ELi õigus ja GDPR

Ettevõtlus Türgis? Mida peate teadma KVKK ja VERBIS kohta

7. juuli 2026 · 15 min lugemine

Lühike vastus: Türgi peamine andmekaitseseadus, KVKK (seadus nr 6698), kehtib igale organisatsioonile, nii kodumaisele kui ka välismaisele, mis töötleb Türgis asuvate isikute isikuandmeid. VERBIS on kohustuslik andmetöötlejate register KVKK alusel. Enamik keskmisi ja suuri organisatsioone peavad registreeruma VERBIS-es või neile määratakse haldustrahvid. Alates 2026. aastast on registreerimisprotsess kättesaadav Türgi e-Devlet platvormi kaudu ja väikeettevõtete erandite läved on selgitatud.

Peamised järeldused

KVKK (Kişisel Verilerin Korunması Kanunu) on Türgi andmekaitseseadus, mis võeti vastu 2016. aastal ja mis on osaliselt modelleeritud GDPR-i põhimõtete järgi, kuid millel on eristuvad kohalikud nõuded.
VERBIS on veebiregister, kuhu andmetöötlejad peavad oma andmetöötlustegevused deklareerima enne töötlemise algust.
Välisettevõtted, mis töötlevad Türgi elanike andmeid, on KVKK-le allutatud, olenemata ettevõtte asukohast.
Alates 12. jaanuarist 2026 on väikesemahulised andmetöötlejad, kellel on vähem kui 10 töötajat ja aastane bilanss alla 10 miljoni TL, vabastatud VERBIS-e registreerimisest, kui nende peamine tegevus hõlmab erikategooria andmeid. [4]
VERBIS-e registreerimise tähtaega pikendati 5. juunini 2026 organisatsioonidele, mis kvalifitseeruvad 2025. aasta finantsaruannete alusel. [1]
Alates 1. juulist 2026 on VERBIS-e teenused täielikult integreeritud Türgi e-Devlet (e-valitsuse) platvormiga. [3]
KVKK artikli 18 kohased mittevastavuse karistused võivad ulatuda märkimisväärsete haldustrahvideni ja KVKK asutus jõustab neid aktiivselt.
Nõusolek KVKK alusel peab olema vabalt antud, spetsiifiline, informeeritud ja ühemõtteline; nõusoleku haldamise platvorm (CMP) on praktiline vahend veebipõhiseks vastavuseks.

Mis on KVKK? Türgi andmekaitseseaduse selgitus

KVKK (Kişisel Verilerin Korunması Kanunu, seadus nr 6698) on Türgi terviklik isikuandmete kaitse seadus, mis võeti vastu 7. aprillil 2016. See reguleerib, kuidas andmetöötlejad ja -töötlejad Türgis isikuandmeid koguvad, salvestavad, töötlevad, edastavad ja kustutavad.

Seadus asutas isikuandmete kaitse ameti (Kişisel Verileri Koruma Kurumu, lühendatult ka KVKK), sõltumatu järelevalveorgani, mis vastutab jõustamise, juhendamise ja VERBIS-e registri eest.

KVKK põhiprintsiibid hõlmavad:

Seaduslikkus, õiglus ja läbipaistvus
Eesmärgi piiramine (andmeid kogutakse ainult kindlaksmääratud, selgete eesmärkide jaoks)
Andmete minimeerimine
Täpsus ja andmete ajakohasus
Salvestamise piiramine (andmeid säilitatakse ainult nii kaua, kui see on vajalik)
Terviklikkus ja konfidentsiaalsus

Iga üksus, mis määrab isikuandmete töötlemise eesmärgid ja vahendid, kvalifitseerub KVKK alusel "andmetöötlejaks" ja kannab peamisi vastavuskohustusi.

KVKK vs. GDPR: Peamised erinevused ja vastavuse kattuvus

KVKK jagab struktuurset DNA-d EL-i GDPR-iga, kuid need kaks raamistikku erinevad mitmel operatiivselt olulisel viisil. Organisatsioonid, mis on juba GDPR-iga vastavuses, ei tohiks eeldada automaatset KVKK-ga vastavust.

Mõõde	KVKK (Türgi)	GDPR (EL)
Vastu võetud	2016	2018 (jõustamine)
Järelevalveorgan	KVKK amet	Riiklikud andmekaitseametid liikmesriikide kaupa
Andmeregister	VERBIS (enamiku jaoks kohustuslik)	Puudub samaväärne kohustuslik register
Andmete edastamine välismaale	Nõuab selgesõnalist nõusolekut või piisavust	Piisavuse otsused või SCC-d
Andmekaitsespetsialisti nõue	Puudub ametlik andmekaitsespetsialisti mandaat	Kohustuslik teatud juhtudel
Rikkumise teavitamine	72 tundi ametiasutusele	72 tundi ametiasutusele

Peamine erinevus: KVKK nõuab andmetöötlejatelt VERBIS-es registreerumist ja oma töötlemistegevuste ennetavat deklareerimist. GDPR-il puudub samaväärne avaliku registri kohustus. Lisaks on KVKK piiriülese andmeedastuse reeglid praktikas piiravamad, nõudes kas andmesubjekti selgesõnalist nõusolekut või ametlikku piisavuse otsust, ja Türgile ei ole EL-i piisavuse staatust antud.

"GDPR-i vastavus on kasulik alus, kuid Türgis äri tegemine nõuab eraldi KVKK vastavuse kihti, eriti VERBIS-e registreerimise ja piiriülese edastamise reeglite osas."

Mis on VERBIS ja kuidas see töötab?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) on KVKK ameti poolt hallatav veebiregister, kuhu andmetöötlejad peavad registreeruma ja deklareerima oma isikuandmete töötlemise tegevused enne töötlemise algust. Mõelge sellele kui avalikule inventuurile, kes milliseid andmeid töötleb, mis eesmärgil ja millise säilituspoliitika alusel.

Kuidas VERBIS praktikas töötab:

Andmetöötleja loob konto VERBIS-e portaalis (alates 1. juulist 2026 on see nüüd kättesaadav Türgi e-Devlet platvormi kaudu). [3]
Töötleja deklareerib iga töödeldava isikuandmete kategooria, töötlemise eesmärgi, õigusliku aluse, andmekategooriad, saajate rühmad ja säilitusperioodid.
Deklaratsioonid esitatakse ja need saavad osaks avalikust registrist.
Kõik töötlemistegevuste muudatused tuleb VERBIS-es viivitamatult uuendada.
Registreerimata jätmine või uuendamata jätmine toob kaasa karistused KVKK artikli 18 alusel. [5]
juulil 2026 avaldas KVKK amet ka uuendatud versioonid juhenddokumendist "Sorularla VERBİS" ja ametliku VERBİS Kılavuzu (kasutusjuhend), et aidata andmetöötlejaid registreerimiskohustuste täitmisel. [2]

Kas välisettevõtted vajavad KVKK vastavust?

Jah. KVKK kehtib igale andmetöötlejale, kes töötleb Türgis asuvate isikute isikuandmeid, olenemata sellest, kus töötleja on asutatud või asub. Saksa SaaS-ettevõte Türgi klientidega, USA e-kaubanduse platvorm, mis tarnib Türki, või Ühendkuningriigi turundusagentuur, mis korraldab kampaaniaid Türgi tarbijatele, kuuluvad kõik KVKK reguleerimisalasse.

Praktilised tagajärjed välisettevõtetele:

Peab määrama Türgis kohaliku esindaja, kui neil puudub füüsiline kohalolek (kuigi seaduse rakendamine selles osas areneb pidevalt, konsulteerige kohaliku õigusnõustajaga).
Peab vastama VERBIS-e registreerimisnõuetele, välja arvatud juhul, kui kehtib eriline erand.
Piiriülesed andmeedastused Türgist välja nõuavad kas andmesubjekti selgesõnalist nõusolekut või ametlikku piisavuse mehhanismi, millest kumbki ei ole enamiku mitte-EL-i sihtkohtade jaoks lihtne.

Levinud viga: Välisettevõtted eeldavad, et GDPR-i vastavus või üldine privaatsuspoliitika katab nende Türgi kasutajaskonna. KVKK nõuab jurisdiktsioonispetsiifilisi avaldusi, nõusolekumehhanisme ja registri deklaratsioone.

VERBIS-e registreerimisnõuded: Kes peab registreeruma ja kuidas

Enamik andmetöötlejaid, kes ületavad väikeettevõtete erandi läve, peavad registreeruma VERBIS-es. Kohustus kehtib nii erasektori üksustele kui ka avaliku sektori asutustele. [6]

Registreerimine on nõutav, kui andmetöötleja:

Omab 50 või enam töötajat (täistööajale taandatult), VÕI
Omab aastast finantsbilansi kogusummat, mis ületab 25 miljonit TL, VÕI
Töötleb isikuandmete erikategooriaid (tervis, biomeetrilised andmed, karistusregistrid jne), olenemata suurusest, välja arvatud juhul, kui kehtib väikesemahuline erand (vt allpool).

Startupidele ja kasvavatele ettevõtetele: Lävi põhineb aastasel töötajate arvul ja bilansi näitajatel. Startup, mis ületab antud aastal 50 töötaja piiri või bilansi läve, on kohustatud registreeruma. Registreerimine tuleb lõpule viia enne töötlemise algust uue läve alusel, mitte tagasiulatuvalt aasta lõpus.

Samm-sammult VERBIS-e registreerimisprotsess:

Logige sisse VERBIS-e portaali e-Devlet (e-valitsuse värav) kaudu, kasutades KEP (registreeritud elektrooniline post) aadressi või volitatud allkirjastaja volitusi. [3]
Täitke andmetöötleja profiil (ettevõtte nimi, õiguslik vorm, kontaktandmed, volitatud esindaja).
Looge "töötlemistegevuse" kanne iga töödeldava isikuandmete eraldi kategooria kohta.
Iga tegevuse kohta deklareerige: andmekategooria, eesmärk, õiguslik alus, andmesubjekti rühm, saajad ja säilitusperiood.
Esitage ja saate VERBIS-e registreerimisnumbri.
Uuendage registrit alati, kui töötlemistegevused oluliselt muutuvad.

KVKK erandid: Väikeettevõtted ja milliseid andmeid ei kaeta

Mitte iga organisatsioon ei pea VERBIS-es registreeruma. 12. jaanuaril 2026 selgitas KVKK amet väikesemahuliste andmetöötlejate erandikriteeriume. [4]

Erand kehtib, kui KÕIK kolm tingimust on täidetud:

Vähem kui 10 töötajat
Aastane bilansi kogusumma alla 10 miljoni TL
Peamine tegevus hõlmab isikuandmete erikategooriate töötlemist (erand oli spetsiaalselt loodud väikestele tervishoiuteenuse osutajatele, kliinikutele ja sarnastele üksustele)

CMS Law avaldatud õigusanalüüs märgib, et see erand on kitsam, kui see esialgu tunduda võib; see ei ole üldine väikeettevõtete erand, vaid on suunatud spetsiaalselt üksustele, kelle põhitegevus hõlmab tundlikke andmekategooriaid. [7] Erdem & Erdem selgitasid edasi nende uute erandite rakenduspõhimõtteid. [8]

Andmekategooriad, mida KVKK ei kata:

Anonüümitud andmed (kus uuesti tuvastamine on võimatu)
Andmed, mida töödeldakse puhtalt isiklikel või majapidamise eesmärkidel (puudub kaubanduslik tegevus)
Andmed, mida töötlevad kohtuasutused kriminaalmenetluste jaoks (reguleeritud eraldi õigusaktidega)

Piirjuhtum: Pseudonüümitud andmeid peetakse KVKK alusel endiselt isikuandmeteks, kui töötleja säilitab vahendid isikute uuesti tuvastamiseks. Ärge käsitlege pseudonüümimist anonüümimisega samaväärsena vastavuse eesmärgil.

KVKK nõusoleku nõuded kliendiandmete jaoks

KVKK alusel peab kehtiv nõusolek olema vabalt antud, spetsiifiline, informeeritud ja ühemõtteline. Nõusolekut ei saa siduda teenusetingimuste aktsepteerimisega ja eelnevalt märgistatud kastid ei moodusta kehtivat nõusolekut.

Nõusolek peab olema:

Vabalt antud: Puudub sund või teenuse juurdepääsu tingimine nõusolekust
Spetsiifiline: Seotud kindlaksmääratud eesmärgiga, mitte üldine volitus
Informeeritud: Andmesubjekt peab teadma, kes andmeid kogub ja miks
Ühemõtteline: Nõuab jaatavat tegevust (klõps, allkiri, märkeruut)

Veebisaitide ja digitaalsete platvormide puhul on vastava nõusoleku haldamise platvormi rakendamine kõige praktilisem lähenemine. Biscotti CMP on loodud aitama veebisaitide omanikel ja ettevõtetel hallata nõusoleku kogumist viisil, mis on kooskõlas KVKK ja teiste andmekaitse raamistikega, pakkudes auditeerimisjälgi ja üksikasjalikke nõusoleku kirjeid.

Selgesõnaline nõusolek on lisaks nõutav isikuandmete erikategooriate (tervis, biomeetrilised andmed, geneetilised andmed, karistusregistrid jne) ja piiriüleste andmeedastuste puhul, kus puudub piisavuse mehhanism.

KVKK karistused ja trahvid mittevastavuse eest

KVKK jõustamine ei ole teoreetiline. KVKK amet on määranud trahve nii kodumaistele kui ka välismaistele üksustele. Karistusi reguleerib seaduse artikkel 18.

Haldustrahvide kategooriad artikli 18 alusel:

Avaldamiskohustuste täitmata jätmine: 9 027 TL kuni 180 536 TL (ligikaudne 2024. aasta vahemik; summasid uuendatakse igal aastal inflatsiooni tõttu)
Andmeturbe tagamata jätmine: 45 135 TL kuni 9 027 000 TL
KVKK ameti otsuste täitmata jätmine: 45 135 TL kuni 9 027 000 TL
VERBIS-es registreerimata jätmine või VERBIS-e uuendamata jätmine: 39 337 TL kuni 1 966 862 TL

Märkus: Trahvisummasid indekseeritakse igal aastal ja ülaltoodud arvud kajastavad avaldatud 2024. aasta vahemikke. Kontrollige praeguseid arve KVKK ameti või Türgi õigusnõustajaga 2026. aasta jõustamismeetmete kohta.

Kriminaalvastutus teatud rikkumiste (ebaseaduslik töötlemine, andmete kustutamata jätmine) eest võib Türgi karistusseadustiku alusel kaasa tuua vangistuse, mis on GDPR-i jõustamisvahenditest puuduv mõõde.

KVKK andmerikkumise teavitamise reeglid

KVKK alusel peavad andmetöötlejad teavitama KVKK ametit 72 tunni jooksul pärast isikuandmete rikkumisest teada saamist. Kui rikkumine tõenäoliselt mõjutab andmesubjekte negatiivselt, tuleb ka neid isikuid viivitamatult teavitada.

Rikkumise teavitamise kontrollnimekiri:

Tuvastage ja piirake rikkumine
Hinnake ulatust ja tõenäolist mõju andmesubjektidele
Teavitage KVKK ametit 72 tunni jooksul ametliku teavitamisvormi kaudu
Dokumenteerige rikkumine sisemiselt (mis juhtus, milliseid andmeid mõjutati, parandusmeetmed)
Teavitage mõjutatud andmesubjekte, kui on suur kahju oht

Nõutud aja jooksul teavitamata jätmine on iseenesest karistatav rikkumine artikli 18 alusel.

Levinud KVKK vastavuse vead, mida ettevõtted teevad

1. VERBIS-e käsitlemine ühekordse ülesandena. VERBIS-e kanded tuleb uuendada alati, kui töötlemistegevused muutuvad. Uue CRM-i hankimine, uue turunduskampaania käivitamine erinevate andmekategooriatega või uue andmetöötleja kaasamine nõuavad kõik potentsiaalselt VERBIS-e uuendusi.

2. GDPR-i nõusolekule tuginemine Türgi kasutajate puhul. KVKK nõusoleku nõuetel on kohalikud nüansid. GDPR-i jaoks optimeeritud nõusoleku bänner ei pruugi hõlmata KVKK alusel nõutavaid spetsiifilisi avaldusi.

3. Piiriülese edastamise reeglite ignoreerimine. Türgi kliendiandmete saatmine USA-s asuvale analüüsiplatvormile või pilveteenuse pakkujale ilma kehtiva edastusmehhanismita on levinud ja sageli karistatav rikkumine.

4. Väikeettevõtete erandi eeldamine ilma kontrollimata. 2026. aasta jaanuari selgitus tegi selgeks, et erand on tingimuslik, kui kõik kolm kriteeriumi on samaaegselt täidetud. [4]

5. Andmete säilitamise poliitika puudumine. KVKK nõuab andmete kustutamist, hävitamist või anonüümimist, kui töötlemise eesmärk enam ei eksisteeri. Paljud ettevõtted koguvad andmeid määramata ajaks ilma dokumenteeritud säilituskavata.

KKK

K: Kas KVKK on kohustuslik kõigile Türgis tegutsevatele ettevõtetele? Jah, iga üksus, mis töötleb Türgis asuvate isikute isikuandmeid, on KVKK-le allutatud, olenemata ettevõtte suurusest või rahvusest. VERBIS-e registreerimine on kohustuslik enamiku üksuste jaoks, mis ületavad väikeettevõtete erandi läve.

K: Mis on VERBIS-e registreerimise tähtaeg 2026. aastal? KVKK amet pikendas VERBIS-e registreerimise tähtaega 5. juunini 2026 organisatsioonidele, mis kvalifitseeruvad oma 2025. aasta finantsaruannete alusel. [1] Organisatsioonid, mis juba vastasid varasematele lävedele, peaksid olema juba registreeritud.

K: Kas välisettevõtet saab KVKK alusel trahvida? Jah. KVKK ametil on jurisdiktsioon iga andmetöötleja üle, kes töötleb Türgi elanike andmeid, sealhulgas välisettevõtted. Välisüksuste vastu suunatud jõustamine on arenev valdkond, kuid õiguslik risk on reaalne.

K: Kas VERBIS-ele on alternatiivi andmetöötlustegevuste deklareerimiseks? Ei. VERBIS on ainus kohustuslik register KVKK alusel. Andmetöötleja registreerimiskohustuse täitmiseks puudub alternatiivne mehhanism.

K: Kui kaua VERBIS-e registreerimine aega võtab? Alates 1. juulist 2026 e-Devlet integratsiooniga saab tehnilise protsessi lihtsamatel juhtudel lõpule viia mõne tunniga. [3] Kuid ettevalmistustöö, kõigi andmetöötlustegevuste kaardistamine, õiguslike aluste tuvastamine ja säilitusperioodide dokumenteerimine võtab keskmise suurusega organisatsioonidel tavaliselt nädalaid.

K: Kas KVKK nõuab andmekaitsespetsialisti (DPO)? KVKK ei nõua ametlikku DPO rolli, mis oleks samaväärne GDPR-i nõudega. Kuid KVKK amet soovitab andmetöötlejatel määrata sisemiselt vastutava isiku vastavuse haldamiseks.

K: Mis moodustab KVKK alusel isikuandmete erikategooria? Erikategooriad hõlmavad: rassi, etnilist päritolu, poliitilisi vaateid, filosoofilisi veendumusi, religiooni, usulahku, terviseandmeid, seksuaalelu, kriminaalkaristusi, biomeetrilisi andmeid ja geneetilisi andmeid. Nende kategooriate töötlemine nõuab selgesõnalist nõusolekut või spetsiifilist õiguslikku alust.

K: Kuidas KVKK käsitleb küpsiste nõusolekut veebisaitidel? Küpsised, mis koguvad isikuandmeid (analüütika, reklaami identifikaatorid), nõuavad KVKK alusel kehtivat nõusolekut. Vastav CMP, nagu Biscotti CMP, saab aidata veebisaitide omanikel koguda, salvestada ja hallata küpsiste nõusolekut kooskõlas KVKK kohustustega.

K: Kas avaliku sektori asutused peavad VERBIS-es registreeruma? Jah. Avaliku sektori asutused ja organisatsioonid peavad VERBIS-es registreeruma. Avaliku sektori üksuste registreerimisperiood algas 1. aprillil 2019 ja lõppes 30. juunil 2020. [6]

K: Mis juhtub, kui ettevõte uuendab oma töötlemistegevusi, kuid ei uuenda VERBIS-et? VERBIS-e uuendamata jätmine, et kajastada praeguseid töötlemistegevusi, käsitletakse vastavuse rikkumisena ja see võib kaasa tuua haldustrahve KVKK artikli 18 alusel. [5]

Kokkuvõte: KVKK ja VERBIS-e vastavuse tegevuskava

Türgis äri tegemine nõuab struktureeritud, jurisdiktsioonispetsiifilist lähenemist andmekaitsele. KVKK-d jõustatakse aktiivselt, VERBIS-e registreerimine ei ole enamiku organisatsioonide jaoks valikuline ja 2026. aasta jaanuari erandite selgitused on väikeettevõtete erandeid pigem kitsendanud kui laiendanud. [4]

Kohesed meetmed Türgis tegutsevatele organisatsioonidele:

Teostage andmekaardistamise harjutus. Tuvastage iga töödeldava isikuandmete kategooria, selle eesmärk, õiguslik alus ja saaja.
Määrake VERBIS-e kohustus. Rakendage töötajate arvu ja bilansi lävesid, et kinnitada, kas registreerimine on nõutav. Kahtluse korral registreeruge.
Registreerige või uuendage VERBIS-et. Kasutage e-Devletiga integreeritud VERBIS-e portaali, et lõpule viia või uuendada oma andmetöötleja registreerimine. [3]
Auditeerige nõusoleku mehhanisme. Veenduge, et veebisaidi nõusoleku bännerid ja andmete kogumise vormid vastavad KVKK spetsiifilistele nõuetele. Kaaluge Biscotti CMP (www.biscotti-cmp.com) kasutuselevõttu struktureeritud ja auditeeritava nõusoleku haldamiseks.
Vaadake üle piiriülese edastamise kokkulepped. Tuvastage kõik kolmandate osapoolte töötlejad ja pilveteenused, mis saavad Türgi isikuandmeid, ja hinnake iga edastuse õiguslikku alust.
Looge rikkumise reageerimise protokoll. Dokumenteerige 72-tunnine teavitamisprotseduur ja määrake sisemine vastutus.
Kaasake kohalik õigusnõustaja. KVKK tõlgendamine areneb pidevalt ja Türgi andmekaitseadvokaat saab pakkuda jurisdiktsioonispetsiifilist juhendamist, mida ükski üldine vastavusraamistik ei saa asendada.

Vastavuse maastik Türgis äri tegemiseks küpseb kiiresti. Organisatsioonid, kes käsitlevad KVKK-d kui linnukese tegemise harjutust, mitte kui pidevat programmi, leiavad end haavatavana, kui jõustamine intensiivistub.