Consentimiento y banners

¿Haciendo negocios en Turquía? Lo que necesita saber sobre la KVKK y VERBIS

7 de julio de 2026 · 15 min de lectura

Respuesta rápida: La ley principal de protección de datos de Turquía, KVKK (Ley N.º 6698), se aplica a cualquier organización, nacional o extranjera, que procese datos personales de individuos en Turquía. VERBIS es el registro obligatorio de controladores de datos bajo KVKK. La mayoría de las organizaciones medianas a grandes deben registrarse en VERBIS o enfrentarse a multas administrativas. A partir de 2026, el proceso de registro es accesible a través de la plataforma e-Devlet de Turquía, y se han aclarado los umbrales de exención para pequeñas empresas.

Puntos clave

KVKK (Kişisel Verilerin Korunması Kanunu) es la ley de protección de datos de Turquía, promulgada en 2016 y modelada en parte según los principios del GDPR, pero con requisitos locales distintos.
VERBIS es el registro en línea donde los controladores de datos deben declarar sus actividades de procesamiento de datos antes de que comience el procesamiento.
Las empresas extranjeras que procesan datos de residentes turcos están sujetas a la KVKK, independientemente de dónde tenga su sede la empresa.
A partir del 12 de enero de 2026, los controladores de datos a pequeña escala con menos de 10 empleados y un balance anual inferior a 10 millones de TL están exentos del registro en VERBIS si su actividad principal implica datos de categoría especial. [4]
El plazo de registro en VERBIS se extendió hasta el 5 de junio de 2026 para las organizaciones que califican según los estados financieros de 2025. [1]
A partir del 1 de julio de 2026, los servicios de VERBIS están completamente integrados con la plataforma e-Devlet (e-Gobierno) de Turquía. [3]
Las sanciones por incumplimiento según el Artículo 18 de la KVKK pueden alcanzar multas administrativas significativas, y la autoridad KVKK las aplica activamente.
El consentimiento bajo la KVKK debe ser libremente otorgado, específico, informado e inequívoco; una Plataforma de Gestión de Consentimiento (CMP) es una herramienta práctica para el cumplimiento basado en la web.

¿Qué es la KVKK? Explicación de la Ley de Protección de Datos de Turquía

La KVKK (Kişisel Verilerin Korunması Kanunu, Ley N.º 6698) es el estatuto integral de protección de datos personales de Turquía, promulgado el 7 de abril de 2016. Regula cómo los controladores y procesadores de datos que operan en Turquía recopilan, almacenan, procesan, transfieren y eliminan datos personales.

La ley estableció la Autoridad de Protección de Datos Personales (Kişisel Verileri Koruma Kurumu, también abreviada KVKK), el organismo supervisor independiente responsable de la aplicación, la orientación y el registro VERBIS.

Los principios fundamentales bajo la KVKK incluyen:

Legalidad, equidad y transparencia
Limitación de la finalidad (datos recopilados solo para fines específicos y explícitos)
Minimización de datos
Precisión y mantenimiento de datos actualizados
Limitación del almacenamiento (datos retenidos solo el tiempo necesario)
Integridad y confidencialidad

Cualquier entidad que determine los propósitos y medios del procesamiento de datos personales califica como "controlador de datos" bajo la KVKK y asume las principales obligaciones de cumplimiento.

KVKK vs. GDPR: Diferencias clave y superposición de cumplimiento

La KVKK comparte ADN estructural con el GDPR de la UE, pero los dos marcos divergen en varias formas operativamente significativas. Las organizaciones que ya cumplen con el GDPR no deben asumir el cumplimiento automático de la KVKK.

Dimensión	KVKK (Turquía)	GDPR (UE)
Promulgada	2016	2018 (aplicación)
Organismo supervisor	Autoridad KVKK	APD nacionales por estado miembro
Registro de datos	VERBIS (obligatorio para la mayoría)	No hay un registro obligatorio equivalente
Transferencias de datos al extranjero	Requiere consentimiento explícito o adecuación	Decisiones de adecuación o SCC
Requisito de DPO	No hay mandato formal de DPO	Obligatorio en ciertos casos
Notificación de violación	72 horas a la autoridad	72 horas a la autoridad

Divergencia clave: La KVKK exige que los controladores de datos se registren en VERBIS y declaren sus actividades de procesamiento de forma proactiva. El GDPR no tiene una obligación de registro público equivalente. Además, las reglas de transferencia de datos transfronterizas de la KVKK son más restrictivas en la práctica, requiriendo el consentimiento explícito del interesado o una decisión formal de adecuación, y a Turquía no se le ha otorgado el estatus de adecuación de la UE.

"El cumplimiento del GDPR es una base útil, pero hacer negocios en Turquía requiere una capa de cumplimiento de la KVKK separada, particularmente en torno al registro en VERBIS y las reglas de transferencia transfronteriza."

¿Qué es VERBIS y cómo funciona?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) es el registro en línea mantenido por la Autoridad KVKK donde los controladores de datos deben registrarse y declarar sus actividades de procesamiento de datos personales antes de que comience el procesamiento. Piense en ello como un inventario público de quién procesa qué datos, con qué propósito y bajo qué política de retención.

Cómo funciona VERBIS en la práctica:

El controlador de datos crea una cuenta en el portal VERBIS (ahora accesible a través de la plataforma e-Devlet de Turquía a partir del 1 de julio de 2026). [3]
El controlador declara cada categoría de datos personales procesados, el propósito del procesamiento, la base legal, las categorías de datos, los grupos de destinatarios y los períodos de retención.
Las declaraciones se envían y pasan a formar parte del registro público.
Cualquier cambio en las actividades de procesamiento debe actualizarse en VERBIS de inmediato.
La falta de registro o actualización conlleva sanciones según el Artículo 18 de la KVKK. [5]

El 1 de julio de 2026, la Autoridad KVKK también publicó versiones actualizadas del documento de orientación "Sorularla VERBİS" y la guía oficial VERBİS Kılavuzu (guía del usuario) para ayudar a los controladores de datos a navegar por las obligaciones de registro. [2]

¿Necesitan las empresas extranjeras cumplir con la KVKK?

Sí. La KVKK se aplica a cualquier controlador de datos que procese datos personales de individuos ubicados en Turquía, independientemente de dónde esté constituido o tenga su sede el controlador. Una empresa SaaS alemana con clientes turcos, una plataforma de comercio electrónico estadounidense que envía a Turquía o una agencia de marketing del Reino Unido que realiza campañas dirigidas a consumidores turcos, todos entran dentro del alcance de la KVKK.

Implicaciones prácticas para empresas extranjeras:

Debe nombrar un representante local en Turquía si carece de presencia física (aunque la implementación de la ley en este punto sigue evolucionando, consulte a un asesor legal local).
Debe cumplir con los requisitos de registro en VERBIS a menos que se aplique una exención específica.
Las transferencias de datos transfronterizas fuera de Turquía requieren el consentimiento explícito del interesado o un mecanismo formal de adecuación, ninguno de los cuales es sencillo para la mayoría de los destinos no pertenecientes a la UE.

Error común: Las empresas extranjeras asumen que el cumplimiento del GDPR o una política de privacidad genérica cubre su base de usuarios turcos. La KVKK requiere divulgaciones específicas de la jurisdicción, mecanismos de consentimiento y declaraciones de registro.

Requisitos de registro en VERBIS: Quién debe registrarse y cómo

La mayoría de los controladores de datos por encima del umbral de exención para pequeñas empresas deben registrarse en VERBIS. La obligación se aplica tanto a entidades del sector privado como a instituciones públicas. [6]

El registro es obligatorio si el controlador de datos:

Tiene 50 o más empleados (equivalente a tiempo completo), O
Tiene un balance financiero anual total que excede los 25 millones de TL, O
Procesa categorías especiales de datos personales (salud, biométricos, antecedentes penales, etc.) independientemente del tamaño, a menos que se aplique la exención para pequeñas empresas (ver más abajo).

Para startups y empresas en crecimiento: El umbral se basa en el número anual de empleados y las cifras del balance. Una startup que supera la marca de 50 empleados o el umbral del balance en un año determinado se ve obligada a registrarse. El registro debe completarse antes de que comience el procesamiento bajo el nuevo umbral, no retroactivamente al final del año.

Proceso de registro en VERBIS paso a paso:

Inicie sesión en el portal VERBIS a través de e-Devlet (portal de e-Gobierno) utilizando una dirección KEP (correo electrónico electrónico registrado) o credenciales de firmante autorizado. [3]
Complete el perfil del controlador de datos (nombre de la empresa, forma jurídica, datos de contacto, representante autorizado).
Cree una entrada de "actividad de procesamiento" para cada categoría distinta de datos personales procesados.
Para cada actividad, declare: categoría de datos, propósito, base legal, grupo de interesados, destinatarios y período de retención.
Envíe y reciba un número de registro VERBIS.
Actualice el registro cada vez que las actividades de procesamiento cambien materialmente.

Exenciones de la KVKK: Pequeñas empresas y qué datos no están cubiertos

No todas las organizaciones deben registrarse en VERBIS. El 12 de enero de 2026, la Autoridad KVKK aclaró los criterios de exención para los controladores de datos a pequeña escala. [4]

La exención se aplica cuando se cumplen las TRES condiciones:

Menos de 10 empleados
Balance anual total inferior a 10 millones de TL
La actividad principal implica el procesamiento de categorías especiales de datos personales (la exención fue diseñada específicamente para pequeños proveedores de atención médica, clínicas y entidades similares)

El análisis legal publicado por CMS Law señala que esta exención es más limitada de lo que puede parecer inicialmente; no es una exención general para pequeñas empresas, sino que se dirige específicamente a entidades cuyo negocio principal implica categorías de datos sensibles. [7] Erdem & Erdem aclararon aún más los principios de aplicación de estas nuevas exenciones. [8]

Categorías de datos no cubiertas por la KVKK:

Datos anonimizados (donde la reidentificación es imposible)
Datos procesados puramente para fines personales o domésticos (sin actividad comercial)
Datos procesados por autoridades judiciales para procedimientos penales (regidos por legislación separada)

Caso límite: Los datos seudonimizados todavía se consideran datos personales bajo la KVKK si el controlador conserva los medios para reidentificar a los individuos. No trate la seudonimización como equivalente a la anonimización para fines de cumplimiento.

Requisitos de consentimiento de la KVKK para datos de clientes

Según la KVKK, el consentimiento válido debe ser libremente otorgado, específico, informado e inequívoco. El consentimiento no puede agruparse con la aceptación de los términos de servicio, y las casillas premarcadas no constituyen un consentimiento válido.

El consentimiento debe ser:

Libremente otorgado: Sin coerción ni condicionamiento del acceso al servicio al consentimiento.
Específico: Vinculado a un propósito definido, no una autorización general.
Informado: El interesado debe saber quién recopila los datos y por qué.
Inequívoco: Requiere una acción afirmativa (clic, firma, casilla de verificación).

Para sitios web y plataformas digitales, implementar una Plataforma de Gestión de Consentimiento compatible es el enfoque más práctico. Biscotti CMP está diseñada para ayudar a los propietarios de sitios web y empresas a gestionar la recopilación de consentimiento de una manera alineada con la KVKK y otros marcos de protección de datos, proporcionando registros de auditoría y registros de consentimiento granular.

Se requiere consentimiento explícito adicionalmente para categorías especiales de datos personales (salud, biométricos, genéticos, antecedentes penales, etc.) y para transferencias de datos transfronterizas donde no existe un mecanismo de adecuación.

Sanciones y multas de la KVKK por incumplimiento

La aplicación de la KVKK no es teórica. La Autoridad KVKK ha impuesto multas tanto a entidades nacionales como extranjeras. Las sanciones se rigen por el Artículo 18 de la ley.

Categorías de multas administrativas según el Artículo 18:

Incumplimiento de las obligaciones de divulgación: 9.027 TL a 180.536 TL (rango aproximado de 2024; los montos se actualizan anualmente por inflación)
Incumplimiento de la seguridad de los datos: 45.135 TL a 9.027.000 TL
Incumplimiento de las decisiones de la Autoridad KVKK: 45.135 TL a 9.027.000 TL
Incumplimiento del registro en VERBIS o de la actualización de VERBIS: 39.337 TL a 1.966.862 TL

Nota: Los montos de las multas se indexan anualmente y las cifras anteriores reflejan los rangos publicados en 2024. Verifique las cifras actuales con la Autoridad KVKK o un asesor legal turco para las acciones de aplicación de 2026.

La responsabilidad penal por ciertas violaciones (procesamiento ilegal, falta de eliminación de datos) puede resultar en prisión según el Código Penal turco, una dimensión ausente del conjunto de herramientas de aplicación del GDPR.

Reglas de notificación de violación de datos de la KVKK

Según la KVKK, los controladores de datos deben notificar a la Autoridad KVKK dentro de las 72 horas posteriores a tener conocimiento de una violación de datos personales. Si es probable que la violación afecte negativamente a los interesados, también se les debe notificar de inmediato.

Lista de verificación de notificación de violación:

Identificar y contener la violación
Evaluar el alcance y el impacto probable en los interesados
Notificar a la Autoridad KVKK dentro de las 72 horas a través del formulario de notificación oficial
Documentar la violación internamente (qué sucedió, qué datos se vieron afectados, pasos de remediación)
Notificar a los interesados afectados si existe un alto riesgo de daño

La falta de notificación dentro del plazo requerido es en sí misma una violación sancionable según el Artículo 18.

Errores comunes de cumplimiento de la KVKK que cometen las empresas

1. Tratar VERBIS como una tarea única. Las entradas de VERBIS deben actualizarse cada vez que cambian las actividades de procesamiento. La adquisición de un nuevo CRM, el lanzamiento de una nueva campaña de marketing con diferentes categorías de datos o la incorporación de un nuevo procesador de datos requieren potencialmente actualizaciones de VERBIS.

2. Confiar en el consentimiento del GDPR para usuarios turcos. Los requisitos de consentimiento de la KVKK tienen matices locales. Un banner de consentimiento optimizado para el GDPR puede no capturar las divulgaciones específicas requeridas por la KVKK.

3. Ignorar las reglas de transferencia transfronteriza. Enviar datos de clientes turcos a una plataforma de análisis o proveedor de la nube con sede en EE. UU. sin un mecanismo de transferencia válido es una violación común y frecuentemente penalizada.

4. Asumir la exención para pequeñas empresas sin verificación. La aclaración de enero de 2026 dejó claro que la exención está condicionada a que se cumplan los tres criterios simultáneamente. [4]

5. No tener una política de retención de datos. La KVKK exige que los datos se eliminen, destruyan o anonimicen cuando el propósito del procesamiento ya no exista. Muchas empresas recopilan datos indefinidamente sin un cronograma de retención documentado.

Preguntas frecuentes

P: ¿Es la KVKK obligatoria para todas las empresas que operan en Turquía? Sí, cualquier entidad que procese datos personales de individuos en Turquía está sujeta a la KVKK, independientemente del tamaño o la nacionalidad de la empresa. El registro en VERBIS es obligatorio para la mayoría de las entidades por encima del umbral de exención para pequeñas empresas.

P: ¿Cuál es el plazo de registro en VERBIS en 2026? La Autoridad KVKK extendió el plazo de registro en VERBIS hasta el 5 de junio de 2026 para las organizaciones que califican según sus estados financieros de 2025. [1] Las organizaciones que ya cumplieron los umbrales anteriores ya deberían estar registradas.

P: ¿Puede una empresa extranjera ser multada bajo la KVKK? Sí. La Autoridad KVKK tiene jurisdicción sobre cualquier controlador de datos que procese datos de residentes turcos, incluidas las empresas extranjeras. La aplicación contra entidades extranjeras es un área en evolución, pero la exposición legal es real.

P: ¿Existe una alternativa a VERBIS para declarar las actividades de procesamiento de datos? No. VERBIS es el único registro obligatorio bajo la KVKK. No existe un mecanismo alternativo para cumplir con la obligación de registro del controlador de datos.

P: ¿Cuánto tiempo lleva el registro en VERBIS? Con la integración de e-Devlet a partir del 1 de julio de 2026, el proceso técnico se puede completar en unas pocas horas para casos sencillos. [3] Sin embargo, el trabajo preparatorio, el mapeo de todas las actividades de procesamiento de datos, la identificación de las bases legales y la documentación de los períodos de retención, generalmente lleva semanas para organizaciones medianas.

P: ¿La KVKK exige un Delegado de Protección de Datos (DPO)? La KVKK no exige un rol formal de DPO equivalente al requisito del GDPR. Sin embargo, la Autoridad KVKK recomienda que los controladores de datos designen a una persona responsable internamente para gestionar el cumplimiento.

P: ¿Qué constituye datos personales de categoría especial bajo la KVKK? Las categorías especiales incluyen: raza, origen étnico, opinión política, creencia filosófica, religión, secta, datos de salud, vida sexual, condenas penales, datos biométricos y datos genéticos. El procesamiento de estas categorías requiere consentimiento explícito o una base legal específica.

P: ¿Cómo maneja la KVKK el consentimiento de cookies en los sitios web? Las cookies que recopilan datos personales (análisis, identificadores de publicidad) requieren un consentimiento válido bajo la KVKK. Un CMP compatible como Biscotti CMP puede ayudar a los propietarios de sitios web a capturar, almacenar y gestionar el consentimiento de cookies de acuerdo con las obligaciones de la KVKK.

P: ¿Las instituciones públicas deben registrarse en VERBIS? Sí. Las instituciones y organizaciones públicas deben registrarse en VERBIS. El período de registro para entidades públicas comenzó el 1 de abril de 2019, con una fecha límite de finalización del 30 de junio de 2020. [6]

P: ¿Qué sucede si una empresa actualiza sus actividades de procesamiento pero no actualiza VERBIS? La falta de actualización de VERBIS para reflejar las actividades de procesamiento actuales se considera una violación del cumplimiento y puede dar lugar a multas administrativas según el Artículo 18 de la KVKK. [5]

Conclusión: Próximos pasos accionables para el cumplimiento de la KVKK y VERBIS

Hacer negocios en Turquía requiere un enfoque estructurado y específico de la jurisdicción para la protección de datos. La KVKK se aplica activamente, el registro en VERBIS no es opcional para la mayoría de las organizaciones, y las aclaraciones de exención de enero de 2026 han reducido, no ampliado, las excepciones para pequeñas empresas. [4]

Acciones inmediatas para organizaciones que operan en Turquía:

Realice un ejercicio de mapeo de datos. Identifique cada categoría de datos personales procesados, su propósito, base legal y destinatario.
Determine la obligación de VERBIS. Aplique los umbrales de número de empleados y balance para confirmar si se requiere el registro. En caso de duda, regístrese.
Registre o actualice VERBIS. Utilice el portal VERBIS integrado con e-Devlet para completar o actualizar su registro de controlador de datos. [3]
Audite los mecanismos de consentimiento. Asegúrese de que los banners de consentimiento del sitio web y los formularios de recopilación de datos cumplan con los requisitos específicos de la KVKK. Considere implementar Biscotti CMP (www.biscotti-cmp.com) para una gestión de consentimiento estructurada y auditable.
Revise los acuerdos de transferencia transfronteriza. Identifique todos los procesadores de terceros y servicios en la nube que reciben datos personales turcos y evalúe la base legal para cada transferencia.
Establezca un protocolo de respuesta a violaciones. Documente el procedimiento de notificación de 72 horas y asigne la responsabilidad interna.
Contrate a un asesor legal local. La interpretación de la KVKK sigue evolucionando, y un abogado turco de protección de datos puede proporcionar orientación específica de la jurisdicción que ningún marco de cumplimiento general puede sustituir.

El panorama de cumplimiento para hacer negocios en Turquía está madurando rápidamente. Las organizaciones que traten la KVKK como un ejercicio de casilla de verificación en lugar de un programa continuo se verán expuestas a medida que la aplicación se intensifique.