alterlab-kvkk-dmp

KVKK 数据管理计划 — 土耳其研究数据合规框架

为实证研究生成 KVKK（Kişisel Verilerin Korunması Kanunu——土耳其《个人数据保护法》，第 6698 号）数据管理计划，并审查欧盟/GDPR 数据管理计划模板中与土耳其法律不同的要点。KVKK 几乎适用于所有涉及个人数据的土耳其实证研究，但它并非 GDPR：合法依据的选项更少，研究豁免的适用方式不同，登记（VERBIS）和跨境规则也具有土耳其特色。本技能将这些差异纳入其中，避免研究人员不加审查地沿用不符合土耳其法律的欧盟计划。

所有条款引用均可追溯至第 6698 号法律的官方原文（mevzuat.gov.tr）及 KVKK 官方英文译本；实质性差异见 references/kvkk_vs_gdpr.md。匿名化技术及重新识别陷阱见 references/anonymization_methods.md。包含准确豁免措辞的条款级细节见 references/kvkk_articles.md。

何时使用此技能

当请求涉及土耳其研究数据的数据保护合规时，请使用此技能——例如，依据 KVKK 编制或修订数据管理计划，判断数据集能否适用匿名化豁免，选择合法依据（açık rıza——明确同意——或第 5/6 条规定的替代依据），规划目的达成后的数据保留与删除，检查是否需要进行 VERBIS 登记，或评估依据第 9 条进行云端存储/境外传输的情况。

常见触发语：

• “KVKK uyumlu veri yönetim planı hazırla”（准备一份符合 KVKK 的数据管理计划）
• “将此研究数据集匿名化，使其适用 KVKK 研究豁免”
• “VERBIS kaydı gerekli mi?”（是否需要进行 VERBIS 登记？）
• “我有一份欧盟 Horizon 数据管理计划——请使其适用于我在土耳其的研究点”
• “依据 KVKK，我可以将这份调查数据存储在美国的云端吗？”
• “我们会收集健康/生物识别数据——第 6 条有何要求？”

不适用情形

遇到以下相关请求时，请转交给相应的关联技能，而不要强行使用此技能：

用户的实际需求……	转交给	此技能为何不适用
GDPR / HIPAA / 非土耳其的数据保护合规	alterlab-research-ethics	此技能仅涉及 KVKK；国际伦理/隐私技能负责 GDPR/HIPAA
etik kurul（伦理委员会）申请，或需要申请哪个委员会（anket/TİTCK）	alterlab-tr-research-ethics	该技能为土耳其伦理委员会申请提供框架；KVKK-DMP 负责数据保护，而非伦理审查
将已接收的论文/数据存入 Aperta，或为资助方编制 TÜBİTAK 开放科学 VYP（veri yönetim planı / 数据管理计划）	alterlab-aperta	Aperta 负责 TÜBİTAK 开放科学要求及面向资助方的 VYP；KVKK-DMP 仅提供“为何数据不公开”的原则 6 依据
编制 TÜBİTAK ARDEB 1001/1002-A 申请	alterlab-tubitak-proposal	该技能为申请表提供框架；KVKK-DMP 仅用于填写数据保护附件
设计数据收集工具/调查（Qualtrics、REDCap）或问卷	alterlab-survey-design	该技能负责工具设计；KVKK-DMP 负责对所收集数据的合法依据/保留期限进行规范
土耳其 APA-7 / TR Dizin 引用风格或学术写作规范	alterlab-tr-academic-style	这属于写作风格，而非数据保护

如果工作流同时需要资助方 VYP（Aperta）和 KVKK DMP（此处所述），请先编制 KVKK 计划，再将其中关于合法依据/匿名化的判断交给 alterlab-aperta，用于填写开放科学原则 6 的说明。

KVKK DMP 必须解决的六项决策

合规计划应按以下顺序回答这些问题。每项都对应《第 6698 号法律》的具体条款（完整内容见 references/kvkk_articles.md）。

1. 合法依据（第 5 条／第 6 条）。 默认依据是 açık rıza（明确同意）。与 GDPR 第 6 条不同，KVKK 第 5 条没有独立的“科学研究”合法依据——如果不使用同意，处理活动必须符合第 5 条第 2 款列举的替代情形之一（例如，法律义务、合同、数据主体已公开的数据、合法利益）。特殊类别数据（sağlık／健康、遗传、生物识别、宗教信仰等）适用第 6 条，该条禁止处理，但列举的情形除外；主管委员会还可以要求采取适当措施（yeterli önlemler）。

2. 匿名化豁免（第 28 条第 1 款 (b) 项）——主要合规手段。 根据第 28 条第 1 款 (b) 项，为研究、规划和统计目的而匿名化的个人数据不在本法适用范围内。第 28 条第 1 款 (c) 项也对在一定限度内为科学、艺术或文学目的进行的处理给予豁免。这是研究 DMP 中最有力的举措：真正匿名化的数据集可免于同意、VERBIS 和传输限制。 注意：仍可重新识别的数据不属于匿名化数据，也不符合豁免条件——参见 references/anonymization_methods.md。假名化数据仍属于个人数据。

3. 目的终止时的保留与销毁（第 7 条）。 处理原因不再存在时，必须依照 KVKK《删除、销毁或匿名化条例》，依职权或应数据主体请求删除、销毁或匿名化数据（silme／yok etme／anonim hale getirme）。DMP 应说明每类数据的保留期限和销毁方式。

4. 数据主体权利与答复期限（第 13 条）。 控制者必须最迟在三十天内（otuz gün）答复数据主体提出的申请。DMP 应明确联系点和处理程序。

5. 跨境传输（第 9 条，经第 7499 号法律修订——于 2024 年 3 月 12 日刊登在《官方公报》，公报编号 32487；KVKK 条款自 2024 年 6 月 1 日起生效）。 在境外／云端存储数据，需要取得主管委员会作出的充分性决定，或采用列举的保障措施之一（标准合同、具有约束力的公司规则、书面承诺等）。第 7499 号法律修订围绕充分性决定和标准合同重构了第 9 条——不要再使用 2024 年以前“每次传输都需明确同意”的套用条款。标准合同必须在签署后五个工作日内通知主管委员会（第 9 条第 5 款）；只有在不存在充分性决定或保障措施时，明确同意才可作为偶发性（arızi）传输的后备依据，且须事先告知数据主体可能存在的风险（第 9 条第 6 款 (a) 项）。相关程序由 Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik 规定（2024 年 7 月 10 日《官方公报》，编号 32598）。标明任何非土耳其境内的云服务——包括可能接收个人数据、托管于境外的 AI／大模型 API；YÖK 于 2024 年 5 月发布的生成式 AI 伦理指南还指出，除非经过匿名化或掩码处理，否则不得将个人数据输入此类系统。

6. VERBIS 登记（第 16 条）。 控制者必须在处理数据之前向 Veri Sorumluları Sicili（VERBIS——数据控制者登记册）登记，但主管委员会可根据客观标准豁免某些类别。DMP 应记录 VERBIS 状态（已登记／符合标准而获豁免／待处理）及原因。

关于这六项决策在一项示例性问卷调查和健康数据项目中的完整演示，见 references/dmp_walkthrough.md。

如何制定计划

1. 对数据分类。 对于每类数据，判断其属于个人数据还是特殊类别数据（第 6 条），以及是否可识别或（计划）匿名化。

2. 选择应对方式。 如果研究问题可通过匿名化数据回答，则应计划尽早依据第 28(1)(b) 条进行匿名化，并记录所采用的技术及再识别风险评估。否则，选择第 5/6 条规定的合法依据（默认采用明示同意），并说明理由。

3. 将上述六项决定 填入 DMP 的各个部分。

4. 运行脚手架（可选，确定性执行），生成结构化的土耳其语 + 英语 DMP 框架，然后补充完整并审查：

   uv run python skills/turkish-academia/alterlab-kvkk-dmp/scripts/kvkk_dmp_scaffold.py \
       --title "Project title" \
       --basis explicit-consent \
       --special-category health \
       --retention "5 years post-publication" \
       --cross-border none \
       --verbis registered \
       --lang both \
       --out kvkk_dmp.md
   

   脚手架只会根据编码的条款映射生成模板；它不会作出任何法律判定，也不会访问网络。运行 --help 查看所有标志，或运行 --self-check 验证条款编码。

5. 对照 references/kvkk_vs_gdpr.md 审查重复使用的欧盟/GDPR 通用条款，并改写每一项存在差异的条款（无研究依据；匿名化豁免；VERBIS；2024 年传输规则）。

严格规则（不得违反）

• 绝不要声称可再识别的数据集已匿名化。 可再识别的“匿名化”数据不符合第 28 条豁免条件，仍完全属于适用范围。假名化不等于匿名化。
• 不得编造第 5 条规定的“研究”依据。 KVKK 并无此类依据；应采用同意或实际列明的其他依据，或进行匿名化。
• 引用基本金额和计算机制，不要引用过时金额。 KVKK 第 18 条规定的行政罚款每年 1 月按照《税务程序法》（Vergi Usul Kanunu）的重估率重新评定——引用该机制，并提醒用户核实当年金额；不要硬编码 TRY 金额。
• 依赖输出前，须对照现行法律进行核实。 将第 7499 号法律修正案（第 6、9、18 条）标记为最近一次实质性变更：该法于 2024 年 3 月 2 日通过，2024 年 3 月 12 日刊载于《官方公报》（RG 第 32487 号），KVKK 相关条款于 2024 年 6 月 1 日生效（截至 2026-09-23 核查时，仍是 mevzuat.gov.tr 合并文本中的最新修正案）。
• 本技能提供的是合规脚手架，而非法律建议；对于高风险处理，建议由 Veri Sorumlusu / KVKK 专员（或法律顾问）签字确认。

参考资料

• references/kvkk_articles.md — 按条款整理的映射表（第 5、6、7、9、13、16、28 条），包含准确的豁免措辞，来源为第 6698 号法律。
• references/kvkk_vs_gdpr.md — KVKK↔GDPR 对照表：四项会导致欧盟 DMP 通用条款失效的差异（无研究依据、匿名化豁免、VERBIS、2024 年传输规则）。
• references/anonymization_methods.md — 掩码、聚合、泛化（类似 k-匿名），以及会使第 28 条失效的再识别陷阱。
• references/dmp_walkthrough.md — 以一项示例调查和健康数据研究为例，完整演示六项决定，并附有可填写的 DMP 大纲。

一手来源

• 第 6698 号法律（KVKK）全文 — https://www.mevzuat.gov.tr/mevzuatmetin/1.5.6698.pdf
• KVKK 官方英文译本 — https://www.kvkk.gov.tr/Icerik/6649/Personal-Data-Protection-Law
• 《个人数据删除、销毁或匿名化条例》 — https://www.kvkk.gov.tr/Icerik/6636/By-Law-on-Erasure-Destruction-or-Anonymization-of-Personal-Data
• VERBIS（数据控制者登记系统） — https://www.kvkk.gov.tr/Icerik/2043/
• 第 7499 号法律 — 修正第 6、9、18 条（2024 年 3 月 2 日通过；2024 年 3 月 12 日刊载于《官方公报》，RG 第 32487 号 — https://www.resmigazete.gov.tr/eskiler/2024/03/20240312-1.htm；KVKK 相关条款于 2024 年 6 月 1 日生效）
• 《个人数据向国外传输程序与原则条例》 — 2024 年 7 月 10 日《官方公报》，第 32598 号：https://www.resmigazete.gov.tr/eskiler/2024/07/20240710-2.htm

AlterLab Academic Skills 套件的一部分。