Pristanak i baneri

Poslujete u Turskoj? Što trebate znati o KVKK i VERBIS-u

7. srpnja 2026. · 15 min čitanje

Kratak odgovor: Turski primarni zakon o zaštiti podataka, KVKK (Zakon br. 6698), primjenjuje se na svaku organizaciju, domaću ili stranu, koja obrađuje osobne podatke pojedinaca u Turskoj. VERBIS je obvezni registar voditelja obrade podataka prema KVKK-u. Većina srednjih do velikih organizacija mora se registrirati u VERBIS-u ili se suočiti s administrativnim kaznama. Od 2026. godine, postupak registracije dostupan je putem turske platforme e-Devlet, a pragovi izuzeća za mala poduzeća su pojašnjeni.

Ključne spoznaje

KVKK (Kişisel Verilerin Korunması Kanunu) je turski zakon o zaštiti podataka, donesen 2016. godine i djelomično modeliran prema načelima GDPR-a, ali s posebnim lokalnim zahtjevima.
VERBIS je online registar u kojem voditelji obrade podataka moraju prijaviti svoje aktivnosti obrade podataka prije početka obrade.
Strane tvrtke koje obrađuju podatke turskih stanovnika podliježu KVKK-u, bez obzira na to gdje je tvrtka registrirana.
Od 12. siječnja 2026. godine, mali voditelji obrade podataka s manje od 10 zaposlenika i godišnjom bilancu ispod 10 milijuna TL izuzeti su od VERBIS registracije ako njihova primarna aktivnost uključuje posebne kategorije podataka. [4]
Rok za VERBIS registraciju produžen je do 5. lipnja 2026. godine za organizacije koje se kvalificiraju na temelju financijskih izvještaja za 2025. godinu. [1]
Od 1. srpnja 2026. godine, VERBIS usluge su u potpunosti integrirane s turskom platformom e-Devlet (e-Vlada). [3]
Kazne za neusklađenost prema članku 18. KVKK-a mogu doseći značajne administrativne kazne, a tijelo KVKK-a ih aktivno provodi.
Pristanak prema KVKK-u mora biti slobodno dan, specifičan, informiran i nedvosmislen, a platforma za upravljanje pristankom (CMP) je praktičan alat za usklađenost s webom.

Što je KVKK? Objašnjen turski zakon o zaštiti podataka

KVKK (Kişisel Verilerin Korunması Kanunu, Zakon br. 6698) je turski sveobuhvatni statut o zaštiti osobnih podataka, donesen 7. travnja 2016. godine. On regulira kako voditelji obrade i izvršitelji obrade podataka koji djeluju u Turskoj prikupljaju, pohranjuju, obrađuju, prenose i brišu osobne podatke.

Zakon je uspostavio Agenciju za zaštitu osobnih podataka (Kişisel Verileri Koruma Kurumu, također skraćeno KVKK), neovisno nadzorno tijelo odgovorno za provedbu, smjernice i VERBIS registar.

Osnovna načela prema KVKK-u uključuju:

Zakonitost, poštenost i transparentnost
Ograničenje svrhe (podaci se prikupljaju samo za određene, izričite svrhe)
Minimizacija podataka
Točnost i ažurnost podataka
Ograničenje pohrane (podaci se ne zadržavaju dulje nego što je potrebno)
Integritet i povjerljivost

Svaki entitet koji određuje svrhe i sredstva obrade osobnih podataka kvalificira se kao "voditelj obrade podataka" prema KVKK-u i snosi primarne obveze usklađenosti.

KVKK vs. GDPR: Ključne razlike i preklapanje usklađenosti

KVKK dijeli strukturni DNK s GDPR-om EU-a, ali se dva okvira razlikuju na nekoliko operativno značajnih načina. Organizacije koje su već usklađene s GDPR-om ne bi trebale pretpostavljati automatsku usklađenost s KVKK-om.

Dimenzija	KVKK (Turska)	GDPR (EU)
Donesen	2016	2018 (provedba)
Nadzorno tijelo	KVKK Agencija	Nacionalna tijela za zaštitu podataka po državi članici
Registar podataka	VERBIS (obvezan za većinu)	Nema ekvivalentnog obveznog registra
Prijenos podataka u inozemstvo	Zahtijeva izričit pristanak ili adekvatnost	Odluke o adekvatnosti ili SCC-ovi
Zahtjev za službenika za zaštitu podataka	Nema formalnog mandata za službenika za zaštitu podataka	Obvezan u određenim slučajevima
Obavijest o povredi	72 sata tijelu	72 sata tijelu

Ključna razlika: KVKK zahtijeva od voditelja obrade podataka da se registriraju u VERBIS-u i proaktivno prijave svoje aktivnosti obrade. GDPR nema ekvivalentnu obvezu javnog registra. Osim toga, pravila KVKK-a o prekograničnom prijenosu podataka su u praksi restriktivnija, zahtijevajući ili izričit pristanak ispitanika ili formalnu odluku o adekvatnosti, a Turskoj nije dodijeljen status adekvatnosti EU-a.

"Usklađenost s GDPR-om korisna je osnova, ali poslovanje u Turskoj zahtijeva zaseban sloj usklađenosti s KVKK-om, posebno u vezi s VERBIS registracijom i pravilima o prekograničnom prijenosu."

Što je VERBIS i kako funkcionira?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) je online registar koji održava KVKK Agencija, u kojem se voditelji obrade podataka moraju registrirati i prijaviti svoje aktivnosti obrade osobnih podataka prije početka obrade. Zamislite to kao javni inventar tko obrađuje koje podatke, u koju svrhu i prema kojoj politici zadržavanja.

Kako VERBIS funkcionira u praksi:

Voditelj obrade podataka kreira račun na VERBIS portalu (sada dostupan putem turske platforme e-Devlet od 1. srpnja 2026.). [3]
Voditelj obrade prijavljuje svaku kategoriju obrađenih osobnih podataka, svrhu obrade, pravnu osnovu, kategorije podataka, skupine primatelja i razdoblja zadržavanja.
Prijave se podnose i postaju dio javnog registra.
Sve promjene u aktivnostima obrade moraju se odmah ažurirati u VERBIS-u.
Neprijavljivanje ili neažuriranje pokreće kazne prema članku 18. KVKK-a. [5]

Dana 1. srpnja 2026. godine, KVKK Agencija je također objavila ažurirane verzije dokumenta s uputama "Sorularla VERBİS" i službenog VERBİS Kılavuzu (korisničkog priručnika) kako bi pomogla voditeljima obrade podataka u snalaženju s obvezama registracije. [2]

Trebaju li strane tvrtke biti usklađene s KVKK-om?

Da. KVKK se primjenjuje na svakog voditelja obrade podataka koji obrađuje osobne podatke pojedinaca koji se nalaze u Turskoj, bez obzira na to gdje je voditelj obrade registriran ili sa sjedištem. Njemačka SaaS tvrtka s turskim kupcima, američka platforma za e-trgovinu koja isporučuje u Tursku ili britanska marketinška agencija koja provodi kampanje usmjerene na turske potrošače, svi spadaju u opseg KVKK-a.

Praktične implikacije za strane tvrtke:

Moraju imenovati lokalnog predstavnika u Turskoj ako nemaju fizičku prisutnost (iako se provedba zakona o ovoj točki nastavlja razvijati, savjetujte se s lokalnim pravnim savjetnikom).
Moraju se pridržavati zahtjeva za VERBIS registraciju, osim ako se primjenjuje specifično izuzeće.
Prekogranični prijenos podataka iz Turske zahtijeva ili izričit pristanak ispitanika ili formalni mehanizam adekvatnosti, od kojih nijedan nije jednostavan za većinu destinacija izvan EU-a.

Česta pogreška: Strane tvrtke pretpostavljaju da usklađenost s GDPR-om ili generička politika privatnosti pokriva njihovu tursku korisničku bazu. KVKK zahtijeva objave specifične za jurisdikciju, mehanizme pristanka i prijave u registar.

VERBIS zahtjevi za registraciju: Tko se mora registrirati i kako

Većina voditelja obrade podataka iznad praga izuzeća za mala poduzeća mora se registrirati u VERBIS-u. Obveza se primjenjuje na subjekte iz privatnog sektora i javne institucije. [6]

Registracija je obvezna ako voditelj obrade podataka:

Ima 50 ili više zaposlenika (ekvivalent punog radnog vremena), ILI
Ima godišnju ukupnu bilancu veću od 25 milijuna TL, ILI
Obrađuje posebne kategorije osobnih podataka (zdravlje, biometrijski podaci, kaznene evidencije itd.) bez obzira na veličinu, osim ako se primjenjuje izuzeće za mala poduzeća (vidi dolje).

Za startupe i rastuće tvrtke: Prag se temelji na godišnjem broju zaposlenika i podacima iz bilance. Startup koji u određenoj godini prijeđe prag od 50 zaposlenika ili prag bilance postaje obvezan za registraciju. Registracija se mora dovršiti prije početka obrade prema novom pragu, a ne retroaktivno na kraju godine.

Korak po korak VERBIS postupak registracije:

Prijavite se na VERBIS portal putem e-Devleta (e-Vladin pristupnik) koristeći KEP (registriranu elektroničku poštu) adresu ili vjerodajnice ovlaštenog potpisnika. [3]
Ispunite profil voditelja obrade podataka (naziv tvrtke, pravni oblik, kontakt podaci, ovlašteni predstavnik).
Kreirajte unos "aktivnosti obrade" za svaku zasebnu kategoriju obrađenih osobnih podataka.
Za svaku aktivnost prijavite: kategoriju podataka, svrhu, pravnu osnovu, skupinu ispitanika, primatelje i razdoblje zadržavanja.
Podnesite i primite VERBIS registracijski broj.
Ažurirajte registar kad god se materijalno promijene aktivnosti obrade.

KVKK izuzeća: Mala poduzeća i koji podaci nisu obuhvaćeni

Ne mora se svaka organizacija registrirati u VERBIS-u. Dana 12. siječnja 2026. godine, KVKK Agencija je pojasnila kriterije izuzeća za male voditelje obrade podataka. [4]

Izuzeće se primjenjuje kada su ispunjena SVA tri uvjeta:

Manje od 10 zaposlenika
Godišnja ukupna bilanca ispod 10 milijuna TL
Primarna aktivnost uključuje obradu posebnih kategorija osobnih podataka (izuzeće je posebno osmišljeno za male pružatelje zdravstvenih usluga, klinike i slične subjekte)

Pravna analiza koju je objavio CMS Law napominje da je ovo izuzeće uže nego što se u početku može činiti, to nije opće izuzeće za mala poduzeća, već je posebno usmjereno na subjekte čija se osnovna djelatnost odnosi na osjetljive kategorije podataka. [7] Erdem & Erdem su dodatno pojasnili načela primjene ovih novih izuzeća. [8]

Kategorije podataka koje nisu obuhvaćene KVKK-om:

Anonimizirani podaci (gdje je ponovna identifikacija nemoguća)
Podaci obrađeni isključivo u osobne ili kućanske svrhe (bez komercijalne aktivnosti)
Podaci obrađeni od strane pravosudnih tijela za kaznene postupke (regulirani posebnim zakonodavstvom)

Granični slučaj: Pseudonimizirani podaci i dalje se smatraju osobnim podacima prema KVKK-u ako voditelj obrade zadržava sredstva za ponovnu identifikaciju pojedinaca. Nemojte tretirati pseudonimizaciju kao ekvivalent anonimizaciji u svrhu usklađenosti.

KVKK zahtjevi za pristanak za podatke o kupcima

Prema KVKK-u, valjan pristanak mora biti slobodno dan, specifičan, informiran i nedvosmislen. Pristanak se ne može povezati s prihvaćanjem uvjeta usluge, a unaprijed označeni okviri ne predstavljaju valjan pristanak.

Pristanak mora biti:

Slobodno dan: Bez prisile ili uvjetovanja pristupa usluzi pristankom
Specifičan: Povezan s definiranom svrhom, a ne opća autorizacija
Informiran: Ispitanik mora znati tko prikuplja podatke i zašto
Nedvosmislen: Zahtijeva potvrdnu radnju (klik, potpis, kvačica)

Za web stranice i digitalne platforme, implementacija usklađene platforme za upravljanje pristankom najpraktičniji je pristup. Biscotti CMP je dizajniran da pomogne vlasnicima web stranica i poduzećima u upravljanju prikupljanjem pristanka na način usklađen s KVKK-om i drugim okvirima za zaštitu podataka, pružajući revizijske tragove i detaljne zapise o pristanku.

Izričit pristanak je dodatno potreban za posebne kategorije osobnih podataka (zdravlje, biometrijski podaci, genetski podaci, kaznene evidencije itd.) i za prekogranični prijenos podataka gdje ne postoji mehanizam adekvatnosti.

KVKK kazne i novčane kazne za neusklađenost

Provedba KVKK-a nije teorijska. KVKK Agencija je izrekla novčane kazne domaćim i stranim subjektima. Kazne su regulirane člankom 18. zakona.

Kategorije administrativnih kazni prema članku 18.:

Nepoštivanje obveza objavljivanja: 9.027 TL do 180.536 TL (približni raspon za 2024.; iznosi se godišnje ažuriraju zbog inflacije)
Nepoštivanje sigurnosti podataka: 45.135 TL do 9.027.000 TL
Nepoštivanje odluka KVKK Agencije: 45.135 TL do 9.027.000 TL
Neprijavljivanje u VERBIS ili neažuriranje VERBIS-a: 39.337 TL do 1.966.862 TL

Napomena: Iznosi kazni se godišnje indeksiraju, a gore navedene brojke odražavaju objavljene raspone za 2024. godinu. Provjerite trenutne brojke kod KVKK Agencije ili turskog pravnog savjetnika za provedbene radnje za 2026. godinu.

Kaznena odgovornost za određene povrede (nezakonita obrada, nebrisanje podataka) može rezultirati zatvorom prema turskom Kaznenom zakonu, dimenzija koja nedostaje u GDPR-ovom alatu za provedbu.

KVKK pravila o obavijesti o povredi podataka

Prema KVKK-u, voditelji obrade podataka moraju obavijestiti KVKK Agenciju u roku od 72 sata od saznanja o povredi osobnih podataka. Ako je vjerojatno da će povreda nepovoljno utjecati na ispitanike, ti pojedinci također moraju biti odmah obaviješteni.

Kontrolni popis za obavijest o povredi:

Identificirajte i obuzdajte povredu
Procijenite opseg i vjerojatni utjecaj na ispitanike
Obavijestite KVKK Agenciju u roku od 72 sata putem službenog obrasca za obavijest
Interno dokumentirajte povredu (što se dogodilo, koji su podaci pogođeni, koraci za otklanjanje)
Obavijestite pogođene ispitanike ako postoji visok rizik od štete

Nepoštivanje obavijesti u propisanom roku samo po sebi je prekršaj koji se kažnjava prema članku 18.

Uobičajene pogreške koje tvrtke čine u usklađenosti s KVKK-om

1. Tretiranje VERBIS-a kao jednokratnog zadatka. VERBIS unosi moraju se ažurirati kad god se promijene aktivnosti obrade. Nabava novog CRM-a, pokretanje nove marketinške kampanje s različitim kategorijama podataka ili angažiranje novog izvršitelja obrade podataka potencijalno zahtijevaju ažuriranja VERBIS-a.

2. Oslanjanje na GDPR pristanak za turske korisnike. KVKK zahtjevi za pristanak imaju lokalne nijanse. Banner za pristanak optimiziran za GDPR možda neće obuhvatiti specifične objave potrebne prema KVKK-u.

3. Ignoriranje pravila o prekograničnom prijenosu. Slanje turskih podataka o kupcima na analitičku platformu ili pružatelja usluga u oblaku sa sjedištem u SAD-u bez valjanog mehanizma prijenosa česta je i često kažnjiva povreda.

4. Pretpostavka izuzeća za mala poduzeća bez provjere. Pojasnjenje iz siječnja 2026. jasno je pokazalo da je izuzeće uvjetovano istodobnim ispunjavanjem sva tri kriterija. [4]

5. Nepostojanje politike zadržavanja podataka. KVKK zahtijeva brisanje, uništavanje ili anonimiziranje podataka kada svrha obrade više ne postoji. Mnoge tvrtke prikupljaju podatke neograničeno bez dokumentiranog rasporeda zadržavanja.

Često postavljana pitanja

P: Je li KVKK obvezan za sva poduzeća koja posluju u Turskoj? Da, svaki subjekt koji obrađuje osobne podatke pojedinaca u Turskoj podliježe KVKK-u, bez obzira na veličinu tvrtke ili nacionalnost. VERBIS registracija je obvezna za većinu subjekata iznad praga izuzeća za mala poduzeća.

P: Koji je rok za VERBIS registraciju 2026. godine? KVKK Agencija je produžila rok za VERBIS registraciju do 5. lipnja 2026. godine za organizacije koje se kvalificiraju na temelju svojih financijskih izvještaja za 2025. godinu. [1] Organizacije koje su već ispunile prethodne pragove trebale bi već biti registrirane.

P: Može li strana tvrtka biti kažnjena prema KVKK-u? Da. KVKK Agencija ima nadležnost nad svakim voditeljem obrade podataka koji obrađuje podatke turskih stanovnika, uključujući strane tvrtke. Provedba protiv stranih subjekata je područje koje se razvija, ali pravna izloženost je stvarna.

P: Postoji li alternativa VERBIS-u za prijavu aktivnosti obrade podataka? Ne. VERBIS je jedini obvezni registar prema KVKK-u. Ne postoji alternativni mehanizam za ispunjavanje obveze registracije voditelja obrade podataka.

P: Koliko dugo traje VERBIS registracija? S integracijom e-Devleta od 1. srpnja 2026. godine, tehnički postupak može se dovršiti u nekoliko sati za jednostavne slučajeve. [3] Međutim, pripremni rad, mapiranje svih aktivnosti obrade podataka, identificiranje pravnih osnova i dokumentiranje razdoblja zadržavanja, obično traje tjednima za srednje velike organizacije.

P: Zahtijeva li KVKK službenika za zaštitu podataka (DPO)? KVKK ne propisuje formalnu ulogu službenika za zaštitu podataka ekvivalentnu zahtjevu GDPR-a. Međutim, KVKK Agencija preporučuje da voditelji obrade podataka interno imenuju odgovornu osobu za upravljanje usklađenošću.

P: Što se smatra posebnim kategorijama osobnih podataka prema KVKK-u? Posebne kategorije uključuju: rasu, etničko podrijetlo, političko mišljenje, filozofsko uvjerenje, religiju, sektu, zdravstvene podatke, seksualni život, kaznene osude, biometrijske podatke i genetske podatke. Obrada ovih kategorija zahtijeva izričit pristanak ili specifičnu pravnu osnovu.

P: Kako KVKK postupa s pristankom za kolačiće na web stranicama? Kolačići koji prikupljaju osobne podatke (analitika, identifikatori za oglašavanje) zahtijevaju valjan pristanak prema KVKK-u. Usklađeni CMP kao što je Biscotti CMP može pomoći vlasnicima web stranica u prikupljanju, pohranjivanju i upravljanju pristankom za kolačiće u skladu s obvezama KVKK-a.

P: Moraju li se javne institucije registrirati u VERBIS-u? Da. Javne institucije i organizacije moraju se registrirati u VERBIS-u. Razdoblje registracije za javne subjekte počelo je 1. travnja 2019., s rokom završetka 30. lipnja 2020. [6]

P: Što se događa ako tvrtka ažurira svoje aktivnosti obrade, ali ne ažurira VERBIS? Nepoštivanje ažuriranja VERBIS-a kako bi odražavalo trenutne aktivnosti obrade tretira se kao kršenje usklađenosti i može rezultirati administrativnim kaznama prema članku 18. KVKK-a. [5]

Zaključak: Akcijski sljedeći koraci za usklađenost s KVKK-om i VERBIS-om

Poslovanje u Turskoj zahtijeva strukturiran, specifičan pristup zaštiti podataka. KVKK se aktivno provodi, VERBIS registracija nije opcionalna za većinu organizacija, a pojašnjenja izuzeća iz siječnja 2026. su suzila, a ne proširila, izuzeća za mala poduzeća. [4]

Neposredne radnje za organizacije koje posluju u Turskoj:

Provedite mapiranje podataka. Identificirajte svaku kategoriju obrađenih osobnih podataka, njezinu svrhu, pravnu osnovu i primatelja.
Odredite obvezu VERBIS-a. Primijenite pragove broja zaposlenika i bilance kako biste potvrdili je li registracija obvezna. Ako ste u nedoumici, registrirajte se.
Registrirajte se ili ažurirajte VERBIS. Koristite VERBIS portal integriran s e-Devletom za dovršetak ili ažuriranje registracije voditelja obrade podataka. [3]
Revizija mehanizama pristanka. Osigurajte da banneri za pristanak na web stranicama i obrasci za prikupljanje podataka ispunjavaju specifične zahtjeve KVKK-a. Razmislite o implementaciji Biscotti CMP-a (www.biscotti-cmp.com) za strukturirano, revidirano upravljanje pristankom.
Pregledajte aranžmane za prekogranični prijenos. Identificirajte sve izvršitelje obrade trećih strana i usluge u oblaku koji primaju turske osobne podatke i procijenite pravnu osnovu za svaki prijenos.
Uspostavite protokol za odgovor na povredu. Dokumentirajte postupak obavijesti u roku od 72 sata i dodijelite internu odgovornost.
Angažirajte lokalnog pravnog savjetnika. Tumačenje KVKK-a se nastavlja razvijati, a turski odvjetnik za zaštitu podataka može pružiti smjernice specifične za jurisdikciju koje nijedan opći okvir usklađenosti ne može zamijeniti.

Krajolik usklađenosti za poslovanje u Turskoj brzo sazrijeva. Organizacije koje KVKK tretiraju kao zadatak za označavanje, a ne kao stalni program, naći će se izložene kako se provedba intenzivira.