KVKK وتوطين البيانات: ما البيانات التي يجب أن تبقى في تركيا وما التي لا يلزم؟

«هل يجب أن تبقى بياناتنا في تركيا؟» من أكثر الأسئلة التي نسمعها في مشاريع الحوسبة السحابية. والإجابة عادةً: «ليس كلها، لكن بعضها يجب أن يبقى حتمًا». فقد غيّر تعديل عام 2024 قواعد النقل إلى الخارج، وباتت عمليات نقل كثيرة تجريها الشركات دون أن تنتبه تحمل عبئًا على صعيد الامتثال. يلخّص هذا المقال ما الذي تغيّر، وأي البيانات يجب فعلًا أن تبقى في تركيا، ونهجًا عمليًا لتصميم البنية.

ما الذي تغيّر في عام 2024؟

أعاد القانون رقم 7499، المنشور في الجريدة الرسمية في 12 مارس 2024، صياغة المادة 9 من قانون حماية البيانات الشخصية التركي (KVKK). ثم دخلت لائحة إجراءات ومبادئ نقل البيانات الشخصية إلى الخارج حيّز التنفيذ في 10 يوليو 2024. والفارق الجوهري: النقل المستند إلى الموافقة الصريحة، الذي كان أكثر المسارات شيوعًا، لم يعد بعد 1 سبتمبر 2024 أساسًا مستقلًا صالحًا لعمليات النقل المنتظمة.

ثلاثة مسارات في ظل النظام الجديد

• قرار الكفاية: يقرر المجلس أن دولة أو قطاعًا ما يوفّر حماية كافية. وحتى تاريخ كتابة هذا المقال، لا يُعدّ الاعتماد على هذا المسار عمليًا لمعظم الشركات.
• الضمانات المناسبة: العقد النموذجي الذي ينشره المجلس، أو القواعد المؤسسية الملزمة، أو تعهّد كتابي يعتمده المجلس. والعقد النموذجي هو المسار المجدي لمعظم الشركات اليوم.
• النقل العرضي: مسار ضيق للحالات غير المنتظمة والاستثنائية. واستخدام منتج SaaS يوميًا ليس أمرًا «عرضيًا».

أساسيات العقد النموذجي

• لا يجوز تعديل النص الذي ينشره المجلس؛ تُملأ الحقول الفارغة فقط.
• يجب إخطار الهيئة بالعقد خلال 5 أيام عمل من اكتمال جميع التوقيعات. وتوفّر الهيئة وحدة إلكترونية لهذا الإخطار.
• يترتب على عدم الإخطار غرامة إدارية تتراوح لعام 2026 بين TRY 90,308 وTRY 1,806,377.

النقل يحدث أكثر مما تظن

تقول شركات كثيرة «نحن لا نرسل بيانات إلى الخارج»، لكن الجرد يروي قصة مختلفة. يُعدّ كل مما يلي نقلًا للبيانات الشخصية إذا كانت خوادم المزوّد خارج البلاد:

• تطبيقات البريد الإلكتروني والمكتب المستضافة في الخارج
• برمجيات إدارة علاقات العملاء أو الموارد البشرية أو المحاسبة أو مكتب الدعم (SaaS)
• النسخ الاحتياطية المخزّنة في منطقة خارج تركيا
• نصوص العملاء ومستنداتهم وسجلاتهم المرسلة إلى خدمات الذكاء الاصطناعي
• أدوات تحليلات الويب والإعلانات والتسويق عبر البريد الإلكتروني

متى يكون التوطين إلزاميًا؟

لا يحظر KVKK النقل إلى الخارج، بل يجعله مشروطًا. أما المتطلبات الفعلية لـ«البقاء في تركيا» فتأتي من اللوائح القطاعية:

• القطاع المصرفي: تُلزم قواعد BDDK البنوك بالاحتفاظ بأنظمة المعلومات الأساسية والثانوية داخل تركيا.
• مؤسسات الدفع والنقود الإلكترونية: تُلزم قواعد البنك المركزي (TCMB) بالمثل بالاحتفاظ بأنظمة المعلومات داخل تركيا.
• المؤسسات العامة: يُلزم التعميم الرئاسي رقم 2019/12 ودليل أمن المعلومات والاتصالات بالاحتفاظ بالبيانات العامة الحرجة داخل تركيا.
• البيانات الصحية: بوصفها بيانات شخصية من فئة خاصة، فإنها تستوجب تدابير أمنية إضافية وقواعد خاصة بالقطاع الصحي.

إذا كنت تعمل في أحد هذه القطاعات أو تخدمه، فمن المرجّح جدًا أن يتضمن عقد عميلك أيضًا شرط الاستضافة المحلية.

تصنيف عملي

• يجب أن تبقى في تركيا: البيانات الخاضعة لمتطلبات قطاعية؛ والبيانات العائدة لعملاء القطاع العام؛ وبيانات العملاء التي تشترط عقودهم الاستضافة المحلية.
• يُستحسن أن تبقى في تركيا: البيانات الشخصية من الفئة الخاصة (الصحية والبيومترية وغيرها)، وقواعد بيانات العملاء الأساسية، وسجلات الموظفين.
• يمكن معالجتها في الخارج مع ضمانات: البيانات المجهّلة، وبيانات الاختبار والتطوير، وبيانات الأعمال في أدوات SaaS العالمية المشمولة بعقد نموذجي موقّع.

توصية معمارية: قسّم بياناتك إلى طبقات

النهج الأسلم ليس «كل شيء في تركيا» ولا «كل شيء في سحابة عالمية»، بل بنية متعددة الطبقات. تبقى طبقة التطبيقات وقواعد البيانات التي تحتوي على البيانات الشخصية في تركيا، ولا يُرسل إلى الخدمات الخارجية، كنماذج الذكاء الاصطناعي أو التحليلات، إلا ما تدعو إليه الحاجة من بيانات، ويُفضّل أن تكون مجهّلة أو مستعارة الهوية. وبذلك تستفيد من مرونة الخدمات العالمية مع تضييق نطاق النقل ومخاطره.

قائمة التحقق

• حدّد بلد الاستضافة لكل نظام في جرد بياناتك الشخصية.
• حدّد الأساس القانوني (العقد النموذجي وغيره) لكل مزوّد ينقل البيانات إلى الخارج.
• تحقّق من أن العقود النموذجية الموقّعة قد أُخطرت بها الهيئة خلال 5 أيام عمل.
• حدّث إشعارات الخصوصية لديك بفئات الجهات المتلقية التي تُنقل إليها البيانات.
• اجمع متطلبات التوطين الواردة في اللوائح القطاعية وعقود العملاء في قائمة واحدة.
• أضف تقييمًا للنقل إلى إجراءات الشراء قبل اعتماد أي أداة SaaS أو ذكاء اصطناعي جديدة.

الاستضافة المحلية مع CloudRUX

تقدّم CloudRUX خدمات الخوادم الافتراضية والنسخ الاحتياطي والتعافي من الكوارث من مراكز بيانات في تركيا، وتحمل شهادة ISO/IEC 27701 لإدارة معلومات الخصوصية. يمكننا أن نصنّف معًا أي بياناتك يجب أن تبقى في تركيا وأن نصمّم بنيتك على هذا الأساس. تواصل معنا على info@cloudrux.com للحصول على تقييم.

هذا المقال لأغراض المعلومات العامة ولا يُعدّ استشارة قانونية. يُرجى استشارة مستشار قانوني بشأن وضعك الخاص.