KVKK-ის სტრუქტურა 2024 წლის ცვლილებების შემდეგ

KVKK თურქეთში მონაცემთა დაცვის ძირითადი კანონია, ხოლო მისი შეცვლილი ტექსტი ახლა საცნობარო წერტილია. გამომცემლები, რომლებიც 2024 წლამდელ ვერსიით მუშაობდნენ, მოძველებულ ჩარჩოს ხედავენ.

რა შეცვალა 2024 წლის ცვლილებებმა

მთავარი ცვლილება მე-9 მუხლის ახალი რედაქცია იყო, რომელიც საერთაშორისო მონაცემთა გადაცემას არეგულირებს. 2024 წლამდელი რეჟიმი სახელგანთქმულად ძნელად შესასრულებელი იყო — თითქმის ყველა საზღვრებს გადამკვეთ ნაკადისთვის პირდაპირი თანხმობა ან საბჭოს ინდივიდუალური ნებართვა სჭირდებოდა, რაც ნებისმიერი თანამედროვე სარეკლამო-ტექნოლოგიური სტეკისთვის შეუსრულებელი იყო. შეცვლილი მე-9 მუხლი გადაცემის სამდონიან მექანიზმს ადგენს: საბჭოს ადეკვატურობის გადაწყვეტილება, შესაბამის სამართლებრივ დაცვათა ერთობლიობა, სტანდარტული სახელშეკრულებო დებულებების ჩათვლით, და შეზღუდულ შემთხვევებში გამონაკლისების ერთობლიობა. ეს ბოლოს და ბოლოს თურქეთის გადაცემის სამართალს GDPR-ის მოდელთან ათანხმებს და პროგრამატულ რეკლამას საერთაშორისოდ შესაბამის ხდის თითოეული მიმწოდებლისთვის საბჭოს ჩაბარებინების გარეშე.

რა არ შეცვლილა

ძირითადი განმარტებები, კანონიერი საფუძვლები, მონაცემთა სუბიექტის უფლებები და სენსიტიური მონაცემებისთვის პირდაპირი თანხმობის სტანდარტი უცვლელი დარჩა. თურქეთის პირდაპირი თანხმობის ბარი პრაქტიკაში, შეიძლება ითქვას, GDPR-ის სტანდარტზე მკაცრიც კია, და ეს სწორედ ის სფეროა, სადაც გამომცემლების შესაბამისობის ხარვეზების უმეტესობა კვლავ ჩანს.

VERBIS-ის რეესტრი

გარკვეულ ზღვარს გადამეტებულ მონაცემთა გადამამუშავებლებს — მათ შორის, მასშტაბში თურქი პირადი მონაცემები ამუშავებელ უმეტეს უცხოელ გადამამუშავებელს — მონაცემთა გადამამუშავებელთა რეესტრში (VERBIS) უნდა დარეგისტრირდნენ. რეგისტრაცია მოითხოვს მონაცემთა დამუშავების საქმიანობის, კანონიერი საფუძვლებისა და გადაცემის მექანიზმების გამჟღავნებას. ბევრი უცხოელი გამომცემელი VERBIS-ში რეგისტრაციას ისტორიულად გვერდს უვლიდა; საბჭომ 2025 და 2026 წლებში ამ საკითხზე უფრო აქტიური პოზიცია მიუთითა.

რა ითვლება პერსონალურ მონაცემებად KVKK-ის მიხედვით

KVKK-ის პერსონალური მონაცემების განმარტება ფართოა და GDPR-ის მსგავსია. პერსონალური მონაცემებია ნებისმიერი ინფორმაცია, რომელიც იდენტიფიცირებულ ან იდენტიფიცირებად ფიზიკურ პირს ეხება, და საბჭოს სახელმძღვანელო პრინციპები თანმიმდევრულად ქუქი-ფაილებს, სარეკლამო იდენტიფიკატორებს, IP-მისამართებს და მოწყობილობის ანაბეჭდებს პერსონალურ მონაცემებად მიიჩნევს, თუ ისინი მომხმარებელს პირდაპირ ან გონივრული საშუალებებით შეიძლება დაუკავშირდეს.

სენსიტიური პერსონალური მონაცემები

KVKK-ის სენსიტიური კატეგორიების ჩამონათვალი GDPR-ზე ფართოა: ის პირდაპირ მოიცავს რასას, ეთნიკურ წარმომავლობას, პოლიტიკურ შეხედულებებს, ფილოსოფიურ რწმენებს, რელიგიას, სექტას, გარეგნობას, ასოციაციის ან ფონდის წევრობას, ჯანმრთელობას, სქესობრივ ცხოვრებას, სისხლის სამართლის მსჯავრს, უსაფრთხოების ღონისძიებებს და ბიომეტრიულ და გენეტიკურ მონაცემებს. ამათგან რომელიმეს დამუშავება პირდაპირ თანხმობას მოითხოვს — არა ორაზროვანი ან გაერთიანებული სახის, არამედ კონკრეტული, ინფორმირებული, თავისუფლად გაცემული, სენსიტიური დამუშავებასთან დაკავშირებული თანხმობა.

რატომ არის ეს მნიშვნელოვანი ქუქი-ფაილებისთვის

ქუქი-ფაილი, რომელიც მხოლოდ სესიის ID-ს ინახავს, ძირითადი პერსონალური მონაცემია. ქუქი-ფაილი, რომელიც ლიბერალი ამომრჩეველი ან ღვთისმოსავი რელიგიური თემი სახის აუდიტორიის სეგმენტს კვებავს, თურქული განმარტებით სენსიტიური პერსონალური მონაცემია — და საჭირო თანხმობის კონფიგურაცია პირდაპირი თანხმობა ან არაფერია. გამომცემლები, რომლებიც KVKK-ის სენსიტიურ სიას შეეხება ისეთ აუდიტორიის სეგმენტებს ამიზნებენ, ამ სეგმენტებს ზოგადი სარეკლამო თანხმობით არ უნდა ამუშავებდნენ.

ქუქი-ფაილებზე თანხმობა KVKK-ის მიხედვით 2026 წელს

ქუქი-ფაილებზე საბჭოს პოზიცია ბოლო ორი წლის განმავლობაში გამკაცრდა. მიმდინარე სახელმძღვანელო პრინციპები ცალსახაა: ქუქი-ფაილები და თვალყურის დევნების ტექნოლოგიები, რომლებიც პერსონალურ მონაცემებს ამუშავებენ, თანხმობას მოითხოვს, თუ ის მომხმარებლის მიერ მოთხოვნილი სერვისისთვის მკაცრად საჭირო არ არის.

მოქმედი პირდაპირი თანხმობის ოთხი ელემენტი

თურქეთის პირდაპირ თანხმობას შემდეგი მახასიათებლები უნდა ჰქონდეს:

• კონკრეტულ საგანთან დაკავშირებული — ზოგადი ქოლგის სახის თანხმობა, რომელიც განუსაზღვრელ მომავალ დამუშავებას მოიცავს, ნამდვილი არ არის
• ინფორმირებული — მომხმარებელი ესმის, რომელი მონაცემი მუშავდება, რა მიზნით, ვისგან და რამდენი ხნის განმავლობაში
• თავისუფლად გაცემული — მომხმარებელს შეუძლია უარი თქვას იმ სერვისისგან ჩამორთმევის გარეშე, რომელზეც სხვაგვარად უფლება აქვს
• მკაფიო დამადასტურებელი ქმედებით გამოხატული — წინასწარ მონიშნული ველები, ნაგულვები თანხმობა და გადახვევა-თანხმობის სახით — ყველა ამათგანი ბათილია

შესაბამისი CMP-ის გარეგნობა

2026 წელს თურქული ტრაფიკისთვის კონფიგურირებული CMP უნდა წარადგენდეს:

• ხილული ბანერი არც ერთი არასაჭირო ქუქი-ფაილის გამოჩენამდე, თურქი მომხმარებლებისთვის ნაგულვები ენა თურქული (Türkçe)
• დათანხმება, უარყოფა და მორგება ერთნაირი ვიზუალური გამოხატულებით — საბჭომ კონკრეტულად გაიკრიტიკა ბანერის დიზაინები, სადაც უარყოფა დათანხმებაზე ნაკლებ ხილულია
• გრანულარული გამომრთველები მიზნის მიხედვით: ანალიტიკა, რეკლამა, პერსონალიზაცია, საზღვრებს გადამკვეთი გადაცემა და ნებისმიერი სენსიტიური კატეგორიის დამუშავება
• მდგრადი, ადვილად ხელმისაწვდომი მექანიზმი თანხმობის გასახმობად საწყისი არჩევანის შემდეგ
• თურქულენოვანი Aydınlatma Metni (კონფიდენციალობის შეტყობინება), რომელიც ავლენს გადამამუშავებლის ვინაობას, მიზნებს, მიმღებებს, შენახვის ვადებს და უფლებებს
• სენსიტიური კატეგორიის ნებისმიერი დამუშავებისთვის ცალკე, მკაფიოდ დალეიბლირებული პირდაპირი თანხმობის ნაკადი (açık rıza), საკუთარი ქმედებით შეკეტილი

თანხმობის ჩანაწერები

გადამამუშავებელს თანხმობის ჩანაწერები უნდა ინახებოდეს — ვინ დათანხმდა, როდის, რაზე, რომელი ინტერფეისის მეშვეობით. KVKK-ის საბჭომ რამდენიმე სამართალდამცველობით ქმედებაში თანხმობის არასათანადო ლოგები ახსენა, ხოლო ექსპორტირებადი დროშეტყობინებული ლოგები საბაზო მოლოდინია.

საზღვრებს გადამკვეთი გადაცემები 2024 წლის მე-9 მუხლის მიხედვით

2024 წლის ცვლილებებმა სამდონიანი გადაცემის ჩარჩო შემოიტანა, რომელიც GDPR-ის მიდგომას ასახავს. გაგება, თუ რომელი დონე რომელ ნაკადს ეხება, 2026 წელს უცხოელი გამომცემლებისთვის ყველაზე გავრცელებული შესაბამისობის ხარვეზია.

1-ლი დონე — ადეკვატურობის გადაწყვეტილება

საბჭოს შეუძლია ქვეყანა, საერთაშორისო ორგანიზაცია ან ქვეყნის სექტორი საკმარისი დაცვის მომწოდებლად განსაზღვროს. ადეკვატურ დანიშნულებებზე გადაცემები დამატებითი მექანიზმის გარეშეა დაშვებული. 2026 წლის დასაწყისისთვის საბჭომ ადეკვატურობის გადაწყვეტილებები თანდათანობით გამოსცა, მაგრამ შეერთებული შტატები ჯერ კიდევ ყოვლისმომცველად არ არის განსაზღვრული.

მე-2 დონე — შესაბამისი დაცვა

ადეკვატურობის არარსებობისას გადაცემები შესაბამისი დაცვის საფუძველზეა დასაშვები. ცვლილებები კონკრეტულად ითვალისწინებს საბჭოს მიერ დამტკიცებულ სტანდარტულ სახელშეკრულებო დებულებებს, ჯგუფშიდა გადაცემებისთვის სავალდებულო კორპორატიულ წესებს და საბჭოს მიერ დამტკიცებულ ქცევის კოდექსებს ან სერტიფიცირების მექანიზმებს. საბჭოს სტანდარტული სახელშეკრულებო დებულებები 2024 წელს გამოქვეყნდა და გამომცემლების უმეტესობისთვის მთავარ სამუშაო მექანიზმს წარმოადგენს.

მე-3 დონე — გამონაკლისები

ვიწრო გამონაკლისები არსებობს ეპიზოდური გადაცემებისთვის, ხელშეკრულების შესრულებისთვის საჭირო გადაცემებისთვის ან გადაცემებისთვის, რომლებსაც მომხმარებელი პირდაპირ დაეთანხმა. ეს გამონაცემები მიმდინარე პროგრამატული ნაკადების ძირითად სამართლებრივ საფუძვლად ვერ გამოყენება.

გამომცემლებისთვის პრაქტიკული შედეგი

ტიპიური პროგრამატული სტეკი ყოველ ტენდერზე ქუქი-ფაილებიდან მიღებულ მონაცემებს ათეულობით უცხოელ მიმწოდებელს გადასცემს. ამ ნაკადებიდან თითოეული საზღვრებს გადამკვეთი გადაცემაა. 2026 წელს გამართული მიდგომა ყოველ საერთაშორისო გადამამუშავებელთან საბჭოს მიერ დამტკიცებული სტანდარტული სახელშეკრულებო დებულებების გაფორმებასა და გადაცემის მექანიზმის Aydınlatma Metni-სა და VERBIS-ის რეგისტრაციაში დოკუმენტირებაა. გამომცემლები, რომლებიც 2024 წლამდელ გადაცემაზე-პირდაპირ-თანხმობის ლოგიკაზე დარჩნენ, ერთდროულად შესაბამისობის რისკის ზედმეტ ზეგავლენას განიცდიან და მომენტაიზაციის შესაძლებლობით სარგებლობაში ჩამოუვარდებიან.

მონაცემთა სუბიექტის უფლებები

თურქი მონაცემთა სუბიექტებს GDPR-ში არსებული უფლებების სრული კომპლექტი აქვთ, KVKK-ის ჩარჩოს მეშვეობით გამოყენებული:

• უფლება გაიგონ, მუშავდება თუ არა მათი მონაცემები
• დამუშავებული მონაცემებზე წვდომის უფლება
• არაზუსტი მონაცემების გასწორების უფლება
• წაშლის ან ანონიმიზაციის უფლება, სადაც დამუშავება აღარ არის გამართლებული
• მონაცემთა გამჟღავნების მიმღები მესამე მხარეების შესახებ ინფორმაციის მიღების უფლება
• მავნე ეფექტის მომტანი ავტომატიზებული გადაწყვეტილებების წინააღმდეგ გასვლის უფლება
• უკანონო დამუშავებით მიყენებული ზიანის ანაზღაურების უფლება

პასუხის ვადები

გადამამუშავებლებმა მონაცემთა სუბიექტის მოთხოვნებზე 30 დღის განმავლობაში უნდა უპასუხონ. მონაცემთა სუბიექტს შეუძლია KVKK-ის საბჭოს მიმართოს, თუ გადამამუშავებლის პასუხი არასათანადოა, და საბჭოს გადაწყვეტილების მიღებისთვის 60-დღიანი ფანჯარა აქვს. 30-დღიანი ფანჯრისთვის ოპერაციული მზადყოფნა — პროცედურების, ინსტრუმენტებისა და თურქულენოვანი პასუხის შაბლონებით — უცხოელ გამომცემლებს შორის გავრცელებული ხარვეზია.

ჯარიმები და სამართალდაცვის პოზიცია 2026 წელს

KVKK-ის საბჭო პირველ წლებში შედარებით მშვიდი იყო, მაგრამ სამართალდაცვა მნიშვნელოვნად გაძლიერა. 2025 წლის ჯარიმების ჯამური ოდენობა კანონის ამოქმედების შემდეგ ყველაზე მაღალი იყო, ხოლო 2026 წელი მსგავს ტენდენციაზეა.

ადმინისტრაციული ჯარიმები

ადმინისტრაციული ჯარიმები ყოველწლიურად ინფლაციაზეა ინდექსირებული. 2026 წლის მდგომარეობით ყველაზე სერიოზული დარღვევების ზედა ზღვარი TRY 40 მილიონს ერთ დარღვევაზე აჭარბებს, ხოლო ცალკეული ზედა ზღვრები ვრცელდება მონაცემთა უსაფრთხოებასთან, შეტყობინებასთან, VERBIS-ში რეგისტრაციასთან და საბჭოს გადაწყვეტილებებთან დაკავშირებულ უხეშობებზე. 2025 წლის რამდენიმე ქმედებაში უცხოელი გადამამუშავებლები დიაპაზონის ზედა ნაწილში დაჯარიმდნენ.

რეპუტაციის გამოაშკარავება

საბჭო სამართალდამცველობის გადაწყვეტილებების მოკლე შინაარსებს თავის ვებსაიტზე ქვეყნებს. უცხოელი გამომცემლების ჯარიმები რეგულარულად ჩნდება თურქულ ტექნოლოგიურ პრესაში, ხოლო საჯარო KVKK-ის გადაწყვეტილების რეპუტაციული ფასი, როგორც წესი, თავად ჯარიმაზე მაღალია.

სამართალდაცვის თემები

საბჭოს 2025 წლისა და 2026 წლის დასაწყისის ქმედებები ვიწრო განმეორებადი პრობლემების ირგვლივ კლასტერდება: დაკარგული ან ორაზროვანი ქუქი-ფაილების თანხმობა, არასათანადო Aydınlatma Metni, VERBIS-ში დაურეგისტრირებელი უცხოელი გადამამუშავებლები და 2024 წლამდელი ჩარჩოს გამოყენებით უკანონო საზღვრებს გადამკვეთი გადაცემები.

2026 წლის თურქული ტრაფიკის აუდიტის ჩეკ-ლისტი

• CMP-ბანერი თურქ მომხმარებლებს თურქულად ეწოდება, დათანხმება, უარყოფა და მორგება ერთნაირი ვიზუალური გამოხატულებით
• თანხმობის მიზნები გრანულარულია და სენსიტიური კატეგორიის დამუშავება საკუთარ პირდაპირი თანხმობის ნაკადს მიღმა ცალკდება
• თანხმობის ლოგები დროშეტყობინებულია, ექსპორტირებადია და ინახება სულ მცირე დამუშავების ხანგრძლივობისა და სამოდით ადების ვადის განმავლობაში
• Aydınlatma Metni თურქულად ხელმისაწვდომია გადამამუშავებლის, დამამუშავებლების, მიზნების, შენახვის ვადებისა და უფლებების სრული გამჟღავნებით
• VERBIS-ის რეგისტრაცია სრულია და განახლებული, თუ გადამამუშავებელი ზღვარს გადაამეტებს
• საზღვრებს გადამკვეთი გადაცემები 2024 წლის სტანდარტულ სახელშეკრულებო დებულებებს ან მე-9 მუხლის სხვა მოქმედ მექანიზმს ეყრდნობა, მექანიზმი Aydınlatma Metni-ში დოკუმენტირებულია
• მონაცემთა სუბიექტის მოთხოვნის სამუშაო პროცესს შეუძლია 30 დღის განმავლობაში, თურქულად, სრულად (end-to-end) უპასუხოს
• მიმწოდებელთა სია გადახედულია, გამოუყენებელი ან ზედმეტი მიმწოდებლები ამოღებულია გამოაშკარავების შესამცირებლად

2026 წლის პერსპექტივა

თურქეთის მონაცემთა დაცვის რეჟიმი ფორმაში ევროპულ ჩარჩოს დაეწია და სამართალდაცვაშიც სწრაფად ეწევა. 2024 წლის ცვლილებებმა თანამედროვე საერთაშორისო სარეკლამო ტექნოლოგიის ყველაზე დიდი სტრუქტურული დამაბრკოლებელი — ძველი გადაცემის რეჟიმი — მოხსნა, ხოლო საბჭომ შემდეგი ორი წელი კანონის დარჩენილი ნაწილის აღსრულებაზე ფოკუსირებისთვის გამოიყენა. GDPR-ის კლასის თანხმობის სტეკის მქონე გამომცემლებს თურქეთისთვის მზად ყოფნისთვის შედარებით მცირე კორექტივები სჭირდება: თურქულენოვანი CMP და შეტყობინება, VERBIS-ში რეგისტრაცია, თუ ვრცელდება, 2024 წლის სტანდარტული გადაცემის დებულებები და სენსიტიური მონაცემების უფრო ფართო ჩამონათვალთან სიფრთხილე. გამომცემლები, რომლებმაც თურქეთი უფრო მარტივ ბაზრად მიიჩნიეს, 2026 წელს 2025-ზე ძვირად, ხოლო 2027 წელს 2026-ზე ძვირად ნახავენ. ხარვეზი კვირების განმავლობაში შეიძლება დაიხუროს, თუ პრიორიტეტი მიენიჭება — და ასეც უნდა მოხდეს.