Съгласие и банери

Правене на бизнес в Турция? Какво трябва да знаете за KVKK и VERBIS

7 юли 2026 г. · 15 мин. четене

Кратък отговор: Основният закон за защита на данните в Турция, KVKK (Закон № 6698), се прилага за всяка организация, местна или чуждестранна, която обработва лични данни на лица в Турция. VERBIS е задължителният регистър на администраторите на данни съгласно KVKK. Повечето средни до големи организации трябва да се регистрират в VERBIS или да бъдат изправени пред административни глоби. Към 2026 г. процесът на регистрация е достъпен чрез турската платформа e-Devlet, а праговете за освобождаване за малкия бизнес са изяснени.

Основни изводи

KVKK (Kişisel Verilerin Korunması Kanunu) е турският закон за защита на данните, приет през 2016 г. и моделиран отчасти по принципите на GDPR, но с различни местни изисквания.
VERBIS е онлайн регистърът, където администраторите на данни трябва да декларират своите дейности по обработка на данни, преди да започне обработката.
Чуждестранни компании, обработващи данни на турски граждани, подлежат на KVKK, независимо от местонахождението на компанията.
Към 12 януари 2026 г. малките администратори на данни с по-малко от 10 служители и годишен баланс под 10 милиона TL са освободени от регистрация в VERBIS, ако основната им дейност включва данни от специални категории. [4]
Крайният срок за регистрация в VERBIS беше удължен до 5 юни 2026 г. за организации, които отговарят на условията въз основа на финансовите отчети за 2025 г. [1]
Към 1 юли 2026 г. услугите на VERBIS са напълно интегрирани с турската платформа e-Devlet (електронно правителство). [3]
Наказанията за неспазване съгласно член 18 от KVKK могат да достигнат значителни административни глоби, а органът по KVKK активно ги прилага.
Съгласието съгласно KVKK трябва да бъде свободно дадено, конкретно, информирано и недвусмислено, като платформата за управление на съгласието (CMP) е практичен инструмент за уеб базирано съответствие.

Какво е KVKK? Обяснение на турския закон за защита на данните

KVKK (Kişisel Verilerin Korunması Kanunu, Закон № 6698) е всеобхватен турски закон за защита на личните данни, приет на 7 април 2016 г. Той регулира как личните данни се събират, съхраняват, обработват, прехвърлят и изтриват от администратори и обработващи данни, работещи в Турция.

Законът създаде Органа за защита на личните данни (Kişisel Verileri Koruma Kurumu, също съкратено KVKK), независимия надзорен орган, отговорен за прилагането, насоките и регистъра VERBIS.

Основните принципи съгласно KVKK включват:

Законосъобразност, справедливост и прозрачност
Ограничение на целта (данните се събират само за определени, изрични цели)
Минимизиране на данните
Точност и поддържане на актуалността на данните
Ограничение на съхранението (данните се съхраняват не по-дълго от необходимото)
Цялостност и поверителност

Всяко лице, което определя целите и средствата за обработка на лични данни, се квалифицира като „администратор на данни“ съгласно KVKK и носи основните задължения за съответствие.

KVKK срещу GDPR: Основни разлики и припокриване на съответствието

KVKK споделя структурна ДНК с GDPR на ЕС, но двете рамки се различават по няколко оперативно значими начина. Организациите, които вече са съвместими с GDPR, не трябва да приемат автоматично съответствие с KVKK.

Измерение	KVKK (Турция)	GDPR (ЕС)
Приет	2016	2018 (прилагане)
Надзорен орган	Орган по KVKK	Национални органи за защита на данните за всяка държава членка
Регистър на данните	VERBIS (задължителен за повечето)	Няма еквивалентен задължителен регистър
Трансфери на данни в чужбина	Изисква изрично съгласие или адекватност	Решения за адекватност или SCCs
Изискване за ДЗЛ	Няма официален мандат за ДЗЛ	Задължително в определени случаи
Уведомяване за нарушение	72 часа до органа	72 часа до органа

Ключово различие: KVKK изисква администраторите на данни да се регистрират в VERBIS и да декларират своите дейности по обработка проактивно. GDPR няма еквивалентно задължение за публичен регистър. Освен това, правилата на KVKK за трансфер на данни през граница са по-ограничителни на практика, изисквайки или изрично съгласие на субекта на данните, или официално решение за адекватност, а на Турция не е предоставен статут на адекватност от ЕС.

„Съответствието с GDPR е полезна основа, но правенето на бизнес в Турция изисква отделен слой за съответствие с KVKK, особено по отношение на регистрацията в VERBIS и правилата за трансфер през граница.“

Какво е VERBIS и как работи?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) е онлайн регистърът, поддържан от Органа по KVKK, където администраторите на данни трябва да се регистрират и да декларират своите дейности по обработка на лични данни, преди да започне обработката. Мислете за него като за публичен инвентар на това кой какви данни обработва, за каква цел и съгласно каква политика за съхранение.

Как работи VERBIS на практика:

Администраторът на данни създава акаунт в портала VERBIS (вече достъпен чрез турската платформа e-Devlet от 1 юли 2026 г.). [3]
Администраторът декларира всяка категория обработвани лични данни, целта на обработката, правното основание, категориите данни, групите получатели и сроковете за съхранение.
Декларациите се подават и стават част от публичния регистър.
Всички промени в дейностите по обработка трябва да бъдат актуализирани в VERBIS своевременно.
Неспазването на регистрацията или актуализацията води до наказания съгласно член 18 от KVKK. [5]

На 1 юли 2026 г. Органът по KVKK също така публикува актуализирани версии на документа с насоки „Sorularla VERBİS“ и официалния VERBİS Kılavuzu (ръководство за потребителя), за да помогне на администраторите на данни да се ориентират в задълженията за регистрация. [2]

Трябва ли чуждестранните компании да спазват KVKK?

Да. KVKK се прилага за всеки администратор на данни, който обработва лични данни на лица, намиращи се в Турция, независимо от това къде е регистриран или базиран администраторът. Германска SaaS компания с турски клиенти, американска платформа за електронна търговия, изпращаща до Турция, или британска маркетингова агенция, провеждаща кампании, насочени към турски потребители, всички попадат в обхвата на KVKK.

Практически последици за чуждестранни компании:

Трябва да назначат местен представител в Турция, ако нямат физическо присъствие (въпреки че прилагането на закона по този въпрос продължава да се развива, консултирайте се с местен правен съветник).
Трябва да спазват изискванията за регистрация в VERBIS, освен ако не се прилага конкретно изключение.
Трансферите на данни през граница извън Турция изискват или изрично съгласие на субекта на данните, или официален механизъм за адекватност, нито едно от които не е лесно за повечето дестинации извън ЕС.

Често срещана грешка: Чуждестранни компании, които приемат, че съответствието с GDPR или обща политика за поверителност покрива тяхната турска потребителска база. KVKK изисква специфични за юрисдикцията разкрития, механизми за съгласие и декларации за регистър.

Изисквания за регистрация в VERBIS: Кой трябва да се регистрира и как

Повечето администратори на данни над прага за освобождаване на малкия бизнес са длъжни да се регистрират в VERBIS. Задължението се отнася както за субекти от частния сектор, така и за публични институции. [6]

Регистрация се изисква, ако администраторът на данни:

Има 50 или повече служители (еквивалент на пълно работно време), ИЛИ
Има общ годишен финансов баланс, надвишаващ 25 милиона TL, ИЛИ
Обработва специални категории лични данни (здраве, биометрични данни, криминални досиета и т.н.) независимо от размера, освен ако не се прилага изключението за малък мащаб (вижте по-долу).

За стартиращи и развиващи се компании: Прагът се основава на годишния брой служители и данните от баланса. Стартъп, който преминава прага от 50 служители или прага на баланса през дадена година, става задължен да се регистрира. Регистрацията трябва да бъде завършена преди започване на обработката съгласно новия праг, а не ретроактивно в края на годината.

Процес на регистрация в VERBIS стъпка по стъпка:

Влезте в портала VERBIS чрез e-Devlet (портал за електронно правителство), използвайки KEP (регистриран електронен пощенски адрес) или идентификационни данни на упълномощен представител. [3]
Попълнете профила на администратора на данни (име на фирмата, правна форма, данни за контакт, упълномощен представител).
Създайте запис за „дейност по обработка“ за всяка отделна категория обработвани лични данни.
За всяка дейност декларирайте: категория данни, цел, правно основание, група субекти на данни, получатели и срок на съхранение.
Изпратете и получете регистрационен номер в VERBIS.
Актуализирайте регистъра, когато дейностите по обработка се променят съществено.

Изключения от KVKK: Малки предприятия и какви данни не са обхванати

Не всяка организация трябва да се регистрира в VERBIS. На 12 януари 2026 г. Органът по KVKK изясни критериите за освобождаване за малки администратори на данни. [4]

Изключението се прилага, когато са изпълнени ВСИЧКИ три условия:

По-малко от 10 служители
Общ годишен баланс под 10 милиона TL
Основната дейност включва обработка на специални категории лични данни (изключението е специално предназначено за малки доставчици на здравни услуги, клиники и подобни субекти)

Правният анализ, публикуван от CMS Law, отбелязва, че това изключение е по-тясно, отколкото може да изглежда първоначално, то не е общо изключение за малкия бизнес, а е насочено конкретно към субекти, чиято основна дейност включва чувствителни категории данни. [7] Erdem & Erdem допълнително изясниха принципите на прилагане на тези нови изключения. [8]

Категории данни, които не са обхванати от KVKK:

Анонимизирани данни (където повторната идентификация е невъзможна)
Данни, обработвани чисто за лични или битови цели (без търговска дейност)
Данни, обработвани от съдебни органи за наказателни производства (регулирани от отделно законодателство)

Краен случай: Псевдонимизирани данни все още се считат за лични данни съгласно KVKK, ако администраторът запазва средствата за повторна идентификация на лица. Не третирайте псевдонимизацията като еквивалентна на анонимизацията за целите на съответствието.

Изисквания за съгласие по KVKK за клиентски данни

Съгласно KVKK, валидното съгласие трябва да бъде свободно дадено, конкретно, информирано и недвусмислено. Съгласието не може да бъде обвързано с приемане на условията за ползване, а предварително отметнатите квадратчета не представляват валидно съгласие.

Съгласието трябва да бъде:

Свободно дадено: Без принуда или обвързване на достъпа до услуга с даване на съгласие
Конкретно: Свързано с определена цел, а не общо разрешение
Информирано: Субектът на данните трябва да знае кой събира данни и защо
Недвусмислено: Изисква утвърдително действие (клик, подпис, отметка)

За уебсайтове и цифрови платформи, прилагането на съвместима платформа за управление на съгласието е най-практичният подход. Biscotti CMP е проектирана да помага на собствениците на уебсайтове и предприятията да управляват събирането на съгласие по начин, съобразен с KVKK и други рамки за защита на данните, предоставяйки одиторски следи и подробни записи на съгласието.

Изрично съгласие се изисква допълнително за специални категории лични данни (здраве, биометрични, генетични, криминални досиета и т.н.) и за трансфери на данни през граница, където няма механизъм за адекватност.

Наказания и глоби по KVKK за неспазване

Прилагането на KVKK не е теоретично. Органът по KVKK е налагал глоби както на местни, така и на чуждестранни субекти. Наказанията се регулират от член 18 от закона.

Категории административни глоби съгласно член 18:

Неизпълнение на задълженията за разкриване: 9 027 TL до 180 536 TL (приблизителна граница за 2024 г.; сумите се актуализират ежегодно за инфлация)
Неосигуряване на сигурност на данните: 45 135 TL до 9 027 000 TL
Неспазване на решенията на Органа по KVKK: 45 135 TL до 9 027 000 TL
Нерегистриране в VERBIS или неактуализиране на VERBIS: 39 337 TL до 1 966 862 TL

Забележка: Сумите на глобите се индексират ежегодно и горните цифри отразяват публикуваните граници за 2024 г. Проверете актуалните цифри с Органа по KVKK или турски правен съветник за действия по прилагане за 2026 г.

Наказателна отговорност за определени нарушения (незаконна обработка, неизтриване на данни) може да доведе до лишаване от свобода съгласно турския Наказателен кодекс, измерение, което липсва в инструментариума за прилагане на GDPR.

Правила за уведомяване за нарушения на данни по KVKK

Съгласно KVKK, администраторите на данни трябва да уведомят Органа по KVKK в рамките на 72 часа от узнаването за нарушение на лични данни. Ако нарушението е вероятно да засегне неблагоприятно субектите на данни, тези лица също трябва да бъдат уведомени своевременно.

Контролен списък за уведомяване за нарушение:

Идентифициране и овладяване на нарушението
Оценка на обхвата и вероятното въздействие върху субектите на данни
Уведомяване на Органа по KVKK в рамките на 72 часа чрез официалния формуляр за уведомяване
Документиране на нарушението вътрешно (какво се е случило, какви данни са засегнати, стъпки за отстраняване)
Уведомяване на засегнатите субекти на данни, ако има висок риск от вреда

Неуведомяването в рамките на изисквания срок само по себе си е нарушение, подлежащо на санкции съгласно член 18.

Често срещани грешки при спазване на KVKK, които правят предприятията

1. Третиране на VERBIS като еднократна задача. Записите в VERBIS трябва да се актуализират винаги, когато дейностите по обработка се променят. Придобиването на нов CRM, стартирането на нова маркетингова кампания с различни категории данни или включването на нов обработващ данни потенциално изискват актуализации в VERBIS.

2. Разчитане на съгласие по GDPR за турски потребители. Изискванията за съгласие по KVKK имат местни нюанси. Банер за съгласие, оптимизиран за GDPR, може да не обхваща специфичните разкрития, изисквани по KVKK.

3. Игнориране на правилата за трансфер през граница. Изпращането на данни на турски клиенти до базирана в САЩ платформа за анализи или доставчик на облачни услуги без валиден механизъм за трансфер е често срещано и често наказвано нарушение.

4. Приемане на изключение за малък бизнес без проверка. Изяснението от януари 2026 г. ясно показа, че изключението е обусловено от едновременното изпълнение на всички три критерия. [4]

5. Липса на политика за съхранение на данни. KVKK изисква данните да бъдат изтрити, унищожени или анонимизирани, когато целта за обработка вече не съществува. Много предприятия събират данни безсрочно без документиран график за съхранение.

ЧЗВ

В: Задължителен ли е KVKK за всички предприятия, работещи в Турция? Да, всяко лице, което обработва лични данни на лица в Турция, подлежи на KVKK, независимо от размера на компанията или националността. Регистрацията в VERBIS е задължителна за повечето субекти над прага за освобождаване на малкия бизнес.

В: Какъв е крайният срок за регистрация в VERBIS през 2026 г.? Органът по KVKK удължи крайния срок за регистрация в VERBIS до 5 юни 2026 г. за организации, които отговарят на условията въз основа на техните финансови отчети за 2025 г. [1] Организациите, които вече са изпълнили предишни прагове, вече трябва да са регистрирани.

В: Може ли чуждестранна компания да бъде глобена по KVKK? Да. Органът по KVKK има юрисдикция над всеки администратор на данни, обработващ данни на турски граждани, включително чуждестранни компании. Прилагането срещу чуждестранни субекти е развиваща се област, но правната експозиция е реална.

В: Има ли алтернатива на VERBIS за деклариране на дейности по обработка на данни? Не. VERBIS е единственият задължителен регистър съгласно KVKK. Няма алтернативен механизъм за изпълнение на задължението за регистрация на администратор на данни.

В: Колко време отнема регистрацията в VERBIS? С интеграцията на e-Devlet от 1 юли 2026 г. техническият процес може да бъде завършен за няколко часа за прости случаи. [3] Въпреки това, подготвителната работа, картографирането на всички дейности по обработка на данни, идентифицирането на правни основания и документирането на сроковете за съхранение, обикновено отнема седмици за средни организации.

В: Изисква ли KVKK длъжностно лице по защита на данните (ДЗЛ)? KVKK не предвижда официална роля на ДЗЛ, еквивалентна на изискването на GDPR. Въпреки това, Органът по KVKK препоръчва администраторите на данни да определят отговорно лице вътрешно за управление на съответствието.

В: Какво представляват специалните категории лични данни съгласно KVKK? Специалните категории включват: раса, етнически произход, политически възгледи, философски убеждения, религия, секта, здравни данни, сексуален живот, присъди, биометрични данни и генетични данни. Обработката на тези категории изисква изрично съгласие или конкретно правно основание.

В: Как KVKK обработва съгласието за бисквитки на уебсайтове? Бисквитките, които събират лични данни (анализи, рекламни идентификатори), изискват валидно съгласие съгласно KVKK. Съвместим CMP като Biscotti CMP може да помогне на собствениците на уебсайтове да събират, съхраняват и управляват съгласието за бисквитки в съответствие със задълженията по KVKK.

В: Изисква ли се публичните институции да се регистрират в VERBIS? Да. Публичните институции и организации са длъжни да се регистрират в VERBIS. Периодът за регистрация за публични субекти започна на 1 април 2019 г., с краен срок за завършване 30 юни 2020 г. [6]

В: Какво се случва, ако компания актуализира своите дейности по обработка, но не актуализира VERBIS? Неактуализирането на VERBIS, за да отразява текущите дейности по обработка, се третира като нарушение на съответствието и може да доведе до административни глоби съгласно член 18 от KVKK. [5]

Заключение: Практически следващи стъпки за съответствие с KVKK и VERBIS

Правенето на бизнес в Турция изисква структуриран, специфичен за юрисдикцията подход към защитата на данните. KVKK се прилага активно, регистрацията в VERBIS не е по избор за повечето организации, а изясненията за изключенията от януари 2026 г. са стеснили, а не разширили, изключенията за малкия бизнес. [4]

Незабавни действия за организации, работещи в Турция:

Извършете упражнение по картографиране на данни. Идентифицирайте всяка категория обработвани лични данни, нейната цел, правно основание и получател.
Определете задължението за VERBIS. Приложете праговете за брой служители и баланс, за да потвърдите дали е необходима регистрация. Ако се съмнявате, регистрирайте се.
Регистрирайте или актуализирайте VERBIS. Използвайте интегрирания с e-Devlet портал VERBIS, за да завършите или актуализирате регистрацията си като администратор на данни. [3]
Одитирайте механизмите за съгласие. Уверете се, че банерите за съгласие на уебсайта и формулярите за събиране на данни отговарят на специфичните изисквания на KVKK. Помислете за внедряване на Biscotti CMP (www.biscotti-cmp.com) за структурирано, одитируемо управление на съгласието.
Прегледайте споразуменията за трансфер през граница. Идентифицирайте всички обработващи данни от трети страни и облачни услуги, получаващи турски лични данни, и оценете правното основание за всеки трансфер.
Установете протокол за реакция при нарушение. Документирайте 72-часовата процедура за уведомяване и възложете вътрешна отговорност.
Ангажирайте местен правен съветник. Тълкуването на KVKK продължава да се развива и турски адвокат по защита на данните може да предостави специфични за юрисдикцията насоки, които никоя обща рамка за съответствие не може да замени.

Пейзажът на съответствието за правене на бизнес в Турция се развива бързо. Организациите, които третират KVKK като упражнение за отметка, а не като текуща програма, ще се окажат изложени, тъй като прилагането се засилва.