Adostasuna eta bannerak

Turkian negozioak egiten? KVKK eta VERBIS-i buruz jakin beharrekoa

2026(e)ko uztailaren 7(a) · 15 min irakurri

Azken eguneratzea: 2026ko uztailaren 7a

Erantzun azkarra: Turkiako datu-babesaren lege nagusia, KVKK (6698 zk. Legea), Turkian pertsonen datu pertsonalak prozesatzen dituen edozein erakunderi aplikatzen zaio, nazionala zein atzerrikoa izan. VERBIS KVKKren arabera derrigorrezko datu-kontrolatzaileen erregistroa da. Erakunde ertain eta handi gehienek VERBIS-en erregistratu behar dute, edo administrazio-isunak jaso. 2026tik aurrera, erregistro-prozesua Turkiako e-Devlet plataformaren bidez eskuragarri dago, eta enpresa txikientzako salbuespen-atalaseak argitu dira.

Funtsezko ideiak

KVKK (Kişisel Verilerin Korunması Kanunu) Turkiako datu-babesaren legea da, 2016an ezarri zena eta neurri batean GDPR printzipioetan oinarritua, baina tokiko eskakizun bereziekin.
VERBIS lineako erregistroa da, non datu-kontrolatzaileek beren datu-prozesatze jarduerak deklaratu behar dituzten prozesatzea hasi aurretik.
Turkiako biztanleen datuak prozesatzen dituzten atzerriko enpresek KVKKren menpe daude, enpresaren egoitza non dagoen kontuan hartu gabe.
2026ko urtarrilaren 12tik aurrera, 10 langile baino gutxiago eta 10 milioi TL baino gutxiagoko urteko balantzea duten eskala txikiko datu-kontrolatzaileak VERBIS erregistrotik salbuetsita daude, baldin eta beren jarduera nagusiak kategoria bereziko datuak baditu. [4]
VERBIS erregistroaren epea 2026ko ekainaren 5era arte luzatu zen 2025eko finantza-egoeren arabera sailkatzen diren erakundeentzat. [1]
2026ko uztailaren 1etik aurrera, VERBIS zerbitzuak Turkiako e-Devlet (e-Gobernu) plataforman guztiz integratuta daude. [3]
KVKKren 18. artikuluaren araberako ez-betetze zigorrek administrazio-isun handiak ekar ditzakete, eta KVKK agintaritzak aktiboki betearazten ditu.
KVKKren araberako baimenak libreki eman behar da, zehatza, informatua eta anbiguotasunik gabea izan behar du; Baimen Kudeaketa Plataforma (CMP) tresna praktikoa da web-oinarritutako betetzerako.

Zer da KVKK? Turkiako Datu Babesaren Legea Azaldua

KVKK (Kişisel Verilerin Korunması Kanunu, 6698 zk. Legea) Turkiako datu pertsonalen babesaren estatutu integrala da, 2016ko apirilaren 7an ezarria. Datu-kontrolatzaileek eta prozesatzaileek Turkian datu pertsonalak nola biltzen, gordetzen, prozesatzen, transferitzen eta ezabatzen dituzten arautzen du.

Legeak Datu Pertsonalen Babeserako Agintaritza (Kişisel Verileri Koruma Kurumu, KVKK ere laburtua) ezarri zuen, betearazpenaz, orientazioaz eta VERBIS erregistroaz arduratzen den gainbegiratze-organo independentea.

KVKKren oinarrizko printzipioak honako hauek dira:

Legezkotasuna, zuzentasuna eta gardentasuna
Helburu-mugaketa (datuak zehaztutako helburu esplizituetarako soilik bilduak)
Datuen minimizazioa
Zehaztasuna eta datuak eguneratuta mantentzea
Biltegiratze-mugaketa (datuak beharrezkoa baino denbora gehiagoz ez gordetzea)
Osotasuna eta konfidentzialtasuna

Datu pertsonalak prozesatzeko helburuak eta bideak zehazten dituen edozein entitate "datu-kontrolatzaile" gisa sailkatzen da KVKKren arabera eta betetze-betebehar nagusiak ditu.

KVKK vs. GDPR: Funtsezko desberdintasunak eta betetze-gainjartzea

KVKKk EBko GDPRrekin egiturazko DNA partekatzen du, baina bi esparruak hainbat modu operatibo esanguratsutan desberdintzen dira. Dagoeneko GDPRrekin bat datozen erakundeek ez lukete suposatu behar KVKKrekin bat etortzea automatikoa denik.

Dimentsioa	KVKK (Turkia)	GDPR (EB)
Ezarria	2016	2018 (betearazpena)
Gainbegiratze-organoa	KVKK Agintaritza	DPA nazionalak estatu kide bakoitzeko
Datu-erregistroa	VERBIS (derrigorrezkoa gehienentzat)	Ez dago derrigorrezko erregistro baliokiderik
Datuen nazioarteko transferentziak	Baimen esplizitua edo egokitasuna eskatzen du	Egokitasun-erabakiak edo SCCak
DPO eskakizuna	Ez dago DPO mandatu formalik	Derrigorrezkoa kasu batzuetan
Urraketa-jakinarazpena	72 ordu agintaritzari	72 ordu agintaritzari

Funtsezko desberdintasuna: KVKKk datu-kontrolatzaileei VERBIS-en erregistratzea eta beren prozesatze-jarduerak proaktiboki deklaratzea eskatzen die. GDPRk ez du erregistro publikoaren betebehar baliokiderik. Gainera, KVKKren mugaz gaindiko datu-transferentziaren arauak murriztaileagoak dira praktikan, datu-subjektuaren baimen esplizitua edo egokitasun-erabaki formala eskatzen baitute, eta Turkiari ez zaio EBko egokitasun-egoera eman.

"GDPR betetzea oinarri erabilgarria da, baina Turkian negozioak egiteak KVKK betetze-geruza bereizi bat eskatzen du, batez ere VERBIS erregistroaren eta mugaz gaindiko transferentziaren arauen inguruan."

Zer da VERBIS eta nola funtzionatzen du?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) KVKK Agintaritzak mantentzen duen lineako erregistroa da, non datu-kontrolatzaileek beren datu pertsonalen prozesatze-jarduerak erregistratu eta deklaratu behar dituzten prozesatzea hasi aurretik. Pentsa ezazu datuak nork prozesatzen dituen, zein helbururekin eta zein atxikipen-politikaren arabera, publikoari zuzendutako inbentario gisa.

Nola funtzionatzen du VERBIS-ek praktikan:

Datu-kontrolatzaileak kontu bat sortzen du VERBIS atarian (2026ko uztailaren 1etik aurrera Turkiako e-Devlet plataformaren bidez eskuragarri). [3]
Kontrolatzaileak prozesatutako datu pertsonalen kategoria bakoitza, prozesatzearen helburua, oinarri juridikoa, datu-kategoriak, hartzaile-taldeak eta atxikipen-aldiak deklaratzen ditu.
Deklarazioak bidaltzen dira eta erregistro publikoaren parte bihurtzen dira.
Prozesatze-jardueretan egindako edozein aldaketa VERBIS-en eguneratu behar da berehala.
Erregistratu edo eguneratu ezean, KVKKren 18. artikuluaren araberako zigorrak ezartzen dira. [5]

2026ko uztailaren 1ean, KVKK Agintaritzak "Sorularla VERBİS" orientazio-dokumentuaren eta VERBİS Kılavuzu (erabiltzaile-gida) ofizialaren bertsio eguneratuak ere argitaratu zituen, datu-kontrolatzaileei erregistro-betebeharrak kudeatzen laguntzeko. [2]

Atzerriko enpresek KVKK betetzea behar al dute?

Bai. KVKK Turkian kokatutako pertsonen datu pertsonalak prozesatzen dituen edozein datu-kontrolatzaileri aplikatzen zaio, kontrolatzailea non dagoen edo non dagoen kontuan hartu gabe. Turkiako bezeroak dituen Alemaniako SaaS enpresa batek, Turkiara bidaltzen duen AEBetako e-commerce plataforma batek, edo Turkiako kontsumitzaileei zuzendutako kanpainak egiten dituen Erresuma Batuko marketin agentzia batek, guztiak KVKKren esparruan sartzen dira.

Atzerriko enpresentzako inplikazio praktikoak:

Turkian tokiko ordezkari bat izendatu behar dute presentzia fisikorik ez badute (nahiz eta puntu honetan legearen ezarpena eboluzionatzen jarraitzen duen, kontsultatu tokiko aholkulari juridikoari).
VERBIS erregistro-eskakizunak bete behar dituzte, salbuespen zehatz bat aplikatzen ez bada.
Turkiatik kanpoko mugaz gaindiko datu-transferentziek datu-subjektuaren baimen esplizitua edo egokitasun-mekanismo formal bat eskatzen dute, eta horietako bat ere ez da erraza EBtik kanpoko helmuga gehienentzat.

Akats arrunta: Atzerriko enpresek GDPR betetzea edo pribatutasun-politika generiko bat beren Turkiako erabiltzaile-basea estaltzen duela suposatzea. KVKKk jurisdikzio-espezifikoak diren dibulgazioak, baimen-mekanismoak eta erregistro-deklarazioak eskatzen ditu.

VERBIS erregistro-eskakizunak: Nork erregistratu behar du eta nola

Enpresa txikien salbuespen-atalasearen gainetik dauden datu-kontrolatzaile gehienek VERBIS-en erregistratu behar dute. Betebeharra sektore pribatuko entitateei eta erakunde publikoei aplikatzen zaie. [6]

Erregistroa beharrezkoa da datu-kontrolatzaileak honako hau badu:

50 langile edo gehiago (lanaldi osoko baliokidea), EDO
Urteko finantza-balantze osoa 25 milioi TL baino gehiagokoa, EDO
Datu pertsonalen kategoria bereziak prozesatzen ditu (osasuna, biometrikoak, aurrekari penalak, etab.) tamaina kontuan hartu gabe, eskala txikiko salbuespena aplikatzen ez bada (ikus behean).

Startup eta hazten ari diren enpresentzat: Atalasea urteko langile-kopuruan eta balantze-zifretan oinarritzen da. Urte jakin batean 50 langileko muga edo balantze-atalasea gainditzen duen startup batek erregistratzeko betebeharra izango du. Erregistroa atalase berriaren arabera prozesatzea hasi aurretik osatu behar da, ez atzeraeraginez urte amaieran.

VERBIS erregistro-prozesua urratsez urrats:

Sartu VERBIS atarian e-Devlet (e-Gobernu ataria) bidez KEP (posta elektroniko erregistratua) helbide bat edo baimendutako sinatzailearen kredentzialak erabiliz. [3]
Osatu datu-kontrolatzailearen profila (enpresaren izena, forma juridikoa, harremanetarako datuak, ordezkari baimendua).
Sortu "prozesatze-jarduera" sarrera bat prozesatutako datu pertsonalen kategoria bereizi bakoitzeko.
Jarduera bakoitzerako, deklaratu: datu-kategoria, helburua, oinarri juridikoa, datu-subjektuaren taldea, hartzaileak eta atxikipen-aldia.
Bidali eta jaso VERBIS erregistro-zenbaki bat.
Eguneratu erregistroa prozesatze-jarduerak materialki aldatzen direnean.

KVKK salbuespenak: Enpresa txikiak eta estaltzen ez diren datuak

Erakunde guztiek ez dute VERBIS-en erregistratu behar. 2026ko urtarrilaren 12an, KVKK Agintaritzak eskala txikiko datu-kontrolatzaileentzako salbuespen-irizpideak argitu zituen. [4]

Salbuespena hiru baldintza guztiak betetzen direnean aplikatzen da:

10 langile baino gutxiago
Urteko balantze osoa 10 milioi TL baino gutxiago
Jarduera nagusiak datu pertsonalen kategoria bereziak prozesatzea dakar (salbuespena osasun-zerbitzu txikientzat, kliniketarako eta antzeko entitateentzat diseinatu zen bereziki)

CMS Law-ek argitaratutako analisi juridikoak adierazten du salbuespen hau hasieran dirudiena baino estuagoa dela, ez dela enpresa txikientzako salbuespen orokor bat, baizik eta bereziki datu sentikorren kategoriak dituzten negozio nagusiak dituzten entitateei zuzendua. [7] Erdem & Erdem-ek salbuespen berri hauen aplikazio-printzipioak argitu zituen. [8]

KVKKk estaltzen ez dituen datu-kategoriak:

Anonimizatutako datuak (berriro identifikazioa ezinezkoa denean)
Helburu pertsonal edo etxekoetarako soilik prozesatutako datuak (jarduera komertzialik gabe)
Agintaritza judizialek prozedura penaletarako prozesatutako datuak (lege berezi batek arautua)

Kasu berezia: Pseudonimizatutako datuak oraindik datu pertsonal gisa hartzen dira KVKKren arabera, kontrolatzaileak pertsonak berriro identifikatzeko bitartekoak mantentzen baditu. Ez tratatu pseudonimizazioa anonimizazioaren baliokide gisa betetze-helburuetarako.

KVKKren baimen-eskakizunak bezeroen datuetarako

KVKKren arabera, baliozko baimenak libreki eman behar da, zehatza, informatua eta anbiguotasunik gabea izan behar du. Baimena ezin da zerbitzu-baldintzen onarpenarekin batera bildu, eta aurrez markatutako laukiek ez dute baliozko baimenik osatzen.

Baimenak honako hau izan behar du:

Libreki emana: Zerbitzu-sarbidaren behartze edo baldintzarik gabe
Zehatza: Helburu zehatz bati lotua, ez baimen orokor bat
Informatua: Datu-subjektuak jakin behar du nork biltzen dituen datuak eta zergatik
Anbiguotasunik gabea: Ekintza positibo bat eskatzen du (klik, sinadura, kontrol-laukia)

Webgune eta plataforma digitaletarako, Baimen Kudeaketa Plataforma bat ezartzea da ikuspegi praktikoena. Biscotti CMP webguneen jabeek eta enpresek baimen-bilketa KVKK eta beste datu-babes esparru batzuekin bat etorriz kudeatzen laguntzeko diseinatuta dago, auditoria-arrastoak eta baimen-erregistro zehatzak eskainiz.

Baimen esplizitua gainera beharrezkoa da datu pertsonalen kategoria berezietarako (osasuna, biometrikoak, genetikoak, aurrekari penalak, etab.) eta mugaz gaindiko datu-transferentziak egokitasun-mekanismorik ez dagoenean.

KVKKren zigorrak eta isunak ez-betetzeagatik

KVKKren betearazpena ez da teorikoa. KVKK Agintaritzak isunak ezarri dizkie bai entitate nazional zein atzerritarrei. Zigorrak legearen 18. artikuluak arautzen ditu.

18. artikuluaren araberako administrazio-isun kategoriak:

Dibulgazio-betebeharrak ez betetzea: 9.027 TLtik 180.536 TLra (2024ko gutxi gorabeherako tartea; zenbatekoak urtero eguneratzen dira inflazioaren arabera)
Datuen segurtasuna ez bermatzea: 45.135 TLtik 9.027.000 TLra
KVKK Agintaritzaren erabakiak ez betetzea: 45.135 TLtik 9.027.000 TLra
VERBIS-en ez erregistratzea edo VERBIS ez eguneratzea: 39.337 TLtik 1.966.862 TLra

Oharra: Isun-kopuruak urtero indexatzen dira eta goiko zifrek 2024ko argitaratutako tarteak islatzen dituzte. Egiaztatu egungo zifrak KVKK Agintaritzarekin edo Turkiako aholkulari juridikoarekin 2026ko betearazpen-ekintzetarako.

Zigor-erantzukizuna zenbait urraketengatik (legez kanpoko prozesatzea, datuak ez ezabatzea) espetxe-zigorrak ekar ditzake Turkiako Zigor Kodearen arabera, GDPRren betearazpen-tresnetan falta den dimentsio bat.

KVKKren datu-urraketen jakinarazpen-arauak

KVKKren arabera, datu-kontrolatzaileek KVKK Agintaritzari jakinarazi behar diote datu pertsonalen urraketa baten berri izan eta 72 orduren buruan. Urraketak datu-subjektuei kalte egin diezaiekeen, pertsona horiei ere berehala jakinarazi behar zaie.

Urraketa-jakinarazpenaren kontrol-zerrenda:

Identifikatu eta mugatu urraketa
Ebaluatu datu-subjektuengan izan dezakeen irismena eta eragina
Jakinarazi KVKK Agintaritzari 72 orduren buruan jakinarazpen-formulario ofizialaren bidez
Dokumentatu urraketa barnean (zer gertatu den, zein datu kaltetu diren, konponbide-urratsak)
Jakinarazi kaltetutako datu-subjektuei kalte-arrisku handia badago

Beharrezko epean ez jakinaraztea bera 18. artikuluaren araberako zigor-urraketa bat da.

Enpresek egiten dituzten KVKK betetze-akats arruntak

1. VERBIS behin-behineko zeregin gisa tratatzea. VERBIS sarrerak eguneratu behar dira prozesatze-jarduerak aldatzen direnean. CRM berri bat eskuratzeak, datu-kategoria desberdinak dituen marketin-kanpaina berri bat abiarazteak edo datu-prozesatzaile berri bat sartzeak VERBIS eguneratzeak eska ditzake.

2. Turkiako erabiltzaileentzako GDPR baimenean oinarritzea. KVKKren baimen-eskakizunek tokiko ñabardurak dituzte. GDPRrako optimizatutako baimen-banderak agian ez ditu KVKKren arabera beharrezkoak diren dibulgazio zehatzak jasoko.

3. Mugaz gaindiko transferentzia-arauak ez ikusi egitea. Turkiako bezeroen datuak AEBetako analisi-plataforma edo hodei-hornitzaile batera bidaltzea, baliozko transferentzia-mekanismorik gabe, urraketa arrunt eta maiz zigortua da.

4. Enpresa txikien salbuespena egiaztatu gabe suposatzea. 2026ko urtarrileko argipenak argi utzi zuen salbuespena hiru irizpideak aldi berean betetzen direnean baldintzatua dela. [4]

5. Datuen atxikipen-politikarik ez izatea. KVKKk datuak ezabatu, suntsitu edo anonimizatu behar direla eskatzen du, prozesatzearen helburua jada existitzen ez denean. Enpresa askok datuak mugagabean biltzen dituzte dokumentatutako atxikipen-egutegirik gabe.

Ohiko galderak

G: KVKK derrigorrezkoa al da Turkian jarduten duten enpresa guztientzat? Bai, Turkian pertsonen datu pertsonalak prozesatzen dituen edozein entitate KVKKren menpe dago, enpresaren tamaina edo nazionalitatea kontuan hartu gabe. VERBIS erregistroa derrigorrezkoa da enpresa txikien salbuespen-atalasearen gainetik dauden entitate gehienentzat.

G: Zein da VERBIS erregistroaren epea 2026an? KVKK Agintaritzak VERBIS erregistroaren epea 2026ko ekainaren 5era arte luzatu zuen 2025eko finantza-egoeren arabera sailkatzen diren erakundeentzat. [1] Aurreko atalaseak bete zituzten erakundeek dagoeneko erregistratuta egon beharko lukete.

G: Atzerriko enpresa bati isuna jarri al diezaiokete KVKKren arabera? Bai. KVKK Agintaritzak jurisdikzioa du Turkiako biztanleen datuak prozesatzen dituen edozein datu-kontrolatzaileengan, atzerriko enpresak barne. Atzerriko entitateen aurkako betearazpena eboluzionatzen ari den arloa da, baina legezko esposizioa erreala da.

G: Ba al dago VERBISen alternatibarik datu-prozesatze jarduerak deklaratzeko? Ez. VERBIS KVKKren arabera derrigorrezko erregistro bakarra da. Ez dago datu-kontrolatzailearen erregistro-betebeharra betetzeko mekanismo alternatiborik.

G: Zenbat denbora behar da VERBIS erregistratzeko? 2026ko uztailaren 1etik aurrera e-Devlet integrazioarekin, prozesu teknikoa ordu gutxitan osatu daiteke kasu errazetan. [3] Hala ere, prestaketa-lanak, datu-prozesatze jarduera guztiak mapatzea, oinarri juridikoak identifikatzea eta atxikipen-aldiak dokumentatzea, normalean aste batzuk behar izaten ditu erakunde ertainentzat.

G: KVKKk Datu Babeseko Ofizial bat (DPO) eskatzen al du? KVKKk ez du DPO rol formal bat agintzen GDPRren eskakizunaren baliokide gisa. Hala ere, KVKK Agintaritzak gomendatzen du datu-kontrolatzaileek barnean pertsona arduratsu bat izendatzea betetzea kudeatzeko.

G: Zer da datu pertsonalen kategoria berezia KVKKren arabera? Kategoria bereziak honako hauek dira: arraza, jatorri etnikoa, iritzi politikoa, sinesmen filosofikoa, erlijioa, sekta, osasun-datuak, sexu-bizitza, aurrekari penalak, datu biometrikoak eta datu genetikoak. Kategoria horiek prozesatzeko baimen esplizitua edo oinarri juridiko zehatz bat behar da.

G: Nola kudeatzen du KVKKk cookie-baimena webguneetan? Datu pertsonalak biltzen dituzten cookieek (analisiak, publizitate-identifikatzaileak) baliozko baimena behar dute KVKKren arabera. Biscotti CMP bezalako CMP bateragarri batek webguneen jabeei cookie-baimena KVKKren betebeharrekin bat etorriz biltzen, gordetzen eta kudeatzen lagun diezaieke.

G: Erakunde publikoek VERBIS-en erregistratu behar al dute? Bai. Erakunde eta instituzio publikoek VERBIS-en erregistratu behar dute. Entitate publikoentzako erregistro-epea 2019ko apirilaren 1ean hasi zen, eta 2020ko ekainaren 30ean amaitu zen. [6]

G: Zer gertatzen da enpresa batek bere prozesatze-jarduerak eguneratzen baditu baina VERBIS ez badu eguneratzen? VERBIS ez eguneratzea egungo prozesatze-jarduerak islatzeko betetze-urraketa gisa tratatzen da eta KVKKren 18. artikuluaren araberako administrazio-isunak ekar ditzake. [5]

Ondorioa: KVKK eta VERBIS betetzeko hurrengo urrats praktikoak

Turkian negozioak egiteak datu-babeserako ikuspegi egituratu eta jurisdikzio-espezifiko bat eskatzen du. KVKK aktiboki betearazten da, VERBIS erregistroa ez da aukerakoa erakunde gehienentzat, eta 2026ko urtarrileko salbuespen-argipenek enpresa txikientzako salbuespenak murriztu dituzte, ez zabaldu. [4]

Turkian jarduten duten erakundeentzako berehalako ekintzak:

Datuen mapaketa-ariketa bat egin. Identifikatu prozesatutako datu pertsonalen kategoria bakoitza, bere helburua, oinarri juridikoa eta hartzailea.
Zehaztu VERBIS betebeharra. Aplikatu langile-kopuruaren eta balantze-atalaseak erregistroa beharrezkoa den ala ez baieztatzeko. Zalantzarik izanez gero, erregistratu.
Erregistratu edo eguneratu VERBIS. Erabili e-Devlet-en integratutako VERBIS ataria zure datu-kontrolatzailearen erregistroa osatzeko edo eguneratzeko. [3]
Auditoria baimen-mekanismoak. Ziurtatu webgunearen baimen-banderak eta datu-bilketa-formularioak KVKKren eskakizun zehatzak betetzen dituztela. Kontuan hartu Biscotti CMP (www.biscotti-cmp.com) inplementatzea baimen-kudeaketa egituratu eta auditoria-gai baterako.
Berrikusi mugaz gaindiko transferentzia-akordioak. Identifikatu Turkiako datu pertsonalak jasotzen dituzten hirugarren prozesatzaile eta hodei-zerbitzu guztiak eta ebaluatu transferentzia bakoitzaren oinarri juridikoa.
Ezarri urraketa-erantzun protokolo bat. Dokumentatu 72 orduko jakinarazpen-prozedura eta esleitu barne-erantzukizuna.
Kontratatu tokiko aholkulari juridiko bat. KVKKren interpretazioa eboluzionatzen jarraitzen du, eta Turkiako datu-babeseko abokatu batek jurisdikzio-espezifikoak diren orientabideak eman ditzake, ezein betetze-esparru orokorrek ezin dituztenak ordezkatu.

Turkian negozioak egiteko betetze-paisaia azkar heldutzen ari da. KVKK kontrol-laukien ariketa gisa tratatzen duten erakundeek, etengabeko programa gisa baino, esposizioa izango dute betearazpena areagotzen den heinean.