Transfert de données hors Turquie : le consentement explicite devient obligatoire (KVKK Art. 9)

Le nouveau casse-tête des transferts internationaux

Vous pensiez que la conformité KVKK était déjà un parcours du combattant ? Accrochez-vous, car l'article 9 vient de corser le jeu. Depuis une récente interprétation stricte, chaque transfert de données personnelles hors de Turquie nécessite un consentement explicite et spécifique. Fini les clauses fourre-tout dans les CGU : il faut désormais un oui clair, éclairé et distinct pour chaque destination.

Imaginez devoir demander à vos utilisateurs une autorisation pour chaque pays où vous stockez leurs données. C'est un peu comme leur demander de signer un formulaire à chaque fois que vous changez de fournisseur cloud. Fastidieux, mais obligatoire.

Que dit exactement l'article 9 de la KVKK ?

L'article 9 de la loi turque sur la protection des données personnelles (KVKK) encadre les transferts de données vers l'étranger. Il exige que le pays destinataire offre un niveau de protection adéquat, ou à défaut, que le responsable du traitement obtienne un consentement explicite de la personne concernée. Jusqu'ici, rien de nouveau. Mais la récente position de l'autorité turque (KVKK Kurumu) précise que ce consentement doit être donné pour chaque transfert spécifique, et non de manière générale.

En pratique, cela signifie que vous ne pouvez plus vous contenter d'une case à cocher unique dans le formulaire d'inscription. Vous devez informer l'utilisateur du pays de destination, de la finalité du transfert, et recueillir son accord exprès. Et si vous changez de sous-traitant ou de serveur, rebelote.

Comment obtenir un consentement valide ?

Pour être valide, le consentement doit être : libre, spécifique, éclairé et univoque. Pas de présomption de consentement, pas de cases pré-cochées. Vous devez présenter une information claire sur le transfert (pays, destinataire, finalité) et laisser l'utilisateur accepter ou refuser sans conséquence négative.

Un bon moyen de visualiser cela : imaginez que vous demandez à un ami de garder votre chien. Vous ne lui dites pas simplement « tu veux bien t'occuper de mon chien ? » sans préciser où, quand et comment. Vous expliquez : « Pendant mes vacances en Espagne, pourras-tu promener mon chien deux fois par jour ? » C'est ce niveau de détail qu'attend la KVKK.

Les exceptions : quand le consentement n'est pas nécessaire

Il existe quelques rares exceptions où le consentement explicite n'est pas requis : si le transfert est nécessaire à l'exécution d'un contrat, à la sauvegarde de la vie de la personne, ou s'il existe une décision d'adéquation de la KVKK pour le pays destinataire. Mais pour l'instant, la Turquie n'a reconnu aucun pays comme offrant un niveau de protection adéquat. Donc, en pratique, le consentement explicite est la seule voie sûre.

Attention : même dans le cadre contractuel, si le transfert n'est pas strictement nécessaire à l'exécution du contrat (par exemple, stockage dans un pays tiers pour des raisons de commodité), le consentement reste obligatoire.

Mise en conformité : les étapes clés

Pour éviter les sanctions (qui peuvent aller jusqu'à 1,8 million de livres turques), voici les actions à mener :

• Auditez vos flux de données : identifiez tous les transferts vers l'étranger.
• Pour chaque transfert, rédigez une information spécifique (pays, destinataire, finalité).
• Mettez en place un mécanisme de recueil de consentement distinct (pop-up, case à cocher dédiée).
• Conservez la preuve du consentement (logs, horodatage).
• Révisez vos contrats avec les sous-traitants pour garantir le respect de ces obligations.

Et n'oubliez pas : le consentement doit être aussi facile à retirer qu'à donner. Prévoyez un bouton « retirer mon consentement » dans votre interface.

FAQ