- Adaptation de la loi turque sur la protection des données (loi n° 6698) au 1er juin 2024 : les transferts à l’étranger sont désormais régis par une décision d’adéquation, des garanties appropriées (TK-SCC/BCR) ou des cas d’exception.
- Les CCCT doivent être déclarées dans les cinq jours suivant leur conclusion ainsi que l’adhésion, la modification ou la cessation ; les consentements comme base juridique primaire ont été supprimés.
La législation turque en matière de protection des données est principalement rédigée dans la “loi sur la protection des données à caractère personnel” (loi n° 6698). En mars 2024, cette loi a été complètement réviséentre autres pour l’adapter au RGPD. Les adaptations concernent entre autres Transmission de données personnelles de la Turquie vers d’autres pays. Un tel transfert est autorisé
- dans les pays où une décision d’adéquation a été prise (une liste n’est pas encore disponible, mais les décisions d’adéquation devront être publiées au Journal officiel) ;
- sur la base de garanties appropriées telles que des contrats types ou des BCR (des lignes directrices ont été publiées sur ces dernières) ;
- dans certains cas exceptionnels (en substance, l’art. 17 LPD ou l’art. 49 RGPD correspondant).
Le site Contrats types de l’autorité turque de surveillance de la protection des données (le KVKKLes SCC (TK-SCC) ont une structure presque identique à celle des SCC de la Commission européenne. Ils utilisent également les quatre modules connus, mais chacun en tant que contrat séparé. Il existe toutefois diverses différences, raison pour laquelle les CCC de l’UE ne peuvent pas être utilisés pour les exportations de la Turquie. Contrairement à l’ancienne législation, l’utilisation des CCC turcs ne doit plus être approuvée par l’autorité de surveillance. Elle doit cependant lui fournir déclarés dans les cinq jours suivant la clôture dans le cas contraire, une amende peut être infligée. L’adhésion, la modification et la résiliation de la CT-SCC doivent également être déclarées.
Les modifications sont entrées en vigueur le 1er juin 2024. Les réglementations existantes concernant le transfert de données sont restées en vigueur jusqu’au 1er septembre 2024 mais sont désormais caduques – il en va apparemment de même pour le consentement explicite, qui constituait jusqu’à présent une base plus solide pour les transmissions à l’étranger. Les importateurs en dehors de la Turquie ont été et sont invités en conséquence par les prestataires de services turcs et d’autres exportateurs à Conclure un CCT-SCC. Il convient également d’adapter les accords Intragroupe de transfert de données/protection des données (IGDTA ; IDPA).
Un autre changement concerne Traitement des données personnelles sensibles (la définition correspondant plus ou moins à celle du RGPD, mais étant plus large – les informations relatives à l’habillement ou à l’apparence physique ou à l’appartenance à une association ou à une fondation sont également couvertes). Selon l’ancien droit, un consentement explicite était généralement requis ; désormais, l’obligation légale de traitement suffit notamment et le traitement par les fondations, les associations et les ONG a été facilité.