mcpField
T
turkey-kvkk

turkey-kvkk

github.com/mukul975安全32337 次安装32 周前更新
代码仓库

关于 turkey-kvkk

面向处理土耳其个人数据的组织，梳理 KVKK 的处理依据、敏感数据、VERBIS 登记、跨境传输及数据主体权利等要求。

主要功能

  1. 01梳理个人数据处理依据
  2. 02说明敏感数据处理规则
  3. 03整理 VERBIS 登记要求
  4. 04概述跨境传输机制
  5. 05汇总数据主体权利

适用场景

  1. 01评估土耳其数据处理合规情况
  2. 02准备 VERBIS 登记所需信息
  3. 03审查土耳其与欧盟间数据传输

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/privacy-data-protection-skills --skill turkey-kvkk

安装后在 Claude Code 中输入/turkey-kvkk确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

assets/
template.md
references/
standards.md
workflows.md
scripts/
process.py

详细介绍

土耳其 KVKK 合规

概述

《个人数据保护法》（Kisisel Verilerin Korunmasi Kanunu，KVKK），即第 6698 号法律，是土耳其全面的个人数据保护法律。该法于 2016 年 4 月 7 日在《官方公报》上公布，并于同日生效。KVKK 以欧盟《数据保护指令》95/46/EC 为蓝本，在结构上与 GDPR 有相似之处，但在跨境传输机制、同意要求以及个人数据保护局（Kisisel Verileri Koruma Kurumu，KVKK Authority）及其决策机构个人数据保护委员会（Kurul）的职责方面存在显著差异。

土耳其于 1987 年申请加入欧盟，KVKK 的制定部分是为了与欧盟数据保护标准保持一致。不过，根据 GDPR 第 45 条，欧盟委员会尚未对土耳其作出充分性决定，这使欧盟与土耳其之间的数据流动变得复杂。

关键定义

土耳其语术语英文GDPR 对应术语
Kisisel veri个人数据个人数据（第 4(1) 条）
Ozel nitelikli kisisel veri特殊类别个人数据特殊类别数据（第 9 条）
Veri sorumlusu数据控制者控制者（第 4(7) 条）
Veri isleyen数据处理者处理者（第 4(8) 条）
Ilgili kisi数据主体／相关人员数据主体
Acik riza明确同意同意
VERBIS数据控制者登记册无直接对应项（登记系统）

合法处理依据（第 5 条）

除以下情形外，未经数据主体明确同意，不得处理个人数据：

  1. 法律明确规定 — 法律法规明确规定了该处理行为
  2. 为保护生命或人身完整性所必需 — 数据主体或他人在身体上或法律上无法表达同意时
  3. 为履行合同所必需 — 与订立或履行合同直接相关
  4. 为控制者履行法律义务所必需
  5. 数据主体已公开的数据 — 数据主体已明确将其公开
  6. 为确立、行使或维护权利所必需
  7. 为控制者的合法利益所必需 — 前提是该处理不侵犯数据主体的基本权利和自由

特殊类别数据（第 6 条）

特殊类别数据包括：种族、民族出身、政治观点、哲学信仰、宗教、教派或其他信仰、外表和着装、协会／基金会／工会成员身份、健康状况、性生活、刑事定罪和安全措施，以及生物识别和遗传数据。

处理此类数据需要满足以下任一条件：

  • 获得数据主体的明确同意；或
  • 法律明确授权（健康和性生活数据除外）
  • 对于健康和性生活数据：由负有保密义务的人员或经授权机构处理，且处理目的为公共卫生、预防医学、医学诊断、治疗、护理或健康服务管理

VERBIS — 数据控制者登记册

达到登记门槛的所有数据控制者都必须在 VERBIS（Veri Sorumlulari Sicil Bilgi Sistemi）登记。登记时须披露：

  • 数据控制者及其代表的身份和联系信息
  • 数据处理目的
  • 数据主体和个人数据的类别
  • 接收方或接收方类别
  • 向境外传输的个人数据及传输保障措施
  • 最长保留期限
  • 采取的安全措施

VERBIS 豁免情形：委员会已豁免某些类别，包括依法处理数据的数据控制者、员工少于 50 人且年营业额低于 1 亿 TRY 的数据控制者（前提是其核心业务并非处理特殊类别数据），以及公证人。

跨境传输（第 9 条）

向国外传输个人数据需要满足以下条件：

  1. 数据主体的明确同意，或
  2. 满足第 5(2) 条或第 6(3) 条中的一项条件，并且满足以下条件之一：
    • 接收方所在国家/地区具备充分保护（由委员会认定——截至 2026 年，委员会尚未公布充分保护国家/地区名单）
    • 土耳其境内外的数据控制者以书面形式提供充分保护，并获得委员会许可
    • 经委员会批准的约束性公司规则

2024 年修正案：KVKK 于 2024 年 3 月修订，引入新的跨境传输机制，包括标准合同条款和充分性决定，使其与 GDPR 第 V 章更加接近；过渡条款的期限延长至 2024 年 9 月 1 日。

数据主体权利（第 11 条）

数据主体有权：

  1. 了解其个人数据是否正在被处理
  2. 如果个人数据已被处理，请求了解相关处理信息
  3. 了解处理目的，以及数据是否按照该目的使用
  4. 了解个人数据在境内或境外传输给了哪些第三方
  5. 请求更正不完整或不准确的数据
  6. 根据第 7 条请求删除或销毁个人数据
  7. 请求将更正或删除情况通知第三方
  8. 对仅通过自动化系统分析处理数据而产生、对其不利的结果提出异议
  9. 就违法处理造成的损害要求赔偿

执法与处罚

个人数据保护委员会可处以行政罚款：

  • 未履行告知义务（第 10 条）：5,000 至 1,000,000 TRY
  • 未履行数据安全义务（第 12 条）：15,000 至 1,000,000 TRY
  • 未遵守委员会决定（第 15 条）：25,000 至 1,000,000 TRY
  • 未在 VERBIS 注册（第 16 条）：20,000 至 1,000,000 TRY

罚款金额根据重估率每年调整。

委员会重要决定

  • 决定 2019/78：明确同意指南——同意必须是自愿、知情、具体的，并明确表达意愿
  • 决定 2019/10：数据控制者与数据处理者的区分——明确了各自的责任和合同要求
  • 决定 2020/915：Cookie 同意要求——使用非必要 Cookie 前必须事先获得同意
  • 决定 2022/1：2024 年修正案出台前的跨境传输评估标准

集成要点

  • cross-border transfers：KVKK 第 9 条的传输机制与 GDPR 第 V 章在欧盟与土耳其之间的数据流转中相互作用
  • vendor-privacy-due-diligence：数据处理者协议必须包含第 12 条规定的安全义务
  • breach-72h-notification：KVKK 第 12(5) 条要求“尽快”通知委员会（委员会指南建议在 72 小时内通知）
  • data-inventory-mapping：VERBIS 注册需要提供全面的处理活动清单

评论

支持 Markdown