حماية البيانات الشخصية والخصوصية

1. مقدمة

في عصر المعلومات، أصبحت البيانات الشخصية مصدراً أساسياً للقوة الاقتصادية والسياسية. إلا أن استخدام هذه القوة دون ضوابط قانونية لحماية خصوصية الأفراد يُخلّ بالتوازن الاجتماعي. في تركيا، القانون رقم 6698 بشأن حماية البيانات الشخصية (KVKK) والمادة 20/3 من الدستورالخصوصية كحق أساسي.

ستتناول هذه المقالة بالتفصيل تعريف البيانات الشخصية، ومبادئ حمايتها، وأساسها القانوني، والانتهاكات التي تمت مواجهتها في الممارسة العملية.

---

2. مفهوم البيانات الشخصية

2.1. التعريف

وفقًا للمادة 3 من قانون حماية البيانات الشخصية (KVKK):

"البيانات الشخصية هي أي معلومات تتعلق بشخص طبيعي محدد أو قابل للتحديد."

يشمل ذلك الاسم، ولقب العائلة، ورقم الهوية الوطنية التركية، ورقم الهاتف، والموقع، والتسجيلات الصوتية، وعنوان IP، والبيانات البيومترية، وحتى تفضيلات التسوق.

2.2. فئات البيانات الخاصة

تنص المادة 6 من قانون حماية البيانات الشخصية التركي (KVKK) على تصنيف البيانات مثل "العرق والصحة والحياة الجنسية والآراء السياسية" على أنها معلومات حساسة وتنص على حماية أكثر صرامة.

---

3. الأساس الدستوري للحق في الخصوصية والسرية

المادة 20/3 من الدستور:

"لكل شخص الحق في طلب حماية بياناته الشخصية."

بفضل هذه المادة، لم تعد الخصوصية مجرد قيمة أخلاقية، بل أصبحت أيضاً حقاً دستورياً .
ويتمثل التزام الدولة في جانبين:

1. تتحمل السلطات العامة مسؤولية سلبية تجاه انتهاكات البيانات

2. إن توفير الإشراف والحماية الفعالين ضد الشركات الخاصة هو التزام إيجابي.

في قرارها رقم 2016/13010، ذكرت المحكمة الدستورية أن "مشاركة البيانات الشخصية دون موافقة تنتهك الحق في الخصوصية".

---

4. المبادئ الأساسية لقانون حماية البيانات الشخصية (KVKK)

وفقًا للمادة 4 من قانون حماية البيانات الشخصية، يجب أن تستند أنشطة معالجة البيانات إلى المبادئ التالية:

1. الالتزام بالقانون ومبدأ الأمانة،

2. كونها دقيقة ومحدثة،

3. المعالجة لأغراض محددة وصريحة ومشروعة،

4. كونها ذات صلة بالغرض الذي وُضعت من أجله، ومحدودة ومتناسبة،

5. الاحتفاظ بها للفترة المنصوص عليها في التشريعات ذات الصلة أو للفترة اللازمة للغرض الذي تمت معالجتها من أجله.

ينبغي اعتبار هذه المبادئ بمثابة "رمز مرجعي" في كل عملية معالجة بيانات.

---

5. شروط معالجة البيانات الشخصية

يجب أن تستند معالجة البيانات إلى أحد الأسس القانونية المحددة في المادتين 5 و6 من قانون حماية البيانات الشخصية (KVKK):

• الموافقة الصريحة،

• منصوص عليه صراحة في القانون،

• إبرام العقد أو تنفيذه،

• الالتزام القانوني لمراقب البيانات،

• إنشاء حق أو ممارسته أو حمايته،

• البيانات التي نشرها الشخص المعني.

أي إجراء يتم اتخاذه دون موافقة صريحة غير قانوني .

---

6. الالتزام بتوفير الإضاءة

يلتزم مراقب البيانات بإبلاغ صاحب البيانات قبل جمعها (المادة 10 من قانون حماية البيانات الشخصية).
ويجب أن يتضمن إشعار المعلومات هوية مراقب البيانات، والغرض من معالجة البيانات، ونقل البيانات، والحقوق التي يمكن ممارستها.

عدم الوفاء بهذا الالتزام غرامات إدارية تصل إلى مليون ليرة تركية .

---

7. أمن البيانات والتدابير التقنية

يجب على مراقبي البيانات اتخاذ التدابير التالية وفقًا للمادة 12 من قانون حماية البيانات الشخصية (KVKK):

• منع الوصول غير المصرح به،

• التشفير والتسجيل،

• نظام التحكم في الوصول،

• تدريب الموظفين،

• خطة الاستجابة للحوادث الإلكترونية.

إذا لم يتم اتخاذ هذه الإجراءات وحدث اختراق للبيانات، يجوز للمجلس فرض عقوبات وإجراء عمليات تدقيق.

---

8. خرق البيانات والتزام الإبلاغ

في حالة حدوث اختراق للبيانات،

• إلى مجلس الإدارة في غضون 72 ساعة,

• الشخص المعني في أسرع وقت ممكن
  (المادة 12/5).

تم تغريم المؤسسات التي لم تقدم تقاريرها ما بين 750,000 و 2,500,000 ليرة تركية في المتوسط ​​بين عامي 2024 و 2025

---

9. الالتزام بإخفاء الهوية وحذف البيانات

عند انتهاء الغرض من معالجة البيانات، يجب حذف البيانات الشخصية أو إتلافها أو إخفاء هويتها (المادة 7). وتُحدد هذه العملية بموجب وثيقة " سياسة تخزين البيانات وإتلافها ". وقد أكد المجلس في قراره رقم 2023/310 على أن "إخفاء الهوية يجب أن يكون غير قابل للعكس".

---

10. اتفاقيات نقل البيانات والخصوصية

عند نقل البيانات الشخصية إلى أطراف ثالثة، يُشترط وجود اتفاقية مكتوبة.
يجب أن تتضمن الاتفاقية ما يلي:

• الغرض من المعالجة ومدتها،

• مسؤوليات الأطراف،

• إجراءات أمن البيانات،

• إجراءات الإبلاغ عن المخالفات.

بالنسبة لعمليات نقل البيانات إلى الخارج، يلزم الحصول على إذن من المجلس أو قائمة بالدول التي توفر حماية كافية بموجب المادة 9 من قانون حماية البيانات الشخصية (KVKK).

---

11. التمييز بين المؤسسات العامة والقطاع الخاص

تخضع المؤسسات العامة أيضاً لقانون حماية البيانات الشخصية (KVKK)؛ إلا أن "الأنشطة الأمنية والقضائية" تُستثنى من ذلك. أما في القطاع الخاص، فالالتزامات أشدّ، لا سيما في قطاعات البنوك والتأمين والتجارة الإلكترونية والرعاية الصحية. بالنسبة للبنوك، تُطبّق إرشادات هيئة تنظيم ومراقبة البنوك (BDDK) وقانون حماية البيانات الشخصية (KVKK) ، بينما يُطبّق دليل بيانات الصحة في قطاع الرعاية الصحية

---

12. اللائحة العامة لحماية البيانات والمقارنة الدولية

12.1. الاتحاد الأوروبي (اللائحة العامة لحماية البيانات)

وضع نظام حماية البيانات العامة (GDPR) التابع للاتحاد الأوروبي معايير عالمية.
وقد أعدت تركيا مسودة مراجعة لقانون حماية البيانات الشخصية (KVKK) لتقريبه من هذا الإطار بحلول عام 2025.

12.2. الولايات المتحدة الأمريكية

لا يوجد قانون اتحادي لحماية البيانات في الولايات المتحدة؛ بل يتم تطبيق اللوائح القائمة على مستوى الولايات (CCPA).

12.3. موقع تركيا

أنشأت تركيا تطبيقًا نموذجيًا في منطقتها من خلال قانون حماية البيانات الشخصية (KVKK) ونظام تسجيل البيانات والمعلومات (VERBİS)؛ ومع ذلك، لا تزال هناك حاجة إلى التحديث فيما يتعلق بـ "نقل البيانات الدولي وإنشاء الملفات الشخصية".

---

13. نهج الإنصاف والعدالة

تعتبر المحكمة العليا والمحكمة الدستورية انتهاكات البيانات الشخصية بمثابة "انتهاكات للحقوق الشخصية".

• المحكمة العليا، الدائرة المدنية الرابعة، القضية رقم 2020/3106: "يشكل تبادل البيانات غير المصرح به أساساً للتعويض عن الأضرار المعنوية".

• قرار المحكمة الدستورية رقم 2018/14884: "يقتصر رصد أصحاب العمل لرسائل البريد الإلكتروني للموظفين على الأغراض المشروعة والتناسب".

يتطلب مبدأ الإنصاف من مراقب البيانات تحقيق التوازن بين التدابير الوقائية وخصوصية الفرد.

---

14. العقوبات والجزاءات الإدارية

يمكن تلخيص العقوبات المفروضة في عام 2025 بموجب المادة 18 من قانون حماية البيانات الشخصية على النحو التالي:

بالإضافة إلى ذلك، قد تنشأ المسؤولية الجنائية بموجب المواد 136-138 من قانون العقوبات التركي بسبب اختراق البيانات

---

15. الخاتمة والتقييم

تُعدّ حماية البيانات الشخصية ضمانةً للحرية والكرامة الفردية في الديمقراطيات الحديثة. في تركيا، وبفضل قانون حماية البيانات الشخصية (KVKK)، لم تعد الخصوصية مفهوماً نظرياً، بل أصبحت حقاً مكفولاً قانونياً

ختاماً:

• يجب على مراقبي البيانات معالجة البيانات بشفافية وتناسب.

• يجب حذف البيانات الشخصية عند انتهاء الغرض من معالجتها.

• يجب الإبلاغ عن خروقات البيانات في غضون 72 ساعة.

• يُعدّ إخفاء الهوية وسياسات الموافقة الصريحة أمراً إلزامياً.

• إن الخصوصية ليست مجرد التزام تقني، بل هي أيضاً التزام أخلاقي.