Toestemming & banners

Zaken Doen in Turkije? Wat U Moet Weten Over de KVKK en VERBIS

7 juli 2026 · 15 min lezen

Snelle Antwoord: De primaire gegevensbeschermingswet van Turkije, KVKK (Wet nr. 6698), is van toepassing op elke organisatie, binnenlands of buitenlands, die persoonlijke gegevens van individuen in Turkije verwerkt. VERBIS is het verplichte register voor gegevensbeheerders onder KVKK. De meeste middelgrote tot grote organisaties moeten zich registreren bij VERBIS of worden geconfronteerd met administratieve boetes. Vanaf 2026 is het registratieproces toegankelijk via het e-Devlet-platform van Turkije, en de vrijstellingsdrempels voor kleine bedrijven zijn verduidelijkt.

Belangrijkste Punten

KVKK (Kişisel Verilerin Korunması Kanunu) is de gegevensbeschermingswet van Turkije, aangenomen in 2016 en gedeeltelijk gebaseerd op de principes van de GDPR, maar met specifieke lokale vereisten.
VERBIS is het online register waar gegevensbeheerders hun gegevensverwerkingsactiviteiten moeten verklaren voordat de verwerking begint.
Buitenlandse bedrijven die gegevens van Turkse inwoners verwerken, zijn onderworpen aan KVKK, ongeacht waar het bedrijf is gevestigd.
Vanaf 12 januari 2026 zijn kleine gegevensbeheerders met minder dan 10 werknemers en een jaarlijkse balans onder de 10 miljoen TL vrijgesteld van registratie bij VERBIS als hun primaire activiteit betrekking heeft op speciale categoriegegevens. [4]
De deadline voor registratie bij VERBIS is verlengd tot 5 juni 2026 voor organisaties die kwalificeren op basis van de financiële overzichten van 2025. [1]
Vanaf 1 juli 2026 zijn de VERBIS-diensten volledig geïntegreerd met het e-Devlet (e-Government) platform van Turkije. [3]
Boetes voor niet-naleving onder Artikel 18 van KVKK kunnen aanzienlijke administratieve boetes bereiken, en de KVKK-autoriteit handhaaft deze actief.
Toestemming onder KVKK moet vrijelijk gegeven, specifiek, geïnformeerd en ondubbelzinnig zijn; een Consent Management Platform (CMP) is een praktisch hulpmiddel voor webgebaseerde naleving.

Wat Is KVKK? De Gegevensbeschermingswet van Turkije Uitleg

KVKK (Kişisel Verilerin Korunması Kanunu, Wet nr. 6698) is de uitgebreide wet op de bescherming van persoonlijke gegevens in Turkije, aangenomen op 7 april 2016. Het regelt hoe persoonlijke gegevens worden verzameld, opgeslagen, verwerkt, overgedragen en verwijderd door gegevensbeheerders en verwerkers die in Turkije opereren.

De wet heeft de Autoriteit Persoonsgegevensbescherming (Kişisel Verileri Koruma Kurumu, ook afgekort als KVKK) opgericht, het onafhankelijke toezichthoudende orgaan dat verantwoordelijk is voor handhaving, begeleiding en het VERBIS-register.

Kernprincipes onder KVKK zijn:

Rechtmatigheid, eerlijkheid en transparantie
Doelbeperking (gegevens worden alleen verzameld voor gespecificeerde, expliciete doeleinden)
Gegevensminimalisatie
Nauwkeurigheid en het actueel houden van gegevens
Opslagbeperking (gegevens worden niet langer bewaard dan nodig is)
Integriteit en vertrouwelijkheid

Elke entiteit die de doeleinden en middelen van de verwerking van persoonlijke gegevens bepaalt, kwalificeert als een "gegevensbeheerder" onder KVKK en draagt de primaire nalevingsverplichtingen.

KVKK vs. GDPR: Belangrijke Verschillen en Nalevingsoverlap

KVKK deelt structurele DNA met de GDPR van de EU, maar de twee kaders verschillen op verschillende operationeel significante manieren. Organisaties die al GDPR-conform zijn, moeten niet automatisch aannemen dat ze ook aan KVKK voldoen.

Dimensie	KVKK (Turkije)	GDPR (EU)
Ingevoerd	2016	2018 (handhaving)
Toezichthoudend orgaan	KVKK Autoriteit	Nationale DPAs per lidstaat
Gegevensregister	VERBIS (verplicht voor de meeste)	Geen equivalente verplichte registratie
Gegevensoverdrachten naar het buitenland	Vereist expliciete toestemming of adequaatheid	Adequaatheidsbeslissingen of SCC's
DPO-vereiste	Geen formele DPO-verplichting	Verplicht in bepaalde gevallen
Inbreukmelding	72 uur aan autoriteit	72 uur aan autoriteit

Belangrijkste afwijking: KVKK vereist dat gegevensbeheerders zich registreren bij VERBIS en hun verwerkingsactiviteiten proactief verklaren. GDPR heeft geen equivalente verplichting voor een openbaar register. Bovendien zijn de regels voor grensoverschrijdende gegevensoverdracht onder KVKK in de praktijk restrictiever, waarbij expliciete toestemming van de betrokkene of een formele adequaatheidsbeslissing vereist is, en Turkije heeft geen EU-adequaatheidsstatus gekregen.

"GDPR-naleving is een nuttige basis, maar zaken doen in Turkije vereist een aparte KVKK-nalevingslaag, met name rond de registratie bij VERBIS en de regels voor grensoverschrijdende overdracht."

Wat Is VERBIS en Hoe Werkt Het?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) is het online register dat wordt onderhouden door de KVKK Autoriteit waar gegevensbeheerders zich moeten registreren en hun activiteiten voor de verwerking van persoonlijke gegevens moeten verklaren voordat de verwerking begint. Beschouw het als een openbaar register van wie welke gegevens verwerkt, voor welk doel en onder welk bewaarbeleid.

Hoe VERBIS in de praktijk werkt:

De gegevensbeheerder maakt een account aan op het VERBIS-portaal (nu toegankelijk via het e-Devlet-platform van Turkije vanaf 1 juli 2026). [3]
De beheerder verklaart elke categorie van persoonlijke gegevens die wordt verwerkt, het doel van de verwerking, de juridische basis, gegevenscategorieën, ontvangersgroepen en bewaartermijnen.
Verklaringen worden ingediend en worden onderdeel van het openbare register.
Wijzigingen in verwerkingsactiviteiten moeten snel in VERBIS worden bijgewerkt.
Het niet registreren of bijwerken leidt tot boetes onder Artikel 18 van KVKK. [5]

Op 1 juli 2026 heeft de KVKK Autoriteit ook bijgewerkte versies van het "Sorularla VERBİS" leidraaddocument en de officiële VERBİS Kılavuzu (gebruikershandleiding) vrijgegeven om gegevensbeheerders te helpen bij het navigeren door de registratieverplichtingen. [2]

Moeten Buitenlandse Bedrijven KVKK-naleving Hebben?

Ja. KVKK is van toepassing op elke gegevensbeheerder die persoonlijke gegevens van individuen in Turkije verwerkt, ongeacht waar de beheerder is opgericht of gevestigd. Een Duits SaaS-bedrijf met Turkse klanten, een Amerikaanse e-commerceplatform dat naar Turkije verzendt, of een Britse marketingbureau dat campagnes uitvoert gericht op Turkse consumenten, valt allemaal binnen de reikwijdte van KVKK.

Praktische implicaties voor buitenlandse bedrijven:

Moeten een lokale vertegenwoordiger in Turkije aanstellen als ze geen fysieke aanwezigheid hebben (hoewel de uitvoering van de wet op dit punt blijft evolueren, raadpleeg lokale juridische adviseurs).
Moeten voldoen aan de registratievereisten van VERBIS, tenzij er een specifieke uitzondering van toepassing is.
Grensoverschrijdende gegevensoverdrachten vanuit Turkije vereisen ofwel expliciete toestemming van de betrokkene of een formeel adequaatheidsmechanisme, wat voor de meeste niet-EU-bestemmingen niet eenvoudig is.

Veelgemaakte fout: Buitenlandse bedrijven die aannemen dat GDPR-naleving of een generiek privacybeleid hun Turkse gebruikersbasis dekt. KVKK vereist rechtsgebiedspecifieke openbaarmakingen, toestemmingsmechanismen en registraties.

VERBIS Registratievereisten: Wie Moet Registreren en Hoe

De meeste gegevensbeheerders boven de vrijstellingsdrempel voor kleine bedrijven zijn verplicht zich te registreren bij VERBIS. De verplichting geldt voor zowel particuliere als publieke instellingen. [6]

Registratie is vereist als de gegevensbeheerder:

50 of meer werknemers heeft (fulltime equivalent), OF
Een jaarlijkse financiële balans totaal heeft dat meer dan 25 miljoen TL bedraagt, OF
Speciale categorieën van persoonlijke gegevens verwerkt (gezondheid, biometrisch, strafregisters, enz.) ongeacht de grootte, tenzij de vrijstelling voor kleine bedrijven van toepassing is (zie hieronder).

Voor startups en groeiende bedrijven: De drempel is gebaseerd op het jaarlijkse aantal werknemers en de balanscijfers. Een startup die de 50-werknemersgrens of de balansdrempel in een bepaald jaar overschrijdt, wordt verplicht om zich te registreren. Registratie moet worden voltooid voordat de verwerking begint onder de nieuwe drempel, niet achteraf aan het einde van het jaar.

Stapsgewijze VERBIS-registratieproces:

Log in op het VERBIS-portaal via e-Devlet (e-Government gateway) met een KEP (geregistreerd elektronisch mail) adres of bevoegd ondertekeningsgegevens. [3]
Vul het profiel van de gegevensbeheerder in (bedrijfsnaam, rechtsvorm, contactgegevens, bevoegde vertegenwoordiger).
Maak een "verwerkingsactiviteit" invoer voor elke afzonderlijke categorie van persoonlijke gegevens die wordt verwerkt.
Verklaar voor elke activiteit: gegevenscategorie, doel, juridische basis, groep van betrokkenen, ontvangers en bewaartermijn.
Dien in en ontvang een VERBIS-registratienummer.
Werk het register bij wanneer verwerkingsactiviteiten materieel veranderen.

KVKK Uitzonderingen: Kleine Bedrijven en Welke Gegevens Niet Gedekt Zijn

Niet elke organisatie hoeft zich te registreren bij VERBIS. Op 12 januari 2026 heeft de KVKK Autoriteit de uitzonderingscriteria voor kleine gegevensbeheerders verduidelijkt. [4]

Uitzondering is van toepassing wanneer AAN ALLE drie voorwaarden zijn voldaan:

Minder dan 10 werknemers
Jaarlijkse balans totaal onder de 10 miljoen TL
Primaire activiteit omvat de verwerking van speciale categorieën van persoonlijke gegevens (de uitzondering is specifiek ontworpen voor kleine zorgverleners, klinieken en soortgelijke entiteiten)

Juridische analyses gepubliceerd door CMS Law merken op dat deze uitzondering smaller is dan het aanvankelijk lijkt; het is geen algemene uitzondering voor kleine bedrijven, maar richt zich specifiek op entiteiten wiens kernactiviteit betrekking heeft op gevoelige gegevenscategorieën. [7] Erdem & Erdem verduidelijkten verder de toepassingsprincipes van deze nieuwe uitzonderingen. [8]

Gegevenscategorieën die niet door KVKK worden gedekt:

Geanonimiseerde gegevens (waar heridentificatie onmogelijk is)
Gegevens die puur voor persoonlijke of huishoudelijke doeleinden worden verwerkt (geen commerciële activiteit)
Gegevens die door gerechtelijke autoriteiten worden verwerkt voor strafprocedures (gereguleerd door aparte wetgeving)

Randgeval: Pseudonimiserende gegevens worden nog steeds beschouwd als persoonlijke gegevens onder KVKK als de beheerder de middelen behoudt om individuen te heridentificeren. Behandel pseudonimisering niet als gelijkwaardig aan anonimisering voor nalevingsdoeleinden.

KVKK Toestemmingsvereisten voor Klantgegevens

Onder KVKK moet geldige toestemming vrijelijk worden gegeven, specifiek, geïnformeerd en ondubbelzinnig zijn. Toestemming kan niet worden gebundeld met de acceptatie van de servicevoorwaarden, en vooraf aangevinkte vakjes vormen geen geldige toestemming.

Toestemming moet zijn:

Vrijelijk gegeven: Geen dwang of voorwaarde voor toegang tot de dienst op toestemming
Specifiek: Verbonden aan een gedefinieerd doel, geen algemene autorisatie
Geïnformeerd: De betrokkene moet weten wie gegevens verzamelt en waarom
Ondubbelzinnig: Vereist een bevestigende actie (klik, handtekening, selectievakje)

Voor websites en digitale platforms is het implementeren van een compliant Consent Management Platform de meest praktische aanpak. Biscotti CMP is ontworpen om website-eigenaren en bedrijven te helpen bij het beheren van toestemming in overeenstemming met KVKK en andere gegevensbeschermingskaders, met auditsporen en gedetailleerde toestemmingsregistraties.

Expliciete toestemming is bovendien vereist voor speciale categorieën van persoonlijke gegevens (gezondheid, biometrisch, genetisch, strafregisters, enz.) en voor grensoverschrijdende gegevensoverdrachten waar geen adequaatheidsmechanisme bestaat.

KVKK Boetes en Sancties voor Niet-Naleving

De handhaving van KVKK is niet theoretisch. De KVKK Autoriteit heeft boetes opgelegd aan zowel binnenlandse als buitenlandse entiteiten. Boetes worden geregeld door Artikel 18 van de wet.

Categorieën van administratieve boetes onder Artikel 18:

Het niet voldoen aan openbaarmakingsverplichtingen: 9.027 TL tot 180.536 TL (ongeveer 2024-bracket; bedragen worden jaarlijks geüpdatet voor inflatie)
Het niet waarborgen van gegevensbeveiliging: 45.135 TL tot 9.027.000 TL
Het niet naleven van beslissingen van de KVKK Autoriteit: 45.135 TL tot 9.027.000 TL
Het niet registreren bij VERBIS of het niet bijwerken van VERBIS: 39.337 TL tot 1.966.862 TL

Opmerking: Boetebedragen worden jaarlijks geïndexeerd en de bovenstaande cijfers weerspiegelen de gepubliceerde 2024-brackets. Controleer de huidige cijfers bij de KVKK Autoriteit of Turkse juridische adviseurs voor handhavingsacties in 2026.

Strafrechtelijke aansprakelijkheid voor bepaalde overtredingen (onrechtmatige verwerking, het niet verwijderen van gegevens) kan leiden tot gevangenisstraf onder het Turkse Strafrecht, een dimensie die ontbreekt in het handhavingsinstrumentarium van de GDPR.

KVKK Gegevensinbreuk Meldingsregels

Onder KVKK moeten gegevensbeheerders de KVKK Autoriteit binnen 72 uur op de hoogte stellen zodra zij zich bewust worden van een inbreuk op persoonlijke gegevens. Als de inbreuk waarschijnlijk een nadelig effect heeft op de betrokkenen, moeten die individuen ook snel worden geïnformeerd.

Checklist voor inbreukmelding:

Identificeer en contain de inbreuk
Beoordeel de reikwijdte en de waarschijnlijke impact op de betrokkenen
Meld de KVKK Autoriteit binnen 72 uur via het officiële meldingsformulier
Documenteer de inbreuk intern (wat er is gebeurd, welke gegevens zijn getroffen, herstelmaatregelen)
Informeer de getroffen betrokkenen als er een hoog risico op schade is

Het niet tijdig melden binnen de vereiste termijn is op zich een sanctioneerbare overtreding onder Artikel 18.

Veelvoorkomende KVKK Nalevingsfouten die Bedrijven Maken

1. VERBIS beschouwen als een eenmalige taak. VERBIS-invoeren moeten worden bijgewerkt wanneer verwerkingsactiviteiten veranderen. Het verwerven van een nieuw CRM, het lanceren van een nieuwe marketingcampagne met verschillende gegevenscategorieën, of het onboarden van een nieuwe gegevensverwerker vereisen allemaal mogelijk updates van VERBIS.

2. Vertrouwen op GDPR-toestemming voor Turkse gebruikers. KVKK-toestemmingsvereisten hebben lokale nuances. Een toestemmingsbanner die is geoptimaliseerd voor GDPR, dekt mogelijk niet de specifieke openbaarmakingen die onder KVKK vereist zijn.

3. Grensoverschrijdende overdrachtsregels negeren. Het verzenden van Turkse klantgegevens naar een op de VS gebaseerde analysetool of cloudprovider zonder een geldig overdrachtsmechanisme is een veelvoorkomende en vaak bestraffende overtreding.

4. Aannemen van de vrijstelling voor kleine bedrijven zonder verificatie. De verduidelijking van januari 2026 maakte duidelijk dat de uitzondering afhankelijk is van het gelijktijdig voldoen aan alle drie de criteria. [4]

5. Geen gegevensbewaarbeleid. KVKK vereist dat gegevens worden verwijderd, vernietigd of geanonimiseerd wanneer het doel voor verwerking niet langer bestaat. Veel bedrijven verzamelen gegevens eindeloos zonder een gedocumenteerd bewaarschema.

FAQ

V: Is KVKK verplicht voor alle bedrijven die in Turkije opereren? Ja, elke entiteit die persoonlijke gegevens van individuen in Turkije verwerkt, is onderworpen aan KVKK, ongeacht de grootte of nationaliteit van het bedrijf. Registratie bij VERBIS is verplicht voor de meeste entiteiten boven de vrijstellingsdrempel voor kleine bedrijven.

V: Wat is de deadline voor registratie bij VERBIS in 2026? De KVKK Autoriteit heeft de deadline voor registratie bij VERBIS verlengd tot 5 juni 2026 voor organisaties die kwalificeren op basis van hun financiële overzichten van 2025. [1] Organisaties die al aan eerdere drempels voldeden, zouden al geregistreerd moeten zijn.

V: Kan een buitenlands bedrijf worden beboet onder KVKK? Ja. De KVKK Autoriteit heeft jurisdictie over elke gegevensbeheerder die gegevens van Turkse inwoners verwerkt, inclusief buitenlandse bedrijven. Handhaving tegen buitenlandse entiteiten is een evoluerend gebied, maar de juridische blootstelling is reëel.

V: Is er een alternatief voor VERBIS voor het verklaren van gegevensverwerkingsactiviteiten? Nee. VERBIS is het enige verplichte register onder KVKK. Er is geen alternatief mechanisme om te voldoen aan de registratieverplichting voor gegevensbeheerders.

V: Hoe lang duurt de registratie bij VERBIS? Met de e-Devlet-integratie vanaf 1 juli 2026 kan het technische proces in een paar uur worden voltooid voor eenvoudige gevallen. [3] De voorbereidende werkzaamheden, zoals het in kaart brengen van alle gegevensverwerkingsactiviteiten, het identificeren van juridische bases en het documenteren van bewaartermijnen, duurt echter meestal weken voor middelgrote organisaties.

V: Vereist KVKK een Data Protection Officer (DPO)? KVKK verplicht niet tot een formele DPO-rol die gelijkwaardig is aan de vereiste van de GDPR. De KVKK Autoriteit raadt echter aan dat gegevensbeheerders intern een verantwoordelijke persoon aanwijzen om de naleving te beheren.

V: Wat vormt speciale categorie persoonlijke gegevens onder KVKK? Speciale categorieën omvatten: ras, etnische afkomst, politieke opvatting, filosofisch geloof, religie, sekte, gezondheidsgegevens, seksuele leven, strafrechtelijke veroordelingen, biometrische gegevens en genetische gegevens. Het verwerken van deze categorieën vereist expliciete toestemming of een specifieke juridische basis.

V: Hoe gaat KVKK om met cookie-toestemming op websites? Cookies die persoonlijke gegevens verzamelen (analytics, advertentie-identificatoren) vereisen geldige toestemming onder KVKK. Een compliant CMP zoals Biscotti CMP kan website-eigenaren helpen bij het vastleggen, opslaan en beheren van cookie-toestemming in overeenstemming met KVKK-verplichtingen.

V: Zijn publieke instellingen verplicht om zich te registreren bij VERBIS? Ja. Publieke instellingen en organisaties zijn verplicht zich te registreren bij VERBIS. De registratieperiode voor publieke entiteiten begon op 1 april 2019, met een deadline voor voltooiing op 30 juni 2020. [6]

V: Wat gebeurt er als een bedrijf zijn verwerkingsactiviteiten bijwerkt maar VERBIS niet bijwerkt? Het niet bijwerken van VERBIS om de huidige verwerkingsactiviteiten weer te geven, wordt behandeld als een nalevingsschending en kan leiden tot administratieve boetes onder Artikel 18 van KVKK. [5]

Conclusie: Actiegerichte Volgende Stappen voor KVKK en VERBIS Naleving

Zaken doen in Turkije vereist een gestructureerde, rechtsgebiedspecifieke aanpak van gegevensbescherming. KVKK wordt actief gehandhaafd, registratie bij VERBIS is voor de meeste organisaties niet optioneel, en de verduidelijkingen van januari 2026 hebben de uitzonderingen voor kleine bedrijven verkleind, niet uitgebreid. [4]

Directe acties voor organisaties die in Turkije opereren:

Voer een gegevensmapping uit. Identificeer elke categorie van persoonlijke gegevens die wordt verwerkt, het doel, de juridische basis en de ontvanger.
Bepaal de VERBIS-verplichting. Pas de drempels voor het aantal werknemers en de balans toe om te bevestigen of registratie vereist is. Bij twijfel, registreer.
Registreer of werk VERBIS bij. Gebruik het e-Devlet-geïntegreerde VERBIS-portaal om uw registratie als gegevensbeheerder te voltooien of bij te werken. [3]
Controleer toestemmingsmechanismen. Zorg ervoor dat toestemmingsbanners op websites en gegevensverzamelingsformulieren voldoen aan de specifieke vereisten van KVKK. Overweeg het inzetten van Biscotti CMP (www.biscotti-cmp.com) voor gestructureerd, controleerbaar toestemmingbeheer.
Beoordeel grensoverschrijdende overdrachtregelingen. Identificeer alle derde partijen en cloudservices die Turkse persoonlijke gegevens ontvangen en beoordeel de juridische basis voor elke overdracht.
Stel een protocol voor inbreukreactie op. Documenteer de procedure voor melding binnen 72 uur en wijs interne verantwoordelijkheid toe.
Betrek lokale juridische adviseurs. De interpretatie van KVKK blijft evolueren, en een Turkse gegevensbeschermingsadvocaat kan rechtsgebiedspecifieke begeleiding bieden die geen algemeen nalevingskader kan vervangen.

Het nalevingslandschap voor zaken doen in Turkije ontwikkelt zich snel. Organisaties die KVKK beschouwen als een checkbox-oefening in plaats van een doorlopend programma, zullen zich blootgesteld vinden naarmate de handhaving toeneemt.