Persetujuan & Banner

Berbisnis di Turki? Apa yang Perlu Anda Ketahui Tentang KVKK dan VERBIS

7 Juli 2026 · 15 min baca

Jawaban Cepat: Undang-undang perlindungan data utama Turki, KVKK (Undang-Undang No. 6698), berlaku untuk setiap organisasi, domestik atau asing, yang memproses data pribadi individu di Turki. VERBIS adalah registri pengendali data yang wajib di bawah KVKK. Sebagian besar organisasi menengah hingga besar harus mendaftar dengan VERBIS atau menghadapi denda administratif. Mulai tahun 2026, proses pendaftaran dapat diakses melalui platform e-Devlet Turki, dan ambang pengecualian untuk usaha kecil telah diperjelas.

Poin-Poin Utama

KVKK (Kişisel Verilerin Korunması Kanunu) adalah undang-undang perlindungan data Turki, yang disahkan pada tahun 2016 dan sebagian dimodelkan berdasarkan prinsip GDPR, tetapi dengan persyaratan lokal yang berbeda.
VERBIS adalah registri online di mana pengendali data harus menyatakan aktivitas pemrosesan data mereka sebelum pemrosesan dimulai.
Perusahaan asing yang memproses data penduduk Turki tunduk pada KVKK, terlepas dari lokasi perusahaan tersebut.
Mulai 12 Januari 2026, pengendali data berskala kecil dengan kurang dari 10 karyawan dan neraca tahunan di bawah 10 juta TL dibebaskan dari pendaftaran VERBIS jika aktivitas utama mereka melibatkan data kategori khusus. [4]
Batas waktu pendaftaran VERBIS diperpanjang hingga 5 Juni 2026 untuk organisasi yang memenuhi syarat berdasarkan laporan keuangan 2025. [1]
Mulai 1 Juli 2026, layanan VERBIS sepenuhnya terintegrasi dengan platform e-Devlet (e-Pemerintah) Turki. [3]
Sanksi ketidakpatuhan berdasarkan Pasal 18 KVKK dapat mencapai denda administratif yang signifikan, dan otoritas KVKK secara aktif menegakkannya.
Persetujuan di bawah KVKK harus diberikan secara bebas, spesifik, terinformasi, dan tidak ambigu; Platform Manajemen Persetujuan (CMP) adalah alat praktis untuk kepatuhan berbasis web.

Apa Itu KVKK? Penjelasan tentang Undang-Undang Perlindungan Data Turki

KVKK (Kişisel Verilerin Korunması Kanunu, Undang-Undang No. 6698) adalah undang-undang perlindungan data pribadi yang komprehensif di Turki, yang disahkan pada 7 April 2016. Undang-undang ini mengatur bagaimana data pribadi dikumpulkan, disimpan, diproses, dipindahkan, dan dihapus oleh pengendali dan pemroses data yang beroperasi di Turki.

Undang-undang ini mendirikan Otoritas Perlindungan Data Pribadi (Kişisel Verileri Koruma Kurumu, juga disingkat KVKK), badan pengawas independen yang bertanggung jawab untuk penegakan, panduan, dan registri VERBIS.

Prinsip inti di bawah KVKK meliputi:

Kewajaran, keadilan, dan transparansi
Pembatasan tujuan (data yang dikumpulkan hanya untuk tujuan yang ditentukan dan eksplisit)
Minimasi data
Akurasi dan menjaga data tetap terkini
Pembatasan penyimpanan (data disimpan tidak lebih lama dari yang diperlukan)
Integritas dan kerahasiaan

Setiap entitas yang menentukan tujuan dan cara pemrosesan data pribadi memenuhi syarat sebagai "pengendali data" di bawah KVKK dan memikul kewajiban kepatuhan utama.

KVKK vs. GDPR: Perbedaan Kunci dan Tumpang Tindih Kepatuhan

KVKK memiliki DNA struktural yang sama dengan GDPR Uni Eropa, tetapi kedua kerangka tersebut berbeda dalam beberapa cara yang signifikan secara operasional. Organisasi yang sudah mematuhi GDPR tidak boleh menganggap kepatuhan KVKK otomatis.

Dimensi	KVKK (Turki)	GDPR (UE)
Disahkan	2016	2018 (penegakan)
Badan pengawas	Otoritas KVKK	DPA nasional per negara anggota
Registri data	VERBIS (wajib untuk sebagian besar)	Tidak ada registri wajib yang setara
Transfer data ke luar negeri	Memerlukan persetujuan eksplisit atau kecukupan	Keputusan kecukupan atau SCC
Persyaratan DPO	Tidak ada mandat DPO formal	Wajib dalam kasus tertentu
Pemberitahuan pelanggaran	72 jam ke otoritas	72 jam ke otoritas

Perbedaan kunci: KVKK mengharuskan pengendali data untuk mendaftar dengan VERBIS dan menyatakan aktivitas pemrosesan mereka secara proaktif. GDPR tidak memiliki kewajiban registri publik yang setara. Selain itu, aturan transfer data lintas batas KVKK lebih ketat dalam praktiknya, memerlukan persetujuan eksplisit dari subjek data atau keputusan kecukupan formal, dan Turki belum diberikan status kecukupan oleh UE.

"Kepatuhan GDPR adalah dasar yang berguna, tetapi berbisnis di Turki memerlukan lapisan kepatuhan KVKK yang terpisah, terutama terkait pendaftaran VERBIS dan aturan transfer lintas batas."

Apa Itu VERBIS dan Bagaimana Cara Kerjanya?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) adalah registri online yang dikelola oleh Otoritas KVKK di mana pengendali data harus mendaftar dan menyatakan aktivitas pemrosesan data pribadi mereka sebelum pemrosesan dimulai. Anggap saja sebagai inventaris yang terlihat publik tentang siapa yang memproses data apa, untuk tujuan apa, dan berdasarkan kebijakan penyimpanan apa.

Cara VERBIS bekerja dalam praktik:

Pengendali data membuat akun di portal VERBIS (sekarang dapat diakses melalui platform e-Devlet Turki mulai 1 Juli 2026). [3]
Pengendali menyatakan setiap kategori data pribadi yang diproses, tujuan pemrosesan, dasar hukum, kategori data, kelompok penerima, dan periode penyimpanan.
Pernyataan diajukan dan menjadi bagian dari registri publik.
Setiap perubahan pada aktivitas pemrosesan harus segera diperbarui di VERBIS.
Kegagalan untuk mendaftar atau memperbarui memicu sanksi berdasarkan Pasal 18 KVKK. [5]

Pada 1 Juli 2026, Otoritas KVKK juga merilis versi terbaru dari dokumen panduan "Sorularla VERBİS" dan VERBİS Kılavuzu (panduan pengguna) untuk membantu pengendali data menavigasi kewajiban pendaftaran. [2]

Apakah Perusahaan Asing Perlu Mematuhi KVKK?

Ya. KVKK berlaku untuk setiap pengendali data yang memproses data pribadi individu yang berada di Turki, terlepas dari di mana pengendali tersebut didirikan atau berbasis. Perusahaan SaaS Jerman dengan pelanggan Turki, platform e-commerce AS yang mengirim ke Turki, atau agensi pemasaran Inggris yang menjalankan kampanye yang menargetkan konsumen Turki, semuanya berada dalam lingkup KVKK.

Implikasi praktis bagi perusahaan asing:

Harus menunjuk perwakilan lokal di Turki jika mereka tidak memiliki kehadiran fisik (meskipun pelaksanaan undang-undang ini terus berkembang, konsultasikan dengan penasihat hukum lokal).
Harus mematuhi persyaratan pendaftaran VERBIS kecuali ada pengecualian tertentu yang berlaku.
Transfer data lintas batas keluar dari Turki memerlukan persetujuan eksplisit dari subjek data atau mekanisme kecukupan formal, yang tidak mudah untuk sebagian besar tujuan non-UE.

Kesalahan umum: Perusahaan asing yang menganggap bahwa kepatuhan GDPR atau kebijakan privasi umum mencakup basis pengguna Turki mereka. KVKK memerlukan pengungkapan, mekanisme persetujuan, dan pernyataan registri yang spesifik untuk yurisdiksi.

Persyaratan Pendaftaran VERBIS: Siapa yang Harus Mendaftar dan Bagaimana

Sebagian besar pengendali data di atas ambang pengecualian usaha kecil diwajibkan untuk mendaftar dengan VERBIS. Kewajiban ini berlaku untuk entitas sektor swasta dan institusi publik. [6]

Pendaftaran diwajibkan jika pengendali data:

Memiliki 50 atau lebih karyawan (setara penuh waktu), ATAU
Memiliki total neraca keuangan tahunan melebihi 25 juta TL, ATAU
Memproses kategori data pribadi khusus (kesehatan, biometrik, catatan kriminal, dll.) terlepas dari ukuran, kecuali pengecualian berskala kecil berlaku (lihat di bawah).

Untuk startup dan perusahaan yang berkembang: Ambang batas didasarkan pada jumlah karyawan tahunan dan angka neraca. Startup yang melewati batas 50 karyawan atau ambang neraca dalam tahun tertentu menjadi wajib untuk mendaftar. Pendaftaran harus diselesaikan sebelum pemrosesan dimulai di bawah ambang baru, tidak secara retroaktif di akhir tahun.

Proses pendaftaran VERBIS langkah demi langkah:

Masuk ke portal VERBIS melalui e-Devlet (gerbang e-Pemerintah) menggunakan alamat KEP (surat elektronik terdaftar) atau kredensial penandatangan yang berwenang. [3]
Lengkapi profil pengendali data (nama perusahaan, bentuk hukum, detail kontak, perwakilan yang berwenang).
Buat entri "aktivitas pemrosesan" untuk setiap kategori data pribadi yang diproses.
Untuk setiap aktivitas, nyatakan: kategori data, tujuan, dasar hukum, kelompok subjek data, penerima, dan periode penyimpanan.
Ajukan dan terima nomor pendaftaran VERBIS.
Perbarui registri setiap kali aktivitas pemrosesan berubah secara material.

Pengecualian KVKK: Usaha Kecil dan Data Apa yang Tidak Dicakup

Tidak setiap organisasi harus mendaftar dengan VERBIS. Pada 12 Januari 2026, Otoritas KVKK memperjelas kriteria pengecualian untuk pengendali data berskala kecil. [4]

Pengecualian berlaku ketika SEMUA tiga kondisi terpenuhi:

Kurang dari 10 karyawan
Total neraca tahunan di bawah 10 juta TL
Aktivitas utama melibatkan pemrosesan kategori data pribadi khusus (pengecualian ini dirancang khusus untuk penyedia layanan kesehatan kecil, klinik, dan entitas serupa)

Analisis hukum yang diterbitkan oleh CMS Law mencatat bahwa pengecualian ini lebih sempit daripada yang mungkin terlihat pada awalnya, ini bukan pengecualian usaha kecil secara umum tetapi secara khusus menargetkan entitas yang bisnis intinya melibatkan kategori data sensitif. [7] Erdem & Erdem lebih lanjut memperjelas prinsip penerapan pengecualian baru ini. [8]

Kategori data yang tidak dicakup oleh KVKK:

Data yang dianonimkan (di mana re-identifikasi tidak mungkin)
Data yang diproses murni untuk tujuan pribadi atau rumah tangga (tanpa aktivitas komersial)
Data yang diproses oleh otoritas yudisial untuk proses pidana (diatur oleh undang-undang terpisah)

Kasus pinggir: Data yang dipseudonimkan masih dianggap sebagai data pribadi di bawah KVKK jika pengendali mempertahankan cara untuk mengidentifikasi kembali individu. Jangan anggap pseudonimisasi setara dengan anonimisasi untuk tujuan kepatuhan.

Persyaratan Persetujuan KVKK untuk Data Pelanggan

Di bawah KVKK, persetujuan yang sah harus diberikan secara bebas, spesifik, terinformasi, dan tidak ambigu. Persetujuan tidak dapat digabungkan dengan penerimaan syarat layanan, dan kotak yang sudah dicentang sebelumnya tidak dianggap sebagai persetujuan yang sah.

Persetujuan harus:

Diberikan secara bebas: Tidak ada paksaan atau syarat akses layanan pada persetujuan
Spesifik: Terikat pada tujuan yang ditentukan, bukan otorisasi umum
Terinformasi: Subjek data harus tahu siapa yang mengumpulkan data dan mengapa
Tidak ambigu: Memerlukan tindakan afirmatif (klik, tanda tangan, kotak centang)

Untuk situs web dan platform digital, menerapkan Platform Manajemen Persetujuan yang sesuai adalah pendekatan yang paling praktis. Biscotti CMP dirancang untuk membantu pemilik situs web dan perusahaan mengelola pengumpulan persetujuan dengan cara yang sesuai dengan KVKK dan kerangka perlindungan data lainnya, menyediakan jejak audit dan catatan persetujuan yang terperinci.

Persetujuan eksplisit juga diperlukan untuk kategori data pribadi khusus (kesehatan, biometrik, genetik, catatan kriminal, dll.) dan untuk transfer data lintas batas di mana tidak ada mekanisme kecukupan yang ada.

Denda dan Sanksi KVKK untuk Ketidakpatuhan

Penegakan KVKK bukanlah hal yang teoritis. Otoritas KVKK telah mengeluarkan denda terhadap entitas domestik dan asing. Sanksi diatur oleh Pasal 18 undang-undang.

Kategori denda administratif di bawah Pasal 18:

Kegagalan untuk memenuhi kewajiban pengungkapan: 9,027 TL hingga 180,536 TL (bracket perkiraan 2024; jumlah diperbarui setiap tahun untuk inflasi)
Kegagalan untuk memastikan keamanan data: 45,135 TL hingga 9,027,000 TL
Kegagalan untuk mematuhi keputusan Otoritas KVKK: 45,135 TL hingga 9,027,000 TL
Kegagalan untuk mendaftar dengan VERBIS atau kegagalan untuk memperbarui VERBIS: 39,337 TL hingga 1,966,862 TL

Catatan: Jumlah denda diindeks setiap tahun dan angka di atas mencerminkan bracket yang diterbitkan untuk tahun 2024. Verifikasi angka terkini dengan Otoritas KVKK atau penasihat hukum Turki untuk tindakan penegakan tahun 2026.

Tanggung jawab pidana untuk pelanggaran tertentu (pemrosesan yang tidak sah, kegagalan untuk menghapus data) dapat mengakibatkan penjara berdasarkan Kitab Undang-Undang Hukum Pidana Turki, dimensi yang tidak ada dalam alat penegakan GDPR.

Aturan Pemberitahuan Pelanggaran Data KVKK

Di bawah KVKK, pengendali data harus memberitahukan Otoritas KVKK dalam waktu 72 jam setelah menyadari adanya pelanggaran data pribadi. Jika pelanggaran tersebut kemungkinan akan berdampak negatif pada subjek data, individu tersebut juga harus diberitahu dengan cepat.

Daftar periksa pemberitahuan pelanggaran:

Identifikasi dan kendalikan pelanggaran
Evaluasi cakupan dan kemungkinan dampak pada subjek data
Beritahu Otoritas KVKK dalam waktu 72 jam melalui formulir pemberitahuan resmi
Dokumentasikan pelanggaran secara internal (apa yang terjadi, data apa yang terpengaruh, langkah-langkah perbaikan)
Beritahu subjek data yang terkena jika ada risiko tinggi terhadap kerugian

Kegagalan untuk memberitahu dalam jangka waktu yang diperlukan merupakan pelanggaran yang dapat dikenakan sanksi berdasarkan Pasal 18.

Kesalahan Umum Kepatuhan KVKK yang Dilakukan Bisnis

1. Menganggap VERBIS sebagai tugas sekali saja. Entri VERBIS harus diperbarui setiap kali aktivitas pemrosesan berubah. Mengakuisisi CRM baru, meluncurkan kampanye pemasaran baru dengan kategori data yang berbeda, atau mengontrak pemroses data baru semuanya berpotensi memerlukan pembaruan VERBIS.

2. Mengandalkan persetujuan GDPR untuk pengguna Turki. Persyaratan persetujuan KVKK memiliki nuansa lokal. Banner persetujuan yang dioptimalkan untuk GDPR mungkin tidak menangkap pengungkapan spesifik yang diperlukan di bawah KVKK.

3. Mengabaikan aturan transfer lintas batas. Mengirim data pelanggan Turki ke platform analitik berbasis AS atau penyedia cloud tanpa mekanisme transfer yang valid adalah pelanggaran umum yang sering dikenakan sanksi.

4. Menganggap pengecualian usaha kecil tanpa verifikasi. Klarifikasi Januari 2026 menjelaskan bahwa pengecualian bersyarat pada ketiga kriteria harus terpenuhi secara bersamaan. [4]

5. Tidak memiliki kebijakan retensi data. KVKK mengharuskan data dihapus, dihancurkan, atau dianonimkan ketika tujuan pemrosesan tidak lagi ada. Banyak bisnis mengumpulkan data tanpa batas waktu tanpa jadwal retensi yang terdokumentasi.

FAQ

Q: Apakah KVKK wajib untuk semua bisnis yang beroperasi di Turki? Ya, setiap entitas yang memproses data pribadi individu di Turki tunduk pada KVKK, terlepas dari ukuran atau kewarganegaraan perusahaan. Pendaftaran VERBIS wajib untuk sebagian besar entitas di atas ambang pengecualian usaha kecil.

Q: Apa batas waktu pendaftaran VERBIS pada tahun 2026? Otoritas KVKK memperpanjang batas waktu pendaftaran VERBIS hingga 5 Juni 2026 untuk organisasi yang memenuhi syarat berdasarkan laporan keuangan 2025. [1] Organisasi yang sudah memenuhi ambang sebelumnya seharusnya sudah terdaftar.

Q: Dapatkah perusahaan asing dikenakan denda di bawah KVKK? Ya. Otoritas KVKK memiliki yurisdiksi atas setiap pengendali data yang memproses data penduduk Turki, termasuk perusahaan asing. Penegakan terhadap entitas asing adalah area yang terus berkembang, tetapi eksposur hukum itu nyata.

Q: Apakah ada alternatif untuk VERBIS dalam menyatakan aktivitas pemrosesan data? Tidak. VERBIS adalah satu-satunya registri wajib di bawah KVKK. Tidak ada mekanisme alternatif untuk memenuhi kewajiban pendaftaran pengendali data.

Q: Berapa lama pendaftaran VERBIS? Dengan integrasi e-Devlet mulai 1 Juli 2026, proses teknis dapat diselesaikan dalam beberapa jam untuk kasus yang sederhana. [3] Namun, pekerjaan persiapan, pemetaan semua aktivitas pemrosesan data, mengidentifikasi dasar hukum, dan mendokumentasikan periode penyimpanan, biasanya memerlukan waktu berminggu-minggu untuk organisasi menengah.

Q: Apakah KVKK memerlukan Perwira Perlindungan Data (DPO)? KVKK tidak mewajibkan peran DPO formal yang setara dengan persyaratan GDPR. Namun, Otoritas KVKK merekomendasikan agar pengendali data menunjuk orang yang bertanggung jawab secara internal untuk mengelola kepatuhan.

Q: Apa yang dimaksud dengan data pribadi kategori khusus di bawah KVKK? Kategori khusus mencakup: ras, asal etnis, pendapat politik, keyakinan filosofis, agama, sekte, data kesehatan, kehidupan seksual, hukuman kriminal, data biometrik, dan data genetik. Pemrosesan kategori ini memerlukan persetujuan eksplisit atau dasar hukum tertentu.

Q: Bagaimana KVKK menangani persetujuan cookie di situs web? Cookie yang mengumpulkan data pribadi (analitik, pengenal iklan) memerlukan persetujuan yang sah di bawah KVKK. CMP yang sesuai seperti Biscotti CMP dapat membantu pemilik situs web menangkap, menyimpan, dan mengelola persetujuan cookie sesuai dengan kewajiban KVKK.

Q: Apakah institusi publik diwajibkan untuk mendaftar dengan VERBIS? Ya. Institusi dan organisasi publik diwajibkan untuk mendaftar dengan VERBIS. Periode pendaftaran untuk entitas publik dimulai pada 1 April 2019, dengan batas waktu penyelesaian hingga 30 Juni 2020. [6]

Q: Apa yang terjadi jika sebuah perusahaan memperbarui aktivitas pemrosesannya tetapi tidak memperbarui VERBIS? Kegagalan untuk memperbarui VERBIS agar mencerminkan aktivitas pemrosesan saat ini dianggap sebagai pelanggaran kepatuhan dan dapat mengakibatkan denda administratif berdasarkan Pasal 18 KVKK. [5]

Kesimpulan: Langkah Tindakan yang Dapat Dilakukan untuk Kepatuhan KVKK dan VERBIS

Berbisnis di Turki memerlukan pendekatan yang terstruktur dan spesifik untuk yurisdiksi dalam perlindungan data. KVKK ditegakkan secara aktif, pendaftaran VERBIS tidak opsional untuk sebagian besar organisasi, dan klarifikasi pengecualian Januari 2026 telah mempersempit, bukan memperluas, pengecualian untuk usaha kecil. [4]

Tindakan segera untuk organisasi yang beroperasi di Turki:

Lakukan latihan pemetaan data. Identifikasi setiap kategori data pribadi yang diproses, tujuannya, dasar hukum, dan penerima.
Tentukan kewajiban VERBIS. Terapkan ambang batas jumlah karyawan dan neraca untuk mengonfirmasi apakah pendaftaran diperlukan. Jika ragu, daftarkan.
Daftar atau perbarui VERBIS. Gunakan portal VERBIS yang terintegrasi dengan e-Devlet untuk menyelesaikan atau memperbarui pendaftaran pengendali data Anda. [3]
Audit mekanisme persetujuan. Pastikan banner persetujuan situs web dan formulir pengumpulan data memenuhi persyaratan spesifik KVKK. Pertimbangkan untuk menerapkan Biscotti CMP (www.biscotti-cmp.com) untuk manajemen persetujuan yang terstruktur dan dapat diaudit.
Tinjau pengaturan transfer lintas batas. Identifikasi semua pemroses pihak ketiga dan layanan cloud yang menerima data pribadi Turki dan evaluasi dasar hukum untuk setiap transfer.
Tentukan protokol respons pelanggaran. Dokumentasikan prosedur pemberitahuan 72 jam dan tetapkan tanggung jawab internal.
Libatkan penasihat hukum lokal. Interpretasi KVKK terus berkembang, dan pengacara perlindungan data Turki dapat memberikan panduan spesifik yurisdiksi yang tidak dapat digantikan oleh kerangka kepatuhan umum.

Lanskap kepatuhan untuk berbisnis di Turki berkembang dengan cepat. Organisasi yang menganggap KVKK sebagai latihan centang daripada program berkelanjutan akan menemukan diri mereka terpapar saat penegakan semakin intensif.