Consenso e banner

Fare Affari in Turchia? Cosa Devi Sapere sul KVKK e VERBIS

7 luglio 2026 · 15 min

Risposta Rapida: La principale legge sulla protezione dei dati in Turchia, il KVKK (Legge n. 6698), si applica a qualsiasi organizzazione, nazionale o straniera, che tratta dati personali di individui in Turchia. Il VERBIS è il registro obbligatorio dei titolari del trattamento ai sensi del KVKK. La maggior parte delle organizzazioni di medie e grandi dimensioni deve registrarsi presso il VERBIS o affrontare multe amministrative. A partire dal 2026, il processo di registrazione è accessibile tramite la piattaforma e-Devlet della Turchia, e le soglie di esenzione per le piccole imprese sono state chiarite.

Punti Chiave

Il KVKK (Kişisel Verilerin Korunması Kanunu) è la legge sulla protezione dei dati in Turchia, promulgata nel 2016 e modellata in parte sui principi del GDPR, ma con requisiti locali distintivi.
Il VERBIS è il registro online dove i titolari del trattamento devono dichiarare le loro attività di trattamento dei dati prima dell'inizio del trattamento.
Le aziende straniere che trattano dati di residenti turchi sono soggette al KVKK, indipendentemente da dove sia basata l'azienda.
A partire dal 12 gennaio 2026, i titolari del trattamento di piccole dimensioni con meno di 10 dipendenti e un bilancio annuale inferiore a 10 milioni di TL sono esenti dalla registrazione al VERBIS se la loro attività principale coinvolge dati di categoria speciale. [4]
La scadenza per la registrazione al VERBIS è stata prorogata al 5 giugno 2026 per le organizzazioni che si qualificano in base ai bilanci finanziari del 2025. [1]
A partire dal 1 luglio 2026, i servizi VERBIS sono completamente integrati con la piattaforma e-Devlet (e-Government) della Turchia. [3]
Le sanzioni per non conformità ai sensi dell'Articolo 18 del KVKK possono raggiungere multe amministrative significative, e l'autorità KVKK le applica attivamente.
Il consenso ai sensi del KVKK deve essere liberamente dato, specifico, informato e inequivocabile; una Piattaforma di Gestione del Consenso (CMP) è uno strumento pratico per la conformità basata sul web.

Cos'è il KVKK? La Legge sulla Protezione dei Dati in Turchia Spiegata

Il KVKK (Kişisel Verilerin Korunması Kanunu, Legge n. 6698) è il complesso statuto turco sulla protezione dei dati personali, promulgato il 7 aprile 2016. Regola come i dati personali vengono raccolti, archiviati, trattati, trasferiti e cancellati dai titolari e dai responsabili del trattamento che operano in Turchia.

La legge ha istituito l'Autorità per la Protezione dei Dati Personali (Kişisel Verileri Koruma Kurumu, abbreviata KVKK), l'organo di vigilanza indipendente responsabile dell'applicazione, della guida e del registro VERBIS.

I principi fondamentali ai sensi del KVKK includono:

Legalità, equità e trasparenza
Limitazione della finalità (dati raccolti solo per scopi specifici ed espliciti)
Minimizzazione dei dati
Accuratezza e mantenimento dei dati aggiornati
Limitazione della conservazione (dati conservati non oltre il necessario)
Integrità e riservatezza

Qualsiasi entità che determina le finalità e i mezzi di trattamento dei dati personali si qualifica come "titolare del trattamento" ai sensi del KVKK e ha le principali obbligazioni di conformità.

KVKK vs. GDPR: Differenze Chiave e Sovrapposizione nella Conformità

Il KVKK condivide il DNA strutturale con il GDPR dell'UE, ma i due quadri divergono in diversi modi operativi significativi. Le organizzazioni già conformi al GDPR non dovrebbero presumere automaticamente la conformità al KVKK.

Dimensione	KVKK (Turchia)	GDPR (UE)
Promulgato	2016	2018 (applicazione)
Organo di vigilanza	Autorità KVKK	DPA nazionali per stato membro
Registro dei dati	VERBIS (obbligatorio per la maggior parte)	Nessun registro obbligatorio equivalente
Trasferimenti di dati all'estero	Richiede consenso esplicito o adeguatezza	Decisioni di adeguatezza o SCC
Requisito DPO	Nessun mandato formale per DPO	Obbligatorio in alcuni casi
Notifica di violazione	72 ore all'autorità	72 ore all'autorità

Principale divergenza: Il KVKK richiede ai titolari del trattamento di registrarsi presso il VERBIS e dichiarare proattivamente le loro attività di trattamento. Il GDPR non ha alcun obbligo di registrazione pubblica equivalente. Inoltre, le regole del KVKK sui trasferimenti di dati transfrontalieri sono più restrittive nella pratica, richiedendo o il consenso esplicito dell'interessato o una decisione di adeguatezza formale, e la Turchia non ha ricevuto lo status di adeguatezza dall'UE.

"La conformità al GDPR è una base utile, ma fare affari in Turchia richiede uno strato di conformità KVKK separato, in particolare attorno alla registrazione VERBIS e alle regole sui trasferimenti transfrontalieri."

Cos'è il VERBIS e Come Funziona?

Il VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) è il registro online mantenuto dall'Autorità KVKK dove i titolari del trattamento devono registrarsi e dichiarare le loro attività di trattamento dei dati personali prima dell'inizio del trattamento. Pensalo come un inventario pubblico di chi tratta quali dati, per quale scopo e secondo quale politica di conservazione.

Come funziona il VERBIS nella pratica:

Il titolare del trattamento crea un account sul portale VERBIS (ora accessibile tramite la piattaforma e-Devlet della Turchia a partire dal 1 luglio 2026). [3]
Il titolare dichiara ciascuna categoria di dati personali trattati, lo scopo del trattamento, la base legale, le categorie di dati, i gruppi di destinatari e i periodi di conservazione.
Le dichiarazioni vengono inviate e diventano parte del registro pubblico.
Qualsiasi modifica alle attività di trattamento deve essere aggiornata nel VERBIS tempestivamente.
La mancata registrazione o aggiornamento attiva sanzioni ai sensi dell'Articolo 18 del KVKK. [5]

Il 1 luglio 2026, l'Autorità KVKK ha anche rilasciato versioni aggiornate del documento di guida "Sorularla VERBİS" e del VERBİS Kılavuzu ufficiale (guida per l'utente) per aiutare i titolari del trattamento a orientarsi tra gli obblighi di registrazione. [2]

Le Aziende Straniere Devono Essere Conformi al KVKK?

Sì. Il KVKK si applica a qualsiasi titolare del trattamento che tratta dati personali di individui situati in Turchia, indipendentemente da dove sia incorporato o basato il titolare. Un'azienda SaaS tedesca con clienti turchi, una piattaforma di e-commerce statunitense che spedisce in Turchia, o un'agenzia di marketing britannica che gestisce campagne mirate ai consumatori turchi, rientrano tutte nell'ambito di applicazione del KVKK.

Implicazioni pratiche per le aziende straniere:

Devono nominare un rappresentante locale in Turchia se non hanno una presenza fisica (anche se l'attuazione della legge su questo punto continua a evolversi, consultare un legale locale).
Devono rispettare i requisiti di registrazione al VERBIS a meno che non si applichi un'esenzione specifica.
I trasferimenti di dati transfrontalieri dalla Turchia richiedono o il consenso esplicito dell'interessato o un meccanismo di adeguatezza formale, nessuno dei quali è semplice per la maggior parte delle destinazioni non UE.

Errore comune: Le aziende straniere presumono che la conformità al GDPR o una politica sulla privacy generica copra la loro base utenti turca. Il KVKK richiede divulgazioni specifiche per la giurisdizione, meccanismi di consenso e dichiarazioni di registrazione.

Requisiti di Registrazione al VERBIS: Chi Deve Registrarsi e Come

La maggior parte dei titolari del trattamento che superano la soglia di esenzione per le piccole imprese è tenuta a registrarsi presso il VERBIS. L'obbligo si applica sia alle entità del settore privato che alle istituzioni pubbliche. [6]

La registrazione è richiesta se il titolare del trattamento:

Ha 50 o più dipendenti (equivalente a tempo pieno), OPPURE
Ha un totale del bilancio finanziario annuale superiore a 25 milioni di TL, OPPURE
Tratta categorie speciali di dati personali (salute, biometrici, precedenti penali, ecc.) indipendentemente dalla dimensione, a meno che non si applichi l'esenzione per le piccole dimensioni (vedi sotto).

Per startup e aziende in crescita: La soglia si basa sul numero annuale di dipendenti e sui dati del bilancio. Una startup che supera il limite di 50 dipendenti o la soglia del bilancio in un dato anno diventa obbligata a registrarsi. La registrazione deve essere completata prima dell'inizio del trattamento secondo la nuova soglia, non retroattivamente a fine anno.

Processo di registrazione al VERBIS passo dopo passo:

Accedi al portale VERBIS tramite e-Devlet (gateway e-Government) utilizzando un indirizzo KEP (posta elettronica registrata) o le credenziali di un firmatario autorizzato. [3]
Completa il profilo del titolare del trattamento (nome dell'azienda, forma legale, dettagli di contatto, rappresentante autorizzato).
Crea un'entrata "attività di trattamento" per ciascuna categoria distinta di dati personali trattati.
Per ciascuna attività, dichiara: categoria di dati, scopo, base legale, gruppo di soggetti interessati, destinatari e periodo di conservazione.
Invia e ricevi un numero di registrazione VERBIS.
Aggiorna il registro ogni volta che le attività di trattamento cambiano in modo sostanziale.

Esenzioni KVKK: Piccole Imprese e Dati Non Coperti

Non tutte le organizzazioni devono registrarsi presso il VERBIS. Il 12 gennaio 2026, l'Autorità KVKK ha chiarito i criteri di esenzione per i titolari del trattamento di piccole dimensioni. [4]

L'esenzione si applica quando TUTTE e tre le condizioni sono soddisfatte:

Meno di 10 dipendenti
Totale del bilancio annuale inferiore a 10 milioni di TL
L'attività principale comporta il trattamento di categorie speciali di dati personali (l'esenzione è stata specificamente progettata per piccoli fornitori di assistenza sanitaria, cliniche e entità simili)

Un'analisi legale pubblicata da CMS Law nota che questa esenzione è più ristretta di quanto possa apparire inizialmente, non è un'esenzione generale per le piccole imprese ma mira specificamente a entità il cui core business coinvolge categorie di dati sensibili. [7] Erdem & Erdem ha ulteriormente chiarito i principi di applicazione di queste nuove esenzioni. [8]

Categorie di dati non coperte dal KVKK:

Dati anonimizzati (dove la re-identificazione è impossibile)
Dati trattati esclusivamente per scopi personali o domestici (nessuna attività commerciale)
Dati trattati da autorità giudiziarie per procedimenti penali (regolati da legislazione separata)

Caso limite: I dati pseudonimizzati sono comunque considerati dati personali ai sensi del KVKK se il titolare conserva i mezzi per re-identificare gli individui. Non trattare la pseudonimizzazione come equivalente all'anonimizzazione ai fini della conformità.

Requisiti di Consenso KVKK per i Dati dei Clienti

Ai sensi del KVKK, il consenso valido deve essere liberamente dato, specifico, informato e inequivocabile. Il consenso non può essere accorpato all'accettazione dei termini di servizio, e le caselle pre-selezionate non costituiscono consenso valido.

Il consenso deve essere:

Liberamente dato: Nessuna coercizione o condizionamento dell'accesso al servizio sul consenso
Specifico: Legato a uno scopo definito, non autorizzazione generale
Informato: L'interessato deve sapere chi raccoglie i dati e perché
Inequivocabile: Richiede un'azione affermativa (clic, firma, casella di controllo)

Per siti web e piattaforme digitali, implementare una Piattaforma di Gestione del Consenso conforme è l'approccio più pratico. Biscotti CMP è progettato per aiutare i proprietari di siti web e le imprese a gestire la raccolta del consenso in modo allineato con il KVKK e altri quadri di protezione dei dati, fornendo audit trail e registri di consenso dettagliati.

Il consenso esplicito è inoltre richiesto per categorie speciali di dati personali (salute, biometrici, genetici, precedenti penali, ecc.) e per trasferimenti di dati transfrontalieri dove non esiste un meccanismo di adeguatezza.

Sanzioni e Multe KVKK per Non Conformità

L'applicazione del KVKK non è teorica. L'Autorità KVKK ha emesso multe contro entità sia nazionali che straniere. Le sanzioni sono regolate dall'Articolo 18 della legge.

Categorie di multe amministrative ai sensi dell'Articolo 18:

Mancata ottemperanza agli obblighi di divulgazione: 9.027 TL a 180.536 TL (fascia approssimativa 2024; gli importi sono aggiornati annualmente per inflazione)
Mancata garanzia della sicurezza dei dati: 45.135 TL a 9.027.000 TL
Mancata conformità alle decisioni dell'Autorità KVKK: 45.135 TL a 9.027.000 TL
Mancata registrazione presso il VERBIS o mancato aggiornamento del VERBIS: 39.337 TL a 1.966.862 TL

Nota: Gli importi delle multe sono indicizzati annualmente e le cifre sopra riflettono le fasce pubblicate per il 2024. Verifica le cifre attuali con l'Autorità KVKK o un legale turco per le azioni di enforcement del 2026.

Responsabilità penale per alcune violazioni (trattamento illecito, mancata cancellazione dei dati) può comportare la reclusione ai sensi del Codice Penale Turco, una dimensione assente dagli strumenti di enforcement del GDPR.

Regole di Notifica delle Violazioni dei Dati KVKK

Ai sensi del KVKK, i titolari del trattamento devono notificare l'Autorità KVKK entro 72 ore dal momento in cui vengono a conoscenza di una violazione dei dati personali. Se la violazione è probabile che influisca negativamente sugli interessati, queste persone devono essere informate tempestivamente.

Checklist per la notifica delle violazioni:

Identificare e contenere la violazione
Valutare l'ambito e l'impatto probabile sugli interessati
Notificare l'Autorità KVKK entro 72 ore tramite il modulo di notifica ufficiale
Documentare internamente la violazione (cosa è successo, quali dati sono stati interessati, passi di rimedio)
Notificare gli interessati se c'è un alto rischio di danno

La mancata notifica entro il termine richiesto è essa stessa una violazione sanzionabile ai sensi dell'Articolo 18.

Errori Comuni di Conformità KVKK che le Aziende Fanno

1. Trattare il VERBIS come un compito una tantum. Le voci del VERBIS devono essere aggiornate ogni volta che le attività di trattamento cambiano. Acquisire un nuovo CRM, lanciare una nuova campagna di marketing con diverse categorie di dati o integrare un nuovo responsabile del trattamento richiedono tutti potenzialmente aggiornamenti al VERBIS.

2. Fare affidamento sul consenso GDPR per gli utenti turchi. I requisiti di consenso del KVKK hanno sfumature locali. Un banner di consenso ottimizzato per il GDPR potrebbe non catturare le specifiche divulgazioni richieste dal KVKK.

3. Ignorare le regole sui trasferimenti transfrontalieri. Inviare dati dei clienti turchi a una piattaforma di analisi o a un fornitore di cloud con sede negli Stati Uniti senza un meccanismo di trasferimento valido è una violazione comune e frequentemente sanzionata.

4. Presumere l'esenzione per le piccole imprese senza verifica. Il chiarimento di gennaio 2026 ha chiarito che l'esenzione è condizionata al soddisfacimento simultaneo di tutte e tre le condizioni. [4]

5. Nessuna politica di conservazione dei dati. Il KVKK richiede che i dati siano cancellati, distrutti o anonimizzati quando lo scopo del trattamento non esiste più. Molte aziende raccolgono dati indefinitamente senza un programma di conservazione documentato.

FAQ

D: Il KVKK è obbligatorio per tutte le aziende che operano in Turchia? Sì, qualsiasi entità che tratta dati personali di individui in Turchia è soggetta al KVKK, indipendentemente dalla dimensione o nazionalità dell'azienda. La registrazione al VERBIS è obbligatoria per la maggior parte delle entità sopra la soglia di esenzione per le piccole imprese.

D: Qual è la scadenza per la registrazione al VERBIS nel 2026? L'Autorità KVKK ha prorogato la scadenza per la registrazione al VERBIS al 5 giugno 2026 per le organizzazioni che si qualificano in base ai loro bilanci finanziari del 2025. [1] Le organizzazioni che hanno già soddisfatto le soglie precedenti dovrebbero già essere registrate.

D: Un'azienda straniera può essere multata ai sensi del KVKK? Sì. L'Autorità KVKK ha giurisdizione su qualsiasi titolare del trattamento che tratta dati di residenti turchi, comprese le aziende straniere. L'applicazione contro le entità straniere è un'area in evoluzione, ma l'esposizione legale è reale.

D: Esiste un'alternativa al VERBIS per dichiarare le attività di trattamento dei dati? No. Il VERBIS è l'unico registro obbligatorio ai sensi del KVKK. Non esiste un meccanismo alternativo per soddisfare l'obbligo di registrazione del titolare del trattamento.

D: Quanto tempo richiede la registrazione al VERBIS? Con l'integrazione e-Devlet a partire dal 1 luglio 2026, il processo tecnico può essere completato in poche ore per casi semplici. [3] Tuttavia, il lavoro preparatorio, la mappatura di tutte le attività di trattamento dei dati, l'identificazione delle basi legali e la documentazione dei periodi di conservazione richiede tipicamente settimane per le organizzazioni di medie dimensioni.

D: Il KVKK richiede un Responsabile della Protezione dei Dati (DPO)? Il KVKK non impone un ruolo formale di DPO equivalente a quello richiesto dal GDPR. Tuttavia, l'Autorità KVKK raccomanda che i titolari del trattamento designino una persona responsabile internamente per gestire la conformità.

D: Cosa costituisce dati personali di categoria speciale ai sensi del KVKK? Le categorie speciali includono: razza, origine etnica, opinione politica, credo filosofico, religione, setta, dati sulla salute, vita sessuale, condanne penali, dati biometrici e dati genetici. Il trattamento di queste categorie richiede consenso esplicito o una base legale specifica.

D: Come gestisce il KVKK il consenso per i cookie sui siti web? I cookie che raccolgono dati personali (analisi, identificatori pubblicitari) richiedono consenso valido ai sensi del KVKK. Una CMP conforme come Biscotti CMP può aiutare i proprietari di siti web a catturare, archiviare e gestire il consenso per i cookie in linea con gli obblighi del KVKK.

D: Le istituzioni pubbliche devono registrarsi presso il VERBIS? Sì. Le istituzioni e le organizzazioni pubbliche sono tenute a registrarsi presso il VERBIS. Il periodo di registrazione per le entità pubbliche è iniziato il 1 aprile 2019, con una scadenza di completamento il 30 giugno 2020. [6]

D: Cosa succede se un'azienda aggiorna le proprie attività di trattamento ma non aggiorna il VERBIS? La mancata aggiornamento del VERBIS per riflettere le attuali attività di trattamento è trattata come una violazione della conformità e può comportare multe amministrative ai sensi dell'Articolo 18 del KVKK. [5]

Conclusione: Passi Azionabili per la Conformità al KVKK e VERBIS

Fare affari in Turchia richiede un approccio strutturato e specifico per giurisdizione alla protezione dei dati. Il KVKK è attivamente applicato, la registrazione al VERBIS non è opzionale per la maggior parte delle organizzazioni, e i chiarimenti sulle esenzioni di gennaio 2026 hanno ristretto, non ampliato, le esenzioni per le piccole imprese. [4]

Azioni immediate per le organizzazioni che operano in Turchia:

Condurre un esercizio di mappatura dei dati. Identificare ogni categoria di dati personali trattati, il suo scopo, la base legale e il destinatario.
Determinare l'obbligo di registrazione al VERBIS. Applicare le soglie di numero di dipendenti e bilancio per confermare se è necessaria la registrazione. In caso di dubbio, registrarsi.
Registrare o aggiornare il VERBIS. Utilizzare il portale VERBIS integrato con e-Devlet per completare o aggiornare la registrazione del titolare del trattamento. [3]
Auditare i meccanismi di consenso. Assicurarsi che i banner di consenso dei siti web e i moduli di raccolta dati soddisfino i requisiti specifici del KVKK. Considerare l'implementazione di Biscotti CMP (www.biscotti-cmp.com) per una gestione del consenso strutturata e auditabile.
Rivedere gli accordi di trasferimento transfrontaliero. Identificare tutti i responsabili esterni e i servizi cloud che ricevono dati personali turchi e valutare la base legale per ciascun trasferimento.
Stabilire un protocollo di risposta alle violazioni. Documentare la procedura di notifica di 72 ore e assegnare la responsabilità interna.
Coinvolgere un legale locale. L'interpretazione del KVKK continua ad evolversi, e un avvocato turco specializzato in protezione dei dati può fornire indicazioni specifiche per la giurisdizione che nessun quadro di conformità generale può sostituire.

Il panorama della conformità per fare affari in Turchia sta maturando rapidamente. Le organizzazioni che trattano il KVKK come un esercizio di spunta piuttosto che come un programma continuo si troveranno esposte man mano che l'applicazione si intensifica.