Samtykke & bannere

At drive forretning i Tyrkiet? Hvad du skal vide om KVKK og VERBIS

7. juli 2026 · 15 min læsning

Kort svar: Tyrkiets primære databeskyttelseslov, KVKK (lov nr. 6698), gælder for enhver organisation, indenlandsk eller udenlandsk, der behandler personoplysninger om enkeltpersoner i Tyrkiet. VERBIS er det obligatoriske register for dataansvarlige under KVKK. De fleste mellemstore til store organisationer skal registrere sig hos VERBIS eller risikere administrative bøder. Fra 2026 er registreringsprocessen tilgængelig via Tyrkiets e-Devlet-platform, og undtagelsestærsklerne for små virksomheder er blevet præciseret.

Nøglepunkter

KVKK (Kişisel Verilerin Korunması Kanunu) er Tyrkiets databeskyttelseslov, vedtaget i 2016 og delvist modelleret efter GDPR-principper, men med særskilte lokale krav.
VERBIS er det online register, hvor dataansvarlige skal erklære deres databehandlingsaktiviteter, før behandlingen påbegyndes.
Udenlandske virksomheder, der behandler data om tyrkiske indbyggere, er underlagt KVKK, uanset hvor virksomheden er baseret.
Fra den 12. januar 2026 er småskala dataansvarlige med færre end 10 ansatte og en årlig balance under 10 millioner TL undtaget fra VERBIS-registrering, hvis deres primære aktivitet involverer særlige kategorier af data. [4]
Fristen for VERBIS-registrering blev forlænget til den 5. juni 2026 for organisationer, der kvalificerer sig baseret på regnskaberne for 2025. [1]
Fra den 1. juli 2026 er VERBIS-tjenester fuldt integreret med Tyrkiets e-Devlet (e-Government) platform. [3]
Sanktioner for manglende overholdelse i henhold til artikel 18 i KVKK kan nå betydelige administrative bøder, og KVKK-myndigheden håndhæver dem aktivt.
Samtykke under KVKK skal gives frit, specifikt, informeret og utvetydigt. En Consent Management Platform (CMP) er et praktisk værktøj til webbaseret overholdelse.

Hvad er KVKK? Tyrkiets databeskyttelseslov forklaret

KVKK (Kişisel Verilerin Korunması Kanunu, lov nr. 6698) er Tyrkiets omfattende lov om beskyttelse af personoplysninger, vedtaget den 7. april 2016. Den regulerer, hvordan personoplysninger indsamles, opbevares, behandles, overføres og slettes af dataansvarlige og databehandlere, der opererer i Tyrkiet.

Loven etablerede Personal Data Protection Authority (Kişisel Verileri Koruma Kurumu, også forkortet KVKK), det uafhængige tilsynsorgan, der er ansvarligt for håndhævelse, vejledning og VERBIS-registret.

Kerneprincipper under KVKK omfatter:

Lovlighed, rimelighed og gennemsigtighed
Formålsbegrænsning (data indsamles kun til specificerede, udtrykkelige formål)
Dataminimering
Nøjagtighed og ajourføring af data
Opbevaringsbegrænsning (data opbevares ikke længere end nødvendigt)
Integritet og fortrolighed

Enhver enhed, der bestemmer formålene og midlerne til behandling af personoplysninger, kvalificerer som en "dataansvarlig" under KVKK og bærer de primære overholdelsesforpligtelser.

KVKK vs. GDPR: Nøgleforskelle og overlap i overholdelse

KVKK deler strukturel DNA med EU's GDPR, men de to rammer afviger på flere operationelt betydningsfulde måder. Organisationer, der allerede er GDPR-kompatible, bør ikke antage automatisk KVKK-overholdelse.

Dimension	KVKK (Tyrkiet)	GDPR (EU)
Vedtaget	2016	2018 (håndhævelse)
Tilsynsorgan	KVKK-myndigheden	Nationale DPA'er pr. medlemsstat
Dataregister	VERBIS (obligatorisk for de fleste)	Intet tilsvarende obligatorisk register
Dataoverførsler til udlandet	Kræver udtrykkeligt samtykke eller tilstrækkelighed	Tilstrækkelighedsbeslutninger eller SCC'er
DPO-krav	Intet formelt DPO-mandat	Obligatorisk i visse tilfælde
Brudmeddelelse	72 timer til myndighed	72 timer til myndighed

Nøgleforskel: KVKK kræver, at dataansvarlige registrerer sig hos VERBIS og proaktivt erklærer deres behandlingsaktiviteter. GDPR har ingen tilsvarende offentlig registreringsforpligtelse. Derudover er KVKK's regler for grænseoverskridende dataoverførsler i praksis mere restriktive, idet de kræver enten den registreredes udtrykkelige samtykke eller en formel tilstrækkelighedsbeslutning, og Tyrkiet har ikke fået EU's tilstrækkelighedsstatus.

"GDPR-overholdelse er et nyttigt fundament, men at drive forretning i Tyrkiet kræver et separat KVKK-overholdelseslag, især omkring VERBIS-registrering og regler for grænseoverskridende overførsler."

Hvad er VERBIS, og hvordan fungerer det?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) er det online register, der vedligeholdes af KVKK-myndigheden, hvor dataansvarlige skal registrere og erklære deres personoplysningsbehandlingsaktiviteter, før behandlingen påbegyndes. Tænk på det som en offentlig oversigt over, hvem der behandler hvilke data, til hvilket formål og under hvilken opbevaringspolitik.

Sådan fungerer VERBIS i praksis:

Den dataansvarlige opretter en konto på VERBIS-portalen (nu tilgængelig via Tyrkiets e-Devlet-platform fra den 1. juli 2026). [3]
Den dataansvarlige erklærer hver kategori af behandlede personoplysninger, formålet med behandlingen, det juridiske grundlag, datakategorier, modtagergrupper og opbevaringsperioder.
Erklæringer indsendes og bliver en del af det offentlige register.
Eventuelle ændringer i behandlingsaktiviteter skal straks opdateres i VERBIS.
Manglende registrering eller opdatering udløser sanktioner i henhold til artikel 18 i KVKK. [5]

Den 1. juli 2026 udgav KVKK-myndigheden også opdaterede versioner af vejledningsdokumentet "Sorularla VERBİS" og den officielle VERBİS Kılavuzu (brugervejledning) for at hjælpe dataansvarlige med at navigere i registreringsforpligtelserne. [2]

Skal udenlandske virksomheder overholde KVKK?

Ja. KVKK gælder for enhver dataansvarlig, der behandler personoplysninger om enkeltpersoner i Tyrkiet, uanset hvor den dataansvarlige er registreret eller baseret. Et tysk SaaS-firma med tyrkiske kunder, en amerikansk e-handelsplatform, der sender til Tyrkiet, eller et britisk marketingbureau, der kører kampagner rettet mod tyrkiske forbrugere, falder alle inden for KVKK's anvendelsesområde.

Praktiske konsekvenser for udenlandske virksomheder:

Skal udpege en lokal repræsentant i Tyrkiet, hvis de mangler en fysisk tilstedeværelse (selvom lovens implementering på dette punkt fortsat udvikler sig, bør man konsultere lokal juridisk rådgivning).
Skal overholde VERBIS-registreringskravene, medmindre en specifik undtagelse gælder.
Grænseoverskridende dataoverførsler ud af Tyrkiet kræver enten udtrykkeligt samtykke fra den registrerede eller en formel tilstrækkelighedsmekanisme, hvoraf ingen er ligetil for de fleste ikke-EU-destinationer.

Almindelig fejl: Udenlandske virksomheder antager, at GDPR-overholdelse eller en generisk privatlivspolitik dækker deres tyrkiske brugerbase. KVKK kræver jurisdiktionsspecifikke oplysninger, samtykkemekanismer og registererklæringer.

VERBIS-registreringskrav: Hvem skal registrere sig, og hvordan

De fleste dataansvarlige over tærsklen for små virksomheder er forpligtet til at registrere sig hos VERBIS. Forpligtelsen gælder for både private virksomheder og offentlige institutioner. [6]

Registrering er påkrævet, hvis den dataansvarlige:

Har 50 eller flere ansatte (fuldtidsækvivalenter), ELLER
Har en årlig balance på over 25 millioner TL, ELLER
Behandler særlige kategorier af personoplysninger (sundhed, biometriske data, strafferegistre osv.) uanset størrelse, medmindre undtagelsen for småskala gælder (se nedenfor).

For startups og voksende virksomheder: Tærsklen er baseret på årligt antal ansatte og balance. En startup, der overskrider 50-ansatte-mærket eller balancetærsklen i et givet år, bliver forpligtet til at registrere sig. Registrering skal være afsluttet, før behandlingen påbegyndes under den nye tærskel, ikke retroaktivt ved årets udgang.

Trin-for-trin VERBIS-registreringsproces:

Log ind på VERBIS-portalen via e-Devlet (e-Government gateway) ved hjælp af en KEP (registreret elektronisk post) adresse eller autoriserede underskriverlegitimationer. [3]
Udfyld den dataansvarliges profil (firmanavn, juridisk form, kontaktoplysninger, autoriseret repræsentant).
Opret en "behandlingsaktivitet"-post for hver særskilt kategori af behandlede personoplysninger.
For hver aktivitet skal du erklære: datakategori, formål, juridisk grundlag, dataregistreret gruppe, modtagere og opbevaringsperiode.
Indsend og modtag et VERBIS-registreringsnummer.
Opdater registret, når behandlingsaktiviteter ændres væsentligt.

KVKK-undtagelser: Små virksomheder og hvilke data der ikke er dækket

Ikke enhver organisation skal registrere sig hos VERBIS. Den 12. januar 2026 præciserede KVKK-myndigheden undtagelseskriterierne for småskala dataansvarlige. [4]

Undtagelse gælder, når ALLE tre betingelser er opfyldt:

Færre end 10 ansatte
Årlig balance under 10 millioner TL
Primær aktivitet involverer behandling af særlige kategorier af personoplysninger (undtagelsen blev specifikt designet til små sundhedsudbydere, klinikker og lignende enheder)

Juridisk analyse offentliggjort af CMS Law bemærker, at denne undtagelse er snævrere, end den umiddelbart kan virke; det er ikke en generel undtagelse for små virksomheder, men retter sig specifikt mod enheder, hvis kerneforretning involverer følsomme datakategorier. [7] Erdem & Erdem præciserede yderligere anvendelsesprincipperne for disse nye undtagelser. [8]

Datakategorier, der ikke er dækket af KVKK:

Anonymiserede data (hvor genidentifikation er umulig)
Data behandlet udelukkende til personlige eller husholdningsformål (ingen kommerciel aktivitet)
Data behandlet af retsmyndigheder til straffesager (reguleret af særskilt lovgivning)

Særligt tilfælde: Pseudonymiserede data betragtes stadig som personoplysninger under KVKK, hvis den dataansvarlige bevarer midlerne til at genidentificere enkeltpersoner. Behandl ikke pseudonymisering som ækvivalent med anonymisering med henblik på overholdelse.

KVKK-samtykkekrav for kundedata

Under KVKK skal gyldigt samtykke gives frit, specifikt, informeret og utvetydigt. Samtykke kan ikke bundtes med accept af servicevilkår, og forudafkrydsede felter udgør ikke gyldigt samtykke.

Samtykke skal være:

Frit givet: Ingen tvang eller betingelse for adgang til tjenester på samtykke
Specifikt: Knyttet til et defineret formål, ikke generel autorisation
Informeret: Den registrerede skal vide, hvem der indsamler data, og hvorfor
Utvetydigt: Kræver en bekræftende handling (klik, underskrift, afkrydsningsfelt)

For websteder og digitale platforme er implementering af en kompatibel Consent Management Platform den mest praktiske tilgang. Biscotti CMP er designet til at hjælpe webstedsejere og virksomheder med at administrere indsamling af samtykke på en måde, der er i overensstemmelse med KVKK og andre databeskyttelsesrammer, og giver revisionsspor og detaljerede samtykkeregistre.

Udtrykkeligt samtykke er desuden påkrævet for særlige kategorier af personoplysninger (sundhed, biometriske data, genetiske data, strafferegistre osv.) og for grænseoverskridende dataoverførsler, hvor der ikke findes en tilstrækkelighedsmekanisme.

KVKK-sanktioner og bøder for manglende overholdelse

KVKK-håndhævelse er ikke teoretisk. KVKK-myndigheden har udstedt bøder til både indenlandske og udenlandske enheder. Sanktioner er reguleret af lovens artikel 18.

Administrative bødekategorier under artikel 18:

Manglende opfyldelse af oplysningsforpligtelser: 9.027 TL til 180.536 TL (omtrentlig 2024-interval; beløb opdateres årligt for inflation)
Manglende sikring af datasikkerhed: 45.135 TL til 9.027.000 TL
Manglende overholdelse af KVKK-myndighedens beslutninger: 45.135 TL til 9.027.000 TL
Manglende registrering hos VERBIS eller manglende opdatering af VERBIS: 39.337 TL til 1.966.862 TL

Bemærk: Bødebeløb indekseres årligt, og ovenstående tal afspejler de offentliggjorte 2024-intervaller. Verificer aktuelle tal med KVKK-myndigheden eller tyrkisk juridisk rådgivning for håndhævelsesaktioner i 2026.

Strafferetligt ansvar for visse overtrædelser (ulovlig behandling, manglende sletning af data) kan resultere i fængselsstraf i henhold til den tyrkiske straffelov, en dimension der mangler i GDPR's håndhævelsesværktøjer.

KVKK-regler for meddelelse om databrud

Under KVKK skal dataansvarlige underrette KVKK-myndigheden inden for 72 timer efter at være blevet opmærksomme på et brud på personoplysninger. Hvis bruddet sandsynligvis vil påvirke registrerede negativt, skal disse personer også underrettes straks.

Tjekliste for brudmeddelelse:

Identificer og inddæm bruddet
Vurder omfanget og den sandsynlige indvirkning på registrerede
Underret KVKK-myndigheden inden for 72 timer via den officielle meddelelsesformular
Dokumenter bruddet internt (hvad der skete, hvilke data der blev påvirket, afhjælpende foranstaltninger)
Underret berørte registrerede, hvis der er en høj risiko for skade

Manglende underretning inden for den krævede tidsramme er i sig selv en sanktionerbar overtrædelse i henhold til artikel 18.

Almindelige KVKK-overholdelsesfejl virksomheder begår

1. Behandler VERBIS som en engangsopgave. VERBIS-poster skal opdateres, når behandlingsaktiviteter ændres. Anskaffelse af et nyt CRM, lancering af en ny marketingkampagne med forskellige datakategorier eller onboarding af en ny databehandler kræver potentielt VERBIS-opdateringer.

2. Stoler på GDPR-samtykke for tyrkiske brugere. KVKK-samtykkekrav har lokale nuancer. Et samtykkebanner optimeret til GDPR fanger muligvis ikke de specifikke oplysninger, der kræves under KVKK.

3. Ignorerer regler for grænseoverskridende overførsler. Afsendelse af tyrkiske kundedata til en amerikansk analyseplatform eller cloud-udbyder uden en gyldig overførselsmekanisme er en almindelig og ofte sanktioneret overtrædelse.

4. Antager undtagelse for små virksomheder uden verifikation. Præciseringen fra januar 2026 gjorde det klart, at undtagelsen er betinget af, at alle tre kriterier opfyldes samtidigt. [4]

5. Ingen datalagringspolitik. KVKK kræver, at data slettes, destrueres eller anonymiseres, når formålet med behandlingen ikke længere eksisterer. Mange virksomheder indsamler data på ubestemt tid uden en dokumenteret opbevaringsplan.

FAQ

Q: Er KVKK obligatorisk for alle virksomheder, der opererer i Tyrkiet? Ja, enhver enhed, der behandler personoplysninger om enkeltpersoner i Tyrkiet, er underlagt KVKK, uanset virksomhedens størrelse eller nationalitet. VERBIS-registrering er obligatorisk for de fleste enheder over tærsklen for små virksomheder.

Q: Hvad er fristen for VERBIS-registrering i 2026? KVKK-myndigheden forlængede fristen for VERBIS-registrering til den 5. juni 2026 for organisationer, der kvalificerer sig baseret på deres regnskaber for 2025. [1] Organisationer, der allerede opfyldte tidligere tærskler, bør allerede være registreret.

Q: Kan en udenlandsk virksomhed idømmes bøde under KVKK? Ja. KVKK-myndigheden har jurisdiktion over enhver dataansvarlig, der behandler tyrkiske indbyggeres data, herunder udenlandske virksomheder. Håndhævelse over for udenlandske enheder er et område i udvikling, men den juridiske eksponering er reel.

Q: Findes der et alternativ til VERBIS for at erklære databehandlingsaktiviteter? Nej. VERBIS er det eneste obligatoriske register under KVKK. Der er ingen alternativ mekanisme til at opfylde den dataansvarliges registreringsforpligtelse.

Q: Hvor lang tid tager VERBIS-registrering? Med e-Devlet-integrationen fra den 1. juli 2026 kan den tekniske proces gennemføres på få timer i ligetil tilfælde. [3] Det forberedende arbejde, kortlægning af alle databehandlingsaktiviteter, identifikation af juridiske grundlag og dokumentation af opbevaringsperioder tager dog typisk uger for mellemstore organisationer.

Q: Kræver KVKK en databeskyttelsesrådgiver (DPO)? KVKK pålægger ikke en formel DPO-rolle svarende til GDPR's krav. KVKK-myndigheden anbefaler dog, at dataansvarlige udpeger en ansvarlig person internt til at styre overholdelsen.

Q: Hvad udgør særlige kategorier af personoplysninger under KVKK? Særlige kategorier omfatter: race, etnisk oprindelse, politisk holdning, filosofisk overbevisning, religion, sekt, sundhedsdata, seksualliv, straffedomme, biometriske data og genetiske data. Behandling af disse kategorier kræver udtrykkeligt samtykke eller et specifikt juridisk grundlag.

Q: Hvordan håndterer KVKK cookie-samtykke på websteder? Cookies, der indsamler personoplysninger (analyse, reklameidentifikatorer), kræver gyldigt samtykke under KVKK. En kompatibel CMP som Biscotti CMP kan hjælpe webstedsejere med at indsamle, opbevare og administrere cookie-samtykke i overensstemmelse med KVKK-forpligtelser.

Q: Er offentlige institutioner forpligtet til at registrere sig hos VERBIS? Ja. Offentlige institutioner og organisationer er forpligtet til at registrere sig hos VERBIS. Registreringsperioden for offentlige enheder begyndte den 1. april 2019 med en frist for færdiggørelse den 30. juni 2020. [6]

Q: Hvad sker der, hvis en virksomhed opdaterer sine behandlingsaktiviteter, men ikke opdaterer VERBIS? Manglende opdatering af VERBIS for at afspejle aktuelle behandlingsaktiviteter betragtes som en overtrædelse af overholdelsen og kan resultere i administrative bøder i henhold til artikel 18 i KVKK. [5]

Konklusion: Handlingsorienterede næste skridt for KVKK- og VERBIS-overholdelse

At drive forretning i Tyrkiet kræver en struktureret, jurisdiktionsspecifik tilgang til databeskyttelse. KVKK håndhæves aktivt, VERBIS-registrering er ikke valgfri for de fleste organisationer, og præciseringerne af undtagelserne fra januar 2026 har indsnævret, ikke udvidet, undtagelserne for små virksomheder. [4]

Umiddelbare handlinger for organisationer, der opererer i Tyrkiet:

Udfør en datakortlægningsøvelse. Identificer hver kategori af behandlede personoplysninger, dens formål, juridiske grundlag og modtager.
Bestem VERBIS-forpligtelsen. Anvend tærsklerne for antal ansatte og balance for at bekræfte, om registrering er påkrævet. Hvis du er i tvivl, skal du registrere dig.
Registrer eller opdater VERBIS. Brug den e-Devlet-integrerede VERBIS-portal til at udfylde eller opdatere din dataansvarliges registrering. [3]
Revider samtykkemekanismer. Sørg for, at webstedets samtykkebannere og dataindsamlingsformularer opfylder KVKK's specifikke krav. Overvej at implementere Biscotti CMP (www.biscotti-cmp.com) for struktureret, reviderbar samtykkestyring.
Gennemgå aftaler om grænseoverskridende overførsler. Identificer alle tredjepartsbehandlere og cloud-tjenester, der modtager tyrkiske personoplysninger, og vurder det juridiske grundlag for hver overførsel.
Etabler en protokol for brudreaktion. Dokumenter 72-timers underretningsproceduren og tildel internt ansvar.
Engager lokal juridisk rådgivning. KVKK-fortolkningen fortsætter med at udvikle sig, og en tyrkisk databeskyttelsesadvokat kan give jurisdiktionsspecifik vejledning, som ingen generel overholdelsesramme kan erstatte.

Overholdelseslandskabet for at drive forretning i Tyrkiet modnes hurtigt. Organisationer, der behandler KVKK som en afkrydsningsøvelse snarere end et løbende program, vil finde sig selv udsat, når håndhævelsen intensiveres.