Consentement & bannières

Faire des affaires en Turquie ? Ce que vous devez savoir sur le KVKK et VERBIS

7 juillet 2026 · 15 min

Réponse rapide : La principale loi turque sur la protection des données, le KVKK (loi n° 6698), s'applique à toute organisation, nationale ou étrangère, qui traite des données personnelles d'individus en Turquie. VERBIS est le registre obligatoire des responsables du traitement des données en vertu du KVKK. La plupart des organisations de taille moyenne à grande doivent s'enregistrer auprès de VERBIS sous peine d'amendes administratives. À partir de 2026, le processus d'enregistrement est accessible via la plateforme turque e-Devlet, et les seuils d'exemption pour les petites entreprises ont été clarifiés.

Points clés à retenir

Le KVKK (Kişisel Verilerin Korunması Kanunu) est la loi turque sur la protection des données, promulguée en 2016 et modelée en partie sur les principes du GDPR, mais avec des exigences locales distinctes.
VERBIS est le registre en ligne où les responsables du traitement des données doivent déclarer leurs activités de traitement des données avant que le traitement ne commence.
Les entreprises étrangères traitant des données de résidents turcs sont soumises au KVKK, quel que soit le lieu d'établissement de l'entreprise.
Au 12 janvier 2026, les responsables du traitement des données à petite échelle ayant moins de 10 employés et un bilan annuel inférieur à 10 millions de TL sont exemptés de l'enregistrement VERBIS si leur activité principale implique des données de catégorie spéciale. [4]
La date limite d'enregistrement VERBIS a été prolongée jusqu'au 5 juin 2026 pour les organisations se qualifiant sur la base des états financiers de 2025. [1]
Au 1er juillet 2026, les services VERBIS sont entièrement intégrés à la plateforme turque e-Devlet (e-Gouvernement). [3]
Les sanctions en cas de non-conformité en vertu de l'article 18 du KVKK peuvent atteindre des amendes administratives importantes, et l'autorité KVKK les applique activement.
Le consentement en vertu du KVKK doit être donné librement, spécifique, éclairé et univoque ; une plateforme de gestion du consentement (CMP) est un outil pratique pour la conformité basée sur le web.

Qu'est-ce que le KVKK ? Explication de la loi turque sur la protection des données

Le KVKK (Kişisel Verilerin Korunması Kanunu, loi n° 6698) est la loi turque complète sur la protection des données personnelles, promulguée le 7 avril 2016. Elle régit la manière dont les données personnelles sont collectées, stockées, traitées, transférées et supprimées par les responsables du traitement et les sous-traitants opérant en Turquie.

La loi a créé l'Autorité de protection des données personnelles (Kişisel Verileri Koruma Kurumu, également abrégée KVKK), l'organisme de surveillance indépendant responsable de l'application, de l'orientation et du registre VERBIS.

Les principes fondamentaux du KVKK comprennent :

Licéité, loyauté et transparence
Limitation de la finalité (données collectées uniquement à des fins spécifiées et explicites)
Minimisation des données
Exactitude et mise à jour des données
Limitation de la conservation (données conservées aussi longtemps que nécessaire)
Intégrité et confidentialité

Toute entité qui détermine les finalités et les moyens du traitement des données personnelles est qualifiée de "responsable du traitement des données" en vertu du KVKK et assume les principales obligations de conformité.

KVKK vs. GDPR : Principales différences et chevauchement de la conformité

Le KVKK partage un ADN structurel avec le GDPR de l'UE, mais les deux cadres divergent de plusieurs manières significatives sur le plan opérationnel. Les organisations déjà conformes au GDPR ne doivent pas supposer une conformité automatique au KVKK.

Dimension	KVKK (Turquie)	GDPR (UE)
Promulgué	2016	2018 (application)
Organisme de surveillance	Autorité KVKK	APD nationales par État membre
Registre des données	VERBIS (obligatoire pour la plupart)	Pas de registre obligatoire équivalent
Transferts de données à l'étranger	Nécessite un consentement explicite ou une adéquation	Décisions d'adéquation ou CCT
Exigence de DPO	Pas de mandat formel de DPO	Obligatoire dans certains cas
Notification de violation	72 heures à l'autorité	72 heures à l'autorité

Divergence clé : Le KVKK exige que les responsables du traitement des données s'enregistrent auprès de VERBIS et déclarent leurs activités de traitement de manière proactive. Le GDPR n'a pas d'obligation de registre public équivalente. De plus, les règles du KVKK concernant les transferts de données transfrontaliers sont plus restrictives en pratique, exigeant soit le consentement explicite de la personne concernée, soit une décision d'adéquation formelle, et la Turquie n'a pas obtenu le statut d'adéquation de l'UE.

"La conformité au GDPR est une base utile, mais faire des affaires en Turquie nécessite une couche de conformité KVKK distincte, en particulier en ce qui concerne l'enregistrement VERBIS et les règles de transfert transfrontalier."

Qu'est-ce que VERBIS et comment fonctionne-t-il ?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) est le registre en ligne tenu par l'Autorité KVKK où les responsables du traitement des données doivent s'enregistrer et déclarer leurs activités de traitement des données personnelles avant que le traitement ne commence. Considérez-le comme un inventaire public de qui traite quelles données, dans quel but et selon quelle politique de conservation.

Comment VERBIS fonctionne en pratique :

Le responsable du traitement des données crée un compte sur le portail VERBIS (désormais accessible via la plateforme turque e-Devlet à partir du 1er juillet 2026). [3]
Le responsable déclare chaque catégorie de données personnelles traitées, la finalité du traitement, la base juridique, les catégories de données, les groupes de destinataires et les périodes de conservation.
Les déclarations sont soumises et deviennent une partie du registre public.
Toute modification des activités de traitement doit être mise à jour dans VERBIS rapidement.
Le non-enregistrement ou la non-mise à jour entraîne des sanctions en vertu de l'article 18 du KVKK. [5]

Le 1er juillet 2026, l'Autorité KVKK a également publié des versions mises à jour du document d'orientation "Sorularla VERBİS" et du VERBİS Kılavuzu (guide de l'utilisateur) officiel pour aider les responsables du traitement des données à naviguer dans les obligations d'enregistrement. [2]

Les entreprises étrangères ont-elles besoin de la conformité KVKK ?

Oui. Le KVKK s'applique à tout responsable du traitement des données qui traite des données personnelles d'individus situés en Turquie, quel que soit le lieu d'incorporation ou d'établissement du responsable. Une entreprise SaaS allemande avec des clients turcs, une plateforme de commerce électronique américaine expédiant en Turquie, ou une agence de marketing britannique menant des campagnes ciblant les consommateurs turcs, tous relèvent du champ d'application du KVKK.

Implications pratiques pour les entreprises étrangères :

Doivent désigner un représentant local en Turquie s'ils n'ont pas de présence physique (bien que l'application de la loi sur ce point continue d'évoluer, consultez un conseiller juridique local).
Doivent se conformer aux exigences d'enregistrement VERBIS, sauf si une exemption spécifique s'applique.
Les transferts de données transfrontaliers hors de Turquie nécessitent soit le consentement explicite de la personne concernée, soit un mécanisme d'adéquation formel, aucun des deux n'étant simple pour la plupart des destinations non-UE.

Erreur courante : Les entreprises étrangères supposent que la conformité au GDPR ou une politique de confidentialité générique couvre leur base d'utilisateurs turcs. Le KVKK exige des divulgations spécifiques à la juridiction, des mécanismes de consentement et des déclarations de registre.

Exigences d'enregistrement VERBIS : Qui doit s'enregistrer et comment

La plupart des responsables du traitement des données dépassant le seuil d'exemption des petites entreprises sont tenus de s'enregistrer auprès de VERBIS. L'obligation s'applique aux entités du secteur privé et aux institutions publiques. [6]

L'enregistrement est requis si le responsable du traitement des données :

A 50 employés ou plus (équivalent temps plein), OU
A un total de bilan annuel dépassant 25 millions de TL, OU
Traite des catégories spéciales de données personnelles (santé, biométriques, casiers judiciaires, etc.) quelle que soit sa taille, sauf si l'exemption pour les petites entreprises s'applique (voir ci-dessous).

Pour les startups et les entreprises en croissance : Le seuil est basé sur le nombre annuel d'employés et les chiffres du bilan. Une startup qui dépasse le seuil de 50 employés ou le seuil de bilan au cours d'une année donnée devient obligée de s'enregistrer. L'enregistrement doit être effectué avant que le traitement ne commence sous le nouveau seuil, et non rétroactivement à la fin de l'année.

Processus d'enregistrement VERBIS étape par étape :

Connectez-vous au portail VERBIS via e-Devlet (portail e-Gouvernement) en utilisant une adresse KEP (courrier électronique enregistré) ou les identifiants du signataire autorisé. [3]
Remplissez le profil du responsable du traitement des données (nom de l'entreprise, forme juridique, coordonnées, représentant autorisé).
Créez une entrée "activité de traitement" pour chaque catégorie distincte de données personnelles traitées.
Pour chaque activité, déclarez : la catégorie de données, la finalité, la base juridique, le groupe de personnes concernées, les destinataires et la période de conservation.
Soumettez et recevez un numéro d'enregistrement VERBIS.
Mettez à jour le registre chaque fois que les activités de traitement changent matériellement.

Exemptions KVKK : Petites entreprises et données non couvertes

Toutes les organisations ne doivent pas s'enregistrer auprès de VERBIS. Le 12 janvier 2026, l'Autorité KVKK a clarifié les critères d'exemption pour les responsables du traitement des données à petite échelle. [4]

L'exemption s'applique lorsque les TROIS conditions sont remplies :

Moins de 10 employés
Total du bilan annuel inférieur à 10 millions de TL
L'activité principale implique le traitement de catégories spéciales de données personnelles (l'exemption a été spécifiquement conçue pour les petits prestataires de soins de santé, les cliniques et les entités similaires)

L'analyse juridique publiée par CMS Law note que cette exemption est plus étroite qu'il n'y paraît initialement, ce n'est pas une exemption générale pour les petites entreprises, mais elle cible spécifiquement les entités dont l'activité principale implique des catégories de données sensibles. [7] Erdem & Erdem a en outre clarifié les principes d'application de ces nouvelles exemptions. [8]

Catégories de données non couvertes par le KVKK :

Données anonymisées (lorsque la réidentification est impossible)
Données traitées uniquement à des fins personnelles ou domestiques (pas d'activité commerciale)
Données traitées par les autorités judiciaires pour les procédures pénales (régies par une législation distincte)

Cas limite : Les données pseudonymisées sont toujours considérées comme des données personnelles en vertu du KVKK si le responsable du traitement conserve les moyens de réidentifier les individus. Ne traitez pas la pseudonymisation comme équivalente à l'anonymisation à des fins de conformité.

Exigences de consentement KVKK pour les données clients

En vertu du KVKK, un consentement valide doit être donné librement, être spécifique, éclairé et univoque. Le consentement ne peut pas être lié à l'acceptation des conditions de service, et les cases pré-cochées ne constituent pas un consentement valide.

Le consentement doit être :

Librement donné : Pas de coercition ou de conditionnement de l'accès au service au consentement
Spécifique : Lié à une finalité définie, pas une autorisation générale
Éclairé : La personne concernée doit savoir qui collecte les données et pourquoi
Univoque : Nécessite une action affirmative (clic, signature, case à cocher)

Pour les sites web et les plateformes numériques, la mise en œuvre d'une plateforme de gestion du consentement conforme est l'approche la plus pratique. Biscotti CMP est conçu pour aider les propriétaires de sites web et les entreprises à gérer la collecte du consentement d'une manière conforme au KVKK et à d'autres cadres de protection des données, en fournissant des pistes d'audit et des enregistrements de consentement granulaires.

Un consentement explicite est en outre requis pour les catégories spéciales de données personnelles (santé, biométriques, génétiques, casiers judiciaires, etc.) et pour les transferts de données transfrontaliers lorsqu'aucun mécanisme d'adéquation n'existe.

Sanctions et amendes KVKK en cas de non-conformité

L'application du KVKK n'est pas théorique. L'Autorité KVKK a infligé des amendes à des entités nationales et étrangères. Les sanctions sont régies par l'article 18 de la loi.

Catégories d'amendes administratives en vertu de l'article 18 :

Manquement aux obligations de divulgation : 9 027 TL à 180 536 TL (fourchette approximative pour 2024 ; les montants sont mis à jour annuellement pour l'inflation)
Manquement à l'obligation d'assurer la sécurité des données : 45 135 TL à 9 027 000 TL
Manquement à l'obligation de se conformer aux décisions de l'Autorité KVKK : 45 135 TL à 9 027 000 TL
Manquement à l'obligation de s'enregistrer auprès de VERBIS ou de mettre à jour VERBIS : 39 337 TL à 1 966 862 TL

Remarque : Les montants des amendes sont indexés annuellement et les chiffres ci-dessus reflètent les fourchettes publiées pour 2024. Vérifiez les chiffres actuels auprès de l'Autorité KVKK ou d'un conseiller juridique turc pour les actions d'application de 2026.

La responsabilité pénale pour certaines violations (traitement illégal, non-suppression de données) peut entraîner une peine d'emprisonnement en vertu du Code pénal turc, une dimension absente de l'arsenal d'application du GDPR.

Règles de notification de violation de données KVKK

En vertu du KVKK, les responsables du traitement des données doivent notifier l'Autorité KVKK dans les 72 heures suivant la prise de connaissance d'une violation de données personnelles. Si la violation est susceptible d'affecter négativement les personnes concernées, ces personnes doivent également être notifiées rapidement.

Liste de contrôle de notification de violation :

Identifier et contenir la violation
Évaluer l'étendue et l'impact probable sur les personnes concernées
Notifier l'Autorité KVKK dans les 72 heures via le formulaire de notification officiel
Documenter la violation en interne (ce qui s'est passé, quelles données ont été affectées, mesures correctives)
Notifier les personnes concernées s'il existe un risque élevé de préjudice

Le non-respect du délai de notification est en soi une violation passible de sanctions en vertu de l'article 18.

Erreurs courantes de conformité KVKK commises par les entreprises

1. Traiter VERBIS comme une tâche ponctuelle. Les entrées VERBIS doivent être mises à jour chaque fois que les activités de traitement changent. L'acquisition d'un nouveau CRM, le lancement d'une nouvelle campagne marketing avec différentes catégories de données, ou l'intégration d'un nouveau sous-traitant de données nécessitent tous potentiellement des mises à jour VERBIS.

2. Se fier au consentement GDPR pour les utilisateurs turcs. Les exigences de consentement KVKK ont des nuances locales. Une bannière de consentement optimisée pour le GDPR peut ne pas couvrir les divulgations spécifiques requises par le KVKK.

3. Ignorer les règles de transfert transfrontalier. L'envoi de données clients turques à une plateforme d'analyse ou à un fournisseur de cloud basé aux États-Unis sans mécanisme de transfert valide est une violation courante et fréquemment sanctionnée.

4. Supposer l'exemption pour les petites entreprises sans vérification. La clarification de janvier 2026 a clairement indiqué que l'exemption est conditionnelle à la satisfaction simultanée des trois critères. [4]

5. Absence de politique de conservation des données. Le KVKK exige que les données soient supprimées, détruites ou anonymisées lorsque la finalité du traitement n'existe plus. De nombreuses entreprises collectent des données indéfiniment sans calendrier de conservation documenté.

FAQ

Q : Le KVKK est-il obligatoire pour toutes les entreprises opérant en Turquie ? Oui, toute entité qui traite des données personnelles d'individus en Turquie est soumise au KVKK, quelle que soit la taille ou la nationalité de l'entreprise. L'enregistrement VERBIS est obligatoire pour la plupart des entités dépassant le seuil d'exemption des petites entreprises.

Q : Quelle est la date limite d'enregistrement VERBIS en 2026 ? L'Autorité KVKK a prolongé la date limite d'enregistrement VERBIS jusqu'au 5 juin 2026 pour les organisations se qualifiant sur la base de leurs états financiers de 2025. [1] Les organisations qui ont déjà atteint les seuils précédents devraient déjà être enregistrées.

Q : Une entreprise étrangère peut-elle être sanctionnée en vertu du KVKK ? Oui. L'Autorité KVKK a compétence sur tout responsable du traitement des données des résidents turcs, y compris les entreprises étrangères. L'application contre les entités étrangères est un domaine en évolution, mais l'exposition juridique est réelle.

Q : Existe-t-il une alternative à VERBIS pour déclarer les activités de traitement des données ? Non. VERBIS est le seul registre obligatoire en vertu du KVKK. Il n'existe aucun autre mécanisme pour remplir l'obligation d'enregistrement du responsable du traitement des données.

Q : Combien de temps prend l'enregistrement VERBIS ? Avec l'intégration e-Devlet à partir du 1er juillet 2026, le processus technique peut être achevé en quelques heures pour les cas simples. [3] Cependant, le travail préparatoire, la cartographie de toutes les activités de traitement des données, l'identification des bases juridiques et la documentation des périodes de conservation, prend généralement des semaines pour les organisations de taille moyenne.

Q : Le KVKK exige-t-il un délégué à la protection des données (DPO) ? Le KVKK n'impose pas de rôle formel de DPO équivalent à l'exigence du GDPR. Cependant, l'Autorité KVKK recommande aux responsables du traitement des données de désigner une personne responsable en interne pour gérer la conformité.

Q : Qu'est-ce qui constitue des données personnelles de catégorie spéciale en vertu du KVKK ? Les catégories spéciales comprennent : la race, l'origine ethnique, l'opinion politique, la croyance philosophique, la religion, la secte, les données de santé, la vie sexuelle, les condamnations pénales, les données biométriques et les données génétiques. Le traitement de ces catégories nécessite un consentement explicite ou une base juridique spécifique.

Q : Comment le KVKK gère-t-il le consentement aux cookies sur les sites web ? Les cookies qui collectent des données personnelles (analyses, identifiants publicitaires) nécessitent un consentement valide en vertu du KVKK. Une CMP conforme telle que Biscotti CMP peut aider les propriétaires de sites web à capturer, stocker et gérer le consentement aux cookies conformément aux obligations du KVKK.

Q : Les institutions publiques sont-elles tenues de s'enregistrer auprès de VERBIS ? Oui. Les institutions et organisations publiques sont tenues de s'enregistrer auprès de VERBIS. La période d'enregistrement pour les entités publiques a commencé le 1er avril 2019, avec une date limite de achèvement fixée au 30 juin 2020. [6]

Q : Que se passe-t-il si une entreprise met à jour ses activités de traitement mais ne met pas à jour VERBIS ? Le non-respect de la mise à jour de VERBIS pour refléter les activités de traitement actuelles est considéré comme une violation de la conformité et peut entraîner des amendes administratives en vertu de l'article 18 du KVKK. [5]

Conclusion : Prochaines étapes concrètes pour la conformité KVKK et VERBIS

Faire des affaires en Turquie nécessite une approche structurée et spécifique à la juridiction en matière de protection des données. Le KVKK est activement appliqué, l'enregistrement VERBIS n'est pas facultatif pour la plupart des organisations, et les clarifications d'exemption de janvier 2026 ont restreint, et non étendu, les dérogations pour les petites entreprises. [4]

Actions immédiates pour les organisations opérant en Turquie :

Effectuer un exercice de cartographie des données. Identifier chaque catégorie de données personnelles traitées, sa finalité, sa base juridique et son destinataire.
Déterminer l'obligation VERBIS. Appliquer le nombre d'employés et les seuils de bilan pour confirmer si l'enregistrement est requis. En cas de doute, enregistrez-vous.
Enregistrer ou mettre à jour VERBIS. Utilisez le portail VERBIS intégré à e-Devlet pour compléter ou mettre à jour votre enregistrement de responsable du traitement des données. [3]
Auditer les mécanismes de consentement. Assurez-vous que les bannières de consentement des sites web et les formulaires de collecte de données répondent aux exigences spécifiques du KVKK. Envisagez de déployer Biscotti CMP (www.biscotti-cmp.com) pour une gestion structurée et auditable du consentement.
Examiner les accords de transfert transfrontalier. Identifier tous les sous-traitants tiers et les services cloud recevant des données personnelles turques et évaluer la base juridique de chaque transfert.
Établir un protocole de réponse aux violations. Documenter la procédure de notification de 72 heures et attribuer la responsabilité interne.
Engager un conseiller juridique local. L'interprétation du KVKK continue d'évoluer, et un avocat turc spécialisé dans la protection des données peut fournir des conseils spécifiques à la juridiction qu'aucun cadre de conformité général ne peut remplacer.

Le paysage de la conformité pour faire des affaires en Turquie mûrit rapidement. Les organisations qui traitent le KVKK comme un simple exercice de coche plutôt que comme un programme continu se retrouveront exposées à mesure que l'application s'intensifie.