Pristanak i baneri

Poslovanje u Turskoj? Šta trebate znati o KVKK i VERBIS-u

7. juli 2026. · 15 min čitanja

Kratak odgovor: Primarni turski zakon o zaštiti podataka, KVKK (Zakon br. 6698), primjenjuje se na svaku organizaciju, domaću ili stranu, koja obrađuje lične podatke pojedinaca u Turskoj. VERBIS je obavezni registar kontrolora podataka prema KVKK. Većina srednjih i velikih organizacija mora se registrovati u VERBIS-u ili se suočiti s administrativnim kaznama. Od 2026. godine, proces registracije je dostupan putem turske platforme e-Devlet, a pragovi izuzeća za mala preduzeća su pojašnjeni.

Ključne informacije

KVKK (Kişisel Verilerin Korunması Kanunu) je turski zakon o zaštiti podataka, donesen 2016. godine i djelimično modeliran prema GDPR principima, ali s posebnim lokalnim zahtjevima.
VERBIS je online registar u kojem kontrolori podataka moraju prijaviti svoje aktivnosti obrade podataka prije početka obrade.
Strane kompanije koje obrađuju podatke turskih rezidenata podliježu KVKK-u, bez obzira na to gdje je kompanija registrovana.
Od 12. januara 2026. godine, mali kontrolori podataka s manje od 10 zaposlenih i godišnjim bilansom stanja ispod 10 miliona TL izuzeti su od VERBIS registracije ako njihova primarna aktivnost uključuje posebne kategorije podataka. [4]
Rok za VERBIS registraciju produžen je do 5. juna 2026. godine za organizacije koje se kvalifikuju na osnovu finansijskih izvještaja za 2025. godinu. [1]
Od 1. jula 2026. godine, VERBIS usluge su u potpunosti integrisane sa turskom platformom e-Devlet (e-Uprava). [3]
Kazne za neusklađenost prema članu 18. KVKK mogu dostići značajne administrativne kazne, a KVKK vlast ih aktivno provodi.
Pristanak prema KVKK mora biti slobodno dat, specifičan, informisan i nedvosmislen, a Platforma za upravljanje pristankom (CMP) je praktičan alat za usklađenost sa webom.

Šta je KVKK? Objašnjen turski zakon o zaštiti podataka

KVKK (Kişisel Verilerin Korunması Kanunu, Zakon br. 6698) je sveobuhvatni turski statut o zaštiti ličnih podataka, donesen 7. aprila 2016. godine. On reguliše kako se lični podaci prikupljaju, pohranjuju, obrađuju, prenose i brišu od strane kontrolora i obrađivača podataka koji posluju u Turskoj.

Zakon je uspostavio Agenciju za zaštitu ličnih podataka (Kişisel Verileri Koruma Kurumu, takođe skraćeno KVKK), nezavisno nadzorno tijelo odgovorno za provođenje, smjernice i VERBIS registar.

Osnovni principi prema KVKK uključuju:

Zakonitost, pravičnost i transparentnost
Ograničenje svrhe (podaci se prikupljaju samo za određene, eksplicitne svrhe)
Minimizacija podataka
Tačnost i ažuriranje podataka
Ograničenje pohrane (podaci se čuvaju samo onoliko dugo koliko je potrebno)
Integritet i povjerljivost

Svaki entitet koji određuje svrhe i sredstva obrade ličnih podataka kvalifikuje se kao "kontrolor podataka" prema KVKK i snosi primarne obaveze usklađenosti.

KVKK vs. GDPR: Ključne razlike i preklapanje usklađenosti

KVKK dijeli strukturni DNK sa GDPR-om EU, ali se dva okvira razlikuju na nekoliko operativno značajnih načina. Organizacije koje su već usklađene sa GDPR-om ne bi trebale pretpostavljati automatsku usklađenost sa KVKK.

Dimenzija	KVKK (Turska)	GDPR (EU)
Donesen	2016	2018 (provedba)
Nadzorno tijelo	KVKK Agencija	Nacionalne DPA po državi članici
Registar podataka	VERBIS (obavezno za većinu)	Nema ekvivalentnog obaveznog registra
Prijenos podataka u inostranstvo	Zahtijeva eksplicitan pristanak ili adekvatnost	Odluke o adekvatnosti ili SCC
Zahtjev za DPO	Nema formalnog mandata za DPO	Obavezno u određenim slučajevima
Obavijest o povredi	72 sata nadležnom organu	72 sata nadležnom organu

Ključna razlika: KVKK zahtijeva od kontrolora podataka da se registruju u VERBIS-u i proaktivno prijave svoje aktivnosti obrade. GDPR nema ekvivalentnu obavezu javnog registra. Dodatno, pravila KVKK-a o prekograničnom prijenosu podataka su u praksi restriktivnija, zahtijevajući ili eksplicitan pristanak subjekta podataka ili formalnu odluku o adekvatnosti, a Turskoj nije dodijeljen status adekvatnosti EU.

"Usklađenost sa GDPR-om je korisna osnova, ali poslovanje u Turskoj zahtijeva poseban sloj usklađenosti sa KVKK, posebno u vezi sa VERBIS registracijom i pravilima prekograničnog prijenosa."

Šta je VERBIS i kako funkcioniše?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) je online registar koji održava KVKK Agencija, gdje se kontrolori podataka moraju registrovati i prijaviti svoje aktivnosti obrade ličnih podataka prije početka obrade. Zamislite to kao javni inventar ko obrađuje koje podatke, u koju svrhu i pod kojom politikom zadržavanja.

Kako VERBIS funkcioniše u praksi:

Kontrolor podataka kreira nalog na VERBIS portalu (sada dostupan putem turske platforme e-Devlet od 1. jula 2026.). [3]
Kontrolor prijavljuje svaku kategoriju obrađenih ličnih podataka, svrhu obrade, pravni osnov, kategorije podataka, grupe primalaca i periode zadržavanja.
Prijave se podnose i postaju dio javnog registra.
Sve promjene u aktivnostima obrade moraju se odmah ažurirati u VERBIS-u.
Neprijavljivanje ili neažuriranje povlači kazne prema članu 18. KVKK. [5]

Dana 1. jula 2026. godine, KVKK Agencija je takođe objavila ažurirane verzije dokumenta sa smjernicama "Sorularla VERBİS" i zvaničnog VERBİS Kılavuzu (korisničkog priručnika) kako bi pomogla kontrolorima podataka da se snađu u obavezama registracije. [2]

Da li strane kompanije trebaju usklađenost sa KVKK?

Da. KVKK se primjenjuje na svakog kontrolora podataka koji obrađuje lične podatke pojedinaca koji se nalaze u Turskoj, bez obzira na to gdje je kontrolor inkorporiran ili baziran. Njemačka SaaS kompanija sa turskim klijentima, američka platforma za e-trgovinu koja isporučuje u Tursku, ili britanska marketinška agencija koja vodi kampanje usmjerene na turske potrošače, svi spadaju u opseg KVKK.

Praktične implikacije za strane kompanije:

Moraju imenovati lokalnog predstavnika u Turskoj ako nemaju fizičko prisustvo (iako se implementacija zakona po ovom pitanju nastavlja razvijati, konsultujte lokalnog pravnog savjetnika).
Moraju se pridržavati zahtjeva za VERBIS registraciju, osim ako se ne primjenjuje specifično izuzeće.
Prekogranični prijenos podataka iz Turske zahtijeva ili eksplicitan pristanak subjekta podataka ili formalni mehanizam adekvatnosti, od kojih nijedan nije jednostavan za većinu destinacija izvan EU.

Česta greška: Strane kompanije pretpostavljaju da usklađenost sa GDPR-om ili generička politika privatnosti pokriva njihovu tursku korisničku bazu. KVKK zahtijeva objave specifične za jurisdikciju, mehanizme pristanka i registracijske prijave.

VERBIS zahtjevi za registraciju: Ko se mora registrovati i kako

Većina kontrolora podataka iznad praga izuzeća za mala preduzeća mora se registrovati u VERBIS-u. Obaveza se primjenjuje na subjekte iz privatnog sektora i javne institucije. [6]

Registracija je obavezna ako kontrolor podataka:

Ima 50 ili više zaposlenih (ekvivalent punog radnog vremena), ILI
Ima godišnji finansijski bilans stanja koji prelazi 25 miliona TL, ILI
Obrađuje posebne kategorije ličnih podataka (zdravlje, biometrijski podaci, krivični dosijei, itd.) bez obzira na veličinu, osim ako se ne primjenjuje izuzeće za mala preduzeća (vidi dolje).

Za startupe i rastuće kompanije: Prag se zasniva na godišnjem broju zaposlenih i podacima iz bilansa stanja. Startup koji pređe prag od 50 zaposlenih ili prag bilansa stanja u datoj godini postaje obavezan da se registruje. Registracija mora biti završena prije početka obrade prema novom pragu, a ne retroaktivno na kraju godine.

Korak po korak VERBIS proces registracije:

Prijavite se na VERBIS portal putem e-Devlet (portal e-Uprave) koristeći KEP (registrovana elektronska pošta) adresu ili akreditive ovlaštenog potpisnika. [3]
Popunite profil kontrolora podataka (naziv kompanije, pravni oblik, kontakt podaci, ovlašteni predstavnik).
Kreirajte unos "aktivnosti obrade" za svaku posebnu kategoriju obrađenih ličnih podataka.
Za svaku aktivnost prijavite: kategoriju podataka, svrhu, pravni osnov, grupu subjekata podataka, primaoce i period zadržavanja.
Podnesite i primite VERBIS registracijski broj.
Ažurirajte registar kad god se aktivnosti obrade materijalno promijene.

KVKK izuzeća: Mala preduzeća i koji podaci nisu obuhvaćeni

Ne mora se svaka organizacija registrovati u VERBIS-u. Dana 12. januara 2026. godine, KVKK Agencija je pojasnila kriterije izuzeća za male kontrolore podataka. [4]

Izuzeće se primjenjuje kada su ispunjena SVA tri uslova:

Manje od 10 zaposlenih
Ukupni godišnji bilans stanja ispod 10 miliona TL
Primarna aktivnost uključuje obradu posebnih kategorija ličnih podataka (izuzeće je posebno dizajnirano za male pružaoce zdravstvenih usluga, klinike i slične entitete)

Pravna analiza koju je objavio CMS Law napominje da je ovo izuzeće uže nego što se u početku čini, to nije opšte izuzeće za mala preduzeća, već je posebno usmjereno na entitete čija osnovna djelatnost uključuje osjetljive kategorije podataka. [7] Erdem & Erdem su dodatno pojasnili principe primjene ovih novih izuzeća. [8]

Kategorije podataka koje nisu obuhvaćene KVKK:

Anonimizirani podaci (gdje je ponovna identifikacija nemoguća)
Podaci obrađeni isključivo u lične ili kućne svrhe (bez komercijalne aktivnosti)
Podaci obrađeni od strane pravosudnih organa za krivične postupke (regulirani posebnim zakonodavstvom)

Granični slučaj: Pseudonimizirani podaci se i dalje smatraju ličnim podacima prema KVKK ako kontrolor zadržava sredstva za ponovnu identifikaciju pojedinaca. Nemojte tretirati pseudonimizaciju kao ekvivalent anonimizaciji u svrhu usklađenosti.

KVKK zahtjevi za pristanak za podatke o klijentima

Prema KVKK, valjan pristanak mora biti slobodno dat, specifičan, informisan i nedvosmislen. Pristanak se ne može povezati sa prihvatanjem uslova usluge, a unaprijed označeni okviri ne predstavljaju valjan pristanak.

Pristanak mora biti:

Slobodno dat: Bez prisile ili uslovljavanja pristupa usluzi pristankom
Specifičan: Povezan sa definisanom svrhom, a ne opšta autorizacija
Informisan: Subjekt podataka mora znati ko prikuplja podatke i zašto
Nedvosmislen: Zahtijeva afirmativnu radnju (klik, potpis, kvačica)

Za web stranice i digitalne platforme, implementacija usklađene Platforme za upravljanje pristankom je najpraktičniji pristup. Biscotti CMP je dizajniran da pomogne vlasnicima web stranica i preduzećima da upravljaju prikupljanjem pristanka na način usklađen sa KVKK i drugim okvirima za zaštitu podataka, pružajući revizorske tragove i detaljne zapise o pristanku.

Eksplicitan pristanak je dodatno potreban za posebne kategorije ličnih podataka (zdravlje, biometrijski podaci, genetski podaci, krivični dosijei, itd.) i za prekogranične prijenose podataka gdje ne postoji mehanizam adekvatnosti.

KVKK kazne i novčane kazne za neusklađenost

Provođenje KVKK nije teorijsko. KVKK Agencija je izrekla kazne i domaćim i stranim subjektima. Kazne su regulisane članom 18. zakona.

Kategorije administrativnih kazni prema članu 18:

Neispunjavanje obaveza objavljivanja: 9.027 TL do 180.536 TL (približni raspon za 2024. godinu; iznosi se godišnje ažuriraju zbog inflacije)
Neosiguravanje sigurnosti podataka: 45.135 TL do 9.027.000 TL
Nepoštivanje odluka KVKK Agencije: 45.135 TL do 9.027.000 TL
Neregistrovanje u VERBIS-u ili neažuriranje VERBIS-a: 39.337 TL do 1.966.862 TL

Napomena: Iznosi kazni se godišnje indeksiraju, a gore navedene brojke odražavaju objavljene raspone za 2024. godinu. Provjerite trenutne brojke kod KVKK Agencije ili turskog pravnog savjetnika za provedbene radnje za 2026. godinu.

Krivična odgovornost za određene prekršaje (nezakonita obrada, nebrisanje podataka) može rezultirati zatvorom prema Turskom krivičnom zakonu, dimenzija koja nedostaje u GDPR-ovom alatu za provođenje.

KVKK pravila obavještavanja o povredi podataka

Prema KVKK, kontrolori podataka moraju obavijestiti KVKK Agenciju u roku od 72 sata od saznanja o povredi ličnih podataka. Ako je vjerovatno da će povreda negativno uticati na subjekte podataka, ti pojedinci moraju takođe biti odmah obaviješteni.

Kontrolna lista za obavještavanje o povredi:

Identifikujte i obuzdajte povredu
Procijenite opseg i vjerovatni uticaj na subjekte podataka
Obavijestite KVKK Agenciju u roku od 72 sata putem zvaničnog obrasca za obavještavanje
Interno dokumentujte povredu (šta se dogodilo, koji su podaci pogođeni, koraci za sanaciju)
Obavijestite pogođene subjekte podataka ako postoji visok rizik od štete

Neobavještavanje u propisanom roku samo po sebi je prekršaj koji se sankcioniše prema članu 18.

Uobičajene greške koje preduzeća čine u usklađenosti sa KVKK

1. Tretiranje VERBIS-a kao jednokratnog zadatka. VERBIS unosi se moraju ažurirati kad god se aktivnosti obrade promijene. Nabavka novog CRM-a, pokretanje nove marketinške kampanje s različitim kategorijama podataka ili uključivanje novog obrađivača podataka sve potencijalno zahtijeva VERBIS ažuriranja.

2. Oslanjanje na GDPR pristanak za turske korisnike. KVKK zahtjevi za pristanak imaju lokalne nijanse. Banner za pristanak optimiziran za GDPR možda neće obuhvatiti specifične objave potrebne prema KVKK.

3. Ignorisanje pravila prekograničnog prijenosa. Slanje turskih podataka o klijentima na analitičku platformu ili provajdera oblaka sa sjedištem u SAD-u bez valjanog mehanizma prijenosa je česta i često kažnjiva povreda.

4. Pretpostavka izuzeća za mala preduzeća bez provjere. Pojašnjenje iz januara 2026. godine jasno je pokazalo da je izuzeće uslovljeno istovremenim ispunjavanjem sva tri kriterija. [4]

5. Nema politike zadržavanja podataka. KVKK zahtijeva da se podaci izbrišu, unište ili anonimiziraju kada svrha obrade više ne postoji. Mnoga preduzeća prikupljaju podatke neograničeno bez dokumentovanog rasporeda zadržavanja.

Česta pitanja

P: Da li je KVKK obavezan za sva preduzeća koja posluju u Turskoj? Da, svaki entitet koji obrađuje lične podatke pojedinaca u Turskoj podliježe KVKK-u, bez obzira na veličinu kompanije ili nacionalnost. VERBIS registracija je obavezna za većinu entiteta iznad praga izuzeća za mala preduzeća.

P: Koji je rok za VERBIS registraciju 2026. godine? KVKK Agencija je produžila rok za VERBIS registraciju do 5. juna 2026. godine za organizacije koje se kvalifikuju na osnovu svojih finansijskih izvještaja za 2025. godinu. [1] Organizacije koje su već ispunile prethodne pragove trebale bi već biti registrovane.

P: Može li strana kompanija biti kažnjena prema KVKK? Da. KVKK Agencija ima nadležnost nad svakim kontrolorom podataka koji obrađuje podatke turskih rezidenata, uključujući strane kompanije. Provođenje protiv stranih entiteta je područje koje se razvija, ali pravna izloženost je stvarna.

P: Postoji li alternativa VERBIS-u za prijavljivanje aktivnosti obrade podataka? Ne. VERBIS je jedini obavezni registar prema KVKK. Ne postoji alternativni mehanizam za ispunjavanje obaveze registracije kontrolora podataka.

P: Koliko dugo traje VERBIS registracija? Sa integracijom e-Devlet-a od 1. jula 2026. godine, tehnički proces se može završiti za nekoliko sati za jednostavne slučajeve. [3] Međutim, pripremni rad, mapiranje svih aktivnosti obrade podataka, identifikacija pravnih osnova i dokumentovanje perioda zadržavanja, obično traje sedmicama za srednje organizacije.

P: Da li KVKK zahtijeva službenika za zaštitu podataka (DPO)? KVKK ne propisuje formalnu ulogu DPO-a ekvivalentnu zahtjevu GDPR-a. Međutim, KVKK Agencija preporučuje da kontrolori podataka interno odrede odgovornu osobu za upravljanje usklađenošću.

P: Šta predstavlja posebnu kategoriju ličnih podataka prema KVKK? Posebne kategorije uključuju: rasu, etničko porijeklo, političko mišljenje, filozofsko uvjerenje, religiju, sektu, zdravstvene podatke, seksualni život, krivične presude, biometrijske podatke i genetske podatke. Obrada ovih kategorija zahtijeva eksplicitan pristanak ili specifičan pravni osnov.

P: Kako KVKK rješava pristanak za kolačiće na web stranicama? Kolačići koji prikupljaju lične podatke (analitika, identifikatori za oglašavanje) zahtijevaju valjan pristanak prema KVKK. Usklađeni CMP kao što je Biscotti CMP može pomoći vlasnicima web stranica da prikupljaju, pohranjuju i upravljaju pristankom za kolačiće u skladu sa obavezama KVKK.

P: Da li su javne institucije obavezne da se registruju u VERBIS-u? Da. Javne institucije i organizacije su obavezne da se registruju u VERBIS-u. Period registracije za javne subjekte počeo je 1. aprila 2019. godine, sa rokom za završetak 30. juna 2020. godine. [6]

P: Šta se dešava ako kompanija ažurira svoje aktivnosti obrade, ali ne ažurira VERBIS? Neažuriranje VERBIS-a kako bi odražavalo trenutne aktivnosti obrade tretira se kao kršenje usklađenosti i može rezultirati administrativnim kaznama prema članu 18. KVKK. [5]

Zaključak: Akcioni koraci za usklađenost sa KVKK i VERBIS-om

Poslovanje u Turskoj zahtijeva strukturiran, jurisdikcijski specifičan pristup zaštiti podataka. KVKK se aktivno provodi, VERBIS registracija nije opcionalna za većinu organizacija, a pojašnjenja izuzeća iz januara 2026. godine su suzila, a ne proširila, izuzeća za mala preduzeća. [4]

Neposredne radnje za organizacije koje posluju u Turskoj:

Provedite vježbu mapiranja podataka. Identifikujte svaku kategoriju obrađenih ličnih podataka, njenu svrhu, pravni osnov i primaoca.
Odredite VERBIS obavezu. Primijenite pragove broja zaposlenih i bilansa stanja kako biste potvrdili da li je registracija potrebna. Ako ste u nedoumici, registrujte se.
Registrujte se ili ažurirajte VERBIS. Koristite VERBIS portal integrisan sa e-Devlet-om za dovršavanje ili ažuriranje vaše registracije kontrolora podataka. [3]
Revizija mehanizama pristanka. Osigurajte da banneri za pristanak na web stranicama i obrasci za prikupljanje podataka ispunjavaju specifične zahtjeve KVKK. Razmislite o implementaciji Biscotti CMP (www.biscotti-cmp.com) za strukturirano, revizibilno upravljanje pristankom.
Pregledajte aranžmane za prekogranični prijenos. Identifikujte sve obrađivače trećih strana i usluge u oblaku koji primaju turske lične podatke i procijenite pravni osnov za svaki prijenos.
Uspostavite protokol za odgovor na povredu. Dokumentujte proceduru obavještavanja u roku od 72 sata i dodijelite internu odgovornost.
Angažujte lokalnog pravnog savjetnika. Tumačenje KVKK se nastavlja razvijati, a turski advokat za zaštitu podataka može pružiti jurisdikcijski specifične smjernice koje nijedan opšti okvir usklađenosti ne može zamijeniti.

Pejzaž usklađenosti za poslovanje u Turskoj brzo sazrijeva. Organizacije koje tretiraju KVKK kao zadatak za označavanje, a ne kao kontinuirani program, naći će se izložene kako se provođenje intenzivira.