הסכמה ובאנרים

עושים עסקים בטורקיה? מה שאתם צריכים לדעת על KVKK ו-VERBIS

7 ביולי 2026 · 15 דקות קריאה

תשובה מהירה: חוק הגנת הנתונים העיקרי של טורקיה, KVKK (חוק מס' 6698), חל על כל ארגון, מקומי או זר, המעבד נתונים אישיים של יחידים בטורקיה. VERBIS הוא הרישום החובה של בקר הנתונים תחת KVKK. רוב הארגונים הבינוניים עד גדולים חייבים להירשם ב-VERBIS או לעמוד בפני קנסות מנהליים. נכון לשנת 2026, תהליך הרישום נגיש דרך פלטפורמת e-Devlet של טורקיה, וספי הפטור לעסקים קטנים הובהרו.

נקודות מפתח

KVKK (Kişisel Verilerin Korunması Kanunu) הוא חוק הגנת הנתונים של טורקיה, שנחקק בשנת 2016 ועוצב בחלקו על פי עקרונות GDPR, אך עם דרישות מקומיות מובהקות.
VERBIS הוא הרישום המקוון שבו בקרי נתונים חייבים להצהיר על פעילויות עיבוד הנתונים שלהם לפני תחילת העיבוד.
חברות זרות המעבדות נתונים של תושבים טורקים כפופות ל-KVKK, ללא קשר למקום מושבה של החברה.
נכון ל-12 בינואר 2026, בקרי נתונים בקנה מידה קטן עם פחות מ-10 עובדים ומאזן שנתי מתחת ל-10 מיליון לירות טורקיות פטורים מרישום VERBIS אם פעילותם העיקרית כוללת נתונים בקטגוריה מיוחדת. [4]
המועד האחרון לרישום VERBIS הוארך ל-5 ביוני 2026 עבור ארגונים העומדים בתנאים על בסיס דוחות כספיים לשנת 2025. [1]
נכון ל-1 ביולי 2026, שירותי VERBIS משולבים באופן מלא בפלטפורמת e-Devlet (ממשל אלקטרוני) של טורקיה. [3]
קנסות אי-ציות לפי סעיף 18 של KVKK יכולים להגיע לקנסות מנהליים משמעותיים, ורשות ה-KVKK אוכפת אותם באופן פעיל.
הסכמה תחת KVKK חייבת להינתן באופן חופשי, ספציפי, מושכל וחד משמעי, פלטפורמת ניהול הסכמה (CMP) היא כלי פרקטי לתאימות מבוססת אינטרנט.

מהו KVKK? חוק הגנת הנתונים של טורקיה מוסבר

KVKK (Kişisel Verilerin Korunması Kanunu, חוק מס' 6698) הוא חוק הגנת הנתונים האישיים המקיף של טורקיה, שנחקק ב-7 באפריל 2016. הוא מסדיר את אופן איסוף, אחסון, עיבוד, העברה ומחיקה של נתונים אישיים על ידי בקרי נתונים ומעבדי נתונים הפועלים בטורקיה.

החוק הקים את הרשות להגנת נתונים אישיים (Kişisel Verileri Koruma Kurumu, המקוצרת גם KVKK), הגוף המפקח העצמאי האחראי על אכיפה, הנחיה ורישום VERBIS.

עקרונות הליבה תחת KVKK כוללים:

חוקיות, הגינות ושקיפות
הגבלת מטרה (נתונים נאספים למטרות מוגדרות ומפורשות בלבד)
מזעור נתונים
דיוק ושמירה על עדכניות הנתונים
הגבלת אחסון (נתונים נשמרים לא יותר מהנדרש)
שלמות וסודיות

כל ישות הקובעת את מטרות ואמצעי עיבוד הנתונים האישיים נחשבת ל"בקר נתונים" תחת KVKK ונושאת באחריות העיקרית לתאימות.

KVKK מול GDPR: הבדלים מרכזיים וחפיפת תאימות

ל-KVKK יש DNA מבני משותף עם ה-GDPR של האיחוד האירופי, אך שתי המסגרות נבדלות בכמה דרכים משמעותיות מבחינה תפעולית. ארגונים שכבר עומדים בתקני GDPR לא צריכים להניח תאימות אוטומטית ל-KVKK.

מימד	KVKK (טורקיה)	GDPR (האיחוד האירופי)
נחקק	2016	2018 (אכיפה)
גוף מפקח	רשות KVKK	רשויות הגנת נתונים לאומיות לפי מדינה חברה
רישום נתונים	VERBIS (חובה לרוב)	אין רישום חובה מקביל
העברות נתונים לחו"ל	דורש הסכמה מפורשת או התאמה	החלטות התאמה או SCCs
דרישת DPO	אין מנדט DPO רשמי	חובה במקרים מסוימים
הודעה על הפרה	72 שעות לרשות	72 שעות לרשות

הבדל מרכזי: KVKK דורש מבקרי נתונים להירשם ב-VERBIS ולהצהיר על פעילויות העיבוד שלהם באופן יזום. ל-GDPR אין חובת רישום ציבורי מקבילה. בנוסף, כללי העברת הנתונים חוצי הגבולות של KVKK מגבילים יותר בפועל, ודורשים הסכמה מפורשת של נושא הנתונים או החלטת התאמה רשמית, ולטורקיה לא הוענק מעמד התאמה של האיחוד האירופי.

"תאימות ל-GDPR היא בסיס שימושי, אך עשיית עסקים בטורקיה דורשת שכבת תאימות נפרדת ל-KVKK, במיוחד סביב רישום VERBIS וכללי העברה חוצי גבולות."

מהו VERBIS וכיצד הוא פועל?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) הוא הרישום המקוון המתוחזק על ידי רשות ה-KVKK, שבו בקרי נתונים חייבים להירשם ולהצהיר על פעילויות עיבוד הנתונים האישיים שלהם לפני תחילת העיבוד. חשבו על זה כעל מלאי גלוי לציבור של מי מעבד אילו נתונים, לאיזו מטרה, ובאיזו מדיניות שמירה.

כיצד VERBIS פועל בפועל:

בקר הנתונים יוצר חשבון בפורטל VERBIS (נגיש כעת דרך פלטפורמת e-Devlet של טורקיה החל מ-1 ביולי 2026). [3]
הבקר מצהיר על כל קטגוריה של נתונים אישיים מעובדים, מטרת העיבוד, הבסיס המשפטי, קטגוריות הנתונים, קבוצות הנמענים ותקופות השמירה.
ההצהרות מוגשות והופכות לחלק מהרישום הציבורי.
כל שינוי בפעילויות העיבוד חייב להתעדכן ב-VERBIS באופן מיידי.
אי-רישום או אי-עדכון גורר קנסות לפי סעיף 18 של KVKK. [5]

ב-1 ביולי 2026, רשות ה-KVKK פרסמה גם גרסאות מעודכנות של מסמך ההנחיה "Sorularla VERBİS" וה-VERBİS Kılavuzu (מדריך למשתמש) הרשמי כדי לעזור לבקרי נתונים לנווט בחובות הרישום. [2]

האם חברות זרות צריכות תאימות ל-KVKK?

כן. KVKK חל על כל בקר נתונים המעבד נתונים אישיים של יחידים הנמצאים בטורקיה, ללא קשר למקום ההתאגדות או המיקום של הבקר. חברת SaaS גרמנית עם לקוחות טורקים, פלטפורמת מסחר אלקטרוני אמריקאית השולחת לטורקיה, או סוכנות שיווק בריטית המנהלת קמפיינים המכוונים לצרכנים טורקים, כולם נופלים בתחום ה-KVKK.

השלכות מעשיות עבור חברות זרות:

חייבות למנות נציג מקומי בטורקיה אם אין להן נוכחות פיזית (אף על פי שיישום החוק בנקודה זו ממשיך להתפתח, יש להתייעץ עם יועץ משפטי מקומי).
חייבות לציית לדרישות רישום VERBIS אלא אם כן חל פטור ספציפי.
העברות נתונים חוצות גבולות מחוץ לטורקיה דורשות הסכמה מפורשת של נושא הנתונים או מנגנון התאמה רשמי, שאף אחד מהם אינו פשוט עבור רוב היעדים שאינם באיחוד האירופי.

טעות נפוצה: חברות זרות מניחות שתאימות ל-GDPR או מדיניות פרטיות כללית מכסה את בסיס המשתמשים הטורקי שלהן. KVKK דורש גילויים ספציפיים לתחום השיפוט, מנגנוני הסכמה והצהרות רישום.

דרישות רישום VERBIS: מי חייב להירשם וכיצד

רוב בקרי הנתונים מעל סף הפטור לעסקים קטנים נדרשים להירשם ב-VERBIS. החובה חלה הן על ישויות מהמגזר הפרטי והן על מוסדות ציבוריים. [6]

רישום נדרש אם בקר הנתונים:

יש לו 50 עובדים או יותר (שווה ערך למשרה מלאה), או
יש לו סך מאזן פיננסי שנתי העולה על 25 מיליון לירות טורקיות, או
מעבד קטגוריות מיוחדות של נתונים אישיים (בריאות, ביומטריים, רישומים פליליים וכו') ללא קשר לגודל, אלא אם כן חל הפטור בקנה מידה קטן (ראה להלן).

עבור סטארט-אפים וחברות צומחות: הסף מבוסס על מספר העובדים השנתי ונתוני המאזן. סטארט-אפ שעובר את סף 50 העובדים או את סף המאזן בשנה נתונה הופך מחויב להירשם. הרישום חייב להסתיים לפני תחילת העיבוד תחת הסף החדש, ולא רטרואקטיבית בסוף השנה.

תהליך רישום VERBIS שלב אחר שלב:

היכנסו לפורטל VERBIS דרך e-Devlet (שער ממשל אלקטרוני) באמצעות כתובת KEP (דואר אלקטרוני רשום) או אישורי חתימה מורשים. [3]
השלימו את פרופיל בקר הנתונים (שם חברה, צורה משפטית, פרטי יצירת קשר, נציג מורשה).
צרו ערך "פעילות עיבוד" עבור כל קטגוריה נפרדת של נתונים אישיים מעובדים.
עבור כל פעילות, הצהירו: קטגוריית נתונים, מטרה, בסיס משפטי, קבוצת נושאי נתונים, נמענים ותקופת שמירה.
הגישו וקבלו מספר רישום VERBIS.
עדכנו את הרישום בכל פעם שפעילויות העיבוד משתנות באופן מהותי.

פטורים מ-KVKK: עסקים קטנים ואיזה נתונים אינם מכוסים

לא כל ארגון חייב להירשם ב-VERBIS. ב-12 בינואר 2026, רשות ה-KVKK הבהירה את קריטריוני הפטור לבקרי נתונים בקנה מידה קטן. [4]

פטור חל כאשר כל שלושת התנאים מתקיימים:

פחות מ-10 עובדים
סך מאזן שנתי מתחת ל-10 מיליון לירות טורקיות
פעילות עיקרית כוללת עיבוד קטגוריות מיוחדות של נתונים אישיים (הפטור עוצב במיוחד עבור ספקי שירותי בריאות קטנים, מרפאות וישויות דומות)

ניתוח משפטי שפורסם על ידי CMS Law מציין כי פטור זה צר יותר ממה שהוא עשוי להיראות בתחילה, זהו אינו פטור גורף לעסקים קטנים אלא מכוון ספציפית לישויות שעסקיהן העיקריים כוללים קטגוריות נתונים רגישות. [7] Erdem & Erdem הבהירו עוד את עקרונות היישום של פטורים חדשים אלה. [8]

קטגוריות נתונים שאינן מכוסות על ידי KVKK:

נתונים אנונימיים (כאשר זיהוי מחדש בלתי אפשרי)
נתונים המעובדים אך ורק למטרות אישיות או ביתיות (ללא פעילות מסחרית)
נתונים המעובדים על ידי רשויות שיפוטיות להליכים פליליים (כפופים לחקיקה נפרדת)

מקרה קצה: נתונים פסאודו-אנונימיים עדיין נחשבים לנתונים אישיים תחת KVKK אם הבקר שומר על האמצעים לזיהוי מחדש של יחידים. אל תתייחסו לפסאודו-אנונימיזציה כשווה ערך לאנונימיזציה למטרות תאימות.

דרישות הסכמה של KVKK לנתוני לקוחות

תחת KVKK, הסכמה תקפה חייבת להינתן באופן חופשי, ספציפי, מושכל וחד משמעי. הסכמה אינה יכולה להיות מקובצת עם קבלת תנאי השירות, ותיבות מסומנות מראש אינן מהוות הסכמה תקפה.

הסכמה חייבת להיות:

ניתנת בחופשיות: ללא כפייה או התניית גישה לשירות בהסכמה
ספציפית: קשורה למטרה מוגדרת, לא אישור גורף
מושכלת: נושא הנתונים חייב לדעת מי אוסף נתונים ולמה
חד משמעית: דורשת פעולה חיובית (לחיצה, חתימה, סימון תיבה)

עבור אתרים ופלטפורמות דיגיטליות, יישום פלטפורמת ניהול הסכמה תואמת היא הגישה המעשית ביותר. Biscotti CMP מיועדת לעזור לבעלי אתרים ולחברות לנהל איסוף הסכמה באופן המתאים ל-KVKK ולמסגרות הגנת נתונים אחרות, ומספקת תיעוד ביקורת ורישומי הסכמה מפורטים.

הסכמה מפורשת נדרשת בנוסף עבור קטגוריות מיוחדות של נתונים אישיים (בריאות, ביומטריים, גנטיים, רישומים פליליים וכו') ועבור העברות נתונים חוצות גבולות כאשר אין מנגנון התאמה.

קנסות ועונשים של KVKK בגין אי-ציות

אכיפת KVKK אינה תיאורטית. רשות ה-KVKK הטילה קנסות הן על ישויות מקומיות והן על ישויות זרות. העונשים מוסדרים בסעיף 18 לחוק.

קטגוריות קנסות מנהליים לפי סעיף 18:

אי-מילוי חובות גילוי: 9,027 לירות טורקיות עד 180,536 לירות טורקיות (טווח משוער לשנת 2024; הסכומים מתעדכנים מדי שנה לאינפלציה)
אי-הבטחת אבטחת נתונים: 45,135 לירות טורקיות עד 9,027,000 לירות טורקיות
אי-ציות להחלטות רשות ה-KVKK: 45,135 לירות טורקיות עד 9,027,000 לירות טורקיות
אי-רישום ב-VERBIS או אי-עדכון VERBIS: 39,337 לירות טורקיות עד 1,966,862 לירות טורקיות

הערה: סכומי הקנסות מוצמדים מדי שנה והנתונים לעיל משקפים את הטווחים שפורסמו לשנת 2024. יש לוודא את הנתונים העדכניים מול רשות ה-KVKK או יועץ משפטי טורקי עבור פעולות אכיפה לשנת 2026.

אחריות פלילית בגין הפרות מסוימות (עיבוד בלתי חוקי, אי-מחיקת נתונים) יכולה לגרום למאסר לפי חוק העונשין הטורקי, מימד שאינו קיים בכלי האכיפה של GDPR.

כללי הודעה על הפרת נתונים של KVKK

תחת KVKK, בקרי נתונים חייבים להודיע לרשות ה-KVKK תוך 72 שעות מרגע שנודע להם על הפרת נתונים אישיים. אם ההפרה עשויה להשפיע לרעה על נושאי הנתונים, יש להודיע גם לאותם יחידים באופן מיידי.

רשימת בדיקה להודעה על הפרה:

זיהוי והכלת ההפרה
הערכת היקף והשפעה אפשרית על נושאי הנתונים
הודעה לרשות ה-KVKK תוך 72 שעות באמצעות טופס ההודעה הרשמי
תיעוד ההפרה באופן פנימי (מה קרה, אילו נתונים נפגעו, צעדי תיקון)
הודעה לנושאי הנתונים שנפגעו אם קיים סיכון גבוה לנזק

אי-הודעה בתוך מסגרת הזמן הנדרשת היא עצמה הפרה הניתנת לענישה לפי סעיף 18.

טעויות נפוצות בתאימות ל-KVKK שעסקים עושים

1. התייחסות ל-VERBIS כמשימה חד פעמית. יש לעדכן את רשומות VERBIS בכל פעם שפעילויות העיבוד משתנות. רכישת CRM חדש, השקת קמפיין שיווקי חדש עם קטגוריות נתונים שונות, או קליטת מעבד נתונים חדש, כולם עשויים לדרוש עדכוני VERBIS.

2. הסתמכות על הסכמת GDPR עבור משתמשים טורקים. דרישות הסכמת KVKK כוללות ניואנסים מקומיים. באנר הסכמה המותאם ל-GDPR עשוי שלא לכלול את הגילויים הספציפיים הנדרשים תחת KVKK.

3. התעלמות מכללי העברה חוצי גבולות. שליחת נתוני לקוחות טורקים לפלטפורמת אנליטיקה או ספק ענן מבוסס ארה"ב ללא מנגנון העברה תקף היא הפרה נפוצה ולעיתים קרובות נענשת.

4. הנחת פטור לעסקים קטנים ללא אימות. הבהרת ינואר 2026 הבהירה שהפטור מותנה בעמידה בכל שלושת הקריטריונים בו זמנית. [4]

5. אין מדיניות שמירת נתונים. KVKK דורש מחיקה, השמדה או אנונימיזציה של נתונים כאשר מטרת העיבוד אינה קיימת עוד. עסקים רבים אוספים נתונים ללא הגבלת זמן ללא לוח זמנים מתועד לשמירה.

שאלות נפוצות

ש: האם KVKK חובה לכל העסקים הפועלים בטורקיה? כן, כל ישות המעבדת נתונים אישיים של יחידים בטורקיה כפופה ל-KVKK, ללא קשר לגודל החברה או לאומיותה. רישום VERBIS חובה לרוב הישויות מעל סף הפטור לעסקים קטנים.

ש: מהו המועד האחרון לרישום VERBIS בשנת 2026? רשות ה-KVKK האריכה את המועד האחרון לרישום VERBIS ל-5 ביוני 2026 עבור ארגונים העומדים בתנאים על בסיס דוחותיהם הכספיים לשנת 2025. [1] ארגונים שכבר עמדו בספים קודמים צריכים להיות רשומים כבר.

ש: האם חברה זרה יכולה להיקנס תחת KVKK? כן. לרשות ה-KVKK יש סמכות שיפוט על כל בקר נתונים המעבד נתונים של תושבים טורקים, כולל חברות זרות. אכיפה נגד ישויות זרות היא תחום מתפתח, אך החשיפה המשפטית אמיתית.

ש: האם קיימת חלופה ל-VERBIS להצהרה על פעילויות עיבוד נתונים? לא. VERBIS הוא הרישום החובה היחיד תחת KVKK. אין מנגנון חלופי למילוי חובת רישום בקר הנתונים.

ש: כמה זמן לוקח רישום VERBIS? עם שילוב e-Devlet החל מ-1 ביולי 2026, התהליך הטכני יכול להסתיים תוך מספר שעות למקרים פשוטים. [3] עם זאת, עבודת ההכנה, מיפוי כל פעילויות עיבוד הנתונים, זיהוי בסיסים משפטיים ותיעוד תקופות שמירה, אורכת בדרך כלל שבועות עבור ארגונים בינוניים.

ש: האם KVKK דורש קצין הגנת נתונים (DPO)? KVKK אינו מחייב תפקיד DPO רשמי המקביל לדרישת GDPR. עם זאת, רשות ה-KVKK ממליצה לבקרי נתונים למנות אדם אחראי פנימי לניהול התאימות.

ש: מהם נתונים אישיים בקטגוריה מיוחדת תחת KVKK? קטגוריות מיוחדות כוללות: גזע, מוצא אתני, דעה פוליטית, אמונה פילוסופית, דת, עדה, נתוני בריאות, חיי מין, הרשעות פליליות, נתונים ביומטריים ונתונים גנטיים. עיבוד קטגוריות אלה דורש הסכמה מפורשת או בסיס משפטי ספציפי.

ש: כיצד KVKK מטפל בהסכמת קובצי Cookie באתרים? קובצי Cookie האוספים נתונים אישיים (אנליטיקה, מזהי פרסום) דורשים הסכמה תקפה תחת KVKK. CMP תואם כגון Biscotti CMP יכול לעזור לבעלי אתרים לאסוף, לאחסן ולנהל הסכמת קובצי Cookie בהתאם לחובות KVKK.

ש: האם מוסדות ציבוריים נדרשים להירשם ב-VERBIS? כן. מוסדות וארגונים ציבוריים נדרשים להירשם ב-VERBIS. תקופת הרישום לישויות ציבוריות החלה ב-1 באפריל 2019, עם מועד סיום של 30 ביוני 2020. [6]

ש: מה קורה אם חברה מעדכנת את פעילויות העיבוד שלה אך אינה מעדכנת את VERBIS? אי-עדכון VERBIS כדי לשקף פעילויות עיבוד נוכחיות נחשב להפרת תאימות ועלול לגרום לקנסות מנהליים לפי סעיף 18 של KVKK. [5]

מסקנה: צעדים מעשיים הבאים לתאימות ל-KVKK ו-VERBIS

עשיית עסקים בטורקיה דורשת גישה מובנית וספציפית לתחום השיפוט להגנת נתונים. KVKK נאכף באופן פעיל, רישום VERBIS אינו אופציונלי עבור רוב הארגונים, והבהרות הפטור של ינואר 2026 צמצמו, ולא הרחיבו, את הפטורים לעסקים קטנים. [4]

פעולות מיידיות לארגונים הפועלים בטורקיה:

בצעו מיפוי נתונים. זהו כל קטגוריה של נתונים אישיים מעובדים, מטרתה, בסיסה המשפטי והנמען.
קבעו את חובת VERBIS. יישמו את ספי ספירת העובדים והמאזן כדי לאשר אם נדרש רישום. אם יש ספק, הירשמו.
רשמו או עדכנו את VERBIS. השתמשו בפורטל VERBIS המשולב ב-e-Devlet כדי להשלים או לעדכן את רישום בקר הנתונים שלכם. [3]
בחנו מנגנוני הסכמה. ודאו שבאנרי הסכמה באתר וטפסי איסוף נתונים עומדים בדרישות הספציפיות של KVKK. שקלו לפרוס Biscotti CMP (www.biscotti-cmp.com) לניהול הסכמה מובנה וניתן לביקורת.
סקרו הסדרי העברה חוצי גבולות. זהו את כל מעבדי הצד השלישי ושירותי הענן המקבלים נתונים אישיים טורקים והעריכו את הבסיס המשפטי לכל העברה.
הקימו פרוטוקול תגובה להפרות. תעדו את הליך ההודעה תוך 72 שעות והקצו אחריות פנימית.
התייעצו עם יועץ משפטי מקומי. פרשנות KVKK ממשיכה להתפתח, ועורך דין טורקי להגנת נתונים יכול לספק הנחיות ספציפיות לתחום השיפוט שאף מסגרת תאימות כללית אינה יכולה להחליף.

נוף התאימות לעשיית עסקים בטורקיה מתבגר במהירות. ארגונים המתייחסים ל-KVKK כאל משימת סימון תיבות ולא כאל תוכנית מתמשכת ימצאו את עצמם חשופים ככל שהאכיפה תתעצם.