Аудит — не один день,
а система, которая работает ежедневно.

По KVKK каждый оператор персональных данных обязан зарегистрироваться в информационной системе реестра операторов (VERBİS). Требование распространяется на компании, у которых более 50 сотрудников в год или годовой баланс превышает 100 млн ₺; ниже этого порога действуют некоторые исключения, но все, кто обрабатывает специальные категории данных (здоровье, судимости, биометрия и т. д.), обязаны зарегистрироваться в любом случае. Регистрация не разовая: её нужно обновлять при изменении целей обработки. За отсутствие регистрации грозит административный штраф от 100 000 ₺ до 1,5 млн ₺.

Логика у них общая, но это разные документы. KVKK вступил в силу в Турции в 2016 году, GDPR — в ЕС в 2018 году. Многие базовые принципы совпадают: ограничение целей, минимизация данных, подотчётность. Но GDPR гораздо строже: для трансграничной передачи нужны стандартные договорные положения (SCC), обязанность назначить DPO возникает чаще, срок ответа на запросы субъектов данных — 30 дней, уведомление об утечке — 72 часа, а штрафы достигают 4% мирового годового оборота. Турецкая компания, представленная в ЕС или продающая резидентам ЕС, обязана применять оба документа. Наш практический совет: проектируйте по GDPR и адаптируйте под KVKK, но не наоборот.

Если вы не продаёте товары или услуги напрямую в ЕС и не отслеживаете поведение резидентов ЕС, GDPR может не применяться к вам напрямую. Но косвенная сфера действия намного шире: клиент из ЕС, заполнивший форму на вашем сайте, поставщик из ЕС, чьи данные вы обрабатываете, сотрудник в ЕС — всё это затрагивает GDPR. Кроме того, B2B-клиенты могут требовать соответствия уровню GDPR по договору. Если проектировать на уровне GDPR, выполняя требования KVKK, будущие оценки воздействия (DPIA) для клиентов пройдут намного проще. Подход «пока не нужно» в долгосрочной перспективе обычно обходится дороже.

Да. И ст. 5/1 KVKK, и ст. 6 GDPR вместе с Директивой ePrivacy запрещают размещать файлы cookie без явного согласия. Исключение сделано для обязательных cookie (сессия, корзина), но аналитические, маркетинговые и профилирующие cookie требуют активного согласия. Баннер, который загружает cookie до нажатия кнопки «Принять», ссылка «Продолжить», засчитанная как согласие, трекеры, работающие даже после отказа, — всё это основания для штрафа. В Турции в 2024 году десятки брендов были оштрафованы именно за это. Правильная настройка: CMP, режим согласия GTM и запуск всех трекеров только после получения согласия.

По GDPR назначить ответственного за защиту данных (DPO) обязательно в трёх случаях: если вы государственный орган, если ваша основная деятельность — масштабный систематический мониторинг либо масштабная обработка специальных категорий данных. В остальных случаях это рекомендуется, но не обязательно. KVKK требует назначить «контактное лицо»: каждая компания, зарегистрированная в VERBİS, должна сообщить о нём регулятору. Роль DPO или контактного лица можно закрыть внутри компании или получить как услугу DPO-as-a-Service; мы часто работаем по второй модели. Ключевые условия: отсутствие конфликта интересов, независимость в структуре организации и прямая подотчётность высшему руководству.

Внутри ЕС данные передаются свободно. Для передачи за пределы ЕС нужен механизм передачи: либо страна с решением об адекватности (Великобритания, Швейцария, Япония и др.), либо подписанные стандартные договорные положения (SCC). Для США можно использовать поставщиков, сертифицированных по EU-US Data Privacy Framework (2023); для несертифицированных американских поставщиков нужны SCC и оценка воздействия передачи (Transfer Impact Assessment, TIA). Для передачи из Турции в ЕС решения об «адекватной защите» по ст. 9 KVKK нет: данные передаются на основании письменного обязательства и разрешения регулятора либо явного согласия. Правильная настройка этих механизмов — самый часто упускаемый пункт на большинстве аудитов.

По GDPR уведомить надзорный орган необходимо в течение 72 часов. Если есть «высокий риск» для субъектов данных, их также нужно уведомить без неоправданной задержки. В KVKK сказано «в кратчайшие сроки»; на практике регулятор толкует это как 72 часа. За пропуск срока назначают отдельный штраф, независимый от самой утечки, и в большинстве случаев он составляет половину основного штрафа. Наш регламент: подозрение на утечку → сортировка в течение 1 ч → определение масштаба в течение 4 ч → подготовка официального текста в течение 24 ч → уведомление регулятора и субъектов данных в течение 72 ч. Без заранее подготовленных текстов, списка контактов и дерева решений в этот срок не уложиться.

Административные штрафы по KVKK ежегодно индексируются по коэффициенту переоценки. На 2024 год: нарушение обязанности информирования — 47 000–940 000 ₺, нарушение обязанности по безопасности данных — от 141 000 ₺ до 9,4 млн ₺, неисполнение решения регулятора — от 235 000 ₺ до 9,4 млн ₺. В GDPR два уровня: за менее серьёзные нарушения — до 2% мирового годового оборота или 10 млн евро, за серьёзные — до 4% или 20 млн евро (в зависимости от того, что больше). К этому добавляются потеря клиентов, договорные неустойки и репутационный ущерб, которые могут превышать штраф во много раз. British Airways за утечку 2019 года сначала грозил штраф 183 млн фунтов стерлингов, сниженный затем до 20 млн, — маленькие компании такого не переживут.