Consentiment i bàners

Fent negocis a Turquia? Què cal saber sobre la KVKK i VERBIS

7 de juliol del 2026 · 15 min de lectura

Resposta ràpida: La llei principal de protecció de dades de Turquia, KVKK (Llei núm. 6698), s'aplica a qualsevol organització, nacional o estrangera, que processi dades personals d'individus a Turquia. VERBIS és el registre obligatori de controladors de dades sota la KVKK. La majoria d'organitzacions mitjanes i grans han de registrar-se a VERBIS o s'enfrontaran a multes administratives. A partir de 2026, el procés de registre és accessible a través de la plataforma e-Devlet de Turquia, i s'han aclarit els llindars d'exempció per a petites empreses.

Punts clau

KVKK (Kişisel Verilerin Korunması Kanunu) és la llei de protecció de dades de Turquia, promulgada el 2016 i modelada parcialment segons els principis del GDPR, però amb requisits locals distintius.
VERBIS és el registre en línia on els controladors de dades han de declarar les seves activitats de processament de dades abans que comenci el processament.
Les empreses estrangeres que processen dades de residents turcs estan subjectes a la KVKK, independentment d'on tingui la seu l'empresa.
A partir del 12 de gener de 2026, els controladors de dades a petita escala amb menys de 10 empleats i un balanç anual inferior a 10 milions de TL estan exempts del registre VERBIS si la seva activitat principal implica dades de categoria especial. [4]
El termini de registre de VERBIS es va ampliar fins al 5 de juny de 2026 per a les organitzacions que qualificaven segons els estats financers de 2025. [1]
A partir de l'1 de juliol de 2026, els serveis VERBIS estan totalment integrats amb la plataforma e-Devlet (e-Govern) de Turquia. [3]
Les sancions per incompliment segons l'article 18 de la KVKK poden arribar a multes administratives significatives, i l'autoritat KVKK les aplica activament.
El consentiment sota la KVKK ha de ser lliure, específic, informat i inequívoc; una Plataforma de Gestió del Consentiment (CMP) és una eina pràctica per al compliment basat en la web.

Què és la KVKK? Explicació de la Llei de Protecció de Dades de Turquia

La KVKK (Kişisel Verilerin Korunması Kanunu, Llei núm. 6698) és l'estatut complet de protecció de dades personals de Turquia, promulgat el 7 d'abril de 2016. Regula com es recullen, emmagatzemen, processen, transfereixen i eliminen les dades personals per part dels controladors i processadors de dades que operen a Turquia.

La llei va establir l'Autoritat de Protecció de Dades Personals (Kişisel Verileri Koruma Kurumu, també abreujada KVKK), l'òrgan supervisor independent responsable de l'aplicació, l'orientació i el registre VERBIS.

Els principis bàsics de la KVKK inclouen:

Legalitat, equitat i transparència
Limitació de la finalitat (dades recollides només per a finalitats especificades i explícites)
Minimització de dades
Exactitud i manteniment de les dades actualitzades
Limitació de l'emmagatzematge (dades conservades no més del necessari)
Integritat i confidencialitat

Qualsevol entitat que determini les finalitats i els mitjans del processament de dades personals es qualifica com a "controlador de dades" sota la KVKK i assumeix les obligacions principals de compliment.

KVKK vs. GDPR: Diferències clau i solapament de compliment

La KVKK comparteix ADN estructural amb el GDPR de la UE, però els dos marcs divergeixen en diverses maneres operacionalment significatives. Les organitzacions que ja compleixen el GDPR no haurien d'assumir el compliment automàtic de la KVKK.

Dimensió	KVKK (Turquia)	GDPR (UE)
Promulgada	2016	2018 (aplicació)
Òrgan supervisor	Autoritat KVKK	APD nacionals per estat membre
Registre de dades	VERBIS (obligatori per a la majoria)	No hi ha un registre obligatori equivalent
Transferències de dades a l'estranger	Requereix consentiment explícit o adequació	Decisions d'adequació o SCCs
Requisit de DPO	No hi ha un mandat formal de DPO	Obligatori en certs casos
Notificació de violació	72 hores a l'autoritat	72 hores a l'autoritat

Divergència clau: La KVKK exigeix als controladors de dades que es registrin a VERBIS i declarin les seves activitats de processament de manera proactiva. El GDPR no té una obligació de registre públic equivalent. A més, les normes de transferència de dades transfrontereres de la KVKK són més restrictives a la pràctica, requerint el consentiment explícit de l'interessat o una decisió formal d'adequació, i a Turquia no se li ha concedit l'estat d'adequació de la UE.

"El compliment del GDPR és una base útil, però fer negocis a Turquia requereix una capa de compliment de la KVKK separada, particularment al voltant del registre VERBIS i les normes de transferència transfronterera."

Què és VERBIS i com funciona?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) és el registre en línia mantingut per l'Autoritat KVKK on els controladors de dades han de registrar i declarar les seves activitats de processament de dades personals abans que comenci el processament. Penseu-hi com un inventari públic de qui processa quines dades, amb quina finalitat i sota quina política de retenció.

Com funciona VERBIS a la pràctica:

El controlador de dades crea un compte al portal VERBIS (ara accessible a través de la plataforma e-Devlet de Turquia a partir de l'1 de juliol de 2026). [3]
El controlador declara cada categoria de dades personals processades, la finalitat del processament, la base legal, les categories de dades, els grups de destinataris i els períodes de retenció.
Les declaracions es presenten i passen a formar part del registre públic.
Qualsevol canvi en les activitats de processament s'ha d'actualitzar a VERBIS ràpidament.
L'incompliment del registre o l'actualització comporta sancions segons l'article 18 de la KVKK. [5]

L'1 de juliol de 2026, l'Autoritat KVKK també va publicar versions actualitzades del document d'orientació "Sorularla VERBİS" i la guia d'usuari oficial VERBİS Kılavuzu per ajudar els controladors de dades a navegar per les obligacions de registre. [2]

Les empreses estrangeres necessiten complir la KVKK?

Sí. La KVKK s'aplica a qualsevol controlador de dades que processi dades personals d'individus ubicats a Turquia, independentment d'on estigui constituït o basat el controlador. Una empresa SaaS alemanya amb clients turcs, una plataforma de comerç electrònic dels EUA que envia a Turquia, o una agència de màrqueting del Regne Unit que realitza campanyes dirigides a consumidors turcs, tots entren dins l'àmbit de la KVKK.

Implicacions pràctiques per a empreses estrangeres:

Han de nomenar un representant local a Turquia si no tenen presència física (tot i que la implementació de la llei en aquest punt continua evolucionant, consulteu un assessor legal local).
Han de complir els requisits de registre VERBIS, tret que s'apliqui una exempció específica.
Les transferències de dades transfrontereres fora de Turquia requereixen el consentiment explícit de l'interessat o un mecanisme formal d'adequació, cap dels quals és senzill per a la majoria de destinacions no pertanyents a la UE.

Error comú: Les empreses estrangeres assumeixen que el compliment del GDPR o una política de privadesa genèrica cobreix la seva base d'usuaris turcs. La KVKK requereix divulgacions específiques de la jurisdicció, mecanismes de consentiment i declaracions de registre.

Requisits de registre VERBIS: Qui ha de registrar-se i com

La majoria dels controladors de dades per sobre del llindar d'exempció per a petites empreses estan obligats a registrar-se a VERBIS. L'obligació s'aplica tant a entitats del sector privat com a institucions públiques. [6]

El registre és obligatori si el controlador de dades:

Té 50 o més empleats (equivalent a temps complet), O
Té un balanç financer anual total que supera els 25 milions de TL, O
Processa categories especials de dades personals (salut, biomètriques, antecedents penals, etc.) independentment de la mida, tret que s'apliqui l'exempció per a petites empreses (vegeu més avall).

Per a startups i empreses en creixement: El llindar es basa en el nombre anual d'empleats i les xifres del balanç. Una startup que supera la marca de 50 empleats o el llindar del balanç en un any determinat queda obligada a registrar-se. El registre s'ha de completar abans que comenci el processament sota el nou llindar, no retroactivament a final d'any.

Procés de registre VERBIS pas a pas:

Inicieu sessió al portal VERBIS a través d'e-Devlet (passarel·la d'e-Govern) utilitzant una adreça KEP (correu electrònic registrat) o credencials de signatari autoritzat. [3]
Completeu el perfil del controlador de dades (nom de l'empresa, forma jurídica, dades de contacte, representant autoritzat).
Creeu una entrada d'"activitat de processament" per a cada categoria diferent de dades personals processades.
Per a cada activitat, declareu: categoria de dades, finalitat, base legal, grup d'interessats, destinataris i període de retenció.
Envieu i rebeu un número de registre VERBIS.
Actualitzeu el registre sempre que les activitats de processament canviïn materialment.

Exempcions de la KVKK: Petites empreses i quines dades no estan cobertes

No totes les organitzacions han de registrar-se a VERBIS. El 12 de gener de 2026, l'Autoritat KVKK va aclarir els criteris d'exempció per als controladors de dades a petita escala. [4]

L'exempció s'aplica quan es compleixen TOTS tres condicions:

Menys de 10 empleats
Balanç anual total inferior a 10 milions de TL
L'activitat principal implica el processament de categories especials de dades personals (l'exempció es va dissenyar específicament per a petits proveïdors de salut, clíniques i entitats similars)

L'anàlisi legal publicada per CMS Law assenyala que aquesta exempció és més estreta del que pot semblar inicialment, no és una exempció general per a petites empreses, sinó que s'adreça específicament a entitats la activitat principal de les quals implica categories de dades sensibles. [7] Erdem & Erdem va aclarir encara més els principis d'aplicació d'aquestes noves exempcions. [8]

Categories de dades no cobertes per la KVKK:

Dades anonimitzades (on la reidentificació és impossible)
Dades processades purament per a finalitats personals o domèstiques (sense activitat comercial)
Dades processades per autoritats judicials per a procediments penals (regulades per legislació separada)

Cas límit: Les dades pseudonimitzades encara es consideren dades personals sota la KVKK si el controlador conserva els mitjans per reidentificar individus. No tracteu la pseudonimització com a equivalent a l'anonimització a efectes de compliment.

Requisits de consentiment de la KVKK per a dades de clients

Sota la KVKK, el consentiment vàlid ha de ser lliure, específic, informat i inequívoc. El consentiment no es pot agrupar amb l'acceptació dels termes del servei, i les caselles premarcades no constitueixen un consentiment vàlid.

El consentiment ha de ser:

Lliure: Sense coacció ni condicionament de l'accés al servei al consentiment
Específic: Lligat a una finalitat definida, no una autorització general
Informat: L'interessat ha de saber qui recull les dades i per què
Inequívoc: Requereix una acció afirmativa (clic, signatura, casella de verificació)

Per a llocs web i plataformes digitals, la implementació d'una Plataforma de Gestió del Consentiment compliant és l'enfocament més pràctic. Biscotti CMP està dissenyat per ajudar els propietaris de llocs web i les empreses a gestionar la recollida de consentiment d'una manera alineada amb la KVKK i altres marcs de protecció de dades, proporcionant pistes d'auditoria i registres de consentiment granular.

El consentiment explícit és addicionalment necessari per a categories especials de dades personals (salut, biomètriques, genètiques, antecedents penals, etc.) i per a transferències de dades transfrontereres on no existeix un mecanisme d'adequació.

Sancions i multes de la KVKK per incompliment

L'aplicació de la KVKK no és teòrica. L'Autoritat KVKK ha imposat multes tant a entitats nacionals com estrangeres. Les sancions es regeixen per l'article 18 de la llei.

Categories de multes administratives segons l'article 18:

Incompliment de les obligacions de divulgació: 9.027 TL a 180.536 TL (rang aproximat de 2024; els imports s'actualitzen anualment per inflació)
Incompliment de la seguretat de les dades: 45.135 TL a 9.027.000 TL
Incompliment de les decisions de l'Autoritat KVKK: 45.135 TL a 9.027.000 TL
Incompliment del registre a VERBIS o incompliment de l'actualització de VERBIS: 39.337 TL a 1.966.862 TL

Nota: Els imports de les multes s'indexen anualment i les xifres anteriors reflecteixen els rangs publicats de 2024. Verifiqueu les xifres actuals amb l'Autoritat KVKK o un assessor legal turc per a les accions d'aplicació de 2026.

La responsabilitat penal per certes violacions (processament il·lícit, incompliment de l'eliminació de dades) pot resultar en presó segons el Codi Penal turc, una dimensió absent de les eines d'aplicació del GDPR.

Normes de notificació de violacions de dades de la KVKK

Sota la KVKK, els controladors de dades han de notificar a l'Autoritat KVKK en un termini de 72 hores des que tinguin coneixement d'una violació de dades personals. Si és probable que la violació afecti negativament els interessats, aquests individus també han de ser notificats ràpidament.

Llista de verificació de notificació de violació:

Identificar i contenir la violació
Avaluar l'abast i l'impacte probable en els interessats
Notificar a l'Autoritat KVKK en un termini de 72 hores mitjançant el formulari de notificació oficial
Documentar la violació internament (què va passar, quines dades es van veure afectades, mesures de reparació)
Notificar als interessats afectats si hi ha un alt risc de dany

L'incompliment de la notificació dins del termini requerit és en si mateix una violació sancionable segons l'article 18.

Errors comuns de compliment de la KVKK que cometen les empreses

1. Tractar VERBIS com una tasca única. Les entrades de VERBIS s'han d'actualitzar sempre que les activitats de processament canviïn. L'adquisició d'un nou CRM, el llançament d'una nova campanya de màrqueting amb diferents categories de dades o la incorporació d'un nou processador de dades requereixen potencialment actualitzacions de VERBIS.

2. Confiar en el consentiment del GDPR per als usuaris turcs. Els requisits de consentiment de la KVKK tenen matisos locals. Un bàner de consentiment optimitzat per al GDPR pot no capturar les divulgacions específiques requerides per la KVKK.

3. Ignorar les normes de transferència transfronterera. Enviar dades de clients turcs a una plataforma d'anàlisi o proveïdor de núvol amb seu als EUA sense un mecanisme de transferència vàlid és una violació comuna i freqüentment sancionada.

4. Assumir l'exempció per a petites empreses sense verificació. L'aclariment de gener de 2026 va deixar clar que l'exempció està condicionada al compliment simultani dels tres criteris. [4]

5. No tenir una política de retenció de dades. La KVKK exigeix que les dades s'eliminin, destrueixin o anonimitzin quan la finalitat del processament ja no existeix. Moltes empreses recullen dades indefinidament sense un calendari de retenció documentat.

Preguntes freqüents

P: La KVKK és obligatòria per a totes les empreses que operen a Turquia? Sí, qualsevol entitat que processi dades personals d'individus a Turquia està subjecta a la KVKK, independentment de la mida o nacionalitat de l'empresa. El registre VERBIS és obligatori per a la majoria d'entitats per sobre del llindar d'exempció per a petites empreses.

P: Quin és el termini de registre de VERBIS el 2026? L'Autoritat KVKK va ampliar el termini de registre de VERBIS fins al 5 de juny de 2026 per a les organitzacions que qualificaven segons els seus estats financers de 2025. [1] Les organitzacions que ja complien els llindars anteriors ja haurien d'estar registrades.

P: Una empresa estrangera pot ser multada sota la KVKK? Sí. L'Autoritat KVKK té jurisdicció sobre qualsevol controlador de dades que processi dades de residents turcs, incloses les empreses estrangeres. L'aplicació contra entitats estrangeres és una àrea en evolució, però l'exposició legal és real.

P: Hi ha una alternativa a VERBIS per declarar les activitats de processament de dades? No. VERBIS és l'únic registre obligatori sota la KVKK. No hi ha cap mecanisme alternatiu per complir l'obligació de registre del controlador de dades.

P: Quant de temps triga el registre VERBIS? Amb la integració d'e-Devlet a partir de l'1 de juliol de 2026, el procés tècnic es pot completar en poques hores per a casos senzills. [3] No obstant això, el treball preparatori, la cartografia de totes les activitats de processament de dades, la identificació de les bases legals i la documentació dels períodes de retenció, sol trigar setmanes per a organitzacions de mida mitjana.

P: La KVKK requereix un Delegat de Protecció de Dades (DPO)? La KVKK no exigeix un rol formal de DPO equivalent al requisit del GDPR. No obstant això, l'Autoritat KVKK recomana que els controladors de dades designin una persona responsable internament per gestionar el compliment.

P: Què constitueix una categoria especial de dades personals sota la KVKK? Les categories especials inclouen: raça, origen ètnic, opinió política, creença filosòfica, religió, secta, dades de salut, vida sexual, condemnes penals, dades biomètriques i dades genètiques. El processament d'aquestes categories requereix el consentiment explícit o una base legal específica.

P: Com gestiona la KVKK el consentiment de cookies als llocs web? Les cookies que recullen dades personals (analítiques, identificadors publicitaris) requereixen un consentiment vàlid sota la KVKK. Un CMP compliant com Biscotti CMP pot ajudar els propietaris de llocs web a capturar, emmagatzemar i gestionar el consentiment de cookies d'acord amb les obligacions de la KVKK.

P: Les institucions públiques estan obligades a registrar-se a VERBIS? Sí. Les institucions i organitzacions públiques estan obligades a registrar-se a VERBIS. El període de registre per a les entitats públiques va començar l'1 d'abril de 2019, amb un termini de finalització del 30 de juny de 2020. [6]

P: Què passa si una empresa actualitza les seves activitats de processament però no actualitza VERBIS? L'incompliment de l'actualització de VERBIS per reflectir les activitats de processament actuals es considera una violació del compliment i pot resultar en multes administratives segons l'article 18 de la KVKK. [5]

Conclusió: Pròxims passos accionables per al compliment de la KVKK i VERBIS

Fer negocis a Turquia requereix un enfocament estructurat i específic de la jurisdicció per a la protecció de dades. La KVKK s'aplica activament, el registre VERBIS no és opcional per a la majoria d'organitzacions, i els aclariments d'exempció de gener de 2026 han reduït, no ampliat, les exempcions per a petites empreses. [4]

Accions immediates per a organitzacions que operen a Turquia:

Realitzar un exercici de cartografia de dades. Identificar cada categoria de dades personals processades, la seva finalitat, base legal i destinatari.
Determinar l'obligació VERBIS. Aplicar els llindars de nombre d'empleats i balanç per confirmar si es requereix el registre. En cas de dubte, registreu-vos.
Registrar o actualitzar VERBIS. Utilitzeu el portal VERBIS integrat amb e-Devlet per completar o actualitzar el vostre registre de controlador de dades. [3]
Auditar els mecanismes de consentiment. Assegurar que els bàners de consentiment del lloc web i els formularis de recollida de dades compleixen els requisits específics de la KVKK. Considereu desplegar Biscotti CMP (www.biscotti-cmp.com) per a una gestió del consentiment estructurada i auditable.
Revisar els acords de transferència transfronterera. Identificar tots els processadors de tercers i serveis al núvol que reben dades personals turques i avaluar la base legal per a cada transferència.
Establir un protocol de resposta a violacions. Documentar el procediment de notificació de 72 hores i assignar la responsabilitat interna.
Contractar un assessor legal local. La interpretació de la KVKK continua evolucionant, i un advocat turc de protecció de dades pot proporcionar orientació específica de la jurisdicció que cap marc de compliment general pot substituir.

El panorama de compliment per fer negocis a Turquia està madurant ràpidament. Les organitzacions que tracten la KVKK com una tasca de verificació en lloc d'un programa continu es trobaran exposades a mesura que s'intensifiqui l'aplicació.