关于公众公告

土耳其个人数据保护委员会（“委员会”）根据其于 2021 年 1 月 12 日 作出的第 2021/28 号决定，决定针对 WhatsApp Inc. 启动依职权调查程序（ex officio investigation）。

根据该决定，委员会将重点审查以下事项：

• 在个人数据处理过程中，与第三方共享数据的行为是否违反了《土耳其个人数据保护法第 6698 号法》（以下简称“《法律》”）第 9 条关于基于数据主体明确同意向境外传输个人数据的规定，以及《法律》第 3 条所规定的“明确同意必须基于自由意愿作出”的要求；

• 为向境外另一家公司传输个人数据而要求用户事先同意的做法，是否违反了《法律》第 4 条规定的个人数据处理基本原则，包括：

  • 遵守法律及诚信原则；

  • 为明确、具体且合法的目的进行处理；

  • 数据处理应与处理目的相关、必要且适度；

• 由于用户协议被作为用户使用服务的前置条件，该做法是否符合委员会在多项决定中反复强调的原则，即**“明确同意不得成为提供服务的强制条件”**；

• 关于向境外传输个人数据的安排，是否违反了上述关于跨境传输个人数据需要取得特殊且明确同意的法律规定。

委员会同时向公众宣布，将于 2021 年 2 月 8 日 对该事项进行进一步评估，并将在后续阶段向公众公布相关进展。

评论

《个人数据保护法》对于个人数据向境外传输采取了较为严格的监管方式。根据该法第 9 条规定，除法律规定的特殊情况外，个人数据原则上不得在未取得数据主体明确同意的情况下传输至境外。

WhatsApp 用户协议的更新规定，用户的个人数据将被传输至境外并进行处理。希望继续使用该应用程序的用户必须接受更新后的用户协议，否则将无法继续使用该服务。此外，该协议并未明确说明用户个人数据将被共享给哪些第三方主体以及共享范围，这也引发了对数据处理透明度的担忧。

值得关注的是，总部位于美国的 WhatsApp Inc. 提出的相关条款，从初步分析来看，似乎与土耳其个人数据保护法律存在不一致之处。土耳其个人数据保护制度在很大程度上借鉴了欧盟第 95/46/EC 号数据保护指令的原则，而该问题也因此在全球范围内引发了广泛讨论。

需要指出的是，美国与欧洲联盟在个人数据保护方面长期存在不同的法律理念。

欧盟更加重视个人数据与人格尊严之间的联系，将个人数据保护视为个人基本权利的一部分，强调对个人权益的保护。而美国法律体系通常更倾向于将个人数据视为具有经济价值的资源，可作为商业交易和合同关系中的重要对象。

作为 Facebook Inc.（现为 Meta Platforms, Inc.）旗下的即时通讯服务平台，WhatsApp 通过此次更新用户协议，再次凸显了数字时代个人数据保护法律的重要性。

最后，需要指出的是，土耳其个人数据保护机构对于个人数据特别是跨境传输以及跨国企业集团内部数据传输问题的监管立场，预计将在此次调查结束后进一步明确，并将对土耳其个人数据保护法律实践的发展产生重要影响。