数据传输到国外有哪些法律规定？未经授权的数据传输是否构成犯罪？

入口

在当今快速数字化的世界中，企业业务流程不再局限于国界之内，而是日益全球化。这种全球化必然导致个人数据跨境传输。然而，根据土耳其《个人数据保护法》（KVKK）和欧盟《通用数据保护条例》（GDPR），此类传输过程涉及诸多重要义务。本文将探讨数据控制者在跨境传输数据时必须遵守的规则，以及未经授权传输可能导致的刑事和行政处罚，并通过一个虚构的案例研究进行实践分析。.

---

一、境外数据传输的定义

根据土耳其《个人数据保护法》（KVKK）第9条，个人数据境外传输是指将数据传输给土耳其共和国境外的自然人或法人。这种传输可以直接进行（例如通过电子邮件、FTP等），也可以间接进行（例如通过云服务提供商、服务器位置等）。.

---

二、向境外传输数据的条件

根据土耳其个人数据保护法（KVKK），数据传输到国外必须满足三个主要条件：

1. 明确同意或法律例外

根据土耳其《个人数据保护法》（KVKK），未经数据主体明确同意，数据传输至境外仅在法律规定的情况下才有可能。这些情况在KVKK第5条和第6条中进行了严格列举（例如，为履行合同所必需，为确立权利所必需等）。.

2. 已采取充分的防护措施

如果数据传输到个人数据保护委员会公布的安全国家名单中的国家，则无需数据主体的明确同意即可进行数据传输。.

然而，截至目前，数据保护委员会尚未公布官方的安全国家名单。这实际上迫使数据控制者更加谨慎。.

3. 承诺书和董事会批准

对于向无法提供充分保护的国家/地区传输数据的情况：

• 数据控制者和数据接收者之间必须签署一份经董事会批准的承诺书。

• 还需获得董事会批准。.

---

三、未经明确同意的转让及其构成犯罪

1. 根据《个人数据保护法》（KVKK）进行的行政处罚

根据《个人数据保护法》（KVKK）第18条规定，未经数据主体明确同意或以违反委员会规定的程序的方式传输数据，将处以行政罚款。到2025年，这些罚款总额可能高达数百万土耳其里拉。.

2. 根据土耳其刑法典承​​担的刑事责任

根据土耳其刑法典第 136 条规定，非法将个人数据传输到国外的数据控制者可被判处一至四年有期徒刑。.

此类犯罪的实施者不仅包括法人实体，还包括董事个人。尤其值得注意的是，未能采取数据安全措施的董事会成员可能要承担个人责任。.

---

四、实践中遇到的问题

• 委员会未制定安全国家名单。

云服务常用于数据传输，而这些服务大多位于美国。然而，由于土耳其不将美国视为“安全国家”，因此企业未经董事会批准不得向​​这些服务发送数据。.

• 错误地获取明确同意

通过诸如“您的数据可能会在国外处理”之类的笼统声明获得的同意无效。明确的同意必须是具体的、知情的且自愿的。.

---

V. 虚构案例研究：F有限公司的错误

一家名为F有限公司的软件公司已将其客户支持服务外包给印度的一家呼叫中心。然而，该公司与该呼叫中心签订的合同中并未包含符合土耳其《个人数据保护法》（KVKK）的承诺声明。此外，该公司也未就数据传输至境外征得客户的明确同意。.

一名呼叫中心员工泄露了一些客户数据，此事随即被公之于众。一名客户向个人数据保护机构投诉，声称其个人数据被非法转移到国外。.

法律后果：

• 由于违反了《个人数据保护法》（KVKK），委员会对 F 有限公司处以 1,200,000 土耳其里拉的行政罚款。.

• 由于数据泄露，客户还提起了精神损害赔偿诉讼。.

• 董事会还向检察院提起刑事诉讼；根据土耳其刑法典第 136 条，已对该公司高管启动刑事诉讼程序。.

---

六、采购公司的责任

数据传输的另一个方面是公司收购或合并中买方的责任。如果被收购公司有非法数据传输的历史，收购公司也可能面临经济和刑事责任。.

---

七、协调建议

公司在数据传输过程中需要采取以下步骤：

• 应编制数据清单，并确定要向国外传输的数据类型。.

• 同意书应进行更新，并提供具体信息。.

• 如果转让国家需要董事会批准，则必须准备一份承诺书，并按照相应程序进行操作。.

• 应与处理数据传输的第三方公司签订保密协议。.

---

结论

将个人数据传输到国外不仅是一个技术问题，更是一个严肃的法律程序。不遵守《个人数据保护法》（KVKK）及相关法规可能导致公司面临高额罚款和刑事责任。依法行事不仅是公司的义务，也是维护公司声誉和客户信任的必要之举。.

法学院学生 Gamze Akbulut