土耳其个人数据保护局（KVKK）对某外资社交媒体平台未实现数据本地化处以罚款案（2022-2023年）

【案件背景】
土耳其《个人数据保护法》（KVKK, Law No. 6698）于2016年颁布，虽然该法律本身未明确写入数据本地化条款，但KVKK通过次级立法和行政执法实践，逐步确立了特定行业和个人数据类型必须存储在土耳其境内的要求。2020年，土耳其通过第7253号法律修正案强化了对社交媒体平台的监管，要求日活超百万的平台在土耳其设立法律代表并配合数据合规检查。在此背景下，KVKK对多家在土耳其拥有数千万用户的全球社交平台发起数据存储合规调查。

【违法事实】
KVKK调查认定：1）该社交媒体平台在土耳其拥有超过4000万日活用户，收集的用户个人信息（含身份信息、位置数据、私信内容、行为画像等）全部存储于美国和爱尔兰的数据中心，未在土耳其境内建立数据存储设施，违反了KVKK对数据控制者应采取的'充分技术和行政措施'的概括性义务；2）平台将土耳其用户个人数据传输至境外时未进行充分的传输影响评估，未向KVKK报备跨境数据传输的详细路径和安全保障措施；3）平台在土耳其设立的法律代表仅具备有限的行政协调职能，对数据的实际存储和处理地点、安全措施、访问权限等核心问题无实质发言权和管控能力，KVKK认为该法律代表机制不足以满足数据本地化监管的实质要求；4）平台的土耳其语用户协议和隐私政策未充分告知数据存储在境外的事实和潜在风险。

【处罚决定】
KVKK依据《个人数据保护法》第12条（数据安全义务）及第18条（违法行为的处罚），对该平台处以195万里拉（按2023年汇率约合人民币53万元）的行政罚款。此外，KVKK发出强制整改令要求：1）在土耳其建立数据存储基础设施或与土耳其境内持牌数据中心达成协议；2）任命一名在土耳其常驻且具有充分决策权的数据保护代表；3）对在土耳其处理的每一类个人数据进行存储地点映射并向KVKK提交报告；4）为土耳其用户提供选择将数据仅存储在土耳其境内的选项。该平台在后续整改中宣布将在土耳其投资建设本地数据中心。

【典型意义】
土耳其的执法路径展示了即使法律条文未明文要求数据本地化，监管机构如何通过'数据安全措施义务'的解释和适用来实现实质上数据本地化的执法效果。本案的合规启示在于：第一，数据本地化不仅是字面意义上的立法要求，还可以通过对'充分技术和行政措施'的扩张解释来实现——当数据存储在境外时，监管机构可合理质疑控制者是否具备充分的安全保障能力；第二，法律代表必须具有实质性的决策权和管控力，仅设立'名义代表'或'联络人'不足以满足监管期望；第三，土耳其作为连接欧亚的数字市场枢纽，其数据本地化实践对该地区其他新兴市场（如沙特、阿联酋等海湾国家）的立法和执法具有示范作用。