتيب أبدًا.

إذا كنت لا تبيع منتجات أو خدمات مباشرة في الاتحاد الأوروبي ولا تراقب سلوك المقيمين فيه، فقد لا تنطبق عليك GDPR بصورة مباشرة. لكن النطاق غير المباشر أوسع بكثير: فعميل من الاتحاد الأوروبي يملأ نموذجًا على موقعك، أو مورد أوروبي تعالج بياناته، أو موظف أوروبي لديك، كل ذلك يدخل في نطاق GDPR بصورة ما. كما قد يفرض عملاؤك في قطاع B2B شروطًا تعاقدية تتطلب المستوى نفسه من الامتثال. والتصميم بمستوى GDPR في أثناء الامتثال لقانون KVKK يسهّل عليك كثيرًا تقييمات الأثر (DPIA) المستقبلية التي يطلبها العملاء. أما عبارة «لا نحتاج إليها الآن» فغالبًا ما تكون أكثر تكلفة على المدى الطويل.

نعم. تحظر المادة 5/1 من KVKK والمادة 6 من GDPR وتوجيه الخصوصية الإلكترونية (ePrivacy) وضع ملفات تعريف الارتباط من دون موافقة صريحة. ويوجد استثناء لملفات تعريف الارتباط الضرورية (الجلسة وسلة التسوق)، لكن ملفات التحليلات والتسويق والتنميط تتطلب موافقة فعلية. ومن أسباب الغرامة أن تُحمَّل الملفات قبل النقر على «قبول»، أو أن يُعدّ رابط «متابعة» موافقة، أو أن تستمر أدوات التتبع في العمل بعد الرفض. وقد غُرّمت عشرات العلامات التجارية في تركيا عام 2024 لهذا السبب تحديدًا. الإعداد الصحيح: منصة CMP مع وضع الموافقة في GTM وتشغيل كل أدوات التتبع بعد الموافقة فقط.

تفرض GDPR تعيين مسؤول حماية البيانات (DPO) في ثلاث حالات: إذا كانت الجهة هيئة عامة، أو كان نشاطها الرئيسي مراقبة منهجية واسعة النطاق، أو كان نشاطها الرئيسي معالجة فئات خاصة من البيانات على نطاق واسع. وفيما عدا ذلك يُوصى به ولا يكون إلزاميًا. أما KVKK فيشترط تعيين «مسؤول اتصال»، إذ يجب على كل شركة مسجلة في VERBİS إبلاغ الجهة الرقابية بمسؤول اتصال لها. ويمكنك إسناد دور مسؤول حماية البيانات أو مسؤول الاتصال داخليًا أو الحصول عليه خارجيًا كخدمة (DPO-as-a-Service)، ونحن نطبّق النموذج الثاني كثيرًا. ومن الأمور الحاسمة انتفاء تضارب المصالح، والاستقلالية داخل الهيكل التنظيمي، ورفع التقارير مباشرة إلى الإدارة العليا.

النقل حر داخل الاتحاد الأوروبي. أما خارجه فيتطلب آلية نقل: إما إلى دولة صدر بشأنها قرار كفاية الحماية (المملكة المتحدة وسويسرا واليابان وغيرها)، وإما بتوقيع البنود التعاقدية القياسية (SCC). وبالنسبة إلى الولايات المتحدة، يمكنك استخدام موردين حاصلين على شهادة إطار EU-US Data Privacy Framework (2023)، أما الموردون الأمريكيون غير الحاصلين عليها فيتطلبون البنود التعاقدية القياسية مع تقييم أثر النقل (TIA). وفي النقل من تركيا إلى الاتحاد الأوروبي، لا يوجد قرار «حماية كافية» بموجب المادة 9 من قانون KVKK التركي، ويتم النقل عبر تعهد كتابي مع موافقة الجهة الرقابية أو عبر موافقة صريحة. ويُعد الإعداد الصحيح لهذه الآليات أكثر ما يُغفل عنه في معظم عمليات التدقيق.

تُلزم GDPR بإخطار السلطة الرقابية خلال 72 ساعة. وإذا نشأ «خطر مرتفع» على أصحاب البيانات، وجب إبلاغهم أيضًا من دون تأخير لا مبرر له. أما KVKK فينص على الإخطار «في أقرب وقت ممكن»، وتفسره الجهة الرقابية عمليًا بمهلة 72 ساعة. ويؤدي تفويت المهلة إلى غرامة منفصلة عن الخرق نفسه، وهي تعادل في معظم الحالات نصف الغرامة الأصلية. أما دليل الاستجابة (Runbook) الذي نعتمده فيسير كما يلي: عند الاشتباه في خرق، يتم الفرز خلال ساعة واحدة، ثم تحديد النطاق خلال 4 ساعات، ثم صياغة النص الرسمي خلال 24 ساعة، ثم الإخطار وإبلاغ أصحاب البيانات خلال 72 ساعة. ومن دون نصوص جاهزة وقائمة جهات اتصال وشجرة قرارات، لا تكفي هذه المهلة.

تزداد الغرامات الإدارية في KVKK سنويًا وفق معدل إعادة التقييم. ففي عام 2024 تراوحت غرامة مخالفة واجب الإعلام بين 47,000 و940,000 ليرة تركية، وغرامة مخالفة واجب أمن البيانات بين 141,000 و9.4 مليون ليرة تركية، وغرامة مخالفة قرار الجهة الرقابية بين 235,000 و9.4 مليون ليرة تركية. وفي GDPR مستويان: المخالفات الأقل خطورة حتى 2% من حجم الأعمال السنوي العالمي أو 10 ملايين يورو، والمخالفات الجسيمة حتى 4% أو 20 مليون يورو (أيهما أعلى). ويضاف إلى ذلك فقدان العملاء والجزاءات التعاقدية والضرر بسمعة العلامة التجارية، وقد تتجاوز هذه الخسائر الغرامة بأضعاف كثيرة. فقد واجهت British Airways في خرق عام 2019 غرامة مقترحة أولية بقيمة 183 مليون جنيه إسترليني خُفضت إلى 20 مليونًا، وهو مبلغ لا تنجو منه الشركات الصغيرة.