Souhlas a bannery

Podnikáte v Turecku? Co potřebujete vědět o KVKK a VERBIS

7. července 2026 · 15 min čtení

Stručná odpověď: Primární turecký zákon o ochraně osobních údajů, KVKK (zákon č. 6698), se vztahuje na jakoukoli organizaci, domácí i zahraniční, která zpracovává osobní údaje jednotlivců v Turecku. VERBIS je povinný registr správců údajů podle KVKK. Většina středních a velkých organizací se musí zaregistrovat do VERBIS, jinak jim hrozí správní pokuty. Od roku 2026 je proces registrace přístupný prostřednictvím turecké platformy e-Devlet a byly objasněny prahové hodnoty pro osvobození malých podniků.

Klíčové poznatky

KVKK (Kişisel Verilerin Korunması Kanunu) je turecký zákon o ochraně osobních údajů, přijatý v roce 2016 a částečně modelovaný podle principů GDPR, ale s odlišnými místními požadavky.
VERBIS je online registr, kde správci údajů musí deklarovat své činnosti zpracování údajů před zahájením zpracování.
Zahraniční společnosti zpracovávající údaje tureckých rezidentů podléhají KVKK, bez ohledu na to, kde má společnost sídlo.
K 12. lednu 2026 jsou malí správci údajů s méně než 10 zaměstnanci a roční rozvahou pod 10 milionů TL osvobozeni od registrace VERBIS, pokud jejich primární činnost zahrnuje údaje zvláštní kategorie. [4]
Termín registrace VERBIS byl prodloužen do 5. června 2026 pro organizace, které se kvalifikují na základě finančních výkazů za rok 2025. [1]
K 1. červenci 2026 jsou služby VERBIS plně integrovány s tureckou platformou e-Devlet (e-Government). [3]
Sankce za nedodržení podle článku 18 KVKK mohou dosáhnout značných správních pokut a úřad KVKK je aktivně vymáhá.
Souhlas podle KVKK musí být svobodný, konkrétní, informovaný a jednoznačný; platforma pro správu souhlasu (CMP) je praktickým nástrojem pro dodržování předpisů na webu.

Co je KVKK? Vysvětlení tureckého zákona o ochraně osobních údajů

KVKK (Kişisel Verilerin Korunması Kanunu, zákon č. 6698) je komplexní turecký zákon o ochraně osobních údajů, přijatý 7. dubna 2016. Upravuje, jak jsou osobní údaje shromažďovány, ukládány, zpracovávány, přenášeny a mazány správci a zpracovateli údajů působícími v Turecku.

Zákon zřídil Úřad pro ochranu osobních údajů (Kişisel Verileri Koruma Kurumu, zkráceně KVKK), nezávislý dozorový orgán odpovědný za vymáhání, poradenství a registr VERBIS.

Základní principy podle KVKK zahrnují:

Zákonnost, spravedlnost a transparentnost
Omezení účelu (údaje shromažďované pouze pro stanovené, výslovné účely)
Minimalizace údajů
Přesnost a udržování aktuálních údajů
Omezení ukládání (údaje uchovávané ne déle, než je nezbytné)
Integrita a důvěrnost

Jakýkoli subjekt, který určuje účely a prostředky zpracování osobních údajů, se podle KVKK kvalifikuje jako „správce údajů“ a nese primární povinnosti dodržování předpisů.

KVKK vs. GDPR: Klíčové rozdíly a překrývání v dodržování předpisů

KVKK sdílí strukturální DNA s GDPR EU, ale oba rámce se v několika provozně významných ohledech liší. Organizace, které již dodržují GDPR, by neměly předpokládat automatické dodržování KVKK.

Rozměr	KVKK (Turecko)	GDPR (EU)
Přijato	2016	2018 (vymáhání)
Dozorový orgán	Úřad KVKK	Národní DPA podle členského státu
Registr údajů	VERBIS (povinný pro většinu)	Žádný ekvivalentní povinný registr
Přenosy údajů do zahraničí	Vyžaduje výslovný souhlas nebo přiměřenost	Rozhodnutí o přiměřenosti nebo SCC
Požadavek na DPO	Žádný formální mandát DPO	Povinné v určitých případech
Oznámení o porušení	72 hodin úřadu	72 hodin úřadu

Klíčový rozdíl: KVKK vyžaduje, aby se správci údajů zaregistrovali do VERBIS a proaktivně deklarovali své činnosti zpracování. GDPR nemá žádnou ekvivalentní povinnost veřejného registru. Kromě toho jsou pravidla KVKK pro přeshraniční přenosy údajů v praxi restriktivnější, vyžadují buď výslovný souhlas subjektu údajů, nebo formální rozhodnutí o přiměřenosti, a Turecku nebyl udělen status přiměřenosti EU.

„Dodržování GDPR je užitečný základ, ale podnikání v Turecku vyžaduje samostatnou vrstvu dodržování KVKK, zejména pokud jde o registraci VERBIS a pravidla pro přeshraniční přenosy.“

Co je VERBIS a jak funguje?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) je online registr vedený úřadem KVKK, kde se správci údajů musí zaregistrovat a deklarovat své činnosti zpracování osobních údajů před zahájením zpracování. Představte si to jako veřejný inventář toho, kdo jaké údaje zpracovává, za jakým účelem a podle jaké retenční politiky.

Jak VERBIS funguje v praxi:

Správce údajů si vytvoří účet na portálu VERBIS (od 1. července 2026 je nyní přístupný prostřednictvím turecké platformy e-Devlet). [3]
Správce deklaruje každou kategorii zpracovávaných osobních údajů, účel zpracování, právní základ, kategorie údajů, skupiny příjemců a doby uchovávání.
Deklarace jsou odeslány a stávají se součástí veřejného registru.
Jakékoli změny v činnostech zpracování musí být neprodleně aktualizovány v VERBIS.
Nedostatečná registrace nebo aktualizace spouští sankce podle článku 18 KVKK. [5]

Dne 1. července 2026 úřad KVKK také vydal aktualizované verze dokumentu s pokyny „Sorularla VERBİS“ a oficiálního VERBİS Kılavuzu (uživatelská příručka), aby pomohl správcům údajů orientovat se v registračních povinnostech. [2]

Potřebují zahraniční společnosti dodržovat KVKK?

Ano. KVKK se vztahuje na každého správce údajů, který zpracovává osobní údaje jednotlivců nacházejících se v Turecku, bez ohledu na to, kde je správce založen nebo sídlí. Německá SaaS společnost s tureckými zákazníky, americká e-commerce platforma dodávající do Turecka nebo britská marketingová agentura provozující kampaně zaměřené na turecké spotřebitele, to vše spadá do působnosti KVKK.

Praktické důsledky pro zahraniční společnosti:

Musí jmenovat místního zástupce v Turecku, pokud nemají fyzickou přítomnost (i když implementace zákona v tomto bodě se stále vyvíjí, poraďte se s místním právním poradcem).
Musí dodržovat registrační požadavky VERBIS, pokud se nevztahuje konkrétní výjimka.
Přeshraniční přenosy údajů z Turecka vyžadují buď výslovný souhlas subjektu údajů, nebo formální mechanismus přiměřenosti, přičemž ani jedno není pro většinu destinací mimo EU jednoduché.

Častá chyba: Zahraniční společnosti předpokládají, že dodržování GDPR nebo obecná politika ochrany osobních údajů pokrývá jejich tureckou uživatelskou základnu. KVKK vyžaduje zveřejnění specifické pro jurisdikci, mechanismy souhlasu a deklarace v registru.

Požadavky na registraci VERBIS: Kdo se musí registrovat a jak

Většina správců údajů nad prahovou hodnotou pro osvobození malých podniků je povinna se zaregistrovat do VERBIS. Povinnost se vztahuje na subjekty soukromého sektoru i veřejné instituce. [6]

Registrace je vyžadována, pokud správce údajů:

Má 50 nebo více zaměstnanců (ekvivalent plného úvazku), NEBO
Má celkovou roční rozvahu přesahující 25 milionů TL, NEBO
Zpracovává zvláštní kategorie osobních údajů (zdravotní, biometrické, trestní rejstříky atd.) bez ohledu na velikost, pokud se nevztahuje výjimka pro malé podniky (viz níže).

Pro startupy a rostoucí společnosti: Prahová hodnota je založena na ročním počtu zaměstnanců a údajích z rozvahy. Startup, který v daném roce překročí hranici 50 zaměstnanců nebo prahovou hodnotu rozvahy, je povinen se zaregistrovat. Registrace musí být dokončena před zahájením zpracování podle nové prahové hodnoty, nikoli zpětně na konci roku.

Krok za krokem proces registrace VERBIS:

Přihlaste se na portál VERBIS prostřednictvím e-Devlet (brána e-Governmentu) pomocí adresy KEP (registrovaná elektronická pošta) nebo pověření oprávněného signatáře. [3]
Vyplňte profil správce údajů (název společnosti, právní forma, kontaktní údaje, oprávněný zástupce).
Vytvořte záznam „činnosti zpracování“ pro každou odlišnou kategorii zpracovávaných osobních údajů.
Pro každou činnost deklarujte: kategorii údajů, účel, právní základ, skupinu subjektů údajů, příjemce a dobu uchovávání.
Odešlete a obdržíte registrační číslo VERBIS.
Aktualizujte registr, kdykoli se podstatně změní činnosti zpracování.

Výjimky KVKK: Malé podniky a jaké údaje nejsou pokryty

Ne každá organizace se musí registrovat do VERBIS. Dne 12. ledna 2026 úřad KVKK objasnil kritéria pro osvobození pro malé správce údajů. [4]

Výjimka platí, pokud jsou splněny VŠECHNY tři podmínky:

Méně než 10 zaměstnanců
Celková roční rozvaha pod 10 milionů TL
Primární činnost zahrnuje zpracování zvláštních kategorií osobních údajů (výjimka byla speciálně navržena pro malé poskytovatele zdravotní péče, kliniky a podobné subjekty)

Právní analýza zveřejněná CMS Law poznamenává, že tato výjimka je užší, než se na první pohled může zdát, nejde o plošné osvobození malých podniků, ale konkrétně se zaměřuje na subjekty, jejichž hlavní činnost zahrnuje citlivé kategorie údajů. [7] Erdem & Erdem dále objasnili principy uplatňování těchto nových výjimek. [8]

Kategorie údajů, na které se KVKK nevztahuje:

Anonymizované údaje (kde je opětovná identifikace nemožná)
Údaje zpracovávané čistě pro osobní nebo domácí účely (žádná komerční činnost)
Údaje zpracovávané soudními orgány pro trestní řízení (řídí se samostatnou legislativou)

Okrajový případ: Pseudonymizované údaje jsou podle KVKK stále považovány za osobní údaje, pokud si správce ponechá prostředky k opětovné identifikaci jednotlivců. Pro účely dodržování předpisů nepovažujte pseudonymizaci za ekvivalent anonymizace.

Požadavky na souhlas KVKK pro zákaznická data

Podle KVKK musí být platný souhlas svobodný, konkrétní, informovaný a jednoznačný. Souhlas nelze spojovat s přijetím podmínek služby a předem zaškrtnutá políčka nepředstavují platný souhlas.

Souhlas musí být:

Svobodně udělený: Žádné nucení nebo podmiňování přístupu ke službě souhlasem
Konkrétní: Vázaný na definovaný účel, nikoli plošné oprávnění
Informovaný: Subjekt údajů musí vědět, kdo shromažďuje údaje a proč
Jednoznačný: Vyžaduje aktivní akci (kliknutí, podpis, zaškrtávací políčko)

Pro webové stránky a digitální platformy je implementace vyhovující platformy pro správu souhlasu nejpraktičtějším přístupem. Biscotti CMP je navržena tak, aby pomohla vlastníkům webových stránek a podnikům spravovat shromažďování souhlasu způsobem, který je v souladu s KVKK a dalšími rámci ochrany osobních údajů, a poskytuje auditní záznamy a podrobné záznamy o souhlasu.

Výslovný souhlas je navíc vyžadován pro zvláštní kategorie osobních údajů (zdravotní, biometrické, genetické, trestní rejstříky atd.) a pro přeshraniční přenosy údajů, kde neexistuje mechanismus přiměřenosti.

Sankce a pokuty KVKK za nedodržení předpisů

Vymáhání KVKK není teoretické. Úřad KVKK udělil pokuty domácím i zahraničním subjektům. Sankce se řídí článkem 18 zákona.

Kategorie správních pokut podle článku 18:

Nesplnění povinností zveřejnění: 9 027 TL až 180 536 TL (přibližná hranice pro rok 2024; částky jsou každoročně aktualizovány o inflaci)
Nezajištění bezpečnosti údajů: 45 135 TL až 9 027 000 TL
Nedodržení rozhodnutí úřadu KVKK: 45 135 TL až 9 027 000 TL
Neregistrace do VERBIS nebo neaktualizace VERBIS: 39 337 TL až 1 966 862 TL

Poznámka: Částky pokut jsou každoročně indexovány a výše uvedené údaje odrážejí zveřejněné hranice pro rok 2024. Ověřte si aktuální údaje u úřadu KVKK nebo tureckého právního poradce pro vymáhací opatření v roce 2026.

Trestní odpovědnost za určitá porušení (nezákonné zpracování, neúspěšné smazání údajů) může vést k trestu odnětí svobody podle tureckého trestního zákoníku, což je rozměr, který chybí v nástrojích vymáhání GDPR.

Pravidla KVKK pro oznamování narušení bezpečnosti údajů

Podle KVKK musí správci údajů oznámit úřadu KVKK do 72 hodin od zjištění narušení bezpečnosti osobních údajů. Pokud narušení pravděpodobně nepříznivě ovlivní subjekty údajů, musí být tito jednotlivci také neprodleně informováni.

Kontrolní seznam pro oznámení narušení:

Identifikujte a omezte narušení
Posuďte rozsah a pravděpodobný dopad na subjekty údajů
Oznamte úřadu KVKK do 72 hodin prostřednictvím oficiálního formuláře pro oznámení
Interně zdokumentujte narušení (co se stalo, jaké údaje byly ovlivněny, nápravná opatření)
Oznamte dotčeným subjektům údajů, pokud existuje vysoké riziko újmy

Neoznámení v požadovaném časovém rámci je samo o sobě sankcionovatelným porušením podle článku 18.

Časté chyby podniků při dodržování KVKK

1. Považování VERBIS za jednorázový úkol. Záznamy VERBIS musí být aktualizovány, kdykoli se změní činnosti zpracování. Získání nového CRM, spuštění nové marketingové kampaně s různými kategoriemi údajů nebo zapojení nového zpracovatele údajů – to vše potenciálně vyžaduje aktualizace VERBIS.

2. Spoléhání se na souhlas GDPR pro turecké uživatele. Požadavky na souhlas KVKK mají místní nuance. Banner souhlasu optimalizovaný pro GDPR nemusí zachytit konkrétní zveřejnění požadovaná podle KVKK.

3. Ignorování pravidel pro přeshraniční přenosy. Odesílání tureckých zákaznických dat na analytickou platformu nebo cloudového poskytovatele se sídlem v USA bez platného mechanismu přenosu je běžným a často pokutovaným porušením.

4. Předpokládání výjimky pro malé podniky bez ověření. Objasnění z ledna 2026 jasně ukázalo, že výjimka je podmíněna současným splněním všech tří kritérií. [4]

5. Žádná politika uchovávání údajů. KVKK vyžaduje, aby údaje byly smazány, zničeny nebo anonymizovány, když účel zpracování již neexistuje. Mnoho podniků shromažďuje údaje neomezeně dlouho bez zdokumentovaného plánu uchovávání.

Často kladené otázky

Otázka: Je KVKK povinné pro všechny podniky působící v Turecku? Ano, každý subjekt, který zpracovává osobní údaje jednotlivců v Turecku, podléhá KVKK, bez ohledu na velikost společnosti nebo národnost. Registrace VERBIS je povinná pro většinu subjektů nad prahovou hodnotou pro osvobození malých podniků.

Otázka: Jaký je termín registrace VERBIS v roce 2026? Úřad KVKK prodloužil termín registrace VERBIS do 5. června 2026 pro organizace, které se kvalifikují na základě svých finančních výkazů za rok 2025. [1] Organizace, které již splnily předchozí prahové hodnoty, by již měly být registrovány.

Otázka: Může být zahraniční společnost pokutována podle KVKK? Ano. Úřad KVKK má jurisdikci nad každým správcem údajů zpracovávajícím údaje tureckých rezidentů, včetně zahraničních společností. Vymáhání proti zahraničním subjektům je rozvíjející se oblastí, ale právní riziko je reálné.

Otázka: Existuje alternativa k VERBIS pro deklarování činností zpracování údajů? Ne. VERBIS je jediný povinný registr podle KVKK. Neexistuje žádný alternativní mechanismus pro splnění povinnosti registrace správce údajů.

Otázka: Jak dlouho trvá registrace VERBIS? S integrací e-Devlet od 1. července 2026 lze technický proces dokončit za několik hodin pro jednoduché případy. [3] Nicméně přípravné práce, mapování všech činností zpracování údajů, identifikace právních základů a dokumentace dob uchovávání obvykle trvají týdny pro středně velké organizace.

Otázka: Vyžaduje KVKK pověřence pro ochranu osobních údajů (DPO)? KVKK nevyžaduje formální roli DPO ekvivalentní požadavku GDPR. Nicméně úřad KVKK doporučuje, aby správci údajů interně jmenovali odpovědnou osobu pro správu dodržování předpisů.

Otázka: Co představuje zvláštní kategorii osobních údajů podle KVKK? Zvláštní kategorie zahrnují: rasu, etnický původ, politické názory, filozofické přesvědčení, náboženství, sektu, zdravotní údaje, sexuální život, trestní odsouzení, biometrické údaje a genetické údaje. Zpracování těchto kategorií vyžaduje výslovný souhlas nebo specifický právní základ.

Otázka: Jak KVKK řeší souhlas s cookies na webových stránkách? Cookies, které shromažďují osobní údaje (analytické, reklamní identifikátory), vyžadují platný souhlas podle KVKK. Vyhovující CMP, jako je Biscotti CMP, může pomoci vlastníkům webových stránek shromažďovat, ukládat a spravovat souhlas s cookies v souladu s povinnostmi KVKK.

Otázka: Jsou veřejné instituce povinny se registrovat do VERBIS? Ano. Veřejné instituce a organizace jsou povinny se registrovat do VERBIS. Období registrace pro veřejné subjekty začalo 1. dubna 2019 s termínem dokončení 30. června 2020. [6]

Otázka: Co se stane, když společnost aktualizuje své činnosti zpracování, ale neaktualizuje VERBIS? Neaktualizace VERBIS tak, aby odrážela aktuální činnosti zpracování, je považována za porušení souladu a může vést ke správním pokutám podle článku 18 KVKK. [5]

Závěr: Akční kroky pro dodržování KVKK a VERBIS

Podnikání v Turecku vyžaduje strukturovaný přístup k ochraně osobních údajů specifický pro danou jurisdikci. KVKK je aktivně vymáháno, registrace VERBIS není pro většinu organizací volitelná a objasnění výjimek z ledna 2026 zúžila, nikoli rozšířila, výjimky pro malé podniky. [4]

Okamžité kroky pro organizace působící v Turecku:

Proveďte mapování dat. Identifikujte každou kategorii zpracovávaných osobních údajů, její účel, právní základ a příjemce.
Určete povinnost VERBIS. Použijte prahové hodnoty počtu zaměstnanců a rozvahy k potvrzení, zda je registrace vyžadována. V případě pochybností se zaregistrujte.
Zaregistrujte se nebo aktualizujte VERBIS. Použijte portál VERBIS integrovaný s e-Devlet k dokončení nebo aktualizaci registrace správce údajů. [3]
Auditujte mechanismy souhlasu. Zajistěte, aby bannery souhlasu na webových stránkách a formuláře pro shromažďování údajů splňovaly specifické požadavky KVKK. Zvažte nasazení Biscotti CMP (www.biscotti-cmp.com) pro strukturovanou, auditovatelnou správu souhlasu.
Přezkoumejte dohody o přeshraničním přenosu. Identifikujte všechny zpracovatele třetích stran a cloudové služby přijímající turecké osobní údaje a posuďte právní základ pro každý přenos.
Vytvořte protokol pro reakci na narušení. Zdokumentujte 72hodinový postup oznámení a přidělte interní odpovědnost.
Zapojte místního právního poradce. Interpretace KVKK se neustále vyvíjí a turecký právník pro ochranu osobních údajů může poskytnout poradenství specifické pro danou jurisdikci, které žádný obecný rámec dodržování předpisů nemůže nahradit.

Krajina dodržování předpisů pro podnikání v Turecku rychle dozrává. Organizace, které považují KVKK za kontrolní seznam spíše než za probíhající program, se ocitnou v ohrožení, jak se vymáhání zintenzivňuje.