Samtykke og bannere

Driver virksomhet i Tyrkia? Hva du trenger å vite om KVKK og VERBIS

7. juli 2026 · 15 min lesing

Raskt svar: Tyrkias primære databeskyttelseslov, KVKK (Lov nr. 6698), gjelder for enhver organisasjon, innenlandsk eller utenlandsk, som behandler personopplysninger om enkeltpersoner i Tyrkia. VERBIS er det obligatoriske registeret for databehandlere under KVKK. De fleste mellomstore til store organisasjoner må registrere seg hos VERBIS eller risikere administrative bøter. Fra 2026 er registreringsprosessen tilgjengelig via Tyrkias e-Devlet-plattform, og unntaksgrensene for små bedrifter er blitt klargjort.

Viktigste punkter

KVKK (Kişisel Verilerin Korunması Kanunu) er Tyrkias databeskyttelseslov, vedtatt i 2016 og delvis modellert etter GDPR-prinsipper, men med distinkte lokale krav.
VERBIS er det nettbaserte registeret der databehandlere må erklære sine databehandlingsaktiviteter før behandlingen begynner.
Utenlandske selskaper som behandler data om tyrkiske innbyggere er underlagt KVKK, uavhengig av hvor selskapet er basert.
Fra 12. januar 2026 er små databehandlere med færre enn 10 ansatte og en årlig balanse under 10 millioner TL unntatt fra VERBIS-registrering hvis deres primære aktivitet involverer spesielle kategorier av data. [4]
Fristen for VERBIS-registrering ble forlenget til 5. juni 2026 for organisasjoner som kvalifiserer basert på 2025-regnskap. [1]
Fra 1. juli 2026 er VERBIS-tjenester fullt integrert med Tyrkias e-Devlet (e-Regjering) plattform. [3]
Bøter for manglende overholdelse under artikkel 18 i KVKK kan nå betydelige administrative bøter, og KVKK-myndigheten håndhever dem aktivt.
Samtykke under KVKK må være fritt gitt, spesifikt, informert og entydig; en Consent Management Platform (CMP) er et praktisk verktøy for nettbasert overholdelse.

Hva er KVKK? Tyrkias databeskyttelseslov forklart

KVKK (Kişisel Verilerin Korunması Kanunu, Lov nr. 6698) er Tyrkias omfattende lov om beskyttelse av personopplysninger, vedtatt 7. april 2016. Den regulerer hvordan personopplysninger samles inn, lagres, behandles, overføres og slettes av databehandlere og behandlere som opererer i Tyrkia.

Loven etablerte Personvernmyndigheten (Kişisel Verileri Koruma Kurumu, også forkortet KVKK), det uavhengige tilsynsorganet ansvarlig for håndheving, veiledning og VERBIS-registeret.

Kjerneprinsipper under KVKK inkluderer:

Lovlighet, rettferdighet og åpenhet
Formålsbegrensning (data samlet inn for spesifikke, eksplisitte formål)
Dataminimering
Nøyaktighet og opprettholdelse av oppdatert data
Lagringsbegrensning (data beholdt ikke lenger enn nødvendig)
Integritet og konfidensialitet

Enhver enhet som bestemmer formålene og midlene for behandling av personopplysninger kvalifiserer som en "databehandler" under KVKK og har de primære overholdelsesforpliktelsene.

KVKK vs. GDPR: Nøkkelforskjeller og overholdelsesoverlapp

KVKK deler strukturell DNA med EUs GDPR, men de to rammeverkene divergerer på flere operasjonelt betydningsfulle måter. Organisasjoner som allerede er GDPR-kompatible bør ikke anta automatisk KVKK-overholdelse.

Dimensjon	KVKK (Tyrkia)	GDPR (EU)
Vedtatt	2016	2018 (håndheving)
Tilsynsorgan	KVKK-myndigheten	Nasjonale DPA-er per medlemsland
Dataregister	VERBIS (obligatorisk for de fleste)	Ingen ekvivalent obligatorisk register
Dataoverføringer til utlandet	Krever eksplisitt samtykke eller tilstrekkelighet	Tilstrekkelighetsbeslutninger eller SCC-er
DPO-krav	Ingen formell DPO-mandat	Obligatorisk i visse tilfeller
Bruddvarsling	72 timer til myndigheten	72 timer til myndigheten

Nøkkeldifferens: KVKK krever at databehandlere registrerer seg hos VERBIS og proaktivt erklærer sine behandlingsaktiviteter. GDPR har ingen ekvivalent offentlig registreringsforpliktelse. I tillegg er KVKKs regler for grenseoverskridende dataoverføring mer restriktive i praksis, og krever enten eksplisitt samtykke fra den registrerte eller en formell tilstrekkelighetsbeslutning, og Tyrkia har ikke fått tildelt EUs tilstrekkelighetsstatus.

"GDPR-overholdelse er et nyttig grunnlag, men å drive virksomhet i Tyrkia krever et eget lag for KVKK-overholdelse, spesielt rundt VERBIS-registrering og regler for grenseoverskridende overføring."

Hva er VERBIS og hvordan fungerer det?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) er det nettbaserte registeret som opprettholdes av KVKK-myndigheten der databehandlere må registrere seg og erklære sine personopplysningsaktiviteter før behandlingen begynner. Tenk på det som et offentlig tilgjengelig register over hvem som behandler hvilke data, til hvilket formål, og under hvilken lagringspolitikk.

Hvordan VERBIS fungerer i praksis:

Databehandleren oppretter en konto på VERBIS-portalen (nå tilgjengelig via Tyrkias e-Devlet-plattform fra 1. juli 2026). [3]
Behandleren erklærer hver kategori av personopplysninger som behandles, formålet med behandlingen, det juridiske grunnlaget, datakategorier, mottakergrupper og lagringsperioder.
Erklæringene sendes inn og blir en del av det offentlige registeret.
Eventuelle endringer i behandlingsaktiviteter må oppdateres i VERBIS umiddelbart.
Unnlatelse av å registrere seg eller oppdatere utløser straffer under artikkel 18 i KVKK. [5]

Den 1. juli 2026 ga også KVKK-myndigheten ut oppdaterte versjoner av veiledningsdokumentet "Sorularla VERBİS" og den offisielle VERBİS Kılavuzu (brukerveiledning) for å hjelpe databehandlere med å navigere i registreringsforpliktelsene. [2]

Må utenlandske selskaper overholde KVKK?

Ja. KVKK gjelder for enhver databehandler som behandler personopplysninger om enkeltpersoner som befinner seg i Tyrkia, uavhengig av hvor databehandleren er registrert eller basert. Et tysk SaaS-selskap med tyrkiske kunder, en amerikansk e-handelsplattform som sender til Tyrkia, eller et britisk markedsføringsbyrå som kjører kampanjer rettet mot tyrkiske forbrukere, faller alle innenfor KVKKs omfang.

Praktiske implikasjoner for utenlandske selskaper:

Må utpeke en lokal representant i Tyrkia hvis de ikke har fysisk tilstedeværelse (selv om lovens implementering på dette punktet fortsatt utvikler seg, konsulter lokal juridisk rådgiver).
Må overholde VERBIS-registreringskrav med mindre et spesifikt unntak gjelder.
Grenseoverskridende dataoverføringer ut av Tyrkia krever enten eksplisitt samtykke fra den registrerte eller en formell tilstrekkelighetsmekanisme, ingen av delene er enkle for de fleste ikke-EU-destinasjoner.

Vanlig feil: Utenlandske selskaper antar at GDPR-overholdelse eller en generell personvernerklæring dekker deres tyrkiske brukerbase. KVKK krever jurisdiksjonsspesifikke avsløringer, samtykkemekanismer og registrerings-erklæringer.

VERBIS-registreringskrav: Hvem må registrere seg og hvordan

De fleste databehandlere over unntaksgrensen for små bedrifter er pålagt å registrere seg hos VERBIS. Forpliktelsen gjelder både private og offentlige enheter. [6]

Registrering er påkrevd hvis databehandleren:

Har 50 eller flere ansatte (fulltidsekvivalenter), ELLER
Har en årlig finansiell balanse som overstiger 25 millioner TL, ELLER
Behandler spesielle kategorier av personopplysninger (helse, biometrisk, strafferegister osv.) uavhengig av størrelse, med mindre unntaket for småskala gjelder (se nedenfor).

For oppstartsbedrifter og voksende selskaper: Grensen er basert på årlig antall ansatte og balanseopplysninger. En oppstartsbedrift som krysser 50-ansattgrensen eller balansegrensen i et gitt år blir forpliktet til å registrere seg. Registreringen må fullføres før behandlingen begynner under den nye grensen, ikke retrospektivt ved årsslutt.

Trinn-for-trinn VERBIS-registreringsprosess:

Logg inn på VERBIS-portalen via e-Devlet (e-Regjering) ved å bruke en KEP (registrert elektronisk post) adresse eller autoriserte signaturkredentialer. [3]
Fullfør profilen for databehandleren (firmanavn, juridisk form, kontaktinformasjon, autorisert representant).
Opprett en "behandlingsaktivitet" oppføring for hver distinkt kategori av personopplysninger som behandles.
For hver aktivitet, erklær: datakategori, formål, juridisk grunnlag, datakategorigruppe, mottakere og lagringsperiode.
Send inn og motta et VERBIS-registreringsnummer.
Oppdater registeret når som helst behandlingsaktivitetene endres vesentlig.

KVKK-unntak: Små bedrifter og hvilke data som ikke dekkes

Ikke alle organisasjoner må registrere seg hos VERBIS. Den 12. januar 2026 klargjorde KVKK-myndigheten unntakskriteriene for små databehandlere. [4]

Unntak gjelder når ALLE tre betingelsene er oppfylt:

Fewer enn 10 ansatte
Årlig balanse under 10 millioner TL
Primær aktivitet involverer behandling av spesielle kategorier av personopplysninger (unntaket ble spesifikt utformet for små helseleverandører, klinikker og lignende enheter)

Juridisk analyse publisert av CMS Law bemerker at dette unntaket er smalere enn det kan se ut ved første øyekast; det er ikke et generelt unntak for små bedrifter, men spesifikt rettet mot enheter hvis kjernevirksomhet involverer sensitive datakategorier. [7] Erdem & Erdem klargjorde videre anvendelsesprinsippene for disse nye unntakene. [8]

Datakategorier som ikke dekkes av KVKK:

Anonymiserte data (hvor re-identifikasjon er umulig)
Data behandlet utelukkende for personlige eller husholdningsformål (ingen kommersiell aktivitet)
Data behandlet av rettslige myndigheter for straffesaker (regulert av egen lovgivning)

Grensecase: Pseudonymiserte data anses fortsatt som personopplysninger under KVKK hvis databehandleren beholder midlene til å re-identifisere enkeltpersoner. Ikke behandle pseudonymisering som ekvivalent med anonymisering for overholdelsesformål.

KVKK-samtykkekrav for kundedata

Under KVKK må gyldig samtykke være fritt gitt, spesifikt, informert og entydig. Samtykke kan ikke pakkes sammen med aksept av tjenestevilkår, og forhåndsmerkede bokser utgjør ikke gyldig samtykke.

Samtykke må være:

Fritt gitt: Ingen tvang eller betingelse for tilgang til tjenesten på samtykke
Spesifikt: Knyttet til et definert formål, ikke generell autorisasjon
Informert: Den registrerte må vite hvem som samler inn data og hvorfor
Entydig: Krever en bekreftende handling (klikk, signatur, avkrysningsboks)

For nettsteder og digitale plattformer er implementering av en kompatibel Consent Management Platform den mest praktiske tilnærmingen. Biscotti CMP er designet for å hjelpe nettstedseiere og bedrifter med å administrere innsamling av samtykke på en måte som er i samsvar med KVKK og andre databeskyttelsesrammer, og gir revisjonsspor og detaljerte samtykkeposter.

Eksplisitt samtykke er i tillegg nødvendig for spesielle kategorier av personopplysninger (helse, biometrisk, genetisk, strafferegister osv.) og for grenseoverskridende dataoverføringer der ingen tilstrekkelighetsmekanisme eksisterer.

KVKK-bøter og straffer for manglende overholdelse

Håndhevelsen av KVKK er ikke teoretisk. KVKK-myndigheten har ilagt bøter mot både innenlandske og utenlandske enheter. Straffene reguleres av artikkel 18 i loven.

Administrative bøter under artikkel 18:

Unnlatelse av å oppfylle opplysningsforpliktelser: 9,027 TL til 180,536 TL (omtrentlig 2024-grense; beløpene oppdateres årlig for inflasjon)
Unnlatelse av å sikre databeskyttelse: 45,135 TL til 9,027,000 TL
Unnlatelse av å overholde KVKK-myndighetens beslutninger: 45,135 TL til 9,027,000 TL
Unnlatelse av å registrere seg hos VERBIS eller unnlatelse av å oppdatere VERBIS: 39,337 TL til 1,966,862 TL

Merk: Bøtesatsene indekseres årlig, og tallene ovenfor gjenspeiler publiserte 2024-grenser. Bekreft gjeldende tall med KVKK-myndigheten eller tyrkisk juridisk rådgiver for håndhevelsesaksjoner i 2026.

Kriminelt ansvar for visse brudd (ulovlig behandling, unnlatelse av å slette data) kan resultere i fengsel i henhold til den tyrkiske straffeloven, en dimensjon som er fraværende fra GDPRs håndhevelsesverktøy.

KVKK-regler for varsling om databrudd

Under KVKK må databehandlere varsle KVKK-myndigheten innen 72 timer etter å ha blitt klar over et brudd på personopplysninger. Hvis bruddet sannsynligvis vil påvirke de registrerte negativt, må disse individene også varsles raskt.

Sjekkliste for bruddvarsling:

Identifisere og begrense bruddet
Vurdere omfanget og sannsynlig innvirkning på de registrerte
Varsle KVKK-myndigheten innen 72 timer via det offisielle varslingsskjemaet
Dokumentere bruddet internt (hva skjedde, hvilke data ble påvirket, tiltak for utbedring)
Varsle berørte registrerte hvis det er høy risiko for skade

Unnlatelse av å varsle innen den påkrevde tidsrammen er i seg selv en straffbar overtredelse under artikkel 18.

Vanlige KVKK-overholdelsesfeil som bedrifter gjør

1. Behandle VERBIS som en engangsoppgave. VERBIS-oppføringer må oppdateres når som helst behandlingsaktivitetene endres. Å skaffe en ny CRM, lansere en ny markedsføringskampanje med forskjellige datakategorier, eller onboarde en ny databehandler kan alle potensielt kreve VERBIS-oppdateringer.

2. Stole på GDPR-samtykke for tyrkiske brukere. KVKKs samtykkekrav har lokale nyanser. En samtykkebanner optimalisert for GDPR fanger kanskje ikke de spesifikke avsløringene som kreves under KVKK.

3. Ignorere regler for grenseoverskridende overføring. Å sende tyrkiske kundedata til en amerikansk analyseplattform eller skytjenesteleverandør uten en gyldig overføringsmekanisme er en vanlig og ofte straffet overtredelse.

4. Anta unntak for små bedrifter uten verifisering. Klargjøringen fra januar 2026 gjorde det klart at unntaket er betinget av at alle tre kriteriene er oppfylt samtidig. [4]

5. Ingen datalagringspolitikk. KVKK krever at data slettes, destrueres eller anonymiseres når formålet med behandlingen ikke lenger eksisterer. Mange bedrifter samler data på ubestemt tid uten en dokumentert lagringsplan.

FAQ

Q: Er KVKK obligatorisk for alle virksomheter som opererer i Tyrkia? Ja, enhver enhet som behandler personopplysninger om enkeltpersoner i Tyrkia er underlagt KVKK, uavhengig av selskapsstørrelse eller nasjonalitet. VERBIS-registrering er obligatorisk for de fleste enheter over unntaksgrensen for små bedrifter.

Q: Hva er fristen for VERBIS-registrering i 2026? KVKK-myndigheten forlenget fristen for VERBIS-registrering til 5. juni 2026 for organisasjoner som kvalifiserer basert på sine 2025-regnskap. [1] Organisasjoner som allerede har oppfylt tidligere grenser bør allerede være registrert.

Q: Kan et utenlandsk selskap ilegges bøter under KVKK? Ja. KVKK-myndigheten har jurisdiksjon over enhver databehandler som behandler data om tyrkiske innbyggere, inkludert utenlandske selskaper. Håndhevelse mot utenlandske enheter er et utviklende område, men den juridiske eksponeringen er reell.

Q: Finnes det et alternativ til VERBIS for å erklære databehandlingsaktiviteter? Nei. VERBIS er det eneste obligatoriske registeret under KVKK. Det finnes ingen alternativ mekanisme for å oppfylle registreringsforpliktelsen for databehandlere.

Q: Hvor lang tid tar VERBIS-registrering? Med e-Devlet-integrasjonen fra 1. juli 2026 kan den tekniske prosessen fullføres på noen få timer for enkle saker. [3] Imidlertid tar forberedelsesarbeidet, kartlegging av alle databehandlingsaktiviteter, identifisering av juridiske grunnlag og dokumentering av lagringsperioder, vanligvis flere uker for mellomstore organisasjoner.

Q: Krever KVKK en databeskyttelsesansvarlig (DPO)? KVKK pålegger ikke en formell DPO-rolle som er ekvivalent med GDPRs krav. Imidlertid anbefaler KVKK-myndigheten at databehandlere utpeker en ansvarlig person internt for å håndtere overholdelse.

Q: Hva utgjør spesielle kategorier av personopplysninger under KVKK? Spesielle kategorier inkluderer: rase, etnisk opprinnelse, politisk oppfatning, filosofisk tro, religion, sekter, helseopplysninger, seksualliv, straffedommer, biometriske data og genetiske data. Behandling av disse kategoriene krever eksplisitt samtykke eller et spesifikt juridisk grunnlag.

Q: Hvordan håndterer KVKK informasjonskapselsamtykke på nettsteder? Informasjonskapsler som samler inn personopplysninger (analyse, reklameidentifikatorer) krever gyldig samtykke under KVKK. En kompatibel CMP som Biscotti CMP kan hjelpe nettstedseiere med å fange, lagre og administrere informasjonskapselsamtykke i samsvar med KVKK-forpliktelsene.

Q: Er offentlige institusjoner pålagt å registrere seg hos VERBIS? Ja. Offentlige institusjoner og organisasjoner er pålagt å registrere seg hos VERBIS. Registreringsperioden for offentlige enheter begynte 1. april 2019, med en fullføringsfrist 30. juni 2020. [6]

Q: Hva skjer hvis et selskap oppdaterer sine behandlingsaktiviteter, men ikke oppdaterer VERBIS? Unnlatelse av å oppdatere VERBIS for å gjenspeile gjeldende behandlingsaktiviteter behandles som en overholdelsesfeil og kan resultere i administrative bøter under artikkel 18 i KVKK. [5]

Konklusjon: Handlingsbare neste steg for KVKK og VERBIS-overholdelse

Å drive virksomhet i Tyrkia krever en strukturert, jurisdiksjonsspesifikk tilnærming til databeskyttelse. KVKK håndheves aktivt, VERBIS-registrering er ikke valgfritt for de fleste organisasjoner, og klargjøringene av unntakene i januar 2026 har innskrenket, ikke utvidet, unntakene for små bedrifter. [4]

Umiddelbare tiltak for organisasjoner som opererer i Tyrkia:

Gjennomfør en datakartlegging. Identifiser hver kategori av personopplysninger som behandles, dens formål, juridiske grunnlag og mottaker.
Bestem VERBIS-forpliktelse. Bruk ansattantallet og balanseopplysningene for å bekrefte om registrering er nødvendig. Hvis du er i tvil, registrer deg.
Registrer eller oppdater VERBIS. Bruk den e-Devlet-integrerte VERBIS-portalen for å fullføre eller oppdatere registreringen av databehandleren. [3]
Revider samtykkemekanismer. Sørg for at nettstedets samtykkebannere og datainnsamlingsskjemaer oppfyller KVKKs spesifikke krav. Vurder å implementere Biscotti CMP (www.biscotti-cmp.com) for strukturert, reviderbar samtykkestyring.
Gå gjennom grenseoverskridende overføringsordninger. Identifiser alle tredjepartsbehandlere og skytjenester som mottar tyrkiske personopplysninger og vurder det juridiske grunnlaget for hver overføring.
Etabler en bruddresponsprotokoll. Dokumenter prosedyren for varsling innen 72 timer og tildel intern ansvarlighet.
Engasjer lokal juridisk rådgiver. Tolkningen av KVKK fortsetter å utvikle seg, og en tyrkisk databeskyttelsesadvokat kan gi jurisdiksjonsspesifikk veiledning som ingen generell overholdelsesramme kan erstatte.

Overholdelseslandskapet for å drive virksomhet i Tyrkia modnes raskt. Organisasjoner som behandler KVKK som en sjekkboksøvelse i stedet for et pågående program, vil finne seg selv eksponert ettersom håndhevelsen intensiveres.