Sutikimas ir baneriai

Verslo vykdymas Turkijoje? Ką turite žinoti apie KVKK ir VERBIS

2026 m. liepos 7 d. · 15 min. skaitymas

Greitas atsakymas: Turkijos pagrindinis duomenų apsaugos įstatymas, KVKK (Įstatymas Nr. 6698), taikomas bet kuriai organizacijai, tiek vidaus, tiek užsienio, kuri apdoroja asmens duomenis asmenų Turkijoje. VERBIS yra privalomas duomenų valdytojų registras pagal KVKK. Dauguma vidutinių ir didelių organizacijų privalo registruotis VERBIS arba susidurti su administracinėmis baudomis. Nuo 2026 m. registracijos procesas yra prieinamas per Turkijos e-Devlet platformą, o mažoms įmonėms taikomos išimčių ribos buvo paaiškintos.

Pagrindinės išvados

KVKK (Kişisel Verilerin Korunması Kanunu) yra Turkijos duomenų apsaugos įstatymas, priimtas 2016 m. ir iš dalies modeliuotas pagal GDPR principus, tačiau su specifiniais vietiniais reikalavimais.
VERBIS yra internetinis registras, kuriame duomenų valdytojai privalo deklaruoti savo duomenų apdorojimo veiklas prieš pradedant apdorojimą.
Užsienio įmonės, apdorojančios Turkijos gyventojų duomenis, yra veikiamos KVKK, nepriklausomai nuo to, kur yra įsikūrusi įmonė.
Nuo 2026 m. sausio 12 d. mažos apimties duomenų valdytojai, turintys mažiau nei 10 darbuotojų ir metinį balansą, mažesnį nei 10 milijonų TL, yra atleisti nuo VERBIS registracijos, jei jų pagrindinė veikla apima specialių kategorijų duomenis. [4]
VERBIS registracijos terminas buvo pratęstas iki 2026 m. birželio 5 d. organizacijoms, atitinkančioms 2025 m. finansinių ataskaitų kriterijus. [1]
Nuo 2026 m. liepos 1 d. VERBIS paslaugos yra visiškai integruotos su Turkijos e-Devlet (e-Vyriausybe) platforma. [3]
Neatitikimo baudos pagal KVKK 18 straipsnį gali siekti reikšmingas administracines baudas, o KVKK institucija aktyviai jas vykdo.
Sutikimas pagal KVKK turi būti laisvai duotas, konkretus, informuotas ir nedviprasmiškas, Sutikimo valdymo platforma (CMP) yra praktiškas įrankis internetinei atitikties užtikrinimui.

Kas yra KVKK? Turkijos duomenų apsaugos įstatymas paaiškintas

KVKK (Kişisel Verilerin Korunması Kanunu, Įstatymas Nr. 6698) yra išsamus Turkijos asmens duomenų apsaugos įstatymas, priimtas 2016 m. balandžio 7 d. Jis reguliuoja, kaip asmens duomenys yra renkami, saugomi, apdorojami, perduodami ir naikinami duomenų valdytojų ir apdorotojų, veikiančių Turkijoje.

Įstatymas įsteigė Asmens duomenų apsaugos instituciją (Kişisel Verileri Koruma Kurumu, taip pat sutrumpintai KVKK), nepriklausomą priežiūros instituciją, atsakingą už vykdymą, gairių teikimą ir VERBIS registrą.

Pagrindiniai KVKK principai apima:

Teisėtumas, sąžiningumas ir skaidrumas
Tikslų ribojimas (duomenys renkami tik nurodytais, aiškiais tikslais)
Duomenų minimizavimas
Tikslumas ir duomenų atnaujinimas
Saugojimo ribojimas (duomenys saugomi ne ilgiau, nei būtina)
Integralumas ir konfidencialumas

Bet kuri institucija, nustatanti asmens duomenų apdorojimo tikslus ir priemones, pagal KVKK laikoma "duomenų valdytoju" ir turi pagrindines atitikties pareigas.

KVKK vs. GDPR: Pagrindiniai skirtumai ir atitikties persidengimas

KVKK turi struktūrinį DNR su ES GDPR, tačiau šios dvi sistemos skiriasi keliais operatyviais aspektais. Organizacijos, jau atitinkančios GDPR, neturėtų manyti, kad automatiškai atitinka ir KVKK.

Dimensija	KVKK (Turkija)	GDPR (ES)
Priimta	2016	2018 (vykdymas)
Priežiūros institucija	KVKK institucija	Nacionalinės DPAs pagal narystės valstybę
Duomenų registras	VERBIS (privalomas daugumai)	Nėra atitinkamo privalomo registro
Duomenų perdavimas į užsienį	Reikalauja aiškaus sutikimo arba tinkamumo	Tinkamumo sprendimai arba SCCs
DPO reikalavimas	Nėra oficialaus DPO mandato	Privalomas tam tikrais atvejais
Pažeidimo pranešimas	72 valandos institucijai	72 valandos institucijai

Pagrindinis skirtumas: KVKK reikalauja, kad duomenų valdytojai registruotųsi VERBIS ir proaktyviai deklaruotų savo apdorojimo veiklas. GDPR neturi atitinkamos viešo registro pareigos. Be to, KVKK tarptautinio duomenų perdavimo taisyklės praktikoje yra griežtesnės, reikalaujančios arba aiškaus duomenų subjekto sutikimo, arba oficialaus tinkamumo sprendimo, o Turkijai nebuvo suteikta ES tinkamumo statusas.

"GDPR atitiktis yra naudinga bazė, tačiau verslo vykdymas Turkijoje reikalauja atskiro KVKK atitikties lygio, ypač aplink VERBIS registraciją ir tarptautinio perdavimo taisykles."

Kas yra VERBIS ir kaip jis veikia?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) yra internetinis registras, kurį palaiko KVKK institucija, kur duomenų valdytojai privalo registruotis ir deklaruoti savo asmens duomenų apdorojimo veiklas prieš pradedant apdorojimą. Galite tai laikyti viešu sąrašu, kas apdoroja kokius duomenis, kokiu tikslu ir pagal kokią saugojimo politiką.

Kaip VERBIS veikia praktikoje:

Duomenų valdytojas sukuria paskyrą VERBIS portale (dabar prieinama per Turkijos e-Devlet platformą nuo 2026 m. liepos 1 d.). [3]
Valdytojas deklaruoja kiekvieną apdorojamų asmens duomenų kategoriją, apdorojimo tikslą, teisinį pagrindą, duomenų kategorijas, gavėjų grupes ir saugojimo laikotarpius.
Deklaracijos pateikiamos ir tampa viešo registro dalimi.
Bet kokie pokyčiai apdorojimo veiklose turi būti nedelsiant atnaujinti VERBIS.
Registracijos arba atnaujinimo nesėkmė sukelia baudas pagal KVKK 18 straipsnį. [5]

2026 m. liepos 1 d. KVKK institucija taip pat paskelbė atnaujintas "Sorularla VERBİS" gairių dokumento ir oficialaus VERBİS Kılavuzu (naudotojo vadovo) versijas, kad padėtų duomenų valdytojams orientuotis registracijos įsipareigojimuose. [2]

Ar užsienio įmonėms reikia KVKK atitikties?

Taip. KVKK taikomas bet kuriam duomenų valdytojui, kuris apdoroja asmens duomenis asmenų, esančių Turkijoje, nepriklausomai nuo to, kur yra įsteigta ar įsikūrusi valdytojas. Vokietijos SaaS įmonė su Turkijos klientais, JAV elektroninės prekybos platforma, siunčianti prekes į Turkiją, arba JK rinkodaros agentūra, vykdanti kampanijas, skirtas Turkijos vartotojams, visi patenka į KVKK taikymo sritį.

Praktinės pasekmės užsienio įmonėms:

Privalo paskirti vietinį atstovą Turkijoje, jei neturi fizinės buvimo (nors šio įstatymo įgyvendinimas šiuo klausimu toliau vystosi, konsultuokitės su vietiniu teisiniu patarėju).
Privalo laikytis VERBIS registracijos reikalavimų, nebent taikoma konkreti išimtis.
Tarptautiniai duomenų perdavimai iš Turkijos reikalauja arba aiškaus duomenų subjekto sutikimo, arba oficialaus tinkamumo mechanizmo, o tai daugeliui ne ES paskirties vietų nėra paprasta.

Dažna klaida: Užsienio įmonės mano, kad GDPR atitiktis arba bendroji privatumo politika apima jų Turkijos vartotojų bazę. KVKK reikalauja jurisdikcijai specifinių atskleidimų, sutikimo mechanizmų ir registro deklaracijų.

VERBIS registracijos reikalavimai: kas privalo registruotis ir kaip

Dauguma duomenų valdytojų, viršijančių mažos įmonės išimties ribą, privalo registruotis VERBIS. Šis įsipareigojimas taikomas tiek privačiojo sektoriaus subjektams, tiek viešosioms institucijoms. [6]

Registracija privaloma, jei duomenų valdytojas:

Turi 50 ar daugiau darbuotojų (visą darbo laiką atitinkantys), ARBA
Turi metinį finansinį balansą, viršijantį 25 milijonus TL, ARBA
Apdoroja specialių kategorijų asmens duomenis (sveikatos, biometrinius, kriminalinius įrašus ir kt.), nepriklausomai nuo dydžio, nebent taikoma mažos apimties išimtis (žr. žemiau).

Pradedančioms ir augančioms įmonėms: Ribos nustatomos pagal metinį darbuotojų skaičių ir balanso rodiklius. Pradedančioji įmonė, kuri peržengia 50 darbuotojų ribą arba balanso ribą tam tikru metu, privalo registruotis. Registracija turi būti baigta prieš pradedant apdorojimą pagal naują ribą, o ne atgaline data metų pabaigoje.

Žingsnis po žingsnio VERBIS registracijos procesas:

Prisijunkite prie VERBIS portalo per e-Devlet (e-Vyriausybes vartai) naudodami KEP (registruoto elektroninio pašto) adresą arba įgalioto asmens akreditacinius duomenis. [3]
Užpildykite duomenų valdytojo profilį (įmonės pavadinimas, teisinė forma, kontaktiniai duomenys, įgaliotas atstovas).
Sukurkite "apdorojimo veiklos" įrašą kiekvienai atskirai apdorojamų asmens duomenų kategorijai.
Kiekvienai veiklai deklaruokite: duomenų kategoriją, tikslą, teisinį pagrindą, duomenų subjekto grupę, gavėjus ir saugojimo laikotarpį.
Pateikite ir gaukite VERBIS registracijos numerį.
Atnaujinkite registrą, kai apdorojimo veiklos keičiasi reikšmingai.

KVKK išimtys: mažos įmonės ir kokie duomenys nėra apimami

Ne kiekviena organizacija privalo registruotis VERBIS. 2026 m. sausio 12 d. KVKK institucija paaiškino mažos apimties duomenų valdytojų išimčių kriterijus. [4]

Išimtis taikoma, kai VISI trys kriterijai yra įvykdyti:

Mažiau nei 10 darbuotojų
Metinis balansas mažesnis nei 10 milijonų TL
Pagrindinė veikla apima specialių kategorijų asmens duomenų apdorojimą (išimtis buvo specialiai sukurta mažoms sveikatos priežiūros įstaigoms, klinikoms ir panašioms įstaigoms)

CMS teisės firmos paskelbtas teisinis analizė pažymi, kad ši išimtis yra siauresnė, nei gali pasirodyti iš pirmo žvilgsnio, ji nėra bendroji mažų įmonių išimtis, bet konkrečiai taikoma subjektams, kurių pagrindinė veikla apima jautrių duomenų kategorijas. [7] Erdem & Erdem toliau paaiškino šių naujų išimčių taikymo principus. [8]

Duomenų kategorijos, kurios nėra apimamos KVKK:

Anonimizuoti duomenys (kai pakartotinis identifikavimas neįmanomas)
Duomenys, apdorojami tik asmeniniais ar namų ūkio tikslais (be komercinės veiklos)
Duomenys, apdorojami teismų institucijų kriminalinėms procedūroms (reguliuojami atskiro įstatymo)

Ribinis atvejis: Pseudonimizuoti duomenys vis dar laikomi asmens duomenimis pagal KVKK, jei valdytojas išlaiko priemones, leidžiančias pakartotinai identifikuoti asmenis. Nevertinkite pseudonimizacijos kaip lygiavertės anonimizacijai atitikties tikslais.

KVKK sutikimo reikalavimai klientų duomenims

Pagal KVKK galiojantis sutikimas turi būti laisvai duotas, konkretus, informuotas ir nedviprasmiškas. Sutikimas negali būti susietas su paslaugų teikimo priėmimu, o iš anksto pažymėti langeliai nesudaro galiojančio sutikimo.

Sutikimas turi būti:

Laisvai duotas: Be prievartos ar paslaugų prieigos sąlygojimo sutikimu
Konkretus: Susietas su apibrėžtu tikslu, o ne bendru leidimu
Informuotas: Duomenų subjektas turi žinoti, kas renka duomenis ir kodėl
Nedviprasmiškas: Reikalauja teigiamo veiksmo (paspaudimo, parašo, žymėjimo langelio)

Interneto svetainėms ir skaitmeninėms platformoms atitinkamos Sutikimo valdymo platformos įgyvendinimas yra praktiškiausias sprendimas. Biscotti CMP yra sukurta padėti svetainių savininkams ir įmonėms valdyti sutikimo rinkimą taip, kad atitiktų KVKK ir kitas duomenų apsaugos sistemas, teikiant audito takus ir detalius sutikimo įrašus.

Aiškus sutikimas taip pat reikalaujamas specialių kategorijų asmens duomenims (sveikatos, biometriniai, genetiniai, kriminaliniai įrašai ir kt.) ir tarptautiniams duomenų perdavimams, kai nėra tinkamumo mechanizmo.

KVKK baudos ir sankcijos už nesilaikymą

KVKK vykdymas nėra teorinis. KVKK institucija skyrė baudas tiek vidaus, tiek užsienio subjektams. Baudos reglamentuojamos 18 straipsniu.

Administracinių baudų kategorijos pagal 18 straipsnį:

Nesilaikymas atskleidimo įsipareigojimų: 9,027 TL iki 180,536 TL (apytiksliai 2024 m. intervalas; sumos kasmet atnaujinamos pagal infliaciją)
Nesilaikymas užtikrinant duomenų saugumą: 45,135 TL iki 9,027,000 TL
Nesilaikymas KVKK institucijos sprendimų: 45,135 TL iki 9,027,000 TL
Nesilaikymas registruojantis VERBIS arba nesilaikymas atnaujinant VERBIS: 39,337 TL iki 1,966,862 TL

Pastaba: Baudos sumos kasmet indeksuojamos, o aukščiau pateikti skaičiai atspindi paskelbtus 2024 m. intervalus. Patikrinkite dabartinius skaičius su KVKK institucija arba Turkijos teisininku dėl 2026 m. vykdymo veiksmų.

Baudžiamoji atsakomybė už tam tikrus pažeidimus (neteisėtas apdorojimas, nesugebėjimas ištrinti duomenų) gali lemti laisvės atėmimą pagal Turkijos baudžiamąjį kodeksą, kas yra aspektas, trūkstamas GDPR vykdymo priemonių arsenale.

KVKK duomenų pažeidimo pranešimo taisyklės

Pagal KVKK duomenų valdytojai privalo pranešti KVKK institucijai per 72 valandas nuo to momento, kai sužino apie asmens duomenų pažeidimą. Jei pažeidimas gali neigiamai paveikti duomenų subjektus, šie asmenys taip pat turi būti nedelsiant informuoti.

Pažeidimo pranešimo kontrolinis sąrašas:

Nustatyti ir apriboti pažeidimą
Įvertinti apimtį ir galimą poveikį duomenų subjektams
Pranešti KVKK institucijai per 72 valandas naudojant oficialią pranešimo formą
Dokumentuoti pažeidimą viduje (kas įvyko, kokie duomenys buvo paveikti, taisymo veiksmai)
Pranešti paveiktiems duomenų subjektams, jei yra didelė žalos rizika

Nesilaikymas pranešti per reikiamą laikotarpį yra laikomas sankcijomis už pažeidimą pagal 18 straipsnį.

Dažnos KVKK atitikties klaidos, kurias daro verslai

1. Traktuoti VERBIS kaip vienkartinę užduotį. VERBIS įrašai turi būti atnaujinami, kai keičiasi apdorojimo veiklos. Naujo CRM įsigijimas, naujos rinkodaros kampanijos su skirtingomis duomenų kategorijomis pradėjimas arba naujo duomenų apdorotojo įtraukimas gali reikalauti VERBIS atnaujinimų.

2. Pasikliauti GDPR sutikimu Turkijos vartotojams. KVKK sutikimo reikalavimai turi vietinių niuansų. GDPR optimizuotas sutikimo langas gali nesugebėti užfiksuoti specifinių atskleidimų, reikalaujamų pagal KVKK.

3. Ignoruoti tarptautinio perdavimo taisykles. Turkijos klientų duomenų siuntimas į JAV analitikos platformą ar debesų paslaugų teikėją be galiojančio perdavimo mechanizmo yra dažna ir dažnai baudžiama pažeidimas.

4. Manyti, kad mažos įmonės išimtis taikoma be patikrinimo. 2026 m. sausio mėnesio paaiškinimas aiškiai nurodė, kad išimtis yra sąlyginė, kad visi trys kriterijai būtų įvykdyti vienu metu. [4]

5. Nėra duomenų saugojimo politikos. KVKK reikalauja, kad duomenys būtų ištrinti, sunaikinti arba anonimizuoti, kai apdorojimo tikslas nebėra aktualus. Daugelis verslų renka duomenis neribotai be dokumentuotos saugojimo tvarkos.

DUK

K: Ar KVKK privaloma visoms įmonėms, veikiančioms Turkijoje? Taip, bet kuri institucija, apdorojanti asmens duomenis asmenų Turkijoje, yra veikiama KVKK, nepriklausomai nuo įmonės dydžio ar pilietybės. VERBIS registracija yra privaloma daugumai subjektų, viršijančių mažos įmonės išimties ribą.

K: Koks yra VERBIS registracijos terminas 2026 m.? KVKK institucija pratęsė VERBIS registracijos terminą iki 2026 m. birželio 5 d. organizacijoms, atitinkančioms 2025 m. finansinių ataskaitų kriterijus. [1] Organizacijos, kurios jau atitiko ankstesnius kriterijus, turėtų būti registruotos.

K: Ar užsienio įmonė gali būti nubausta pagal KVKK? Taip. KVKK institucija turi jurisdikciją bet kuriam duomenų valdytojui, apdorojančiam Turkijos gyventojų duomenis, įskaitant užsienio įmones. Vykdymas prieš užsienio subjektus yra besivystanti sritis, tačiau teisinė rizika yra reali.

K: Ar yra alternatyva VERBIS, norint deklaruoti duomenų apdorojimo veiklas? Ne. VERBIS yra vienintelis privalomas registras pagal KVKK. Nėra alternatyvaus mechanizmo, kuris atitiktų duomenų valdytojo registracijos įsipareigojimą.

K: Kiek laiko užtrunka VERBIS registracija? Su e-Devlet integracija nuo 2026 m. liepos 1 d. techninis procesas gali būti baigtas per kelias valandas paprastiems atvejams. [3] Tačiau paruošiamasis darbas, susijęs su visų duomenų apdorojimo veiklų žemėlapiu, teisiniais pagrindais ir saugojimo laikotarpiais, paprastai užtrunka savaites vidutinio dydžio organizacijoms.

K: Ar KVKK reikalauja duomenų apsaugos pareigūno (DPO)? KVKK nereikalauja oficialaus DPO vaidmens, lygiaverčio GDPR reikalavimui. Tačiau KVKK institucija rekomenduoja, kad duomenų valdytojai paskirtų atsakingą asmenį viduje, kad valdyti atitiktį.

K: Kas laikoma specialių kategorijų asmens duomenimis pagal KVKK? Specialios kategorijos apima: rasę, etninę kilmę, politinę nuomonę, filosofinę tikėjimą, religiją, sektą, sveikatos duomenis, seksualinį gyvenimą, kriminalinius nuosprendžius, biometrinius duomenis ir genetinius duomenis. Apdorojant šias kategorijas, reikia aiškaus sutikimo arba specifinio teisinio pagrindo.

K: Kaip KVKK tvarko slapukų sutikimą svetainėse? Slapukai, renkantys asmens duomenis (analitika, reklamos identifikatoriai), reikalauja galiojančio sutikimo pagal KVKK. Atitinkama CMP, tokia kaip Biscotti CMP, gali padėti svetainių savininkams užfiksuoti, saugoti ir valdyti slapukų sutikimą pagal KVKK reikalavimus.

K: Ar viešosios institucijos privalo registruotis VERBIS? Taip. Viešosios institucijos ir organizacijos privalo registruotis VERBIS. Viešųjų subjektų registracijos laikotarpis prasidėjo 2019 m. balandžio 1 d., o užbaigimo terminas buvo 2020 m. birželio 30 d. [6]

K: Ką daryti, jei įmonė atnaujina savo apdorojimo veiklas, bet neatsinaujina VERBIS? Nesilaikymas atnaujinti VERBIS, kad atspindėtų dabartines apdorojimo veiklas, laikomas atitikties pažeidimu ir gali lemti administracines baudas pagal KVKK 18 straipsnį. [5]

Išvada: Veiksmingi kiti žingsniai KVKK ir VERBIS atitikties užtikrinimui

Verslo vykdymas Turkijoje reikalauja struktūrizuoto, jurisdikcijai specifinio požiūrio į duomenų apsaugą. KVKK yra aktyviai vykdomas, VERBIS registracija nėra neprivaloma daugumai organizacijų, o 2026 m. sausio mėnesio išimčių paaiškinimai siaurina, o ne plečia mažų įmonių išimtis. [4]

Skubūs veiksmai organizacijoms, veikiančioms Turkijoje:

Atlikite duomenų žemėlapio pratybas. Nustatykite kiekvieną apdorojamų asmens duomenų kategoriją, jos tikslą, teisinį pagrindą ir gavėją.
Nustatykite VERBIS įsipareigojimą. Taikykite darbuotojų skaičiaus ir balanso rodiklius, kad patvirtintumėte, ar registracija yra privaloma. Jei abejojate, registruokitės.
Registruokitės arba atnaujinkite VERBIS. Naudokite e-Devlet integruotą VERBIS portalą, kad užbaigtumėte arba atnaujintumėte savo duomenų valdytojo registraciją. [3]
Audituokite sutikimo mechanizmus. Užtikrinkite, kad svetainių sutikimo juostos ir duomenų rinkimo formos atitiktų KVKK specifinius reikalavimus. Apsvarstykite galimybę diegti Biscotti CMP (www.biscotti-cmp.com) struktūrizuotam, audituojamam sutikimo valdymui.
Peržiūrėkite tarptautinio perdavimo susitarimus. Nustatykite visus trečiųjų šalių apdorotojus ir debesų paslaugas, gaunančias Turkijos asmens duomenis, ir įvertinkite teisinį pagrindą kiekvienam perdavimui.
Nustatykite pažeidimo reagavimo protokolą. Dokumentuokite 72 valandų pranešimo procedūrą ir paskirkite vidinę atsakomybę.
Įtraukite vietinį teisininką. KVKK interpretacija toliau vystosi, o Turkijos duomenų apsaugos advokatas gali suteikti jurisdikcijai specifinę informaciją, kurios negali pakeisti jokie bendri atitikties rėmai.

Atitikties aplinka verslui Turkijoje sparčiai bręsta. Organizacijos, kurios KVKK traktuoja kaip užduotį, o ne kaip nuolatinę programą, susidurs su rizika, kai vykdymas intensyvės.