Hozzájárulás és bannerek

Üzleti tevékenység Törökországban? Amit a KVKK-ról és a VERBIS-ről tudnia kell

2026. július 7. · 15 min olvasás

Rövid válasz: Törökország elsődleges adatvédelmi törvénye, a KVKK (6698. sz. törvény) minden olyan belföldi vagy külföldi szervezetre vonatkozik, amely Törökországban élő személyek személyes adatait kezeli. A VERBIS a KVKK szerinti kötelező adatkezelői nyilvántartás. A legtöbb közepes és nagy szervezetnek regisztrálnia kell a VERBIS-nél, különben közigazgatási bírsággal sújtják. 2026-tól a regisztrációs folyamat Törökország e-Devlet platformján keresztül érhető el, és a kisvállalkozásokra vonatkozó mentességi küszöbök tisztázásra kerültek.

Főbb tudnivalók

A KVKK (Kişisel Verilerin Korunması Kanunu) Törökország adatvédelmi törvénye, amelyet 2016-ban fogadtak el, és részben a GDPR elvein alapul, de sajátos helyi követelményekkel rendelkezik.
A VERBIS az online nyilvántartás, ahol az adatkezelőknek az adatkezelés megkezdése előtt be kell jelenteniük adatkezelési tevékenységeiket.
A törökországi lakosok adatait kezelő külföldi vállalatokra a KVKK vonatkozik, függetlenül attól, hogy a vállalat hol található.
1. január 12-től a 10 főnél kevesebb alkalmazottal és 10 millió TL alatti éves mérlegfőösszeggel rendelkező kis méretű adatkezelők mentesülnek a VERBIS regisztráció alól, ha elsődleges tevékenységük különleges kategóriájú adatok kezelését foglalja magában. [4]
A VERBIS regisztrációs határidejét 2026. június 5-re hosszabbították meg azoknak a szervezeteknek, amelyek a 2025-ös pénzügyi kimutatások alapján jogosultak. [1]
1. július 1-től a VERBIS szolgáltatások teljes mértékben integrálva vannak Törökország e-Devlet (e-kormányzat) platformjával. [3]
A KVKK 18. cikke szerinti meg nem felelésért jelentős közigazgatási bírságok szabhatók ki, és a KVKK hatóság aktívan érvényesíti azokat.
A KVKK szerinti hozzájárulásnak szabadon adottnak, konkrétnak, tájékozottnak és egyértelműnek kell lennie; a Hozzájárulás-kezelő Platform (CMP) praktikus eszköz a webes megfelelőséghez.

Mi az a KVKK? Törökország adatvédelmi törvényének magyarázata

A KVKK (Kişisel Verilerin Korunması Kanunu, 6698. sz. törvény) Törökország átfogó személyes adatvédelmi törvénye, amelyet 2016. április 7-én fogadtak el. Szabályozza, hogy az adatkezelők és adatfeldolgozók hogyan gyűjtik, tárolják, kezelik, továbbítják és törlik a személyes adatokat Törökországban.

A törvény létrehozta a Személyes Adatvédelmi Hatóságot (Kişisel Verileri Koruma Kurumu, rövidítve KVKK), amely a végrehajtásért, útmutatásért és a VERBIS nyilvántartásért felelős független felügyeleti szerv.

A KVKK alapelvei a következők:

Jogosság, tisztességesség és átláthatóság
Célhoz kötöttség (az adatok csak meghatározott, kifejezett célokra gyűjthetők)
Adatminimalizálás
Pontosság és az adatok naprakészen tartása
Tárolási korlátozás (az adatok nem tárolhatók tovább a szükségesnél)
Adatintegritás és bizalmas kezelés

Minden olyan entitás, amely meghatározza a személyes adatok kezelésének céljait és eszközeit, "adatkezelőnek" minősül a KVKK értelmében, és viseli az elsődleges megfelelőségi kötelezettségeket.

KVKK vs. GDPR: Főbb különbségek és a megfelelőség átfedése

A KVKK strukturális DNS-e megegyezik az EU GDPR-jével, de a két keretrendszer több, működésileg jelentős módon eltér. Azok a szervezetek, amelyek már GDPR-kompatibilisek, nem feltételezhetik az automatikus KVKK-kompatibilitást.

Dimenzió	KVKK (Törökország)	GDPR (EU)
Elfogadva	2016	2018 (végrehajtás)
Felügyeleti szerv	KVKK Hatóság	Nemzeti adatvédelmi hatóságok tagállamonként
Adatnyilvántartás	VERBIS (a legtöbb számára kötelező)	Nincs egyenértékű kötelező nyilvántartás
Adattovábbítás külföldre	Kifejezett hozzájárulás vagy megfelelőség szükséges	Megfelelőségi határozatok vagy SCC-k
Adatvédelmi tisztviselő (DPO) követelmény	Nincs hivatalos DPO megbízás	Bizonyos esetekben kötelező
Adatszivárgás bejelentése	72 óra a hatóságnak	72 óra a hatóságnak

Főbb eltérés: A KVKK megköveteli az adatkezelőktől, hogy regisztráljanak a VERBIS-nél, és proaktívan jelentsék be adatkezelési tevékenységeiket. A GDPR nem ír elő hasonló nyilvános nyilvántartási kötelezettséget. Ezenkívül a KVKK határokon átnyúló adattovábbítási szabályai a gyakorlatban korlátozóbbak, mivel vagy az érintett kifejezett hozzájárulását, vagy hivatalos megfelelőségi határozatot igényelnek, és Törökország nem kapott EU megfelelőségi státuszt.

"A GDPR megfelelőség hasznos alap, de a törökországi üzleti tevékenységhez külön KVKK megfelelőségi réteg szükséges, különösen a VERBIS regisztráció és a határokon átnyúló adattovábbítási szabályok tekintetében."

Mi az a VERBIS és hogyan működik?

A VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) a KVKK Hatóság által fenntartott online nyilvántartás, ahol az adatkezelőknek regisztrálniuk kell, és be kell jelenteniük személyes adatkezelési tevékenységeiket az adatkezelés megkezdése előtt. Gondoljon rá úgy, mint egy nyilvános leltárra arról, hogy ki milyen adatokat kezel, milyen célból és milyen adatmegőrzési szabályzat szerint.

Hogyan működik a VERBIS a gyakorlatban:

Az adatkezelő fiókot hoz létre a VERBIS portálon (2026. július 1-től Törökország e-Devlet platformján keresztül érhető el). [3]
Az adatkezelő bejelenti az egyes kezelt személyes adatkategóriákat, az adatkezelés célját, jogalapját, adatkategóriáit, címzettcsoportjait és megőrzési időtartamait.
A bejelentéseket benyújtják, és azok a nyilvános nyilvántartás részévé válnak.
Az adatkezelési tevékenységekben bekövetkezett bármilyen változást haladéktalanul frissíteni kell a VERBIS-ben.
A regisztráció vagy frissítés elmulasztása a KVKK 18. cikke szerinti büntetéseket von maga után. [5]
július 1-jén a KVKK Hatóság közzétette a "Sorularla VERBİS" útmutató dokumentum és a hivatalos VERBİS Kılavuzu (felhasználói útmutató) frissített változatát is, hogy segítse az adatkezelőket a regisztrációs kötelezettségek teljesítésében. [2]

Szükséges-e a külföldi vállalatoknak a KVKK megfelelőség?

Igen. A KVKK minden olyan adatkezelőre vonatkozik, amely Törökországban élő személyek személyes adatait kezeli, függetlenül attól, hogy az adatkezelő hol van bejegyezve vagy hol található. Egy török ügyfelekkel rendelkező német SaaS vállalat, egy Törökországba szállító amerikai e-kereskedelmi platform, vagy egy török fogyasztókat célzó kampányokat futtató brit marketingügynökség mind a KVKK hatálya alá tartozik.

Gyakorlati következmények a külföldi vállalatok számára:

Helyi képviselőt kell kijelölni Törökországban, ha nincs fizikai jelenlétük (bár a törvény végrehajtása ezen a ponton folyamatosan fejlődik, konzultáljon helyi jogi tanácsadóval).
Meg kell felelni a VERBIS regisztrációs követelményeknek, kivéve, ha különleges mentesség vonatkozik rájuk.
A Törökországból történő határokon átnyúló adattovábbításokhoz vagy az érintett kifejezett hozzájárulása, vagy hivatalos megfelelőségi mechanizmus szükséges, amelyek közül egyik sem egyszerű a legtöbb nem EU-s célállomás esetében.

Gyakori hiba: Külföldi vállalatok feltételezik, hogy a GDPR megfelelőség vagy egy általános adatvédelmi szabályzat lefedi a török felhasználói bázisukat. A KVKK joghatóság-specifikus közzétételeket, hozzájárulási mechanizmusokat és nyilvántartási bejelentéseket igényel.

VERBIS regisztrációs követelmények: Kinek kell regisztrálnia és hogyan

A legtöbb adatkezelőnek, amely meghaladja a kisvállalkozásokra vonatkozó mentességi küszöböt, regisztrálnia kell a VERBIS-nél. A kötelezettség mind a magánszektorbeli entitásokra, mind a közintézményekre vonatkozik. [6]

Regisztráció szükséges, ha az adatkezelő:

50 vagy több alkalmazottal rendelkezik (teljes munkaidős egyenérték), VAGY
Éves mérlegfőösszege meghaladja a 25 millió TL-t, VAGY
Különleges kategóriájú személyes adatokat kezel (egészségügyi, biometrikus, bűnügyi nyilvántartások stb.) mérettől függetlenül, kivéve, ha a kisvállalkozásokra vonatkozó mentesség alkalmazandó (lásd alább).

Start-upok és növekvő vállalatok számára: A küszöb az éves alkalmazotti létszám és a mérlegadatok alapján kerül meghatározásra. Egy start-up, amely egy adott évben átlépi az 50 alkalmazotti határt vagy a mérlegküszöböt, köteles regisztrálni. A regisztrációt az új küszöb szerinti adatkezelés megkezdése előtt kell elvégezni, nem pedig visszamenőlegesen az év végén.

Lépésről lépésre VERBIS regisztrációs folyamat:

Jelentkezzen be a VERBIS portálra az e-Devlet (e-kormányzati átjáró) segítségével KEP (regisztrált elektronikus levél) címmel vagy meghatalmazott aláírói adatokkal. [3]
Töltse ki az adatkezelő profilját (cégnév, jogi forma, elérhetőségek, meghatalmazott képviselő).
Hozzon létre egy "adatkezelési tevékenység" bejegyzést minden egyes kezelt személyes adatkategóriához.
Minden tevékenységhez jelentse be: adatkategória, cél, jogalap, érintett csoport, címzettek és megőrzési időtartam.
Küldje be és kapjon VERBIS regisztrációs számot.
Frissítse a nyilvántartást, amikor az adatkezelési tevékenységek lényegesen megváltoznak.

KVKK mentességek: Kisvállalkozások és mely adatokra nem terjed ki

Nem minden szervezetnek kell regisztrálnia a VERBIS-nél. 2026. január 12-én a KVKK Hatóság tisztázta a kis méretű adatkezelőkre vonatkozó mentességi kritériumokat. [4]

A mentesség akkor alkalmazandó, ha MINDHÁROM feltétel teljesül:

Kevesebb mint 10 alkalmazott
Éves mérlegfőösszeg 10 millió TL alatt
Elsődleges tevékenység különleges kategóriájú személyes adatok kezelését foglalja magában (a mentességet kifejezetten kis egészségügyi szolgáltatók, klinikák és hasonló entitások számára tervezték)

A CMS Law által közzétett jogi elemzés megjegyzi, hogy ez a mentesség szűkebb, mint amilyennek elsőre tűnhet, nem egy általános kisvállalkozási kivétel, hanem kifejezetten azokra az entitásokra irányul, amelyek alaptevékenysége érzékeny adatkategóriákat foglal magában. [7] Az Erdem & Erdem tovább tisztázta ezeknek az új mentességeknek az alkalmazási elveit. [8]

A KVKK által nem fedett adatkategóriák:

Anonimizált adatok (ahol az újraazonosítás lehetetlen)
Kizárólag személyes vagy háztartási célokra kezelt adatok (nincs kereskedelmi tevékenység)
Bírósági hatóságok által büntetőeljárások céljából kezelt adatok (külön jogszabályok szabályozzák)

Határeset: A pszeudonimizált adatok továbbra is személyes adatoknak minősülnek a KVKK értelmében, ha az adatkezelő megőrzi az egyének újraazonosításának eszközeit. Ne kezelje a pszeudonimizálást az anonimizálással egyenértékűnek a megfelelőségi célokból.

KVKK hozzájárulási követelmények az ügyféladatokhoz

A KVKK értelmében az érvényes hozzájárulásnak szabadon adottnak, konkrétnak, tájékozottnak és egyértelműnek kell lennie. A hozzájárulás nem köthető a szolgáltatási feltételek elfogadásához, és az előre bejelölt négyzetek nem minősülnek érvényes hozzájárulásnak.

A hozzájárulásnak a következőnek kell lennie:

Szabadon adott: Nincs kényszer vagy szolgáltatás-hozzáférés feltételezése a hozzájáruláshoz
Konkrét: Meghatározott célhoz kötött, nem általános felhatalmazás
Tájékozott: Az érintettnek tudnia kell, ki gyűjti az adatokat és miért
Egyértelmű: Aktív cselekvést igényel (kattintás, aláírás, jelölőnégyzet)

Weboldalak és digitális platformok esetében a megfelelő Hozzájárulás-kezelő Platform bevezetése a legpraktikusabb megközelítés. A Biscotti CMP célja, hogy segítse a weboldal-tulajdonosokat és vállalatokat a hozzájárulásgyűjtés kezelésében a KVKK és más adatvédelmi keretrendszerekkel összhangban, auditálható nyomvonalakat és részletes hozzájárulási nyilvántartásokat biztosítva.

Kifejezett hozzájárulás szükséges továbbá a különleges kategóriájú személyes adatok (egészségügyi, biometrikus, genetikai, bűnügyi nyilvántartások stb.) és a határokon átnyúló adattovábbítások esetében, ahol nincs megfelelőségi mechanizmus.

KVKK büntetések és bírságok a meg nem felelésért

A KVKK végrehajtása nem elméleti. A KVKK Hatóság bírságokat szabott ki mind belföldi, mind külföldi entitásokra. A büntetéseket a törvény 18. cikke szabályozza.

Közigazgatási bírság kategóriák a 18. cikk szerint:

A közzétételi kötelezettségek elmulasztása: 9 027 TL-től 180 536 TL-ig (hozzávetőleges 2024-es sáv; az összegeket évente frissítik az infláció miatt)
Az adatbiztonság biztosításának elmulasztása: 45 135 TL-től 9 027 000 TL-ig
A KVKK Hatóság döntéseinek be nem tartása: 45 135 TL-től 9 027 000 TL-ig
A VERBIS-nél való regisztráció elmulasztása vagy a VERBIS frissítésének elmulasztása: 39 337 TL-től 1 966 862 TL-ig

Megjegyzés: A bírságok összegeit évente indexelik, és a fenti adatok a közzétett 2024-es sávokat tükrözik. Ellenőrizze az aktuális adatokat a KVKK Hatóságnál vagy török jogi tanácsadóval a 2026-os végrehajtási intézkedésekhez.

Büntetőjogi felelősség bizonyos jogsértések (jogellenes adatkezelés, adatok törlésének elmulasztása) esetén szabadságvesztést vonhat maga után a török büntető törvénykönyv szerint, ami a GDPR végrehajtási eszköztárából hiányzó dimenzió.

KVKK adatvédelmi incidens bejelentési szabályok

A KVKK értelmében az adatkezelőknek 72 órán belül értesíteniük kell a KVKK Hatóságot, amint tudomást szereznek egy személyes adatvédelmi incidensről. Ha az incidens valószínűleg hátrányosan érinti az érintetteket, az érintetteket is haladéktalanul értesíteni kell.

Incidens bejelentési ellenőrzőlista:

Az incidens azonosítása és elhárítása
Az incidens hatókörének és az érintettekre gyakorolt valószínű hatásának felmérése
A KVKK Hatóság értesítése 72 órán belül a hivatalos bejelentési űrlapon keresztül
Az incidens belső dokumentálása (mi történt, milyen adatok érintettek, helyreállítási lépések)
Az érintettek értesítése, ha nagy a kár kockázata

A szükséges határidőn belüli értesítés elmulasztása önmagában is szankcionálható jogsértés a 18. cikk szerint.

Gyakori KVKK megfelelőségi hibák, amelyeket a vállalkozások elkövetnek

1. A VERBIS egyszeri feladatként kezelése. A VERBIS bejegyzéseket frissíteni kell, amikor az adatkezelési tevékenységek megváltoznak. Egy új CRM beszerzése, egy új marketingkampány indítása különböző adatkategóriákkal, vagy egy új adatfeldolgozó bevonása mind potenciálisan VERBIS frissítéseket igényel.

2. A GDPR hozzájárulásra támaszkodás a török felhasználók esetében. A KVKK hozzájárulási követelményei helyi árnyalatokkal rendelkeznek. A GDPR-ra optimalizált hozzájárulási banner nem feltétlenül rögzíti a KVKK által előírt specifikus közzétételeket.

3. A határokon átnyúló adattovábbítási szabályok figyelmen kívül hagyása. A török ügyféladatok továbbítása egy amerikai alapú analitikai platformra vagy felhőszolgáltatóhoz érvényes átviteli mechanizmus nélkül gyakori és gyakran büntetett jogsértés.

4. A kisvállalkozási mentesség feltételezése ellenőrzés nélkül. A 2026. januári tisztázás egyértelművé tette, hogy a mentesség mindhárom kritérium egyidejű teljesülésétől függ. [4]

5. Nincs adatmegőrzési szabályzat. A KVKK megköveteli az adatok törlését, megsemmisítését vagy anonimizálását, amikor az adatkezelés célja már nem áll fenn. Sok vállalkozás dokumentált megőrzési ütemterv nélkül gyűjt adatokat határozatlan ideig.

GYIK

K: Kötelező-e a KVKK minden Törökországban működő vállalkozás számára? Igen, minden olyan entitás, amely Törökországban élő személyek személyes adatait kezeli, a KVKK hatálya alá tartozik, függetlenül a cég méretétől vagy nemzetiségétől. A VERBIS regisztráció kötelező a legtöbb entitás számára, amely meghaladja a kisvállalkozásokra vonatkozó mentességi küszöböt.

K: Mi a VERBIS regisztrációs határideje 2026-ban? A KVKK Hatóság 2026. június 5-re hosszabbította meg a VERBIS regisztrációs határidejét azoknak a szervezeteknek, amelyek a 2025-ös pénzügyi kimutatásaik alapján jogosultak. [1] Azoknak a szervezeteknek, amelyek már korábban teljesítették a küszöbértékeket, már regisztráltnak kell lenniük.

K: Büntethető-e egy külföldi vállalat a KVKK szerint? Igen. A KVKK Hatóság joghatósággal rendelkezik minden olyan adatkezelő felett, amely török lakosok adatait kezeli, beleértve a külföldi vállalatokat is. A külföldi entitások elleni végrehajtás egy fejlődő terület, de a jogi kitettség valós.

K: Van-e alternatívája a VERBIS-nek az adatkezelési tevékenységek bejelentésére? Nincs. A VERBIS az egyetlen kötelező nyilvántartás a KVKK szerint. Nincs alternatív mechanizmus az adatkezelői regisztrációs kötelezettség teljesítésére.

K: Mennyi ideig tart a VERBIS regisztráció? Az e-Devlet integrációval 2026. július 1-től a technikai folyamat néhány óra alatt elvégezhető egyszerű esetekben. [3] Azonban az előkészítő munka, az összes adatkezelési tevékenység feltérképezése, a jogalapok azonosítása és a megőrzési időtartamok dokumentálása általában hetekig tart a közepes méretű szervezetek számára.

K: A KVKK megköveteli-e adatvédelmi tisztviselő (DPO) kijelölését? A KVKK nem ír elő hivatalos DPO szerepet, amely egyenértékű lenne a GDPR követelményével. Azonban a KVKK Hatóság javasolja, hogy az adatkezelők jelöljenek ki egy felelős személyt házon belül a megfelelőség kezelésére.

K: Mi minősül különleges kategóriájú személyes adatnak a KVKK szerint? A különleges kategóriák közé tartozik: a faj, etnikai származás, politikai vélemény, filozófiai meggyőződés, vallás, szekta, egészségügyi adatok, szexuális élet, büntetőítéletek, biometrikus adatok és genetikai adatok. Ezen kategóriák kezeléséhez kifejezett hozzájárulás vagy specifikus jogalap szükséges.

K: Hogyan kezeli a KVKK a cookie-hozzájárulást a weboldalakon? Azok a cookie-k, amelyek személyes adatokat gyűjtenek (analitika, hirdetési azonosítók), érvényes hozzájárulást igényelnek a KVKK szerint. Egy megfelelő CMP, mint például a Biscotti CMP, segíthet a weboldal-tulajdonosoknak a cookie-hozzájárulás rögzítésében, tárolásában és kezelésében a KVKK kötelezettségeivel összhangban.

K: Kötelező-e a közintézményeknek regisztrálni a VERBIS-nél? Igen. A közintézményeknek és szervezeteknek regisztrálniuk kell a VERBIS-nél. A közintézmények regisztrációs időszaka 2019. április 1-jén kezdődött, a befejezési határidő 2020. június 30. volt. [6]

K: Mi történik, ha egy vállalat frissíti adatkezelési tevékenységeit, de nem frissíti a VERBIS-t? A VERBIS frissítésének elmulasztása az aktuális adatkezelési tevékenységek tükrözésére megfelelőségi jogsértésnek minősül, és közigazgatási bírságokat vonhat maga után a KVKK 18. cikke szerint. [5]

Összefoglalás: Cselekvési lépések a KVKK és VERBIS megfelelőséghez

A törökországi üzleti tevékenységhez strukturált, joghatóság-specifikus megközelítés szükséges az adatvédelemhez. A KVKK-t aktívan érvényesítik, a VERBIS regisztráció a legtöbb szervezet számára nem opcionális, és a 2026. januári mentességi tisztázások szűkítették, nem pedig bővítették a kisvállalkozásokra vonatkozó kivételeket. [4]

A Törökországban működő szervezetek azonnali teendői:

Végezzen adatfeltérképezési gyakorlatot. Azonosítsa az összes kezelt személyes adatkategóriát, annak célját, jogalapját és címzettjét.
Határozza meg a VERBIS kötelezettséget. Alkalmazza az alkalmazotti létszámra és a mérlegküszöbökre vonatkozó küszöbértékeket annak megerősítésére, hogy szükséges-e a regisztráció. Kétség esetén regisztráljon.
Regisztráljon vagy frissítse a VERBIS-t. Használja az e-Devlet-integrált VERBIS portált az adatkezelői regisztráció befejezéséhez vagy frissítéséhez. [3]
Auditálja a hozzájárulási mechanizmusokat. Győződjön meg arról, hogy a weboldal hozzájárulási bannerei és adatgyűjtési űrlapjai megfelelnek a KVKK specifikus követelményeinek. Fontolja meg a Biscotti CMP (www.biscotti-cmp.com) bevezetését a strukturált, auditálható hozzájárulás-kezeléshez.
Tekintse át a határokon átnyúló adattovábbítási megállapodásokat. Azonosítsa az összes harmadik fél adatfeldolgozót és felhőszolgáltatást, amelyek török személyes adatokat kapnak, és értékelje az egyes továbbítások jogalapját.
Hozzon létre incidensreagálási protokollt. Dokumentálja a 72 órás értesítési eljárást, és jelöljön ki belső felelősséget.
Vegyen igénybe helyi jogi tanácsadót. A KVKK értelmezése folyamatosan fejlődik, és egy török adatvédelmi ügyvéd joghatóság-specifikus útmutatást tud nyújtani, amelyet semmilyen általános megfelelőségi keretrendszer nem helyettesíthet.

A törökországi üzleti tevékenység megfelelőségi környezete gyorsan érik. Azok a szervezetek, amelyek a KVKK-t egy pipálható feladatként kezelik, nem pedig folyamatos programként, ki lesznek téve a kockázatoknak, ahogy a végrehajtás intenzívebbé válik.