Συναίνεση & banners

Επιχειρηματική Δραστηριότητα στην Τουρκία; Τι πρέπει να γνωρίζετε για το KVKK και το VERBIS

7 Ιουλίου 2026 · 15 λεπτά ανάγνωσης

Σύντομη Απάντηση: Ο πρωταρχικός νόμος προστασίας δεδομένων της Τουρκίας, KVKK (Νόμος Αρ. 6698), εφαρμόζεται σε κάθε οργανισμό, εγχώριο ή ξένο, που επεξεργάζεται προσωπικά δεδομένα ατόμων στην Τουρκία. Το VERBIS είναι το υποχρεωτικό μητρώο υπευθύνων επεξεργασίας δεδομένων σύμφωνα με το KVKK. Οι περισσότεροι μεσαίοι έως μεγάλοι οργανισμοί πρέπει να εγγραφούν στο VERBIS ή να αντιμετωπίσουν διοικητικά πρόστιμα. Από το 2026, η διαδικασία εγγραφής είναι προσβάσιμη μέσω της πλατφόρμας e-Devlet της Τουρκίας, και τα όρια εξαίρεσης για μικρές επιχειρήσεις έχουν διευκρινιστεί.

Βασικά Συμπεράσματα

Το KVKK (Kişisel Verilerin Korunması Kanunu) είναι ο νόμος προστασίας δεδομένων της Τουρκίας, που θεσπίστηκε το 2016 και βασίζεται εν μέρει στις αρχές του GDPR, αλλά με διακριτές τοπικές απαιτήσεις.
Το VERBIS είναι το ηλεκτρονικό μητρώο όπου οι υπεύθυνοι επεξεργασίας δεδομένων πρέπει να δηλώνουν τις δραστηριότητές τους επεξεργασίας δεδομένων πριν ξεκινήσει η επεξεργασία.
Οι ξένες εταιρείες που επεξεργάζονται δεδομένα Τούρκων κατοίκων υπόκεινται στο KVKK, ανεξάρτητα από το πού εδρεύει η εταιρεία.
Από τις 12 Ιανουαρίου 2026, οι υπεύθυνοι επεξεργασίας δεδομένων μικρής κλίμακας με λιγότερους από 10 υπαλλήλους και ετήσιο ισολογισμό κάτω των 10 εκατομμυρίων TL εξαιρούνται από την εγγραφή στο VERBIS εάν η κύρια δραστηριότητά τους περιλαμβάνει δεδομένα ειδικής κατηγορίας. [4]
Η προθεσμία εγγραφής στο VERBIS παρατάθηκε έως τις 5 Ιουνίου 2026 για οργανισμούς που πληρούν τις προϋποθέσεις βάσει των οικονομικών καταστάσεων του 2025. [1]
Από την 1η Ιουλίου 2026, οι υπηρεσίες VERBIS είναι πλήρως ενσωματωμένες στην πλατφόρμα e-Devlet (ηλεκτρονική διακυβέρνηση) της Τουρκίας. [3]
Οι κυρώσεις μη συμμόρφωσης βάσει του Άρθρου 18 του KVKK μπορούν να φτάσουν σε σημαντικά διοικητικά πρόστιμα, και η αρχή του KVKK τις επιβάλλει ενεργά.
Η συναίνεση βάσει του KVKK πρέπει να δίνεται ελεύθερα, συγκεκριμένα, εν γνώσει και χωρίς αμφιβολία. Μια Πλατφόρμα Διαχείρισης Συναίνεσης (CMP) είναι ένα πρακτικό εργαλείο για συμμόρφωση βάσει διαδικτύου.

Τι είναι το KVKK; Επεξήγηση του Νόμου Προστασίας Δεδομένων της Τουρκίας

Το KVKK (Kişisel Verilerin Korunması Kanunu, Νόμος Αρ. 6698) είναι ο ολοκληρωμένος νόμος της Τουρκίας για την προστασία προσωπικών δεδομένων, που θεσπίστηκε στις 7 Απριλίου 2016. Ρυθμίζει τον τρόπο συλλογής, αποθήκευσης, επεξεργασίας, μεταφοράς και διαγραφής προσωπικών δεδομένων από υπεύθυνους επεξεργασίας και εκτελούντες την επεξεργασία που δραστηριοποιούνται στην Τουρκία.

Ο νόμος ίδρυσε την Αρχή Προστασίας Προσωπικών Δεδομένων (Kişisel Verileri Koruma Kurumu, επίσης συντομογραφία KVKK), τον ανεξάρτητο εποπτικό φορέα που είναι υπεύθυνος για την επιβολή, την καθοδήγηση και το μητρώο VERBIS.

Οι βασικές αρχές βάσει του KVKK περιλαμβάνουν:

Νομιμότητα, δικαιοσύνη και διαφάνεια
Περιορισμός σκοπού (δεδομένα που συλλέγονται μόνο για καθορισμένους, ρητούς σκοπούς)
Ελαχιστοποίηση δεδομένων
Ακρίβεια και διατήρηση των δεδομένων ενημερωμένων
Περιορισμός αποθήκευσης (δεδομένα που διατηρούνται όχι περισσότερο από όσο είναι απαραίτητο)
Ακεραιότητα και εμπιστευτικότητα

Κάθε οντότητα που καθορίζει τους σκοπούς και τα μέσα επεξεργασίας προσωπικών δεδομένων χαρακτηρίζεται ως "υπεύθυνος επεξεργασίας δεδομένων" βάσει του KVKK και φέρει τις πρωταρχικές υποχρεώσεις συμμόρφωσης.

KVKK vs. GDPR: Βασικές Διαφορές και Επικάλυψη Συμμόρφωσης

Το KVKK μοιράζεται δομικό DNA με τον GDPR της ΕΕ, αλλά τα δύο πλαίσια αποκλίνουν σε διάφορους λειτουργικά σημαντικούς τρόπους. Οι οργανισμοί που είναι ήδη συμβατοί με τον GDPR δεν πρέπει να υποθέτουν αυτόματη συμμόρφωση με το KVKK.

Διάσταση	KVKK (Τουρκία)	GDPR (ΕΕ)
Θεσπίστηκε	2016	2018 (επιβολή)
Εποπτικός φορέας	Αρχή KVKK	Εθνικές ΑΠΔ ανά κράτος μέλος
Μητρώο δεδομένων	VERBIS (υποχρεωτικό για τους περισσότερους)	Δεν υπάρχει αντίστοιχο υποχρεωτικό μητρώο
Μεταφορές δεδομένων στο εξωτερικό	Απαιτεί ρητή συναίνεση ή επάρκεια	Αποφάσεις επάρκειας ή Τυποποιημένες Συμβατικές Ρήτρες (SCCs)
Απαίτηση DPO	Καμία επίσημη εντολή DPO	Υποχρεωτικό σε ορισμένες περιπτώσεις
Ειδοποίηση παραβίασης	72 ώρες στην αρχή	72 ώρες στην αρχή

Βασική απόκλιση: Το KVKK απαιτεί από τους υπεύθυνους επεξεργασίας δεδομένων να εγγραφούν στο VERBIS και να δηλώσουν τις δραστηριότητές τους επεξεργασίας προληπτικά. Ο GDPR δεν έχει αντίστοιχη υποχρέωση δημόσιου μητρώου. Επιπλέον, οι κανόνες διασυνοριακής μεταφοράς δεδομένων του KVKK είναι πιο περιοριστικοί στην πράξη, απαιτώντας είτε τη ρητή συναίνεση του υποκειμένου των δεδομένων είτε μια επίσημη απόφαση επάρκειας, και στην Τουρκία δεν έχει χορηγηθεί καθεστώς επάρκειας από την ΕΕ.

"Η συμμόρφωση με τον GDPR είναι μια χρήσιμη βάση, αλλά η επιχειρηματική δραστηριότητα στην Τουρκία απαιτεί ένα ξεχωριστό επίπεδο συμμόρφωσης με το KVKK, ιδιαίτερα όσον αφορά την εγγραφή στο VERBIS και τους κανόνες διασυνοριακής μεταφοράς."

Τι είναι το VERBIS και πώς λειτουργεί;

Το VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) είναι το ηλεκτρονικό μητρώο που διατηρείται από την Αρχή KVKK, όπου οι υπεύθυνοι επεξεργασίας δεδομένων πρέπει να εγγραφούν και να δηλώσουν τις δραστηριότητές τους επεξεργασίας προσωπικών δεδομένων πριν ξεκινήσει η επεξεργασία. Σκεφτείτε το ως ένα δημόσιο αρχείο του ποιος επεξεργάζεται ποια δεδομένα, για ποιο σκοπό και υπό ποια πολιτική διατήρησης.

Πώς λειτουργεί το VERBIS στην πράξη:

Ο υπεύθυνος επεξεργασίας δεδομένων δημιουργεί έναν λογαριασμό στην πύλη VERBIS (πλέον προσβάσιμη μέσω της πλατφόρμας e-Devlet της Τουρκίας από την 1η Ιουλίου 2026). [3]
Ο υπεύθυνος δηλώνει κάθε κατηγορία προσωπικών δεδομένων που επεξεργάζεται, τον σκοπό της επεξεργασίας, τη νομική βάση, τις κατηγορίες δεδομένων, τις ομάδες αποδεκτών και τις περιόδους διατήρησης.
Οι δηλώσεις υποβάλλονται και γίνονται μέρος του δημόσιου μητρώου.
Οποιεσδήποτε αλλαγές στις δραστηριότητες επεξεργασίας πρέπει να ενημερώνονται άμεσα στο VERBIS.
Η μη εγγραφή ή ενημέρωση επισύρει κυρώσεις βάσει του Άρθρου 18 του KVKK. [5]

Την 1η Ιουλίου 2026, η Αρχή KVKK κυκλοφόρησε επίσης ενημερωμένες εκδόσεις του εγγράφου καθοδήγησης "Sorularla VERBİS" και του επίσημου VERBİS Kılavuzu (οδηγός χρήσης) για να βοηθήσει τους υπεύθυνους επεξεργασίας δεδομένων να πλοηγηθούν στις υποχρεώσεις εγγραφής. [2]

Χρειάζονται οι Ξένες Εταιρείες Συμμόρφωση με το KVKK;

Ναι. Το KVKK εφαρμόζεται σε κάθε υπεύθυνο επεξεργασίας δεδομένων που επεξεργάζεται προσωπικά δεδομένα ατόμων που βρίσκονται στην Τουρκία, ανεξάρτητα από το πού έχει συσταθεί ή εδρεύει ο υπεύθυνος. Μια γερμανική εταιρεία SaaS με Τούρκους πελάτες, μια αμερικανική πλατφόρμα ηλεκτρονικού εμπορίου που αποστέλλει στην Τουρκία, ή ένα βρετανικό πρακτορείο μάρκετινγκ που διεξάγει καμπάνιες που στοχεύουν Τούρκους καταναλωτές, όλα εμπίπτουν στο πεδίο εφαρμογής του KVKK.

Πρακτικές επιπτώσεις για ξένες εταιρείες:

Πρέπει να ορίσουν έναν τοπικό εκπρόσωπο στην Τουρκία εάν δεν έχουν φυσική παρουσία (αν και η εφαρμογή του νόμου σε αυτό το σημείο συνεχίζει να εξελίσσεται, συμβουλευτείτε τοπικό νομικό σύμβουλο).
Πρέπει να συμμορφωθούν με τις απαιτήσεις εγγραφής στο VERBIS, εκτός εάν ισχύει συγκεκριμένη εξαίρεση.
Οι διασυνοριακές μεταφορές δεδομένων εκτός Τουρκίας απαιτούν είτε ρητή συναίνεση του υποκειμένου των δεδομένων είτε έναν επίσημο μηχανισμό επάρκειας, κανένας από τους οποίους δεν είναι απλός για τους περισσότερους προορισμούς εκτός ΕΕ.

Συνηθισμένο λάθος: Ξένες εταιρείες που υποθέτουν ότι η συμμόρφωση με τον GDPR ή μια γενική πολιτική απορρήτου καλύπτει την τουρκική βάση χρηστών τους. Το KVKK απαιτεί γνωστοποιήσεις, μηχανισμούς συναίνεσης και δηλώσεις μητρώου ειδικά για τη δικαιοδοσία.

Απαιτήσεις Εγγραφής VERBIS: Ποιος Πρέπει να Εγγραφεί και Πώς

Οι περισσότεροι υπεύθυνοι επεξεργασίας δεδομένων πάνω από το όριο εξαίρεσης μικρών επιχειρήσεων υποχρεούνται να εγγραφούν στο VERBIS. Η υποχρέωση ισχύει τόσο για οντότητες του ιδιωτικού τομέα όσο και για δημόσιους φορείς. [6]

Η εγγραφή απαιτείται εάν ο υπεύθυνος επεξεργασίας δεδομένων:

Έχει 50 ή περισσότερους υπαλλήλους (πλήρους απασχόλησης), Ή
Έχει συνολικό ετήσιο ισολογισμό που υπερβαίνει τα 25 εκατομμύρια TL, Ή
Επεξεργάζεται ειδικές κατηγορίες προσωπικών δεδομένων (υγείας, βιομετρικά, ποινικά μητρώα κ.λπ.) ανεξαρτήτως μεγέθους, εκτός εάν ισχύει η εξαίρεση μικρής κλίμακας (βλ. παρακάτω).

Για startups και αναπτυσσόμενες εταιρείες: Το όριο βασίζεται στον ετήσιο αριθμό υπαλλήλων και τα στοιχεία του ισολογισμού. Μια startup που ξεπερνά το όριο των 50 υπαλλήλων ή το όριο του ισολογισμού σε ένα δεδομένο έτος καθίσταται υποχρεωμένη να εγγραφεί. Η εγγραφή πρέπει να ολοκληρωθεί πριν ξεκινήσει η επεξεργασία υπό το νέο όριο, όχι αναδρομικά στο τέλος του έτους.

Βήμα προς βήμα διαδικασία εγγραφής VERBIS:

Συνδεθείτε στην πύλη VERBIS μέσω του e-Devlet (πύλη ηλεκτρονικής διακυβέρνησης) χρησιμοποιώντας μια διεύθυνση KEP (καταχωρημένο ηλεκτρονικό ταχυδρομείο) ή διαπιστευτήρια εξουσιοδοτημένου υπογράφοντος. [3]
Συμπληρώστε το προφίλ του υπευθύνου επεξεργασίας δεδομένων (όνομα εταιρείας, νομική μορφή, στοιχεία επικοινωνίας, εξουσιοδοτημένος εκπρόσωπος).
Δημιουργήστε μια καταχώριση "δραστηριότητας επεξεργασίας" για κάθε διακριτή κατηγορία προσωπικών δεδομένων που επεξεργάζεστε.
Για κάθε δραστηριότητα, δηλώστε: κατηγορία δεδομένων, σκοπό, νομική βάση, ομάδα υποκειμένων δεδομένων, αποδέκτες και περίοδο διατήρησης.
Υποβάλετε και λάβετε έναν αριθμό εγγραφής VERBIS.
Ενημερώστε το μητρώο όποτε οι δραστηριότητες επεξεργασίας αλλάζουν ουσιωδώς.

Εξαιρέσεις KVKK: Μικρές Επιχειρήσεις και Ποια Δεδομένα Δεν Καλύπτονται

Δεν είναι υποχρεωτικό για κάθε οργανισμό να εγγραφεί στο VERBIS. Στις 12 Ιανουαρίου 2026, η Αρχή KVKK διευκρίνισε τα κριτήρια εξαίρεσης για τους υπεύθυνους επεξεργασίας δεδομένων μικρής κλίμακας. [4]

Η εξαίρεση ισχύει όταν πληρούνται ΚΑΙ οι τρεις προϋποθέσεις:

Λιγότεροι από 10 υπαλλήλους
Συνολικός ετήσιος ισολογισμός κάτω των 10 εκατομμυρίων TL
Η κύρια δραστηριότητα περιλαμβάνει την επεξεργασία ειδικών κατηγοριών προσωπικών δεδομένων (η εξαίρεση σχεδιάστηκε ειδικά για μικρούς παρόχους υγειονομικής περίθαλψης, κλινικές και παρόμοιες οντότητες)

Η νομική ανάλυση που δημοσιεύτηκε από την CMS Law σημειώνει ότι αυτή η εξαίρεση είναι στενότερη από ό,τι μπορεί να φαίνεται αρχικά, δεν είναι μια γενική εξαίρεση μικρών επιχειρήσεων, αλλά στοχεύει ειδικά οντότητες των οποίων η κύρια δραστηριότητα περιλαμβάνει ευαίσθητες κατηγορίες δεδομένων. [7] Η Erdem & Erdem διευκρίνισε περαιτέρω τις αρχές εφαρμογής αυτών των νέων εξαιρέσεων. [8]

Κατηγορίες δεδομένων που δεν καλύπτονται από το KVKK:

Ανωνυμοποιημένα δεδομένα (όπου η επαναταυτοποίηση είναι αδύνατη)
Δεδομένα που επεξεργάζονται αποκλειστικά για προσωπικούς ή οικιακούς σκοπούς (χωρίς εμπορική δραστηριότητα)
Δεδομένα που επεξεργάζονται από δικαστικές αρχές για ποινικές διαδικασίες (διέπονται από ξεχωριστή νομοθεσία)

Οριακή περίπτωση: Τα ψευδωνυμοποιημένα δεδομένα εξακολουθούν να θεωρούνται προσωπικά δεδομένα βάσει του KVKK εάν ο υπεύθυνος επεξεργασίας διατηρεί τα μέσα για την επαναταυτοποίηση ατόμων. Μην αντιμετωπίζετε την ψευδωνυμοποίηση ως ισοδύναμη με την ανωνυμοποίηση για σκοπούς συμμόρφωσης.

Απαιτήσεις Συναίνεσης KVKK για Δεδομένα Πελατών

Σύμφωνα με το KVKK, η έγκυρη συναίνεση πρέπει να δίνεται ελεύθερα, συγκεκριμένα, εν γνώσει και χωρίς αμφιβολία. Η συναίνεση δεν μπορεί να συνδεθεί με την αποδοχή των όρων παροχής υπηρεσιών, και τα προ-επιλεγμένα πλαίσια δεν αποτελούν έγκυρη συναίνεση.

Η συναίνεση πρέπει να είναι:

Ελεύθερα δοσμένη: Χωρίς εξαναγκασμό ή εξάρτηση της πρόσβασης στην υπηρεσία από τη συναίνεση
Συγκεκριμένη: Συνδεδεμένη με έναν καθορισμένο σκοπό, όχι γενική εξουσιοδότηση
Εν γνώσει: Το υποκείμενο των δεδομένων πρέπει να γνωρίζει ποιος συλλέγει δεδομένα και γιατί
Αδιαμφισβήτητη: Απαιτεί μια θετική ενέργεια (κλικ, υπογραφή, πλαίσιο επιλογής)

Για ιστοσελίδες και ψηφιακές πλατφόρμες, η εφαρμογή μιας συμβατής Πλατφόρμας Διαχείρισης Συναίνεσης είναι η πιο πρακτική προσέγγιση. Το Biscotti CMP έχει σχεδιαστεί για να βοηθά τους ιδιοκτήτες ιστοσελίδων και τις επιχειρήσεις να διαχειρίζονται τη συλλογή συναίνεσης με τρόπο που ευθυγραμμίζεται με το KVKK και άλλα πλαίσια προστασίας δεδομένων, παρέχοντας αρχεία ελέγχου και λεπτομερή αρχεία συναίνεσης.

Ρητή συναίνεση απαιτείται επιπλέον για ειδικές κατηγορίες προσωπικών δεδομένων (υγείας, βιομετρικά, γενετικά, ποινικά μητρώα κ.λπ.) και για διασυνοριακές μεταφορές δεδομένων όπου δεν υπάρχει μηχανισμός επάρκειας.

Ποινές και Πρόστιμα KVKK για Μη Συμμόρφωση

Η επιβολή του KVKK δεν είναι θεωρητική. Η Αρχή KVKK έχει επιβάλει πρόστιμα τόσο σε εγχώριες όσο και σε ξένες οντότητες. Οι ποινές διέπονται από το Άρθρο 18 του νόμου.

Κατηγορίες διοικητικών προστίμων βάσει του Άρθρου 18:

Παράλειψη εκπλήρωσης υποχρεώσεων γνωστοποίησης: 9.027 TL έως 180.536 TL (περίπου 2024 κλίμακα· τα ποσά ενημερώνονται ετησίως για τον πληθωρισμό)
Παράλειψη διασφάλισης της ασφάλειας των δεδομένων: 45.135 TL έως 9.027.000 TL
Παράλειψη συμμόρφωσης με αποφάσεις της Αρχής KVKK: 45.135 TL έως 9.027.000 TL
Παράλειψη εγγραφής στο VERBIS ή παράλειψη ενημέρωσης του VERBIS: 39.337 TL έως 1.966.862 TL

Σημείωση: Τα ποσά των προστίμων αναπροσαρμόζονται ετησίως και τα παραπάνω στοιχεία αντικατοπτρίζουν τις δημοσιευμένες κλίμακες του 2024. Επαληθεύστε τα τρέχοντα στοιχεία με την Αρχή KVKK ή Τούρκο νομικό σύμβουλο για τις ενέργειες επιβολής του 2026.

Ποινική ευθύνη για ορισμένες παραβάσεις (παράνομη επεξεργασία, παράλειψη διαγραφής δεδομένων) μπορεί να οδηγήσει σε φυλάκιση βάσει του Τουρκικού Ποινικού Κώδικα, μια διάσταση που απουσιάζει από το σύνολο εργαλείων επιβολής του GDPR.

Κανόνες Ειδοποίησης Παραβίασης Δεδομένων KVKK

Σύμφωνα με το KVKK, οι υπεύθυνοι επεξεργασίας δεδομένων πρέπει να ειδοποιούν την Αρχή KVKK εντός 72 ωρών από τη στιγμή που αντιληφθούν μια παραβίαση προσωπικών δεδομένων. Εάν η παραβίαση είναι πιθανό να επηρεάσει αρνητικά τα υποκείμενα των δεδομένων, αυτά τα άτομα πρέπει επίσης να ειδοποιηθούν άμεσα.

Λίστα ελέγχου ειδοποίησης παραβίασης:

Εντοπισμός και περιορισμός της παραβίασης
Αξιολόγηση του πεδίου εφαρμογής και της πιθανής επίδρασης στα υποκείμενα των δεδομένων
Ειδοποίηση της Αρχής KVKK εντός 72 ωρών μέσω της επίσημης φόρμας ειδοποίησης
Εσωτερική τεκμηρίωση της παραβίασης (τι συνέβη, ποια δεδομένα επηρεάστηκαν, βήματα αποκατάστασης)
Ειδοποίηση των επηρεαζόμενων υποκειμένων δεδομένων εάν υπάρχει υψηλός κίνδυνος βλάβης

Η παράλειψη ειδοποίησης εντός του απαιτούμενου χρονικού πλαισίου αποτελεί από μόνη της παραβίαση που επισύρει κυρώσεις βάσει του Άρθρου 18.

Συνηθισμένα Λάθη Συμμόρφωσης με το KVKK που Κάνουν οι Επιχειρήσεις

1. Αντιμετώπιση του VERBIS ως εφάπαξ εργασία. Οι καταχωρίσεις VERBIS πρέπει να ενημερώνονται όποτε αλλάζουν οι δραστηριότητες επεξεργασίας. Η απόκτηση ενός νέου CRM, η έναρξη μιας νέας καμπάνιας μάρκετινγκ με διαφορετικές κατηγορίες δεδομένων ή η πρόσληψη ενός νέου εκτελούντος την επεξεργασία δεδομένων απαιτούν όλα πιθανώς ενημερώσεις στο VERBIS.

2. Εξάρτηση από τη συναίνεση του GDPR για Τούρκους χρήστες. Οι απαιτήσεις συναίνεσης του KVKK έχουν τοπικές αποχρώσεις. Ένα banner συναίνεσης βελτιστοποιημένο για τον GDPR ενδέχεται να μην καλύπτει τις συγκεκριμένες γνωστοποιήσεις που απαιτούνται βάσει του KVKK.

3. Αγνοώντας τους κανόνες διασυνοριακής μεταφοράς. Η αποστολή δεδομένων Τούρκων πελατών σε μια πλατφόρμα ανάλυσης ή πάροχο cloud με έδρα τις ΗΠΑ χωρίς έγκυρο μηχανισμό μεταφοράς είναι μια συνηθισμένη και συχνά τιμωρούμενη παράβαση.

4. Υποθέτοντας εξαίρεση μικρής επιχείρησης χωρίς επαλήθευση. Η διευκρίνιση του Ιανουαρίου 2026 κατέστησε σαφές ότι η εξαίρεση εξαρτάται από την ταυτόχρονη εκπλήρωση και των τριών κριτηρίων. [4]

5. Καμία πολιτική διατήρησης δεδομένων. Το KVKK απαιτεί τη διαγραφή, καταστροφή ή ανωνυμοποίηση των δεδομένων όταν ο σκοπός της επεξεργασίας παύει να υφίσταται. Πολλές επιχειρήσεις συλλέγουν δεδομένα επ' αόριστον χωρίς τεκμηριωμένο πρόγραμμα διατήρησης.

Συχνές Ερωτήσεις

Ε: Είναι το KVKK υποχρεωτικό για όλες τις επιχειρήσεις που δραστηριοποιούνται στην Τουρκία; Ναι, κάθε οντότητα που επεξεργάζεται προσωπικά δεδομένα ατόμων στην Τουρκία υπόκειται στο KVKK, ανεξάρτητα από το μέγεθος ή την εθνικότητα της εταιρείας. Η εγγραφή στο VERBIS είναι υποχρεωτική για τις περισσότερες οντότητες πάνω από το όριο εξαίρεσης μικρών επιχειρήσεων.

Ε: Ποια είναι η προθεσμία εγγραφής στο VERBIS το 2026; Η Αρχή KVKK παρέτεινε την προθεσμία εγγραφής στο VERBIS έως τις 5 Ιουνίου 2026 για οργανισμούς που πληρούν τις προϋποθέσεις βάσει των οικονομικών τους καταστάσεων του 2025. [1] Οι οργανισμοί που πληρούσαν ήδη προηγούμενα όρια θα πρέπει να έχουν ήδη εγγραφεί.

Ε: Μπορεί μια ξένη εταιρεία να επιβληθεί πρόστιμο βάσει του KVKK; Ναι. Η Αρχή KVKK έχει δικαιοδοσία επί οποιουδήποτε υπευθύνου επεξεργασίας δεδομένων που επεξεργάζεται δεδομένα Τούρκων κατοίκων, συμπεριλαμβανομένων των ξένων εταιρειών. Η επιβολή κατά ξένων οντοτήτων είναι ένας εξελισσόμενος τομέας, αλλά η νομική έκθεση είναι πραγματική.

Ε: Υπάρχει εναλλακτική λύση στο VERBIS για τη δήλωση δραστηριοτήτων επεξεργασίας δεδομένων; Όχι. Το VERBIS είναι το μοναδικό υποχρεωτικό μητρώο βάσει του KVKK. Δεν υπάρχει εναλλακτικός μηχανισμός για την εκπλήρωση της υποχρέωσης εγγραφής του υπευθύνου επεξεργασίας δεδομένων.

Ε: Πόσο χρόνο χρειάζεται η εγγραφή στο VERBIS; Με την ενσωμάτωση του e-Devlet από την 1η Ιουλίου 2026, η τεχνική διαδικασία μπορεί να ολοκληρωθεί σε λίγες ώρες για απλές περιπτώσεις. [3] Ωστόσο, η προπαρασκευαστική εργασία, η χαρτογράφηση όλων των δραστηριοτήτων επεξεργασίας δεδομένων, ο εντοπισμός των νομικών βάσεων και η τεκμηρίωση των περιόδων διατήρησης, συνήθως διαρκεί εβδομάδες για μεσαίου μεγέθους οργανισμούς.

Ε: Απαιτεί το KVKK Υπεύθυνο Προστασίας Δεδομένων (DPO); Το KVKK δεν επιβάλλει επίσημο ρόλο DPO ισοδύναμο με την απαίτηση του GDPR. Ωστόσο, η Αρχή KVKK συνιστά στους υπεύθυνους επεξεργασίας δεδομένων να ορίζουν ένα υπεύθυνο άτομο εσωτερικά για τη διαχείριση της συμμόρφωσης.

Ε: Τι συνιστά ειδική κατηγορία προσωπικών δεδομένων βάσει του KVKK; Οι ειδικές κατηγορίες περιλαμβάνουν: φυλή, εθνική καταγωγή, πολιτικές απόψεις, φιλοσοφικές πεποιθήσεις, θρησκεία, δόγμα, δεδομένα υγείας, σεξουαλική ζωή, ποινικές καταδίκες, βιομετρικά δεδομένα και γενετικά δεδομένα. Η επεξεργασία αυτών των κατηγοριών απαιτεί ρητή συναίνεση ή ειδική νομική βάση.

Ε: Πώς χειρίζεται το KVKK τη συναίνεση για cookies σε ιστοσελίδες; Τα cookies που συλλέγουν προσωπικά δεδομένα (αναλυτικά στοιχεία, αναγνωριστικά διαφήμισης) απαιτούν έγκυρη συναίνεση βάσει του KVKK. Ένα συμβατό CMP όπως το Biscotti CMP μπορεί να βοηθήσει τους ιδιοκτήτες ιστοσελίδων να συλλέγουν, να αποθηκεύουν και να διαχειρίζονται τη συναίνεση για cookies σύμφωνα με τις υποχρεώσεις του KVKK.

Ε: Απαιτείται από τους δημόσιους φορείς να εγγραφούν στο VERBIS; Ναι. Οι δημόσιοι φορείς και οργανισμοί υποχρεούνται να εγγραφούν στο VERBIS. Η περίοδος εγγραφής για τους δημόσιους φορείς ξεκίνησε την 1η Απριλίου 2019, με προθεσμία ολοκλήρωσης την 30ή Ιουνίου 2020. [6]

Ε: Τι συμβαίνει εάν μια εταιρεία ενημερώσει τις δραστηριότητές της επεξεργασίας αλλά δεν ενημερώσει το VERBIS; Η παράλειψη ενημέρωσης του VERBIS για να αντικατοπτρίζει τις τρέχουσες δραστηριότητες επεξεργασίας αντιμετωπίζεται ως παραβίαση συμμόρφωσης και μπορεί να οδηγήσει σε διοικητικά πρόστιμα βάσει του Άρθρου 18 του KVKK. [5]

Συμπέρασμα: Ενέργειες για Συμμόρφωση με το KVKK και το VERBIS

Η επιχειρηματική δραστηριότητα στην Τουρκία απαιτεί μια δομημένη, ειδική για τη δικαιοδοσία προσέγγιση στην προστασία δεδομένων. Το KVKK επιβάλλεται ενεργά, η εγγραφή στο VERBIS δεν είναι προαιρετική για τους περισσότερους οργανισμούς, και οι διευκρινίσεις εξαίρεσης του Ιανουαρίου 2026 έχουν περιορίσει, όχι διευρύνει, τις εξαιρέσεις για μικρές επιχειρήσεις. [4]

Άμεσες ενέργειες για οργανισμούς που δραστηριοποιούνται στην Τουρκία:

Πραγματοποιήστε άσκηση χαρτογράφησης δεδομένων. Προσδιορίστε κάθε κατηγορία προσωπικών δεδομένων που επεξεργάζεστε, τον σκοπό της, τη νομική βάση και τον αποδέκτη.
Καθορίστε την υποχρέωση VERBIS. Εφαρμόστε τα όρια αριθμού υπαλλήλων και ισολογισμού για να επιβεβαιώσετε εάν απαιτείται εγγραφή. Εάν έχετε αμφιβολίες, εγγραφείτε.
Εγγραφείτε ή ενημερώστε το VERBIS. Χρησιμοποιήστε την ενσωματωμένη στο e-Devlet πύλη VERBIS για να ολοκληρώσετε ή να ενημερώσετε την εγγραφή σας ως υπεύθυνος επεξεργασίας δεδομένων. [3]
Ελέγξτε τους μηχανισμούς συναίνεσης. Βεβαιωθείτε ότι τα banners συναίνεσης ιστοσελίδων και οι φόρμες συλλογής δεδομένων πληρούν τις ειδικές απαιτήσεις του KVKK. Εξετάστε το ενδεχόμενο ανάπτυξης του Biscotti CMP (www.biscotti-cmp.com) για δομημένη, ελεγχόμενη διαχείριση συναίνεσης.
Επανεξετάστε τις διασυνοριακές ρυθμίσεις μεταφοράς. Προσδιορίστε όλους τους τρίτους εκτελούντες την επεξεργασία και τις υπηρεσίες cloud που λαμβάνουν τουρκικά προσωπικά δεδομένα και αξιολογήστε τη νομική βάση για κάθε μεταφορά.
Καθιερώστε ένα πρωτόκολλο αντιμετώπισης παραβιάσεων. Τεκμηριώστε τη διαδικασία ειδοποίησης εντός 72 ωρών και αναθέστε εσωτερική ευθύνη.
Συνεργαστείτε με τοπικό νομικό σύμβουλο. Η ερμηνεία του KVKK συνεχίζει να εξελίσσεται, και ένας Τούρκος δικηγόρος προστασίας δεδομένων μπορεί να παρέχει καθοδήγηση ειδικά για τη δικαιοδοσία, την οποία κανένα γενικό πλαίσιο συμμόρφωσης δεν μπορεί να αντικαταστήσει.

Το τοπίο συμμόρφωσης για την επιχειρηματική δραστηριότητα στην Τουρκία ωριμάζει ραγδαία. Οι οργανισμοί που αντιμετωπίζουν το KVKK ως μια άσκηση ελέγχου αντί για ένα συνεχιζόμενο πρόγραμμα θα βρεθούν εκτεθειμένοι καθώς η επιβολή εντείνεται.