Piekrišana un baneri

Uzņēmējdarbība Turcijā? Ko jums jāzina par KVKK un VERBIS

2026. gada 7. jūlijs · 15 min lasīšana

Ātra atbilde: Turcijas galvenais datu aizsardzības likums, KVKK (Likums Nr. 6698), attiecas uz jebkuru organizāciju, vietējo vai ārvalstu, kas apstrādā personisko datu informāciju par indivīdiem Turcijā. VERBIS ir obligāts datu pārvaldītāju reģistrs saskaņā ar KVKK. Lielākajai daļai vidējo un lielo organizāciju ir jāreģistrējas VERBIS, pretējā gadījumā tās saskarsies ar administratīviem sodiem. No 2026. gada reģistrācijas process ir pieejams caur Turcijas e-Devlet platformu, un izņēmuma sliekšņi mazajiem uzņēmumiem ir precizēti.

Galvenie secinājumi

KVKK (Kişisel Verilerin Korunması Kanunu) ir Turcijas datu aizsardzības likums, pieņemts 2016. gadā un daļēji balstīts uz GDPR principiem, taču ar atšķirīgām vietējām prasībām.
VERBIS ir tiešsaistes reģistrs, kur datu pārvaldītājiem jādeklarē savas datu apstrādes darbības pirms apstrādes uzsākšanas.
Ārvalstu uzņēmumi, kas apstrādā Turcijas iedzīvotāju datus, ir pakļauti KVKK, neatkarīgi no tā, kur uzņēmums ir reģistrēts.
No 2026. gada 12. janvāra maza mēroga datu pārvaldītājiem ar mazāk nekā 10 darbiniekiem un gada bilanci zem 10 miljoniem TL ir izņēmums no VERBIS reģistrācijas, ja viņu galvenā darbība ietver īpašu kategoriju datus. [4]
VERBIS reģistrācijas termiņš tika pagarināts līdz 2026. gada 5. jūnijam organizācijām, kas kvalificējas, pamatojoties uz 2025. gada finanšu pārskatiem. [1]
No 2026. gada 1. jūlija VERBIS pakalpojumi ir pilnībā integrēti Turcijas e-Devlet (e-Valdība) platformā. [3]
Neatbilstības sodi saskaņā ar KVKK 18. pantu var sasniegt ievērojamus administratīvos sodus, un KVKK iestāde aktīvi tos izpilda.
Piekrišanai saskaņā ar KVKK jābūt brīvi dotai, specifiskai, informētai un nepārprotamai; Piekrišanas pārvaldības platforma (CMP) ir praktisks rīks tīmekļa atbilstībai.

Kas ir KVKK? Turcijas datu aizsardzības likums izskaidrots

KVKK (Kişisel Verilerin Korunması Kanunu, Likums Nr. 6698) ir Turcijas visaptverošais personisko datu aizsardzības likums, pieņemts 2016. gada 7. aprīlī. Tas nosaka, kā personiskie dati tiek vākti, glabāti, apstrādāti, pārsūtīti un dzēsti no datu pārvaldītājiem un apstrādātājiem, kas darbojas Turcijā.

Likums izveidoja Personisko datu aizsardzības iestādi (Kişisel Verileri Koruma Kurumu, arī saīsināti KVKK), neatkarīgu uzraudzības iestādi, kas atbildīga par izpildi, vadlīnijām un VERBIS reģistru.

Pamatprincipi saskaņā ar KVKK ietver:

Likumība, taisnīgums un caurredzamība
Mērķa ierobežojums (dati tiek vākti tikai noteiktiem, skaidriem mērķiem)
Datu minimizācija
Precizitāte un datu aktualizēšana
Glabāšanas ierobežojums (dati tiek glabāti ne ilgāk kā nepieciešams)
Integritāte un konfidencialitāte

Jebkura vienība, kas nosaka personisko datu apstrādes mērķus un līdzekļus, kvalificējas kā "datu pārvaldītājs" saskaņā ar KVKK un uzņemas galvenās atbilstības saistības.

KVKK pret GDPR: Galvenās atšķirības un atbilstības pārklājums

KVKK dalās struktūras DNS ar ES GDPR, taču abu ietvaru darbībā ir vairākas nozīmīgas atšķirības. Organizācijas, kas jau ir atbilstošas GDPR, nedrīkst pieņemt automātisku KVKK atbilstību.

Dimension	KVKK (Turcija)	GDPR (ES)
Pieņemts	2016	2018 (izpilde)
Uzraudzības iestāde	KVKK iestāde	Nacionālās DPA pēc dalībvalsts
Datu reģistrs	VERBIS (obligāts lielākajai daļai)	Nav ekvivalentas obligātas reģistra
Datu pārsūtīšana uz ārzemēm	Prasa skaidru piekrišanu vai atbilstību	Atbilstības lēmumi vai SCC
DPO prasība	Nav oficiālas DPO mandāta	Obligāts noteiktos gadījumos
Pārkāpumu paziņošana	72 stundas uz iestādi	72 stundas uz iestādi

Galvenā atšķirība: KVKK prasa datu pārvaldītājiem reģistrēties VERBIS un proaktīvi deklarēt savas apstrādes darbības. GDPR nav ekvivalentas publiskās reģistrācijas saistības. Turklāt KVKK starptautiskās datu pārsūtīšanas noteikumi praksē ir ierobežotāki, prasa vai nu datu subjekta skaidru piekrišanu, vai oficiālu atbilstības lēmumu, un Turcijai nav piešķirta ES atbilstības status.

"GDPR atbilstība ir noderīga pamats, bet uzņēmējdarbība Turcijā prasa atsevišķu KVKK atbilstības slāni, īpaši attiecībā uz VERBIS reģistrāciju un starptautiskās pārsūtīšanas noteikumiem."

Kas ir VERBIS un kā tas darbojas?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) ir tiešsaistes reģistrs, ko uztur KVKK iestāde, kur datu pārvaldītājiem jāreģistrējas un jādeklarē savas personisko datu apstrādes darbības pirms apstrādes uzsākšanas. Domājiet par to kā par publisku inventāru, kurā norādīts, kas apstrādā kādus datus, kādam mērķim un saskaņā ar kādu glabāšanas politiku.

Kā VERBIS darbojas praksē:

Datu pārvaldītājs izveido kontu VERBIS portālā (tagad pieejams caur Turcijas e-Devlet platformu no 2026. gada 1. jūlija). [3]
Pārvaldītājs deklarē katru apstrādāto personisko datu kategoriju, apstrādes mērķi, juridisko pamatu, datu kategorijas, saņēmēju grupas un glabāšanas periodus.
Deklarācijas tiek iesniegtas un kļūst par publiskā reģistra daļu.
Jebkuras izmaiņas apstrādes darbībās jāatjaunina VERBIS nekavējoties.
Reģistrācijas vai atjaunināšanas neizpilde izraisa sodus saskaņā ar KVKK 18. pantu. [5]
gada 1. jūlijā KVKK iestāde arī izlaida atjauninātas "Sorularla VERBİS" vadlīniju dokumenta un oficiālā VERBİS Kılavuzu (lietotāja rokasgrāmata) versijas, lai palīdzētu datu pārvaldītājiem orientēties reģistrācijas pienākumos. [2]

Vai ārvalstu uzņēmumiem nepieciešama KVKK atbilstība?

Jā. KVKK attiecas uz jebkuru datu pārvaldītāju, kas apstrādā personisko datu informāciju par indivīdiem, kas atrodas Turcijā, neatkarīgi no tā, kur datu pārvaldītājs ir reģistrēts vai atrodas. Vācu SaaS uzņēmums ar Turcijas klientiem, ASV e-komercijas platforma, kas piegādā uz Turciju, vai Lielbritānijas mārketinga aģentūra, kas veic kampaņas, kas mērķē uz Turcijas patērētājiem, visi ietilpst KVKK darbības jomā.

Praktiskās sekas ārvalstu uzņēmumiem:

Jāieceļ vietējais pārstāvis Turcijā, ja tiem nav fiziskas klātbūtnes (lai gan likuma īstenošana šajā jautājumā turpina attīstīties, konsultējieties ar vietējo juridisko konsultantu).
Jāievēro VERBIS reģistrācijas prasības, ja vien neattiecas konkrēts izņēmums.
Starptautiskās datu pārsūtīšanas no Turcijas prasa vai nu skaidru datu subjekta piekrišanu, vai oficiālu atbilstības mehānismu, no kuriem neviens nav vienkāršs lielākajai daļai ārpus ES galamērķiem.

Bieži pieļautā kļūda: Ārvalstu uzņēmumi pieņem, ka GDPR atbilstība vai vispārēja privātuma politika aptver viņu Turcijas lietotāju bāzi. KVKK prasa jurisdikcijai specifiskas atklāšanas, piekrišanas mehānismus un reģistra deklarācijas.

VERBIS reģistrācijas prasības: Kas jāreģistrē un kā

Lielākajai daļai datu pārvaldītāju, kas pārsniedz mazo uzņēmumu izņēmuma slieksni, ir jāreģistrējas VERBIS. Šī saistība attiecas gan uz privātā sektora subjektiem, gan uz valsts iestādēm. [6]

Reģistrācija ir nepieciešama, ja datu pārvaldītājs:

Ir 50 vai vairāk darbinieku (pilna laika ekvivalents), VAI
Ir gada finanšu bilances kopējais apjoms, kas pārsniedz 25 miljonus TL, VAI
Apstrādā īpašu kategoriju personisko datu (veselības, biometrijas, kriminālo ierakstu utt.) neatkarīgi no lieluma, ja vien neattiecas mazā mēroga izņēmums (skatīt zemāk).

Jaunajiem uzņēmumiem un augošajiem uzņēmumiem: Slieksnis balstās uz gada darbinieku skaitu un bilances rādītājiem. Uzņēmums, kas pārsniedz 50 darbinieku slieksni vai bilances slieksni konkrētajā gadā, kļūst par reģistrācijas pienākumu. Reģistrācija jāveic pirms apstrādes uzsākšanas saskaņā ar jauno slieksni, nevis retroaktīvi gada beigās.

Solis pa solim VERBIS reģistrācijas process:

Piesakieties VERBIS portālā, izmantojot e-Devlet (e-Valdības vārti) ar KEP (reģistrēta elektroniskā pasta) adresi vai pilnvarota parakstītāja akreditāciju. [3]
Aizpildiet datu pārvaldītāja profilu (uzņēmuma nosaukums, juridiskais veids, kontaktinformācija, pilnvarotais pārstāvis).
Izveidojiet "apstrādes darbības" ierakstu katrai atsevišķai apstrādāto personisko datu kategorijai.
Katram darbam deklarējiet: datu kategoriju, mērķi, juridisko pamatu, datu subjekta grupu, saņēmējus un glabāšanas periodu.
Iesniedziet un saņemiet VERBIS reģistrācijas numuru.
Atjauniniet reģistru, kad apstrādes darbības būtiski mainās.

KVKK izņēmumi: mazie uzņēmumi un kādi dati nav iekļauti

Ne katrai organizācijai ir jāreģistrējas VERBIS. 2026. gada 12. janvārī KVKK iestāde precizēja izņēmuma kritērijus maza mēroga datu pārvaldītājiem. [4]

Izņēmums attiecas, ja VISI trīs nosacījumi ir izpildīti:

Mazāk nekā 10 darbinieku
Gada bilances kopējais apjoms zem 10 miljoniem TL
Galvenā darbība ietver īpašu kategoriju personisko datu apstrādi (izņēmums tika īpaši izstrādāts maziem veselības aprūpes sniedzējiem, klīnikām un līdzīgām vienībām)

CMS Law publicētā juridiskā analīze norāda, ka šis izņēmums ir šaurāks, nekā tas varētu šķist sākotnēji; tas nav vispārējs mazo uzņēmumu izņēmums, bet konkrēti mērķē uz vienībām, kuru pamatdarbība ietver sensitīvu datu kategorijas. [7] Erdem & Erdem tālāk precizēja šo jauno izņēmumu piemērošanas principus. [8]

Datu kategorijas, kas nav iekļautas KVKK:

Anonimizēti dati (kur atkārtota identificēšana nav iespējama)
Dati, kas apstrādāti tikai personiskām vai mājsaimniecības vajadzībām (nav komerciālas darbības)
Dati, ko apstrādā tiesu iestādes kriminālprocesiem (regulēti ar atsevišķu likumdošanu)

Robu gadījums: Pseudonimizēti dati joprojām tiek uzskatīti par personiskiem datiem saskaņā ar KVKK, ja pārvaldītājs saglabā līdzekļus, lai atkārtoti identificētu indivīdus. Neuzskatiet pseudonimizāciju par ekvivalentu anonimizācijai atbilstības nolūkiem.

KVKK piekrišanas prasības klientu datiem

Saskaņā ar KVKK derīgai piekrišanai jābūt brīvi dotai, specifiskai, informētai un nepārprotamai. Piekrišana nevar būt saistīta ar pakalpojumu noteikumu pieņemšanu, un iepriekš atzīmētas kastes nav derīga piekrišana.

Piekrišanai jābūt:

Brīvi dotai: Nav piespiešanas vai pakalpojuma piekļuves nosacījuma uz piekrišanu
Specifiskai: Saistītai ar noteiktu mērķi, nevis vispārēju atļauju
Informētai: Datu subjektam jāzina, kurš vāc datus un kāpēc
Nepārprotamai: Prasa apstiprinošu darbību (klikšķis, paraksts, atzīmēta kaste)

Tīmekļa vietnēm un digitālajām platformām atbilstīgas Piekrišanas pārvaldības platformas ieviešana ir vispraktiskākais risinājums. Biscotti CMP ir izstrādāta, lai palīdzētu tīmekļa vietņu īpašniekiem un uzņēmumiem pārvaldīt piekrišanas vākšanu tādā veidā, kas atbilst KVKK un citiem datu aizsardzības ietvariem, nodrošinot audita pēdas un detalizētus piekrišanas ierakstus.

Skaidra piekrišana papildus ir nepieciešama īpašu kategoriju personisko datu (veselības, biometrijas, ģenētiskie, kriminālie ieraksti utt.) un starptautiskām datu pārsūtīšanām, kur nav atbilstības mehānisma.

KVKK sodi un naudas sodi par neatbilstību

KVKK izpilde nav teorētiska. KVKK iestāde ir piemērojusi sodus gan vietējām, gan ārvalstu vienībām. Sodi tiek regulēti ar likuma 18. pantu.

Administratīvo sodu kategorijas saskaņā ar 18. pantu:

Atklāšanas pienākumu neizpilde: 9,027 TL līdz 180,536 TL (aptuvenais 2024. gada slieksnis; summas tiek atjauninātas katru gadu inflācijas dēļ)
Datu drošības nodrošināšanas neizpilde: 45,135 TL līdz 9,027,000 TL
Neatbilstība KVKK iestādes lēmumiem: 45,135 TL līdz 9,027,000 TL
Reģistrācijas neizpilde VERBIS vai VERBIS atjaunināšanas neizpilde: 39,337 TL līdz 1,966,862 TL

Piezīme: Sodu summas tiek indeksētas katru gadu, un iepriekš minētās figūras atspoguļo publicētos 2024. gada sliekšņus. Pārbaudiet pašreizējās figūras ar KVKK iestādi vai Turcijas juridisko konsultantu attiecībā uz 2026. gada izpildes darbībām.

Kriminālā atbildība par noteiktiem pārkāpumiem (nelikumīga apstrāde, datu dzēšanas neizpilde) var novest pie cietumsoda saskaņā ar Turcijas Krimināllikumu, kas ir dimensija, kas nav iekļauta GDPR izpildes rīku komplektā.

KVKK datu pārkāpumu paziņošanas noteikumi

Saskaņā ar KVKK datu pārvaldītājiem jāinformē KVKK iestāde 72 stundu laikā pēc tam, kad viņi uzzina par personisko datu pārkāpumu. Ja pārkāpums, visticamāk, negatīvi ietekmēs datu subjektus, šiem indivīdiem arī jāinformē nekavējoties.

Pārkāpumu paziņošanas kontrolsaraksts:

Identificēt un ierobežot pārkāpumu
Novērtēt apjomu un iespējamo ietekmi uz datu subjektiem
Informēt KVKK iestādi 72 stundu laikā, izmantojot oficiālo paziņojuma veidlapu
Dokumentēt pārkāpumu iekšēji (kas notika, kādi dati tika ietekmēti, novēršanas soļi)
Informēt skartos datu subjektus, ja pastāv augsts kaitējuma risks

Neinformēšana noteiktajā laika posmā pati par sevi ir sodāma pārkāpuma veids saskaņā ar 18. pantu.

Biežākās KVKK atbilstības kļūdas, ko pieļauj uzņēmumi

1. VERBIS uzskatīšana par vienreizēju uzdevumu. VERBIS ieraksti jāatjaunina, kad apstrādes darbības mainās. Jauna CRM iegāde, jaunas mārketinga kampaņas uzsākšana ar atšķirīgām datu kategorijām vai jauna datu apstrādātāja pieņemšana darbā var prasīt VERBIS atjaunināšanu.

2. Paļaušanās uz GDPR piekrišanu Turcijas lietotājiem. KVKK piekrišanas prasības ir vietējās nianses. Piekrišanas baneris, kas optimizēts GDPR, var nesaturēt specifiskās atklāšanas, kas nepieciešamas saskaņā ar KVKK.

3. Starptautisko pārsūtīšanas noteikumu ignorēšana. Turcijas klientu datu nosūtīšana uz ASV bāzētu analītikas platformu vai mākoņu pakalpojumu sniedzēju bez derīga pārsūtīšanas mehānisma ir bieža un bieži sodīta pārkāpuma veids.

4. Pieņemšana, ka mazā uzņēmuma izņēmums ir bez pārbaudes. 2026. gada janvāra precizējums skaidri norādīja, ka izņēmums ir atkarīgs no visu trīs kritēriju vienlaicīgas izpildes. [4]

5. Nav datu glabāšanas politikas. KVKK prasa dzēst, iznīcināt vai anonimizēt datus, kad apstrādes mērķis vairs nepastāv. Daudzi uzņēmumi vāc datus bezgalīgi bez dokumentētas glabāšanas grafika.

FAQ

Q: Vai KVKK ir obligāts visiem uzņēmumiem, kas darbojas Turcijā? Jā, jebkura vienība, kas apstrādā personisko datu informāciju par indivīdiem Turcijā, ir pakļauta KVKK, neatkarīgi no uzņēmuma lieluma vai nacionalitātes. VERBIS reģistrācija ir obligāta lielākajai daļai vienību, kas pārsniedz mazo uzņēmumu izņēmuma slieksni.

Q: Kāds ir VERBIS reģistrācijas termiņš 2026. gadā? KVKK iestāde pagarināja VERBIS reģistrācijas termiņu līdz 2026. gada 5. jūnijam organizācijām, kas kvalificējas, pamatojoties uz 2025. gada finanšu pārskatiem. [1] Organizācijām, kas jau ir izpildījušas iepriekšējos sliekšņus, jau vajadzētu būt reģistrētām.

Q: Vai ārvalstu uzņēmums var tikt sodīts saskaņā ar KVKK? Jā. KVKK iestāde ir kompetenta attiecībā uz jebkuru datu pārvaldītāju, kas apstrādā Turcijas iedzīvotāju datus, tostarp ārvalstu uzņēmumiem. Izpilde pret ārvalstu vienībām ir attīstoša joma, taču juridiskā iedarbība ir reāla.

Q: Vai ir alternatīva VERBIS datu apstrādes darbību deklarēšanai? Nē. VERBIS ir vienīgais obligātais reģistrs saskaņā ar KVKK. Nav alternatīva mehānisma, lai izpildītu datu pārvaldītāja reģistrācijas pienākumu.

Q: Cik ilgs laiks nepieciešams VERBIS reģistrācijai? Ar e-Devlet integrāciju no 2026. gada 1. jūlija tehniskais process var tikt pabeigts dažās stundās vienkāršiem gadījumiem. [3] Tomēr sagatavošanas darbs, kartējot visas datu apstrādes darbības, identificējot juridiskos pamatus un dokumentējot glabāšanas periodus, parasti prasa nedēļas vidēja lieluma organizācijām.

Q: Vai KVKK prasa Datu aizsardzības speciālista (DPO) iecelšanu? KVKK nenosaka oficiālu DPO lomu, kas atbilst GDPR prasībām. Tomēr KVKK iestāde iesaka datu pārvaldītājiem iekšēji iecelt atbildīgu personu, lai pārvaldītu atbilstību.

Q: Kas ir īpaša kategorija personisko datu saskaņā ar KVKK? Īpašas kategorijas ietver: rasi, etnisko izcelsmi, politisko viedokli, filozofisko uzskatu, reliģiju, sektu, veselības datus, seksuālo dzīvi, kriminālos sodus, biometrijas datus un ģenētiskos datus. Šo kategoriju apstrāde prasa skaidru piekrišanu vai konkrētu juridisko pamatu.

Q: Kā KVKK risina sīkdatņu piekrišanu tīmekļa vietnēs? Sīkdatnes, kas vāc personiskos datus (analītika, reklāmas identifikatori), prasa derīgu piekrišanu saskaņā ar KVKK. Atbilstīga CMP, piemēram, Biscotti CMP, var palīdzēt tīmekļa vietņu īpašniekiem iegūt, glabāt un pārvaldīt sīkdatņu piekrišanu saskaņā ar KVKK prasībām.

Q: Vai valsts iestādēm ir jāreģistrējas VERBIS? Jā. Valsts iestādēm un organizācijām ir jāreģistrējas VERBIS. Reģistrācijas periods valsts subjektiem sākās 2019. gada 1. aprīlī, ar pabeigšanas termiņu līdz 2020. gada 30. jūnijam. [6]

Q: Kas notiek, ja uzņēmums atjaunina savas apstrādes darbības, bet neaktualizē VERBIS? Neaktualizēšana VERBIS, lai atspoguļotu pašreizējās apstrādes darbības, tiek uzskatīta par atbilstības pārkāpumu un var novest pie administratīviem sodiem saskaņā ar KVKK 18. pantu. [5]

Secinājums: Rīcības soļi KVKK un VERBIS atbilstībai

Uzņēmējdarbība Turcijā prasa strukturētu, jurisdikcijai specifisku pieeju datu aizsardzībai. KVKK tiek aktīvi izpildīts, VERBIS reģistrācija nav opcija lielākajai daļai organizāciju, un 2026. gada janvāra izņēmuma precizējumi ir sašaurinājuši, nevis paplašinājuši, izņēmumus maziem uzņēmumiem. [4]

Tūlītējās darbības organizācijām, kas darbojas Turcijā:

Veiciet datu kartēšanas vingrinājumu. Identificējiet katru apstrādāto personisko datu kategoriju, tās mērķi, juridisko pamatu un saņēmēju.
Noteikt VERBIS pienākumu. Pielietojiet darbinieku skaita un bilances sliekšņus, lai apstiprinātu, vai reģistrācija ir nepieciešama. Ja rodas šaubas, reģistrējieties.
Reģistrējieties vai atjauniniet VERBIS. Izmantojiet e-Devlet integrēto VERBIS portālu, lai pabeigtu vai atjauninātu savu datu pārvaldītāja reģistrāciju. [3]
Pārbaudiet piekrišanas mehānismus. Pārliecinieties, ka tīmekļa vietņu piekrišanas baneri un datu vākšanas veidlapas atbilst KVKK specifiskajām prasībām. Apsveriet iespēju ieviest Biscotti CMP (www.biscotti-cmp.com) strukturētai, auditable piekrišanas pārvaldībai.
Pārskatiet starptautiskās pārsūtīšanas nolīgumus. Identificējiet visus trešo pušu apstrādātājus un mākoņu pakalpojumus, kas saņem Turcijas personiskos datus, un novērtējiet katra pārsūtījuma juridisko pamatu.
Izveidojiet pārkāpumu reaģēšanas protokolu. Dokumentējiet 72 stundu paziņošanas procedūru un piešķiriet iekšējo atbildību.
Iesaistiet vietējo juridisko konsultantu. KVKK interpretācija turpina attīstīties, un Turcijas datu aizsardzības advokāts var sniegt jurisdikcijai specifiskas vadlīnijas, ko nekāda vispārēja atbilstības struktūra nevar aizstāt.

Atbilstības ainava uzņēmējdarbībai Turcijā strauji attīstās. Organizācijas, kas uzskata KVKK par vienreizēju uzdevumu, nevis par nepārtrauktu programmu, atradīs sevi pakļautas, kad izpilde pastiprinās.