튀르키예에서 개인정보를 처리하고 EU에 재화·서비스를 제공한다면 KVKK와 GDPR이 병행 적용됩니다. 이 결함 보고서는 각 의무에 비추어 현재 위치를 나란히 제시하고, 심각도를 채점하며, 각 갭을 닫을 담당과 기한을 지정합니다.
보고서 템플릿 다운로드튀르키예에서 개인정보를 처리하면서 EU에 재화·서비스를 제공하는 회사는 KVKK(제6698호)와 GDPR에 동시에 걸립니다. 두 규범은 대부분의 원칙에서 일치하지만, 결함을 낳는 세부에서 갈립니다: 이전 수단, 등록부, 침해 시한, 대리인.
두 개의 감사를 따로 돌리면 한 규범의 수정이 다른 규범을 깨뜨리기 쉽습니다 — GDPR상 유효하지만 튀르키예 개인정보보호위원회(KVK 위원회)에 통지된 적 없는 이전 방안, 또는 GDPR 고지를 담지 않은 튀르키예 고지문처럼요. 하나의 결함 보고서는 두 열을 하나의 처리 목록에 대응시킵니다.
목적은 완벽함을 증명하는 것이 아니라, 각 갭에 날짜와 담당을 적어 스스로 평가했음을 보이는 것입니다. 이 자기평가 기록은 KVK 위원회와 EU 감독기관이 가장 먼저 요구하는 문서입니다. 책임성 자체가 하나의 의무이기 때문입니다.
| 영역 | KVKK (제6698호) | GDPR (2016/679) |
|---|---|---|
| 고지(투명성) | 제10조 | 제13-14조 |
| 적법 근거 | 제5-6조 (명시적 동의 / 예외) | 제6·9조 |
| 보안 | 제12조 + 위원회 결정 | 제32조 |
| 기록 | VERBİS 등록 | 제30조 기록 |
| 국외 이전 | 제9조 — 적정성; 5영업일 내 위원회에 통지하는 표준계약; 위원회 승인 BCR 또는 위원회 허가 서약; 비정기 이전 예외 | 제44-49조 (적정성 / SCC / BCR / 예외) |
| 침해 | 제12조 제5항 — KVK 위원회(위원회 결정상 72시간) 및 정보주체에 통지 | 제33-34조 (감독기관 72시간) |
| 정보주체 권리 | 제11조 신청; 30일 회신 | 제3장; 1개월 |
| 프로세서 | veri işleyen — 서면 지시 | 제28조 DPA (여덟 조항) |
| 대리인 | 국외 컨트롤러: VERBİS + 대리인 | 제27조 EU 대리인 |
| 영향평가 | 일반적 법정 의무 아님 | 제35조 DPIA (고위험) |
조항은 KVKK 제9조 2024년 개정을 포함해 이 페이지 작성 시점의 조문을 반영합니다. 현행 조문과 대조하세요.
열 개 영역, 각 규범·심각도로 채점하고 담당과 기한을 지정합니다. 텍스트를 복사하거나 markdown으로 내려받으세요. 회원 가입이 필요 없습니다.
# KVKK + GDPR 결함(갭) 보고서 문서 코드: COMP-GAP-01 · 버전 1.0 · 분류: 내부용 기관: .................... 범위(법인 / 시스템): .................... 작성: .............. 작성일: ....../....../20.... 심각도: [1] 치명 [2] 높음 [3] 보통 [4] 낮음 상태: 열림 / 진행 / 종결 각 영역마다 결함, 해당 규범, 심각도, 담당, 기한을 기록하세요. 영역 1 — 고지(투명성) (KVKK 제10조 / GDPR 제13-14조) 결함: ........................................................ 규범: KVKK [ ] GDPR [ ] 심각도: [ ] 담당: ........ 기한: ../../20.. 점검: 처리별 고지문; 컨트롤러 신원; 목적; 적법 근거; 수령자; 이전; 보존; 권리. 영역 2 — 적법 근거 (KVKK 제5-6조 / GDPR 제6·9조) 결함: ........ 규범: KVKK [ ] GDPR [ ] 심각도: [ ] 담당/기한: .... 점검: 목적별 적법 근거; 다른 근거가 없을 때만 명시적 동의; 민감정보는 더 엄격한 규범. 영역 3 — 데이터 보안 (KVKK 제12조 / GDPR 제32조) 결함: ........ 규범: KVKK [ ] GDPR [ ] 심각도: [ ] 담당/기한: .... 점검: 기술적·관리적 조치 문서화; 접근통제; 필요한 경우 암호화; 프로세서 보안 승계. 영역 4 — 기록 (VERBİS 등록 / GDPR 제30조) 결함: ........ 규범: KVKK [ ] GDPR [ ] 심각도: [ ] 담당/기한: .... 점검: VERBİS 등록이 최신·정확; 제30조 처리기록 보관. 영역 5 — 국외 이전 (KVKK 제9조 / GDPR 제44조 이하) 결함: ........ 규범: KVKK [ ] GDPR [ ] 심각도: [ ] 담당/기한: .... 점검: 각 이전을 수단에 연결(적정성 / 표준계약 / 위원회 승인 BCR / 위원회 허가 서약 / 비정기 이전 예외); KVKK 표준계약은 5영업일 내 위원회 통지; GDPR SCC 작성 및 필요 시 이전영향평가. 영역 6 — 침해 대응 (KVKK 제12조 / GDPR 제33-34조) 결함: ........ 규범: KVKK [ ] GDPR [ ] 심각도: [ ] 담당/기한: .... 점검: 서면 절차; KVK 위원회(위원회 결정상 72시간)·EU 감독기관(72시간), 필요 시 정보주체에 통지; 침해 대장. 영역 7 — 정보주체 권리 (KVKK 제11·13조 / GDPR 제3장) 결함: ........ 규범: KVKK [ ] GDPR [ ] 심각도: [ ] 담당/기한: .... 점검: 신청 창구; KVKK 30일 내 회신; GDPR 1개월 내; 본인확인과 회신 기록. 영역 8 — 프로세서 계약 (veri işleyen / GDPR 제28조) 결함: ........ 규범: KVKK [ ] GDPR [ ] 심각도: [ ] 담당/기한: .... 점검: 각 프로세서에 서면 지시와 보안; GDPR DPA에 제28조 제3항 여덟 조항(제28조 체크리스트 참조). 영역 9 — 대리인 및 등록 (KVKK 대리인 / GDPR 제27조) 결함: ........ 규범: KVKK [ ] GDPR [ ] 심각도: [ ] 담당/기한: .... 점검: 국외 컨트롤러의 VERBİS 등록과 튀르키예 대리인; GDPR 제3조 제2항 적용 시 EU 대리인. 영역 10 — 영향평가 (GDPR 제35조; 부문별 모범관행) 결함: ........ 규범: KVKK [ ] GDPR [ ] 심각도: [ ] 담당/기한: .... 점검: 고위험 처리에 DPIA; 대규모 민감정보 또는 체계적 감시 표시. 요약 열린 [1] / [2] 항목: .... 개선계획 참조: .................... 다음 검토: ....../....../20.... 이 보고서 템플릿은 일반적 성격이며 법률 자문을 구성하지 않습니다.
대부분의 갭은 바로 KVKK와 GDPR이 합의를 멈추는 지점에 숨습니다:
그럴 수 있습니다. KVKK는 튀르키예와 연결된 처리에, GDPR은 EU에 설립되어 있거나 EU 내 사람을 대상으로 하거나 모니터링하는 경우(제3조) 적용됩니다. EU에 판매하는 튀르키예 회사나 튀르키예 데이터를 처리하는 EU 회사는 동시에 양쪽에 있을 수 있습니다.
아닙니다. 원칙은 일치하지만 KVKK는 고유한 이전 수단, 고유한 VERBİS 등록부, 고유한 대리인 규정과 시한을 둡니다. GDPR 체계는 든든한 기반이지만 KVKK 고유 항목은 별도로 평가합니다.
제9조가 GDPR에 가까운 단계적 모델로 이동했습니다: 먼저 적정성 결정, 없으면 적절한 안전장치(5영업일 내 위원회에 통지하는 표준계약, 위원회가 승인한 구속적 기업규칙, 위원회가 허가한 서면 서약), 마지막으로 비정기 이전 예외입니다. 명시적 동의는 이제 일상적 이전 근거가 아니라 비정기 이전 예외의 하나로만 남습니다.
자체 과징금이 있는 별개의 가시적 의무이므로 보통 높은 점수를 받습니다. 또한 가장 먼저 점검되는 항목 중 하나여서, 보고서는 등록을 독립 영역으로 표시합니다.
아닙니다. 자기평가를 구조화하고 갭을 드러내 검토를 더 빠르고 저렴하게 만듭니다. 채점과 각 결함의 법적 결론은 실제 시스템에 비추어 자격 있는 검토가 필요합니다.