Consentimento e banners

Facer negocios en Turquía? O que cómpre saber sobre a KVKK e VERBIS

7 de xullo de 2026 · 15 min de lectura

Resposta rápida: A principal lei de protección de datos de Turquía, KVKK (Lei nº 6698), aplícase a calquera organización, nacional ou estranxeira, que procese datos persoais de individuos en Turquía. VERBIS é o rexistro obrigatorio de controladores de datos baixo KVKK. A maioría das organizacións medianas e grandes deben rexistrarse en VERBIS ou enfrontarse a multas administrativas. A partir de 2026, o proceso de rexistro é accesible a través da plataforma e-Devlet de Turquía, e os limiares de exención para pequenas empresas foron aclarados.

Puntos clave

KVKK (Kişisel Verilerin Korunması Kanunu) é a lei de protección de datos de Turquía, promulgada en 2016 e modelada en parte nos principios do GDPR, pero con requisitos locais distintos.
VERBIS é o rexistro en liña onde os controladores de datos deben declarar as súas actividades de procesamento de datos antes de que comece o procesamento.
As empresas estranxeiras que procesan datos de residentes turcos están suxeitas a KVKK, independentemente de onde estea a empresa.
A partir do 12 de xaneiro de 2026, os controladores de datos a pequena escala con menos de 10 empregados e un balance anual inferior a 10 millóns de TL están exentos do rexistro VERBIS se a súa actividade principal implica datos de categoría especial. [4]
O prazo de rexistro de VERBIS prorrogouse ata o 5 de xuño de 2026 para as organizacións que cumpran os requisitos en función dos estados financeiros de 2025. [1]
A partir do 1 de xullo de 2026, os servizos VERBIS están totalmente integrados coa plataforma e-Devlet (e-Government) de Turquía. [3]
As sancións por incumprimento segundo o artigo 18 da KVKK poden alcanzar multas administrativas significativas, e a autoridade KVKK as fai cumprir activamente.
O consentimento baixo KVKK debe ser libremente dado, específico, informado e inequívoco; unha plataforma de xestión de consentimento (CMP) é unha ferramenta práctica para o cumprimento baseado na web.

Que é KVKK? Explicación da Lei de Protección de Datos de Turquía

KVKK (Kişisel Verilerin Korunması Kanunu, Lei nº 6698) é o estatuto completo de protección de datos persoais de Turquía, promulgado o 7 de abril de 2016. Regula como os datos persoais son recollidos, almacenados, procesados, transferidos e eliminados polos controladores e procesadores de datos que operan en Turquía.

A lei estableceu a Autoridade de Protección de Datos Persoais (Kişisel Verileri Koruma Kurumu, tamén abreviada KVKK), o organismo supervisor independente responsable da aplicación, orientación e o rexistro VERBIS.

Os principios fundamentais baixo KVKK inclúen:

Licitud, equidade e transparencia
Limitación da finalidade (datos recollidos só para fins específicos e explícitos)
Minimización de datos
Exactitude e mantemento dos datos actualizados
Limitación do almacenamento (datos retidos non máis do necesario)
Integridade e confidencialidade

Calquera entidade que determine os fins e os medios do procesamento de datos persoais cualifícase como "controlador de datos" baixo KVKK e asume as principais obrigas de cumprimento.

KVKK vs. GDPR: Diferenzas clave e superposición de cumprimento

KVKK comparte ADN estrutural co GDPR da UE, pero os dous marcos diverxen de varias maneiras operativamente significativas. As organizacións xa conformes co GDPR non deben asumir o cumprimento automático da KVKK.

Dimensión	KVKK (Turquía)	GDPR (UE)
Promulgada	2016	2018 (aplicación)
Órgano supervisor	Autoridade KVKK	APD nacionais por estado membro
Rexistro de datos	VERBIS (obrigatorio para a maioría)	Non hai un rexistro obrigatorio equivalente
Transferencias de datos ao estranxeiro	Require consentimento explícito ou adecuación	Decisións de adecuación ou SCC
Requisito de DPO	Sen mandato formal de DPO	Obrigatorio en certos casos
Notificación de violación	72 horas á autoridade	72 horas á autoridade

Diverxencia clave: KVKK require que os controladores de datos se rexistren en VERBIS e declaren as súas actividades de procesamento de forma proactiva. O GDPR non ten unha obriga de rexistro público equivalente. Ademais, as regras de transferencia de datos transfronteirizas de KVKK son máis restritivas na práctica, requirindo o consentimento explícito do interesado ou unha decisión formal de adecuación, e a Turquía non se lle concedeu o status de adecuación da UE.

"O cumprimento do GDPR é unha base útil, pero facer negocios en Turquía require unha capa de cumprimento de KVKK separada, especialmente en torno ao rexistro VERBIS e as regras de transferencia transfronteiriza."

Que é VERBIS e como funciona?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) é o rexistro en liña mantido pola Autoridade KVKK onde os controladores de datos deben rexistrarse e declarar as súas actividades de procesamento de datos persoais antes de que comece o procesamento. Pense nel como un inventario público de quen procesa que datos, para que fin e baixo que política de retención.

Como funciona VERBIS na práctica:

O controlador de datos crea unha conta no portal VERBIS (agora accesible a través da plataforma e-Devlet de Turquía a partir do 1 de xullo de 2026). [3]
O controlador declara cada categoría de datos persoais procesados, o fin do procesamento, a base legal, as categorías de datos, os grupos de destinatarios e os períodos de retención.
As declaracións son enviadas e pasan a formar parte do rexistro público.
Calquera cambio nas actividades de procesamento debe actualizarse en VERBIS de inmediato.
O incumprimento do rexistro ou da actualización activa sancións segundo o artigo 18 da KVKK. [5]

O 1 de xullo de 2026, a Autoridade KVKK tamén publicou versións actualizadas do documento de orientación "Sorularla VERBİS" e da guía de usuario oficial VERBİS Kılavuzu para axudar aos controladores de datos a navegar polas obrigas de rexistro. [2]

As empresas estranxeiras necesitan cumprir a KVKK?

Si. A KVKK aplícase a calquera controlador de datos que procese datos persoais de individuos situados en Turquía, independentemente de onde estea constituído ou baseado o controlador. Unha empresa SaaS alemá con clientes turcos, unha plataforma de comercio electrónico estadounidense que envía a Turquía, ou unha axencia de marketing do Reino Unido que executa campañas dirixidas a consumidores turcos, todos entran no ámbito da KVKK.

Implicacións prácticas para empresas estranxeiras:

Debe nomear un representante local en Turquía se carecen de presenza física (aínda que a implementación da lei neste punto segue evolucionando, consulte un avogado local).
Debe cumprir os requisitos de rexistro VERBIS a menos que se aplique unha exención específica.
As transferencias de datos transfronteirizas fóra de Turquía requiren o consentimento explícito do interesado ou un mecanismo formal de adecuación, ningún dos cales é sinxelo para a maioría dos destinos non pertencentes á UE.

Erro común: As empresas estranxeiras asumen que o cumprimento do GDPR ou unha política de privacidade xenérica cobre a súa base de usuarios turcos. A KVKK require divulgacións específicas da xurisdición, mecanismos de consentimento e declaracións de rexistro.

Requisitos de rexistro VERBIS: Quen debe rexistrarse e como

A maioría dos controladores de datos por riba do limiar de exención para pequenas empresas están obrigados a rexistrarse en VERBIS. A obriga aplícase tanto a entidades do sector privado como a institucións públicas. [6]

O rexistro é necesario se o controlador de datos:

Ten 50 ou máis empregados (equivalente a tempo completo), OU
Ten un balance financeiro anual total que supera os 25 millóns de TL, OU
Procesa categorías especiais de datos persoais (saúde, biométricos, antecedentes penais, etc.) independentemente do tamaño, a menos que se aplique a exención a pequena escala (ver máis abaixo).

Para startups e empresas en crecemento: O limiar baséase no número de empregados anuais e nas cifras do balance. Unha startup que supera a marca de 50 empregados ou o limiar do balance nun ano determinado queda obrigada a rexistrarse. O rexistro debe completarse antes de que comece o procesamento baixo o novo limiar, non retroactivamente ao final do ano.

Proceso de rexistro VERBIS paso a paso:

Inicie sesión no portal VERBIS a través de e-Devlet (porta de entrada do goberno electrónico) usando un enderezo KEP (correo electrónico electrónico rexistrado) ou credenciais de asinante autorizado. [3]
Complete o perfil do controlador de datos (nome da empresa, forma xurídica, datos de contacto, representante autorizado).
Cree unha entrada de "actividade de procesamento" para cada categoría distinta de datos persoais procesados.
Para cada actividade, declare: categoría de datos, finalidade, base legal, grupo de interesados, destinatarios e período de retención.
Envíe e reciba un número de rexistro VERBIS.
Actualice o rexistro sempre que as actividades de procesamento cambien materialmente.

Exencións KVKK: Pequenas empresas e que datos non están cubertos

Non todas as organizacións deben rexistrarse en VERBIS. O 12 de xaneiro de 2026, a Autoridade KVKK aclarou os criterios de exención para os controladores de datos a pequena escala. [4]

A exención aplícase cando se cumpren as TRES condicións:

Menos de 10 empregados
Balance anual total inferior a 10 millóns de TL
A actividade principal implica o procesamento de categorías especiais de datos persoais (a exención foi deseñada especificamente para pequenos provedores de atención sanitaria, clínicas e entidades similares)

A análise legal publicada por CMS Law sinala que esta exención é máis estreita do que pode parecer inicialmente, non é unha exención xeral para pequenas empresas, senón que se dirixe especificamente a entidades cuxa actividade principal implica categorías de datos sensibles. [7] Erdem & Erdem aclararon ademais os principios de aplicación destas novas exencións. [8]

Categorías de datos non cubertas por KVKK:

Datos anonimizados (onde a reidentificación é imposible)
Datos procesados puramente para fins persoais ou domésticos (sen actividade comercial)
Datos procesados por autoridades xudiciais para procesos penais (rexidos por lexislación separada)

Caso límite: Os datos pseudonimizados aínda se consideran datos persoais baixo KVKK se o controlador conserva os medios para reidentificar individuos. Non trate a pseudonimización como equivalente á anonimización para fins de cumprimento.

Requisitos de consentimento KVKK para datos de clientes

Baixo KVKK, o consentimento válido debe ser libremente dado, específico, informado e inequívoco. O consentimento non pode ser agrupado coa aceptación dos termos de servizo, e as caixas premarcadas non constitúen un consentimento válido.

O consentimento debe ser:

Libremente dado: Sen coacción nin condicionamento do acceso ao servizo ao consentimento
Específico: Vinculado a un propósito definido, non unha autorización xeral
Informado: O interesado debe saber quen está a recoller datos e por que
Inequívoco: Require unha acción afirmativa (clic, sinatura, caixa de verificación)

Para sitios web e plataformas dixitais, implementar unha plataforma de xestión de consentimento conforme é o enfoque máis práctico. Biscotti CMP está deseñado para axudar aos propietarios de sitios web e empresas a xestionar a recollida de consentimento dunha maneira aliñada con KVKK e outros marcos de protección de datos, proporcionando rexistros de auditoría e rexistros de consentimento granular.

Ademais, requírese consentimento explícito para categorías especiais de datos persoais (saúde, biométricos, xenéticos, antecedentes penais, etc.) e para transferencias de datos transfronteirizas onde non existe un mecanismo de adecuación.

Sancións e multas KVKK por incumprimento

A aplicación da KVKK non é teórica. A Autoridade KVKK impuxo multas tanto a entidades nacionais como estranxeiras. As sancións réxense polo artigo 18 da lei.

Categorías de multas administrativas segundo o artigo 18:

Incumprimento das obrigas de divulgación: 9.027 TL a 180.536 TL (aproximadamente o rango de 2024; os importes actualízanse anualmente por inflación)
Incumprimento da seguridade dos datos: 45.135 TL a 9.027.000 TL
Incumprimento das decisións da Autoridade KVKK: 45.135 TL a 9.027.000 TL
Incumprimento do rexistro en VERBIS ou incumprimento da actualización de VERBIS: 39.337 TL a 1.966.862 TL

Nota: Os importes das multas indexanse anualmente e as cifras anteriores reflicten os rangos publicados en 2024. Verifique as cifras actuais coa Autoridade KVKK ou un avogado turco para as accións de aplicación de 2026.

A responsabilidade penal por certas violacións (procesamento ilegal, incumprimento da eliminación de datos) pode resultar en prisión segundo o Código Penal turco, unha dimensión ausente do conxunto de ferramentas de aplicación do GDPR.

Normas de notificación de violación de datos KVKK

Baixo KVKK, os controladores de datos deben notificar á Autoridade KVKK nun prazo de 72 horas desde que teñen coñecemento dunha violación de datos persoais. Se é probable que a violación afecte negativamente aos interesados, eses individuos tamén deben ser notificados de inmediato.

Lista de verificación de notificación de violación:

Identificar e conter a violación
Avaliar o alcance e o probable impacto nos interesados
Notificar á Autoridade KVKK nun prazo de 72 horas a través do formulario de notificación oficial
Documentar a violación internamente (o que pasou, que datos foron afectados, pasos de remediación)
Notificar aos interesados afectados se existe un alto risco de dano

O incumprimento da notificación dentro do prazo requirido é en si mesmo unha violación sancionable segundo o artigo 18.

Erros comúns de cumprimento da KVKK que cometen as empresas

1. Tratar VERBIS como unha tarefa única. As entradas de VERBIS deben actualizarse sempre que cambien as actividades de procesamento. Adquirir un novo CRM, lanzar unha nova campaña de marketing con diferentes categorías de datos ou incorporar un novo procesador de datos requiren potencialmente actualizacións de VERBIS.

2. Confiar no consentimento do GDPR para usuarios turcos. Os requisitos de consentimento da KVKK teñen matices locais. Un banner de consentimento optimizado para o GDPR pode non capturar as divulgacións específicas requiridas pola KVKK.

3. Ignorar as regras de transferencia transfronteiriza. Enviar datos de clientes turcos a unha plataforma de análise ou provedor de nube con sede nos EUA sen un mecanismo de transferencia válido é unha violación común e frecuentemente sancionada.

4. Asumir a exención para pequenas empresas sen verificación. A aclaración de xaneiro de 2026 deixou claro que a exención está condicionada a que se cumpran os tres criterios simultaneamente. [4]

5. Sen política de retención de datos. A KVKK require que os datos sexan eliminados, destruídos ou anonimizados cando o propósito do procesamento xa non exista. Moitas empresas recollen datos indefinidamente sen un calendario de retención documentado.

Preguntas frecuentes

P: É obrigatoria a KVKK para todas as empresas que operan en Turquía? Si, calquera entidade que procese datos persoais de individuos en Turquía está suxeita á KVKK, independentemente do tamaño da empresa ou da nacionalidade. O rexistro VERBIS é obrigatorio para a maioría das entidades por riba do limiar de exención para pequenas empresas.

P: Cal é o prazo de rexistro de VERBIS en 2026? A Autoridade KVKK prorrogou o prazo de rexistro de VERBIS ata o 5 de xuño de 2026 para as organizacións que cumpran os requisitos en función dos seus estados financeiros de 2025. [1] As organizacións que xa cumprían os limiares anteriores xa deberían estar rexistradas.

P: Pode unha empresa estranxeira ser multada segundo a KVKK? Si. A Autoridade KVKK ten xurisdición sobre calquera controlador de datos que procese datos de residentes turcos, incluídas as empresas estranxeiras. A aplicación contra entidades estranxeiras é unha área en evolución, pero a exposición legal é real.

P: Existe unha alternativa a VERBIS para declarar as actividades de procesamento de datos? Non. VERBIS é o único rexistro obrigatorio baixo KVKK. Non existe un mecanismo alternativo para cumprir a obriga de rexistro do controlador de datos.

P: Canto tempo leva o rexistro de VERBIS? Coa integración de e-Devlet a partir do 1 de xullo de 2026, o proceso técnico pódese completar en poucas horas para casos sinxelos. [3] Non obstante, o traballo preparatorio, o mapeo de todas as actividades de procesamento de datos, a identificación das bases legais e a documentación dos períodos de retención, normalmente leva semanas para organizacións de tamaño medio.

P: A KVKK require un Delegado de Protección de Datos (DPO)? A KVKK non esixe un papel formal de DPO equivalente ao requisito do GDPR. Non obstante, a Autoridade KVKK recomenda que os controladores de datos designen unha persoa responsable internamente para xestionar o cumprimento.

P: Que constitúe datos persoais de categoría especial baixo KVKK? As categorías especiais inclúen: raza, orixe étnica, opinión política, crenza filosófica, relixión, secta, datos de saúde, vida sexual, condenas penais, datos biométricos e datos xenéticos. O procesamento destas categorías require o consentimento explícito ou unha base legal específica.

P: Como xestiona a KVKK o consentimento de cookies nos sitios web? As cookies que recollen datos persoais (análises, identificadores de publicidade) requiren un consentimento válido baixo KVKK. Un CMP conforme como Biscotti CMP pode axudar aos propietarios de sitios web a capturar, almacenar e xestionar o consentimento de cookies de acordo coas obrigas da KVKK.

P: As institucións públicas están obrigadas a rexistrarse en VERBIS? Si. As institucións e organizacións públicas están obrigadas a rexistrarse en VERBIS. O período de rexistro para as entidades públicas comezou o 1 de abril de 2019, cun prazo de finalización do 30 de xuño de 2020. [6]

P: Que ocorre se unha empresa actualiza as súas actividades de procesamento pero non actualiza VERBIS? O incumprimento da actualización de VERBIS para reflectir as actividades de procesamento actuais trátase como unha violación do cumprimento e pode resultar en multas administrativas segundo o artigo 18 da KVKK. [5]

Conclusión: Próximos pasos accionables para o cumprimento da KVKK e VERBIS

Facer negocios en Turquía require un enfoque estruturado e específico da xurisdición para a protección de datos. A KVKK aplícase activamente, o rexistro VERBIS non é opcional para a maioría das organizacións, e as aclaracións de exención de xaneiro de 2026 reduciron, non expandiron, as excepcións para pequenas empresas. [4]

Accións inmediatas para as organizacións que operan en Turquía:

Realizar un exercicio de mapeo de datos. Identificar cada categoría de datos persoais procesados, o seu propósito, base legal e destinatario.
Determinar a obriga de VERBIS. Aplicar os limiares de número de empregados e balance para confirmar se é necesario o rexistro. En caso de dúbida, rexístrese.
Rexistrar ou actualizar VERBIS. Use o portal VERBIS integrado con e-Devlet para completar ou actualizar o seu rexistro de controlador de datos. [3]
Auditar os mecanismos de consentimento. Asegurarse de que os banners de consentimento do sitio web e os formularios de recollida de datos cumpren os requisitos específicos da KVKK. Considere a implementación de Biscotti CMP (www.biscotti-cmp.com) para unha xestión de consentimento estruturada e auditable.
Revisar os acordos de transferencia transfronteiriza. Identificar todos os procesadores de terceiros e servizos na nube que reciben datos persoais turcos e avaliar a base legal para cada transferencia.
Establecer un protocolo de resposta a violacións. Documentar o procedemento de notificación de 72 horas e asignar responsabilidade interna.
Contratar un avogado local. A interpretación da KVKK segue evolucionando, e un avogado turco de protección de datos pode proporcionar orientación específica da xurisdición que ningún marco de cumprimento xeral pode substituír.

O panorama de cumprimento para facer negocios en Turquía está madurando rapidamente. As organizacións que traten a KVKK como un exercicio de verificación en lugar dun programa continuo atoparanse expostas a medida que se intensifique a aplicación.