Полны ли отчеты о соответствии GDPR и регистрации в VERBİS? Какие юридические проблемы могут возникнуть у инвесторов в связи с выявленными недостатками?

ВХОД

Защита персональных данных — это не только право, гарантирующее неприкосновенность частной жизни, но и стратегически важная обязанность для предприятий на корпоративном уровне с точки зрения их правовой, технической и коммерческой репутации. В этом контексте отчеты о соответствии, перечни обработки персональных данных, информационные тексты и, что наиболее важно, регистрации VERBİS, подготовленные в соответствии с Законом № 6698 о защите персональных данных (KVKK), играют центральную роль в оценке рисков компании инвесторами. Итак, какие юридические проблемы могут возникнуть у инвесторов из-за недостатков или несоответствий в этих документах? Приводят ли эти недостатки только к денежным штрафам, или же они могут стать началом более масштабной цепочки юридических рисков? В данной статье подробно рассматривается, как следует анализировать отчеты о соответствии KVKK и регистрации VERBİS в процессе комплексной проверки, какие риски могут возникнуть из-за недостатков, приводятся примеры из практики и какие меры могут предпринять инвесторы и компании.

---

1. Теоретическая основа: Что такое отчеты о соответствии GDPR и VERBİS?

1.1. Отчеты о соответствии GDPR

Отчеты о соответствии, подготовленные в ходе процесса проверки соблюдения Закона о защите персональных данных (KVKK), информируют компанию о следующем:

• Оно отслеживало действия по обработке персональных данных

• Он проанализировал правовые и технические обязательства

• Он разработал структуру информационных текстов и процедуры получения явного согласия

• Выявляя риски и уязвимости, система предлагает решения

Это подробный юридическо-технический документ. Такие отчеты обычно готовятся в сотрудничестве с юридическими и ИТ-консалтинговыми фирмами.

1.2. Регистрация VERBIS

VERBİS (Система регистрации контролеров данных) — это система регистрации, управляемая Управлением по защите персональных данных. Контролеры данных, имеющие более 50 сотрудников или годовой балансовый доход которых превышает 25 миллионов турецких лир, обязаны указывать в этой системе категории своих данных, группы субъектов данных, цели обработки и сроки хранения.

---

2. Обзор этапов процесса комплексной проверки

Перед принятием инвестиционного решения необходимо оценить соответствие требованиям GDPR, используя следующие шаги:

---

3. Риски, возникающие из-за недостатков с точки зрения инвестора

3.1. Административные штрафы

Штрафы, наложенные учреждением по состоянию на 2024 год:

• Несоблюдение требований регистрации в VERBİS: штраф до 149 000 турецких лир

• Нарушение обязанности предоставлять информацию: до 596 000 турецких лир

• Несоблюдение мер по обеспечению безопасности данных: штраф до 1 966 000 турецких лир

Если такие штрафы возникают после инвестирования, они могут напрямую привести к убыткам для инвестора.

3.2. Заявления о компенсации

Лица, чьи персональные данные были обработаны, могут подать иск о возмещении как материального, так и морального ущерба. Инвестор также принимает на себя прошлые обязательства компании, которую он приобретает.

3.3. Утрата репутации

Поскольку решения совета директоров становятся достоянием общественности, неизбежно, что компания, оштрафованная за утечку данных, понесет маркетинговые и репутационные потери.

3.4. Проблемы международной гармонизации

Если страна инвестора или фонд подпадают под действие GDPR, несоблюдение правил GDPR может дать фонду право расторгнуть договор. В таких инвестиционных отношениях обычно предполагается «соблюдение требований GDPR в отношении данных».

---

4. Примеры из практики

4.1. Пример из практики 1: Технологическая компания без регистрации в VERBİS

Пример: Программный стартап получил инвестиции от венчурной компании для своего фонда развития. В ходе комплексной проверки выяснилось, что компания никогда не была зарегистрирована в VERBİS (турецкой национальной системе медицинской информации), а ее инвентаризация персональных данных хранилась в формате Excel и была устаревшей.

Результат: Инвестор поставил условие реструктуризации компании, снизив ее оценочную стоимость на 15%. Процесс был скорректирован после уведомления учреждения, но инвестиции были отложены на 8 месяцев.

---

4.2. Пример 2: Недостаток информации и наказание

Дело: Компания, управляющая розничной сетью, получала от клиентов согласие на использование банковских карт только в устной форме, не предоставляя письменного согласия и информационного текста. После жалобы в организацию была проведена проверка.

Результат: Был наложен административный штраф в размере 950 000 турецких лир. Хотя компания утверждала, что это обязательство относится к предыдущему периоду управления, среди инвесторов возник кризис доверия. Инвесторы потребовали залог.

---

5. Что должен сделать инвестор?

5.1. Запросите подробную проверку соответствия требованиям GDPR

• Необходимо поставить под сомнение само существование и объем отчета о соответствии требованиям

• Записи VERBİS следует сверить с данными системы

• Документы, включенные в инвентарный список (VERBİS), следует сравнить

• Образцы информированного согласия должны быть предоставлены

5.2. В договор следует добавить специальные положения

• Гарантия "Обязательства VERBİS выполнены"

• Чёткое обязательство, что прошлые нарушения не повлияют на инвестора

• Пункт о штрафных санкциях за ущерб, который может возникнуть в результате нарушения Закона о защите персональных данных (KVKK)

---

6. Что должны делать компании?

6.1. Документирование процесса обеспечения соответствия GDPR

• Документы, создаваемые на каждом этапе, должны быть подкреплены политиками и процедурами

• Необходимо фиксировать отчеты внутреннего аудита и даты их обновления

• Информация, введенная в VERBİS, должна точно соответствовать внутреннему инвентарному учету компании

6.2. Обеспечение дисциплины в обучении и применении полученных знаний

• Сотрудники должны пройти обучение по защите данных

• Для каждой новой операции по обработке данных необходимо подготовить обновленное информационное уведомление

• Процессы, требующие явного согласия, следует автоматизировать

---

ЗАКЛЮЧЕНИЕ

Соблюдение Закона о защите персональных данных (KVKK) — это не только юридическое обязательство, но и стратегический критерий аудита, напрямую влияющий на риск, принимаемый инвестором. Компания, не прошедшая регистрацию в VERBİS, имеющая неполный отчет о соответствии и устаревшую информацию, создает образ, не внушающий доверия инвестору.

Оперативное и прозрачное устранение этих недостатков в процессе комплексной проверки открывает путь для инвестиций. В противном случае, как юридические санкции, так и потеря доверия инвесторов могут привести к последствиям, которые будет трудно исправить.

Гамзе Акбулут, студентка юридического факультета