KVKK и локализация данных: какие данные должны оставаться в Турции, а какие нет?

«Должны ли наши данные оставаться в Турции?» — один из самых частых вопросов, которые мы слышим в облачных проектах. Обычно ответ звучит так: «Не все, но часть — обязательно». Поправки 2024 года изменили правила трансграничной передачи, и многие передачи, которые компании совершают, даже не замечая этого, теперь влекут за собой обязательства по соблюдению требований. В этой статье мы кратко разбираем, что изменилось, какие данные действительно должны оставаться в Турции, и предлагаем практический архитектурный подход.

Что изменилось в 2024 году?

Закон № 7499, опубликованный в Официальной газете 12 марта 2024 года, полностью переписал статью 9 Закона Турции о защите персональных данных (KVKK). Затем, 10 июля 2024 года, вступил в силу Регламент о порядке и принципах передачи персональных данных за рубеж. Ключевое отличие: передача на основании явного согласия, ранее самый распространенный вариант, после 1 сентября 2024 года больше не является самостоятельным законным основанием для регулярной передачи.

Три пути в рамках нового режима

• Решение об адекватности: Совет признает, что страна или отрасль обеспечивает надлежащий уровень защиты. На момент написания статьи для большинства компаний опираться на этот путь на практике невозможно.
• Надлежащие гарантии: типовой договор, опубликованный Советом, обязательные корпоративные правила или письменное обязательство, одобренное Советом. Для большинства компаний сегодня рабочим вариантом остается типовой договор.
• Разовая передача: узкий путь для нерегулярных, исключительных случаев. Ежедневное использование SaaS-продукта «разовой» передачей не является.

Главное о типовом договоре

• Текст, опубликованный Советом, изменять нельзя — заполняются только пустые поля.
• О договоре необходимо уведомить Управление в течение 5 рабочих дней после того, как его подпишут все стороны. Для такого уведомления Управление предоставляет онлайн-модуль.
• За непредоставление уведомления предусмотрен административный штраф; в 2026 году он составляет от TRY 90,308 до TRY 1,806,377.

Передача происходит чаще, чем кажется

Многие компании уверены, что «не отправляют данные за рубеж», однако инвентаризация показывает иную картину. Если серверы поставщика находятся за границей, каждый из следующих случаев является передачей персональных данных:

• Почтовые и офисные приложения, размещенные за рубежом
• CRM-, HR-, бухгалтерское ПО или системы службы поддержки (SaaS)
• Резервные копии, хранящиеся в регионе за пределами Турции
• Тексты, документы и записи клиентов, отправляемые в ИИ-сервисы
• Инструменты веб-аналитики, рекламы и email-маркетинга

Где локализация обязательна

KVKK не запрещает трансграничную передачу, а лишь ставит ее в зависимость от определенных условий. Реальные требования «хранить только в Турции» исходят из отраслевого регулирования:

• Банковская сфера: правила BDDK обязывают банки размещать основные и резервные информационные системы в Турции.
• Платежные организации и эмитенты электронных денег: правила Центрального банка (TCMB) аналогично требуют размещать информационные системы в Турции.
• Государственные учреждения: Циркуляр Президента № 2019/12 и Руководство по информационной и коммуникационной безопасности требуют хранить критически важные государственные данные в Турции.
• Медицинские данные: как персональные данные особой категории, они требуют дополнительных мер безопасности и подпадают под специальные правила отрасли здравоохранения.

Если вы работаете в одной из этих отраслей или обслуживаете ее компании, то договор с вашим клиентом, скорее всего, тоже содержит требование о размещении данных внутри страны.

Практическая классификация

• Обязательно хранить в Турции: данные, на которые распространяются отраслевые требования; данные клиентов из госсектора; данные клиентов, договор с которыми требует размещения внутри страны.
• Желательно хранить в Турции: персональные данные особой категории (медицинские, биометрические и т. д.), основные клиентские базы данных, кадровые записи.
• Можно обрабатывать за рубежом при наличии гарантий: анонимизированные данные, тестовые данные и данные разработки, бизнес-данные в глобальных SaaS-инструментах, на которые распространяется подписанный типовой договор.

Рекомендация по архитектуре: разделите данные на уровни

Самый здравый подход — это не «всё в Турции» и не «всё в глобальном облаке», а многоуровневая архитектура. Уровень приложений и баз данных, где хранятся персональные данные, остается в Турции. В зарубежные сервисы, такие как ИИ-модели или аналитика, передаются только необходимые данные — в идеале анонимизированные или псевдонимизированные. Так вы пользуетесь гибкостью глобальных сервисов, одновременно сужая объем передачи и связанные с ней риски.

Чек-лист

• Укажите страну размещения каждой системы в реестре персональных данных.
• Определите законное основание (типовой договор и т. д.) для каждого поставщика, передающего данные за рубеж.
• Проверьте, что о подписанных типовых договорах было уведомлено в течение 5 рабочих дней.
• Дополните уведомления о конфиденциальности группами получателей, которым передаются данные.
• Составьте перечень требований к локализации из отраслевого регулирования и договоров с клиентами.
• Включите оценку трансграничной передачи в процесс закупок перед внедрением любого нового SaaS- или ИИ-инструмента.

Размещение данных в Турции с CloudRUX

CloudRUX предоставляет услуги виртуальных серверов, резервного копирования и аварийного восстановления из дата-центров в Турции и имеет сертификат ISO/IEC 27701 по управлению информацией о конфиденциальности. Вместе с вами мы определим, какие данные должны оставаться в Турции, и спроектируем архитектуру с учетом этого. Чтобы получить оценку, напишите нам на info@cloudrux.com.

Эта статья носит общий информационный характер и не является юридической консультацией. По вопросам, касающимся вашей конкретной ситуации, обратитесь к юристу.