Zgoda i bannery

Robisz interesy w Turcji? Co musisz wiedzieć o KVKK i VERBIS

7 lipca 2026 · 15 min. czytania

Szybka odpowiedź: Główne prawo ochrony danych w Turcji, KVKK (Ustawa nr 6698), dotyczy każdej organizacji, krajowej lub zagranicznej, która przetwarza dane osobowe osób w Turcji. VERBIS to obowiązkowy rejestr administratorów danych zgodnie z KVKK. Większość średnich i dużych organizacji musi zarejestrować się w VERBIS, w przeciwnym razie grożą im kary administracyjne. Od 2026 roku proces rejestracji jest dostępny za pośrednictwem platformy e-Devlet w Turcji, a progi zwolnienia dla małych firm zostały wyjaśnione.

Kluczowe informacje

KVKK (Kişisel Verilerin Korunması Kanunu) to prawo ochrony danych w Turcji, uchwalone w 2016 roku, częściowo wzorowane na zasadach GDPR, ale z wyraźnymi lokalnymi wymaganiami.
VERBIS to internetowy rejestr, w którym administratorzy danych muszą zgłaszać swoje działania związane z przetwarzaniem danych przed rozpoczęciem przetwarzania.
Zagraniczne firmy przetwarzające dane mieszkańców Turcji podlegają KVKK, niezależnie od miejsca, w którym firma ma siedzibę.
Od 12 stycznia 2026 roku, mali administratorzy danych z mniej niż 10 pracownikami i rocznym bilansem poniżej 10 milionów TL są zwolnieni z rejestracji w VERBIS, jeśli ich główna działalność dotyczy danych szczególnej kategorii. [4]
Termin rejestracji w VERBIS został przedłużony do 5 czerwca 2026 roku dla organizacji kwalifikujących się na podstawie sprawozdań finansowych za 2025 rok. [1]
Od 1 lipca 2026 roku usługi VERBIS są w pełni zintegrowane z platformą e-Devlet (e-Government) w Turcji. [3]
Kary za brak zgodności na podstawie artykułu 18 KVKK mogą sięgać znacznych kar administracyjnych, a organ KVKK aktywnie je egzekwuje.
Zgoda na podstawie KVKK musi być dobrowolna, konkretna, świadoma i jednoznaczna; Platforma Zarządzania Zgodą (CMP) jest praktycznym narzędziem do zgodności w Internecie.

Czym jest KVKK? Wyjaśnienie prawa ochrony danych w Turcji

KVKK (Kişisel Verilerin Korunması Kanunu, Ustawa nr 6698) to kompleksowa ustawa o ochronie danych osobowych w Turcji, uchwalona 7 kwietnia 2016 roku. Reguluje, jak dane osobowe są zbierane, przechowywane, przetwarzane, przekazywane i usuwane przez administratorów danych i procesorów działających w Turcji.

Ustawa ustanowiła Urząd Ochrony Danych Osobowych (Kişisel Verileri Koruma Kurumu, również skrótowo KVKK), niezależny organ nadzorczy odpowiedzialny za egzekwowanie, doradztwo i rejestr VERBIS.

Podstawowe zasady zgodnie z KVKK obejmują:

Legalność, uczciwość i przejrzystość
Ograniczenie celu (dane zbierane tylko w określonych, wyraźnych celach)
Minimalizacja danych
Dokładność i aktualność danych
Ograniczenie przechowywania (dane przechowywane nie dłużej niż to konieczne)
Integralność i poufność

Każdy podmiot, który określa cele i środki przetwarzania danych osobowych, kwalifikuje się jako "administrator danych" zgodnie z KVKK i ponosi główne obowiązki w zakresie zgodności.

KVKK vs. GDPR: Kluczowe różnice i pokrywanie się w zakresie zgodności

KVKK dzieli strukturalne DNA z GDPR UE, ale oba ramy różnią się w kilku istotnych aspektach operacyjnych. Organizacje, które już są zgodne z GDPR, nie powinny zakładać automatycznej zgodności z KVKK.

Wymiar	KVKK (Turcja)	GDPR (UE)
Uchwalona	2016	2018 (egzekwowanie)
Organ nadzorczy	Organ KVKK	Krajowe organy ochrony danych w każdym państwie członkowskim
Rejestr danych	VERBIS (obowiązkowy dla większości)	Brak równoważnego obowiązkowego rejestru
Przekazywanie danych za granicę	Wymaga wyraźnej zgody lub adekwatności	Decyzje o adekwatności lub SCC
Wymóg DPO	Brak formalnego mandatu DPO	Obowiązkowe w niektórych przypadkach
Powiadomienie o naruszeniu	72 godziny do organu	72 godziny do organu

Kluczowa różnica: KVKK wymaga, aby administratorzy danych rejestrowali się w VERBIS i proaktywnie zgłaszali swoje działania przetwarzania. GDPR nie ma równoważnego obowiązku publicznego rejestru. Dodatkowo, zasady dotyczące przekazywania danych transgranicznych w KVKK są w praktyce bardziej restrykcyjne, wymagając albo wyraźnej zgody osoby, której dane dotyczą, albo formalnej decyzji o adekwatności, a Turcja nie otrzymała statusu adekwatności UE.

"Zgodność z GDPR jest przydatną podstawą, ale prowadzenie działalności w Turcji wymaga osobnej warstwy zgodności z KVKK, szczególnie w zakresie rejestracji w VERBIS i zasad przekazywania danych transgranicznych."

Czym jest VERBIS i jak działa?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) to internetowy rejestr prowadzony przez Organ KVKK, w którym administratorzy danych muszą zarejestrować się i zgłosić swoje działania związane z przetwarzaniem danych osobowych przed rozpoczęciem przetwarzania. Można to traktować jako publicznie dostępną inwentaryzację tego, kto przetwarza jakie dane, w jakim celu i na jakiej podstawie przechowywania.

Jak VERBIS działa w praktyce:

Administrator danych zakłada konto na portalu VERBIS (teraz dostępne za pośrednictwem platformy e-Devlet w Turcji od 1 lipca 2026 roku). [3]
Administrator zgłasza każdą kategorię przetwarzanych danych osobowych, cel przetwarzania, podstawę prawną, kategorie danych, grupy odbiorców i okresy przechowywania.
Zgłoszenia są składane i stają się częścią publicznego rejestru.
Wszelkie zmiany w działaniach przetwarzania muszą być niezwłocznie aktualizowane w VERBIS.
Brak rejestracji lub aktualizacji skutkuje karami na podstawie artykułu 18 KVKK. [5]

1 lipca 2026 roku Organ KVKK opublikował również zaktualizowane wersje dokumentu "Sorularla VERBİS" oraz oficjalnego VERBİS Kılavuzu (przewodnik użytkownika), aby pomóc administratorom danych w nawigacji po obowiązkach rejestracyjnych. [2]

Czy zagraniczne firmy muszą przestrzegać KVKK?

Tak. KVKK dotyczy każdego administratora danych, który przetwarza dane osobowe osób znajdujących się w Turcji, niezależnie od tego, gdzie administrator ma siedzibę. Niemiecka firma SaaS z tureckimi klientami, amerykańska platforma e-commerce wysyłająca do Turcji, czy brytyjska agencja marketingowa prowadząca kampanie skierowane do tureckich konsumentów, wszystkie mieszczą się w zakresie KVKK.

Praktyczne implikacje dla zagranicznych firm:

Muszą wyznaczyć lokalnego przedstawiciela w Turcji, jeśli nie mają fizycznej obecności (choć wdrożenie prawa w tym zakresie wciąż się rozwija, skonsultuj się z lokalnym prawnikiem).
Muszą przestrzegać wymogów rejestracji w VERBIS, chyba że dotyczy ich konkretne zwolnienie.
Przekazywanie danych transgranicznych z Turcji wymaga albo wyraźnej zgody osoby, której dane dotyczą, albo formalnego mechanizmu adekwatności, co dla większości krajów spoza UE nie jest proste.

Typowy błąd: Zagraniczne firmy zakładające, że zgodność z GDPR lub ogólna polityka prywatności obejmuje ich turecką bazę użytkowników. KVKK wymaga ujawnienia specyficznych dla jurysdykcji, mechanizmów zgody i deklaracji rejestracyjnych.

Wymogi rejestracji w VERBIS: Kto musi się zarejestrować i jak

Większość administratorów danych powyżej progu zwolnienia dla małych firm jest zobowiązana do rejestracji w VERBIS. Obowiązek ten dotyczy zarówno podmiotów sektora prywatnego, jak i instytucji publicznych. [6]

Rejestracja jest wymagana, jeśli administrator danych:

Ma 50 lub więcej pracowników (ekwiwalent pełnoetatowy), LUB
Ma roczny całkowity bilans finansowy przekraczający 25 milionów TL, LUB
Przetwarza szczególne kategorie danych osobowych (zdrowie, dane biometryczne, dane karne itp.) niezależnie od wielkości, chyba że dotyczy go zwolnienie dla małych firm (patrz poniżej).

Dla startupów i rozwijających się firm: Próg oparty jest na rocznej liczbie pracowników i danych bilansowych. Startup, który przekroczy próg 50 pracowników lub próg bilansu w danym roku, staje się zobowiązany do rejestracji. Rejestracja musi być zakończona przed rozpoczęciem przetwarzania zgodnie z nowym progiem, a nie retroaktywnie na koniec roku.

Krok po kroku proces rejestracji w VERBIS:

Zaloguj się do portalu VERBIS za pośrednictwem e-Devlet (brama e-Government) używając adresu KEP (zarejestrowana poczta elektroniczna) lub danych autoryzowanego sygnatariusza. [3]
Uzupełnij profil administratora danych (nazwa firmy, forma prawna, dane kontaktowe, upoważniony przedstawiciel).
Utwórz wpis "działania przetwarzania" dla każdej odrębnej kategorii przetwarzanych danych osobowych.
Dla każdej działalności zgłoś: kategorię danych, cel, podstawę prawną, grupę osób, odbiorców i okres przechowywania.
Złóż i otrzymaj numer rejestracji VERBIS.
Aktualizuj rejestr, gdy zmiany w działaniach przetwarzania są istotne.

Zwolnienia z KVKK: Małe firmy i jakie dane nie są objęte

Nie każda organizacja musi rejestrować się w VERBIS. 12 stycznia 2026 roku Organ KVKK wyjaśnił kryteria zwolnienia dla małych administratorów danych. [4]

Zwolnienie ma zastosowanie, gdy WSZYSTKIE trzy warunki są spełnione:

Mniej niż 10 pracowników
Roczny całkowity bilans poniżej 10 milionów TL
Główna działalność polega na przetwarzaniu szczególnych kategorii danych osobowych (zwolnienie zostało specjalnie zaprojektowane dla małych dostawców usług zdrowotnych, klinik i podobnych podmiotów)

Analiza prawna opublikowana przez CMS Law wskazuje, że to zwolnienie jest węższe, niż może się wydawać na pierwszy rzut oka; nie jest to ogólne zwolnienie dla małych firm, ale celowo dotyczy podmiotów, których podstawowa działalność obejmuje wrażliwe kategorie danych. [7] Erdem & Erdem dodatkowo wyjaśnili zasady stosowania tych nowych zwolnień. [8]

Kategorie danych, które nie są objęte KVKK:

Dane zanonimizowane (gdzie ponowne zidentyfikowanie jest niemożliwe)
Dane przetwarzane wyłącznie do celów osobistych lub domowych (brak działalności komercyjnej)
Dane przetwarzane przez organy sądowe w postępowaniach karnych (regulowane przez odrębne przepisy)

Przypadek graniczny: Dane pseudonimizowane są nadal uważane za dane osobowe zgodnie z KVKK, jeśli administrator zachowuje środki do ponownego zidentyfikowania osób. Nie traktuj pseudonimizacji jako równoważnej anonimizacji w celach zgodności.

Wymogi zgody KVKK dla danych klientów

Zgodnie z KVKK, ważna zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna. Zgoda nie może być łączona z akceptacją warunków korzystania z usług, a wstępnie zaznaczone pola nie stanowią ważnej zgody.

Zgoda musi być:

Dobrowolna: Brak przymusu lub uzależnienia dostępu do usługi od zgody
Konkretna: Powiązana z określonym celem, a nie ogólnym upoważnieniem
Świadoma: Osoba, której dane dotyczą, musi wiedzieć, kto zbiera dane i dlaczego
Jednoznaczna: Wymaga działania afirmatywnego (kliknięcie, podpis, zaznaczenie pola)

Dla stron internetowych i platform cyfrowych wdrożenie zgodnej Platformy Zarządzania Zgodą jest najbardziej praktycznym podejściem. Biscotti CMP jest zaprojektowana, aby pomóc właścicielom stron internetowych i przedsiębiorstwom zarządzać zbieraniem zgód w sposób zgodny z KVKK i innymi ramami ochrony danych, zapewniając ścieżki audytu i szczegółowe zapisy zgód.

Wyraźna zgoda jest dodatkowo wymagana dla szczególnych kategorii danych osobowych (zdrowie, dane biometryczne, genetyczne, dane karne itp.) oraz dla przekazywania danych transgranicznych, gdzie nie istnieje mechanizm adekwatności.

Kary i grzywny za brak zgodności z KVKK

Egzekwowanie KVKK nie jest teoretyczne. Organ KVKK nałożył kary na zarówno krajowe, jak i zagraniczne podmioty. Kary regulowane są przez artykuł 18 ustawy.

Kategorie kar administracyjnych na podstawie artykułu 18:

Niezrealizowanie obowiązków ujawnienia: 9,027 TL do 180,536 TL (przybliżony przedział na 2024 rok; kwoty są aktualizowane corocznie w związku z inflacją)
Niezapewnienie bezpieczeństwa danych: 45,135 TL do 9,027,000 TL
Niezastosowanie się do decyzji organu KVKK: 45,135 TL do 9,027,000 TL
Niezarejestrowanie się w VERBIS lub brak aktualizacji VERBIS: 39,337 TL do 1,966,862 TL

Uwaga: Kwoty grzywien są corocznie indeksowane, a powyższe liczby odzwierciedlają opublikowane przedziały na 2024 rok. Zweryfikuj aktualne kwoty z Organem KVKK lub tureckim prawnikiem w sprawie działań egzekucyjnych w 2026 roku.

Odpowiedzialność karna za niektóre naruszenia (nielegalne przetwarzanie, brak usunięcia danych) może skutkować karą pozbawienia wolności na podstawie Tureckiego Kodeksu Karnego, co jest wymiarem nieobecnym w narzędziach egzekwowania GDPR.

Zasady powiadamiania o naruszeniach danych KVKK

Zgodnie z KVKK, administratorzy danych muszą powiadomić Organ KVKK w ciągu 72 godzin od momentu, gdy dowiedzą się o naruszeniu danych osobowych. Jeśli naruszenie może negatywnie wpłynąć na osoby, których dane dotyczą, te osoby również muszą być niezwłocznie powiadomione.

Lista kontrolna powiadamiania o naruszeniu:

Zidentyfikuj i opanuj naruszenie
Oceń zakres i prawdopodobny wpływ na osoby, których dane dotyczą
Powiadom Organ KVKK w ciągu 72 godzin za pomocą oficjalnego formularza powiadomienia
Udokumentuj naruszenie wewnętrznie (co się stało, jakie dane zostały dotknięte, kroki naprawcze)
Powiadom osoby, których dane dotyczą, jeśli istnieje wysokie ryzyko szkody

Brak powiadomienia w wymaganym czasie jest sam w sobie naruszeniem, które można ukarać na podstawie artykułu 18.

Typowe błędy zgodności KVKK, które popełniają firmy

1. Traktowanie VERBIS jako jednorazowego zadania. Wpisy w VERBIS muszą być aktualizowane za każdym razem, gdy zmieniają się działania przetwarzania. Nabycie nowego CRM, uruchomienie nowej kampanii marketingowej z różnymi kategoriami danych lub włączenie nowego procesora danych mogą wymagać aktualizacji VERBIS.

2. Poleganie na zgodzie GDPR dla tureckich użytkowników. Wymogi dotyczące zgody KVKK mają lokalne niuanse. Baner zgody zoptymalizowany pod kątem GDPR może nie obejmować specyficznych ujawnień wymaganych przez KVKK.

3. Ignorowanie zasad przekazywania danych transgranicznych. Wysyłanie danych klientów z Turcji do amerykańskiej platformy analitycznej lub dostawcy chmury bez ważnego mechanizmu przekazywania to powszechne i często karane naruszenie.

4. Zakładanie zwolnienia dla małych firm bez weryfikacji. Wyjaśnienie z stycznia 2026 roku jasno wskazało, że zwolnienie jest uzależnione od spełnienia wszystkich trzech kryteriów jednocześnie. [4]

5. Brak polityki przechowywania danych. KVKK wymaga usunięcia, zniszczenia lub zanonimizowania danych, gdy cel przetwarzania przestaje istnieć. Wiele firm zbiera dane w nieskończoność bez udokumentowanego harmonogramu przechowywania.

FAQ

Q: Czy KVKK jest obowiązkowe dla wszystkich firm działających w Turcji? Tak, każdy podmiot, który przetwarza dane osobowe osób w Turcji, podlega KVKK, niezależnie od wielkości firmy czy narodowości. Rejestracja w VERBIS jest obowiązkowa dla większości podmiotów powyżej progu zwolnienia dla małych firm.

Q: Jaki jest termin rejestracji w VERBIS w 2026 roku? Organ KVKK przedłużył termin rejestracji w VERBIS do 5 czerwca 2026 roku dla organizacji kwalifikujących się na podstawie sprawozdań finansowych za 2025 rok. [1] Organizacje, które już spełniły wcześniejsze progi, powinny być już zarejestrowane.

Q: Czy zagraniczna firma może zostać ukarana na podstawie KVKK? Tak. Organ KVKK ma jurysdykcję nad każdym administratorem danych przetwarzającym dane mieszkańców Turcji, w tym zagraniczne firmy. Egzekwowanie wobec zagranicznych podmiotów to rozwijający się obszar, ale ryzyko prawne jest realne.

Q: Czy istnieje alternatywa dla VERBIS w celu zgłaszania działań przetwarzania danych? Nie. VERBIS jest jedynym obowiązkowym rejestrem zgodnie z KVKK. Nie ma alternatywnego mechanizmu do spełnienia obowiązku rejestracji administratora danych.

Q: Jak długo trwa rejestracja w VERBIS? Dzięki integracji z e-Devlet od 1 lipca 2026 roku, proces techniczny można zakończyć w ciągu kilku godzin w prostych przypadkach. [3] Jednak prace przygotowawcze, mapowanie wszystkich działań przetwarzania danych, identyfikacja podstaw prawnych i dokumentowanie okresów przechowywania zazwyczaj zajmują tygodnie dla średnich organizacji.

Q: Czy KVKK wymaga wyznaczenia Inspektora Ochrony Danych (DPO)? KVKK nie wymaga formalnej roli DPO równoważnej wymaganiu GDPR. Jednak Organ KVKK zaleca, aby administratorzy danych wyznaczyli odpowiedzialną osobę wewnętrznie do zarządzania zgodnością.

Q: Co stanowi szczególną kategorię danych osobowych zgodnie z KVKK? Szczególne kategorie obejmują: rasę, pochodzenie etniczne, opinię polityczną, przekonania filozoficzne, religię, sektę, dane zdrowotne, życie seksualne, wyroki karne, dane biometryczne i dane genetyczne. Przetwarzanie tych kategorii wymaga wyraźnej zgody lub konkretnej podstawy prawnej.

Q: Jak KVKK traktuje zgodę na pliki cookie na stronach internetowych? Pliki cookie, które zbierają dane osobowe (analityka, identyfikatory reklamowe), wymagają ważnej zgody zgodnie z KVKK. Zgodna CMP, taka jak Biscotti CMP, może pomóc właścicielom stron internetowych w zbieraniu, przechowywaniu i zarządzaniu zgodą na pliki cookie zgodnie z obowiązkami KVKK.

Q: Czy instytucje publiczne muszą rejestrować się w VERBIS? Tak. Instytucje publiczne i organizacje są zobowiązane do rejestracji w VERBIS. Okres rejestracji dla podmiotów publicznych rozpoczął się 1 kwietnia 2019 roku, z terminem zakończenia 30 czerwca 2020 roku. [6]

Q: Co się stanie, jeśli firma zaktualizuje swoje działania przetwarzania, ale nie zaktualizuje VERBIS? Brak aktualizacji VERBIS, aby odzwierciedlić aktualne działania przetwarzania, traktowane jest jako naruszenie zgodności i może skutkować karami administracyjnymi na podstawie artykułu 18 KVKK. [5]

Podsumowanie: Działania do podjęcia w celu zgodności z KVKK i VERBIS

Prowadzenie działalności w Turcji wymaga strukturalnego, specyficznego dla jurysdykcji podejścia do ochrony danych. KVKK jest aktywnie egzekwowane, rejestracja w VERBIS nie jest opcjonalna dla większości organizacji, a wyjaśnienia dotyczące zwolnień z stycznia 2026 roku zawęziły, a nie rozszerzyły wyjątki dla małych firm. [4]

Natychmiastowe działania dla organizacji działających w Turcji:

Przeprowadź ćwiczenie mapowania danych. Zidentyfikuj każdą kategorię przetwarzanych danych osobowych, jej cel, podstawę prawną i odbiorcę.
Określ obowiązek rejestracji w VERBIS. Zastosuj progi liczby pracowników i bilansu, aby potwierdzić, czy rejestracja jest wymagana. W razie wątpliwości, zarejestruj się.
Zarejestruj lub zaktualizuj VERBIS. Użyj portalu VERBIS zintegrowanego z e-Devlet, aby zakończyć lub zaktualizować rejestrację administratora danych. [3]
Audytuj mechanizmy zgody. Upewnij się, że banery zgody na stronie internetowej i formularze zbierania danych spełniają specyficzne wymagania KVKK. Rozważ wdrożenie Biscotti CMP (www.biscotti-cmp.com) do strukturalnego, audytowalnego zarządzania zgodą.
Przejrzyj ustalenia dotyczące przekazywania danych transgranicznych. Zidentyfikuj wszystkich zewnętrznych procesorów i usługi chmurowe otrzymujące tureckie dane osobowe i oceń podstawę prawną dla każdego przekazu.
Ustanów protokół reakcji na naruszenia. Udokumentuj procedurę powiadamiania w ciągu 72 godzin i przypisz odpowiedzialność wewnętrzną.
Zaangażuj lokalnego prawnika. Interpretacja KVKK wciąż się rozwija, a turecki prawnik ds. ochrony danych może zapewnić specyficzne dla jurysdykcji wskazówki, których nie zastąpi żaden ogólny framework zgodności.

Krajobraz zgodności dla prowadzenia działalności w Turcji szybko się rozwija. Organizacje, które traktują KVKK jako ćwiczenie na odznakę, a nie jako bieżący program, będą narażone na ryzyko, gdy egzekwowanie się zaostrzy.