الموافقة واللافتات

ممارسة الأعمال التجارية في تركيا؟ ما تحتاج لمعرفته حول KVKK و VERBIS

7 يوليو 2026 · 15 دقيقة قراءة

إجابة سريعة: ينطبق قانون حماية البيانات الأساسي في تركيا، KVKK (القانون رقم 6698)، على أي منظمة، محلية أو أجنبية، تعالج البيانات الشخصية للأفراد في تركيا. VERBIS هو السجل الإلزامي لمراقبي البيانات بموجب KVKK. يجب على معظم المنظمات المتوسطة إلى الكبيرة التسجيل في VERBIS أو مواجهة غرامات إدارية. اعتبارًا من عام 2026، يمكن الوصول إلى عملية التسجيل عبر منصة e-Devlet التركية، وتم توضيح عتبات الإعفاء للشركات الصغيرة.

النقاط الرئيسية

KVKK (Kişisel Verilerin Korunması Kanunu) هو قانون حماية البيانات في تركيا، صدر في عام 2016 وتم تصميمه جزئيًا على مبادئ GDPR، ولكن مع متطلبات محلية مميزة.
VERBIS هو السجل الإلكتروني الذي يجب على مراقبي البيانات الإعلان فيه عن أنشطة معالجة البيانات الخاصة بهم قبل بدء المعالجة.
الشركات الأجنبية التي تعالج بيانات المقيمين الأتراك تخضع لـ KVKK، بغض النظر عن مكان تواجد الشركة.
اعتبارًا من 12 يناير 2026، يُعفى مراقبو البيانات الصغار الذين لديهم أقل من 10 موظفين وميزانية سنوية تقل عن 10 ملايين ليرة تركية من تسجيل VERBIS إذا كان نشاطهم الأساسي يتضمن بيانات من الفئات الخاصة. [4]
تم تمديد الموعد النهائي لتسجيل VERBIS إلى 5 يونيو 2026 للمنظمات المؤهلة بناءً على البيانات المالية لعام 2025. [1]
اعتبارًا من 1 يوليو 2026، تم دمج خدمات VERBIS بالكامل مع منصة e-Devlet (الحكومة الإلكترونية) التركية. [3]
يمكن أن تصل عقوبات عدم الامتثال بموجب المادة 18 من KVKK إلى غرامات إدارية كبيرة، وتفرضها سلطة KVKK بنشاط.
يجب أن تكون الموافقة بموجب KVKK ممنوحة بحرية، ومحددة، ومستنيرة، وغير غامضة، وتعد منصة إدارة الموافقة (CMP) أداة عملية للامتثال عبر الويب.

ما هو KVKK؟ شرح قانون حماية البيانات التركي

KVKK (Kişisel Verilerin Korunması Kanunu، القانون رقم 6698) هو قانون تركيا الشامل لحماية البيانات الشخصية، صدر في 7 أبريل 2016. وهو يحكم كيفية جمع البيانات الشخصية وتخزينها ومعالجتها ونقلها وحذفها من قبل مراقبي البيانات ومعالجيها العاملين في تركيا.

أنشأ القانون هيئة حماية البيانات الشخصية (Kişisel Verileri Koruma Kurumu، وتُختصر أيضًا KVKK)، وهي الهيئة الإشرافية المستقلة المسؤولة عن الإنفاذ والتوجيه وسجل VERBIS.

تشمل المبادئ الأساسية بموجب KVKK ما يلي:

الشرعية والإنصاف والشفافية
تحديد الغرض (جمع البيانات لأغراض محددة وواضحة فقط)
تقليل البيانات
الدقة وتحديث البيانات
تحديد مدة التخزين (الاحتفاظ بالبيانات لمدة لا تزيد عن الضرورة)
النزاهة والسرية

أي كيان يحدد أغراض ووسائل معالجة البيانات الشخصية يُصنف على أنه "مراقب بيانات" بموجب KVKK ويتحمل التزامات الامتثال الأساسية.

KVKK مقابل GDPR: الاختلافات الرئيسية وتداخل الامتثال

تتشابه KVKK في بنيتها الأساسية مع GDPR في الاتحاد الأوروبي، لكن الإطارين يختلفان في عدة جوانب مهمة من الناحية التشغيلية. يجب على المنظمات التي تمتثل بالفعل لـ GDPR ألا تفترض الامتثال التلقائي لـ KVKK.

البعد	KVKK (تركيا)	GDPR (الاتحاد الأوروبي)
صدر	2016	2018 (الإنفاذ)
الهيئة الإشرافية	سلطة KVKK	هيئات حماية البيانات الوطنية لكل دولة عضو
سجل البيانات	VERBIS (إلزامي لمعظمها)	لا يوجد سجل إلزامي مكافئ
نقل البيانات إلى الخارج	يتطلب موافقة صريحة أو كفاية	قرارات الكفاية أو SCCs
متطلبات مسؤول حماية البيانات (DPO)	لا يوجد تفويض رسمي لمسؤول حماية البيانات	إلزامي في حالات معينة
إشعار الاختراق	72 ساعة للسلطة	72 ساعة للسلطة

الاختلاف الرئيسي: يتطلب KVKK من مراقبي البيانات التسجيل في VERBIS والإعلان عن أنشطة المعالجة الخاصة بهم بشكل استباقي. لا يوجد لدى GDPR التزام مكافئ بالسجل العام. بالإضافة إلى ذلك، فإن قواعد KVKK لنقل البيانات عبر الحدود أكثر تقييدًا من الناحية العملية، حيث تتطلب إما موافقة صريحة من صاحب البيانات أو قرار كفاية رسمي، ولم تُمنح تركيا وضع الكفاية من الاتحاد الأوروبي.

"يعد الامتثال لـ GDPR أساسًا مفيدًا، ولكن ممارسة الأعمال التجارية في تركيا تتطلب طبقة امتثال منفصلة لـ KVKK، خاصة فيما يتعلق بتسجيل VERBIS وقواعد النقل عبر الحدود."

ما هو VERBIS وكيف يعمل؟

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) هو السجل الإلكتروني الذي تحتفظ به سلطة KVKK، حيث يجب على مراقبي البيانات التسجيل والإعلان عن أنشطة معالجة البيانات الشخصية الخاصة بهم قبل بدء المعالجة. فكر في الأمر على أنه قائمة جرد عامة لمن يعالج أي بيانات، ولأي غرض، وبموجب أي سياسة احتفاظ.

كيف يعمل VERBIS عمليًا:

ينشئ مراقب البيانات حسابًا على بوابة VERBIS (يمكن الوصول إليها الآن عبر منصة e-Devlet التركية اعتبارًا من 1 يوليو 2026). [3]
يعلن المراقب عن كل فئة من البيانات الشخصية المعالجة، والغرض من المعالجة، والأساس القانوني، وفئات البيانات، ومجموعات المستلمين، وفترات الاحتفاظ.
يتم تقديم الإعلانات وتصبح جزءًا من السجل العام.
يجب تحديث أي تغييرات في أنشطة المعالجة في VERBIS على الفور.
يؤدي عدم التسجيل أو التحديث إلى عقوبات بموجب المادة 18 من KVKK. [5]

في 1 يوليو 2026، أصدرت سلطة KVKK أيضًا نسخًا محدثة من وثيقة التوجيه "Sorularla VERBİS" ودليل المستخدم الرسمي VERBİS Kılavuzu لمساعدة مراقبي البيانات على التنقل في التزامات التسجيل. [2]

هل تحتاج الشركات الأجنبية إلى الامتثال لـ KVKK؟

نعم. ينطبق KVKK على أي مراقب بيانات يعالج البيانات الشخصية للأفراد الموجودين في تركيا، بغض النظر عن مكان تأسيس المراقب أو مقره. شركة برمجيات كخدمة (SaaS) ألمانية لديها عملاء أتراك، أو منصة تجارة إلكترونية أمريكية تشحن إلى تركيا، أو وكالة تسويق بريطانية تدير حملات تستهدف المستهلكين الأتراك، جميعها تقع ضمن نطاق KVKK.

الآثار العملية للشركات الأجنبية:

يجب تعيين ممثل محلي في تركيا إذا لم يكن لديهم وجود مادي (على الرغم من أن تنفيذ القانون في هذه النقطة لا يزال يتطور، استشر مستشارًا قانونيًا محليًا).
يجب الامتثال لمتطلبات تسجيل VERBIS ما لم ينطبق إعفاء محدد.
تتطلب عمليات نقل البيانات عبر الحدود خارج تركيا إما موافقة صريحة من صاحب البيانات أو آلية كفاية رسمية، ولا يعتبر أي منهما أمرًا سهلاً لمعظم الوجهات غير التابعة للاتحاد الأوروبي.

خطأ شائع: الشركات الأجنبية التي تفترض أن الامتثال لـ GDPR أو سياسة خصوصية عامة تغطي قاعدة مستخدميها الأتراك. يتطلب KVKK إفصاحات خاصة بالولاية القضائية، وآليات موافقة، وإعلانات تسجيل.

متطلبات تسجيل VERBIS: من يجب عليه التسجيل وكيف

يُطلب من معظم مراقبي البيانات الذين يتجاوزون عتبة إعفاء الشركات الصغيرة التسجيل في VERBIS. ينطبق هذا الالتزام على كل من كيانات القطاع الخاص والمؤسسات العامة. [6]

التسجيل مطلوب إذا كان مراقب البيانات:

لديه 50 موظفًا أو أكثر (بدوام كامل)، أو
لديه إجمالي ميزانية سنوية تتجاوز 25 مليون ليرة تركية، أو
يعالج فئات خاصة من البيانات الشخصية (الصحة، القياسات الحيوية، السجلات الجنائية، إلخ) بغض النظر عن الحجم، ما لم ينطبق إعفاء الشركات الصغيرة (انظر أدناه).

بالنسبة للشركات الناشئة والشركات النامية: تعتمد العتبة على عدد الموظفين السنوي وأرقام الميزانية. تصبح الشركة الناشئة التي تتجاوز 50 موظفًا أو عتبة الميزانية في عام معين ملزمة بالتسجيل. يجب إكمال التسجيل قبل بدء المعالجة بموجب العتبة الجديدة، وليس بأثر رجعي في نهاية العام.

عملية تسجيل VERBIS خطوة بخطوة:

تسجيل الدخول إلى بوابة VERBIS عبر e-Devlet (بوابة الحكومة الإلكترونية) باستخدام عنوان KEP (بريد إلكتروني مسجل) أو بيانات اعتماد الموقّع المعتمد. [3]
إكمال ملف تعريف مراقب البيانات (اسم الشركة، الشكل القانوني، تفاصيل الاتصال، الممثل المعتمد).
إنشاء إدخال "نشاط معالجة" لكل فئة مميزة من البيانات الشخصية المعالجة.
لكل نشاط، الإعلان عن: فئة البيانات، الغرض، الأساس القانوني، مجموعة أصحاب البيانات، المستلمين، وفترة الاحتفاظ.
التقديم واستلام رقم تسجيل VERBIS.
تحديث السجل كلما تغيرت أنشطة المعالجة بشكل جوهري.

إعفاءات KVKK: الشركات الصغيرة وما هي البيانات غير المشمولة

لا يجب على كل منظمة التسجيل في VERBIS. في 12 يناير 2026، أوضحت سلطة KVKK معايير الإعفاء لمراقبي البيانات الصغار. [4]

ينطبق الإعفاء عند استيفاء جميع الشروط الثلاثة:

أقل من 10 موظفين
إجمالي الميزانية السنوية أقل من 10 ملايين ليرة تركية
النشاط الأساسي يتضمن معالجة فئات خاصة من البيانات الشخصية (تم تصميم الإعفاء خصيصًا لمقدمي الرعاية الصحية الصغار والعيادات والكيانات المماثلة)

يشير التحليل القانوني الذي نشرته CMS Law إلى أن هذا الإعفاء أضيق مما قد يبدو في البداية، فهو ليس استثناءً شاملاً للشركات الصغيرة ولكنه يستهدف على وجه التحديد الكيانات التي يتضمن عملها الأساسي فئات بيانات حساسة. [7] أوضحت Erdem & Erdem كذلك مبادئ تطبيق هذه الإعفاءات الجديدة. [8]

فئات البيانات غير المشمولة بـ KVKK:

البيانات المجهولة (حيث يكون إعادة تحديد الهوية مستحيلة)
البيانات المعالجة لأغراض شخصية أو منزلية بحتة (لا يوجد نشاط تجاري)
البيانات المعالجة من قبل السلطات القضائية في الإجراءات الجنائية (يحكمها تشريع منفصل)

حالة خاصة: لا تزال البيانات المستعارة تعتبر بيانات شخصية بموجب KVKK إذا احتفظ المراقب بالوسائل اللازمة لإعادة تحديد هوية الأفراد. لا تعامل إخفاء الهوية المستعار على أنه مكافئ لإخفاء الهوية لأغراض الامتثال.

متطلبات موافقة KVKK لبيانات العملاء

بموجب KVKK، يجب أن تكون الموافقة الصالحة ممنوحة بحرية، ومحددة، ومستنيرة، وغير غامضة. لا يمكن ربط الموافقة بقبول شروط الخدمة، ولا تشكل المربعات المحددة مسبقًا موافقة صالحة.

يجب أن تكون الموافقة:

ممنوحة بحرية: لا إكراه أو اشتراط الوصول إلى الخدمة على الموافقة
محددة: مرتبطة بغرض محدد، وليست تفويضًا شاملاً
مستنيرة: يجب أن يعرف صاحب البيانات من يجمع البيانات ولماذا
غير غامضة: تتطلب إجراءً إيجابيًا (نقرة، توقيع، مربع اختيار)

بالنسبة للمواقع والمنصات الرقمية، يعد تطبيق منصة إدارة الموافقة المتوافقة هو النهج الأكثر عملية. تم تصميم Biscotti CMP لمساعدة مالكي المواقع والشركات على إدارة جمع الموافقة بطريقة تتوافق مع KVKK وأطر حماية البيانات الأخرى، مما يوفر سجلات تدقيق وسجلات موافقة مفصلة.

الموافقة الصريحة مطلوبة بالإضافة إلى ذلك لفئات خاصة من البيانات الشخصية (الصحة، القياسات الحيوية، الجينية، السجلات الجنائية، إلخ) ولنقل البيانات عبر الحدود حيث لا توجد آلية كفاية.

عقوبات وغرامات KVKK لعدم الامتثال

إن تطبيق KVKK ليس نظريًا. فقد فرضت سلطة KVKK غرامات على كل من الكيانات المحلية والأجنبية. تخضع العقوبات للمادة 18 من القانون.

فئات الغرامات الإدارية بموجب المادة 18:

عدم الوفاء بالتزامات الإفصاح: من 9,027 ليرة تركية إلى 180,536 ليرة تركية (تقريبيًا نطاق 2024؛ يتم تحديث المبالغ سنويًا للتضخم)
عدم ضمان أمن البيانات: من 45,135 ليرة تركية إلى 9,027,000 ليرة تركية
عدم الامتثال لقرارات سلطة KVKK: من 45,135 ليرة تركية إلى 9,027,000 ليرة تركية
عدم التسجيل في VERBIS أو عدم تحديث VERBIS: من 39,337 ليرة تركية إلى 1,966,862 ليرة تركية

ملاحظة: يتم فهرسة مبالغ الغرامات سنويًا وتعكس الأرقام المذكورة أعلاه نطاقات عام 2024 المنشورة. تحقق من الأرقام الحالية مع سلطة KVKK أو المستشار القانوني التركي لإجراءات الإنفاذ لعام 2026.

المسؤولية الجنائية لبعض الانتهاكات (المعالجة غير القانونية، عدم حذف البيانات) يمكن أن تؤدي إلى السجن بموجب قانون العقوبات التركي، وهو بُعد غائب عن أدوات إنفاذ GDPR.

قواعد إشعار خرق البيانات في KVKK

بموجب KVKK، يجب على مراقبي البيانات إخطار سلطة KVKK في غضون 72 ساعة من علمهم بخرق للبيانات الشخصية. إذا كان من المحتمل أن يؤثر الخرق سلبًا على أصحاب البيانات، فيجب أيضًا إخطار هؤلاء الأفراد على الفور.

قائمة التحقق من إشعار الخرق:

تحديد واحتواء الخرق
تقييم النطاق والتأثير المحتمل على أصحاب البيانات
إخطار سلطة KVKK في غضون 72 ساعة عبر نموذج الإخطار الرسمي
توثيق الخرق داخليًا (ما حدث، ما هي البيانات المتأثرة، خطوات المعالجة)
إخطار أصحاب البيانات المتأثرين إذا كان هناك خطر كبير للضرر

يعد عدم الإخطار في غضون الإطار الزمني المطلوب انتهاكًا يعاقب عليه بموجب المادة 18.

أخطاء الامتثال الشائعة التي ترتكبها الشركات في KVKK

1. التعامل مع VERBIS كمهمة لمرة واحدة. يجب تحديث إدخالات VERBIS كلما تغيرت أنشطة المعالجة. يتطلب الحصول على نظام إدارة علاقات عملاء (CRM) جديد، أو إطلاق حملة تسويقية جديدة بفئات بيانات مختلفة، أو ضم معالج بيانات جديد، تحديثات محتملة في VERBIS.

2. الاعتماد على موافقة GDPR للمستخدمين الأتراك. تتضمن متطلبات موافقة KVKK فروقًا دقيقة محلية. قد لا يلتقط لافتة الموافقة المحسّنة لـ GDPR الإفصاحات المحددة المطلوبة بموجب KVKK.

3. تجاهل قواعد النقل عبر الحدود. يعد إرسال بيانات العملاء الأتراك إلى منصة تحليلات أو مزود سحابة مقره الولايات المتحدة دون آلية نقل صالحة انتهاكًا شائعًا وكثيرًا ما يعاقب عليه.

4. افتراض إعفاء الشركات الصغيرة دون التحقق. أوضح توضيح يناير 2026 أن الإعفاء مشروط باستيفاء جميع المعايير الثلاثة في وقت واحد. [4]

5. عدم وجود سياسة للاحتفاظ بالبيانات. يتطلب KVKK حذف البيانات أو تدميرها أو إخفاء هويتها عندما لم يعد الغرض من المعالجة موجودًا. تجمع العديد من الشركات البيانات إلى أجل غير مسمى دون جدول احتفاظ موثق.

الأسئلة الشائعة

س: هل KVKK إلزامي لجميع الشركات العاملة في تركيا؟ نعم، أي كيان يعالج البيانات الشخصية للأفراد في تركيا يخضع لـ KVKK، بغض النظر عن حجم الشركة أو جنسيتها. تسجيل VERBIS إلزامي لمعظم الكيانات التي تتجاوز عتبة إعفاء الشركات الصغيرة.

س: ما هو الموعد النهائي لتسجيل VERBIS في عام 2026؟ مددت سلطة KVKK الموعد النهائي لتسجيل VERBIS إلى 5 يونيو 2026 للمنظمات المؤهلة بناءً على بياناتها المالية لعام 2025. [1] يجب أن تكون المنظمات التي استوفت العتبات السابقة مسجلة بالفعل.

س: هل يمكن تغريم شركة أجنبية بموجب KVKK؟ نعم. تتمتع سلطة KVKK بالولاية القضائية على أي مراقب بيانات يعالج بيانات المقيمين الأتراك، بما في ذلك الشركات الأجنبية. إن الإنفاذ ضد الكيانات الأجنبية هو مجال يتطور، لكن التعرض القانوني حقيقي.

س: هل يوجد بديل لـ VERBIS للإعلان عن أنشطة معالجة البيانات؟ لا. VERBIS هو السجل الإلزامي الوحيد بموجب KVKK. لا توجد آلية بديلة للوفاء بالتزام تسجيل مراقب البيانات.

س: كم يستغرق تسجيل VERBIS؟ مع دمج e-Devlet اعتبارًا من 1 يوليو 2026، يمكن إكمال العملية الفنية في غضون ساعات قليلة للحالات المباشرة. [3] ومع ذلك، فإن العمل التحضيري، وتخطيط جميع أنشطة معالجة البيانات، وتحديد الأسس القانونية، وتوثيق فترات الاحتفاظ، يستغرق عادة أسابيع للمنظمات متوسطة الحجم.

س: هل يتطلب KVKK مسؤول حماية بيانات (DPO)؟ لا يفرض KVKK دور مسؤول حماية البيانات الرسمي المكافئ لمتطلبات GDPR. ومع ذلك، توصي سلطة KVKK بأن يعين مراقبو البيانات شخصًا مسؤولًا داخليًا لإدارة الامتثال.

س: ما الذي يشكل بيانات شخصية من الفئات الخاصة بموجب KVKK؟ تشمل الفئات الخاصة: العرق، الأصل العرقي، الرأي السياسي، المعتقد الفلسفي، الدين، الطائفة، البيانات الصحية، الحياة الجنسية، الإدانات الجنائية، البيانات البيومترية، والبيانات الجينية. تتطلب معالجة هذه الفئات موافقة صريحة أو أساسًا قانونيًا محددًا.

س: كيف يتعامل KVKK مع موافقة ملفات تعريف الارتباط على المواقع الإلكترونية؟ تتطلب ملفات تعريف الارتباط التي تجمع البيانات الشخصية (التحليلات، معرفات الإعلانات) موافقة صالحة بموجب KVKK. يمكن لمنصة إدارة الموافقة المتوافقة مثل Biscotti CMP مساعدة مالكي المواقع على جمع وتخزين وإدارة موافقة ملفات تعريف الارتباط بما يتماشى مع التزامات KVKK.

س: هل يُطلب من المؤسسات العامة التسجيل في VERBIS؟ نعم. يُطلب من المؤسسات والمنظمات العامة التسجيل في VERBIS. بدأت فترة التسجيل للكيانات العامة في 1 أبريل 2019، مع موعد نهائي للإنجاز في 30 يونيو 2020. [6]

س: ماذا يحدث إذا قامت شركة بتحديث أنشطة المعالجة الخاصة بها ولكنها لم تقم بتحديث VERBIS؟ يُعد عدم تحديث VERBIS ليعكس أنشطة المعالجة الحالية انتهاكًا للامتثال ويمكن أن يؤدي إلى غرامات إدارية بموجب المادة 18 من KVKK. [5]

الخلاصة: الخطوات التالية القابلة للتنفيذ للامتثال لـ KVKK و VERBIS

تتطلب ممارسة الأعمال التجارية في تركيا نهجًا منظمًا ومحددًا للولاية القضائية لحماية البيانات. يتم تطبيق KVKK بنشاط، وتسجيل VERBIS ليس اختياريًا لمعظم المنظمات، وقد أدت توضيحات الإعفاء في يناير 2026 إلى تضييق، وليس توسيع، الاستثناءات للشركات الصغيرة. [4]

إجراءات فورية للمنظمات العاملة في تركيا:

إجراء تمرين رسم خرائط البيانات. تحديد كل فئة من البيانات الشخصية المعالجة، والغرض منها، والأساس القانوني، والمستلم.
تحديد التزام VERBIS. تطبيق عتبات عدد الموظفين والميزانية لتأكيد ما إذا كان التسجيل مطلوبًا. إذا كان هناك شك، قم بالتسجيل.
التسجيل أو تحديث VERBIS. استخدم بوابة VERBIS المدمجة مع e-Devlet لإكمال أو تحديث تسجيل مراقب البيانات الخاص بك. [3]
تدقيق آليات الموافقة. التأكد من أن لافتات الموافقة على المواقع الإلكترونية ونماذج جمع البيانات تلبي المتطلبات المحددة لـ KVKK. فكر في نشر Biscotti CMP (www.biscotti-cmp.com) لإدارة الموافقة المنظمة والقابلة للتدقيق.
مراجعة ترتيبات النقل عبر الحدود. تحديد جميع معالجي الطرف الثالث وخدمات السحابة التي تتلقى بيانات شخصية تركية وتقييم الأساس القانوني لكل عملية نقل.
إنشاء بروتوكول الاستجابة للخرق. توثيق إجراء الإخطار في غضون 72 ساعة وتعيين المسؤولية الداخلية.
التعاقد مع مستشار قانوني محلي. يستمر تفسير KVKK في التطور، ويمكن لمحامي حماية البيانات التركي تقديم إرشادات خاصة بالولاية القضائية لا يمكن لأي إطار امتثال عام أن يحل محلها.

يتطور مشهد الامتثال لممارسة الأعمال التجارية في تركيا بسرعة. ستجد المنظمات التي تتعامل مع KVKK كعملية تحقق من مربع بدلاً من برنامج مستمر نفسها معرضة للخطر مع تكثيف الإنفاذ.