Consentimento e banners

Fazendo Negócios na Turquia? O Que Você Precisa Saber Sobre o KVKK e VERBIS

7 de julho de 2026 · 15 min de leitura

Resposta Rápida: A principal lei de proteção de dados da Turquia, KVKK (Lei nº 6698), se aplica a qualquer organização, nacional ou estrangeira, que processe dados pessoais de indivíduos na Turquia. O VERBIS é o registro obrigatório de controladores de dados sob o KVKK. A maioria das organizações de médio a grande porte deve se registrar no VERBIS ou enfrentar multas administrativas. A partir de 2026, o processo de registro está acessível através da plataforma e-Devlet da Turquia, e os limites de isenção para pequenas empresas foram esclarecidos.

Principais Conclusões

KVKK (Kişisel Verilerin Korunması Kanunu) é a lei de proteção de dados da Turquia, promulgada em 2016 e modelada parcialmente nos princípios do GDPR, mas com requisitos locais distintos.
VERBIS é o registro online onde os controladores de dados devem declarar suas atividades de processamento de dados antes que o processamento comece.
Empresas estrangeiras que processam dados de residentes turcos estão sujeitas ao KVKK, independentemente de onde a empresa esteja baseada.
A partir de 12 de janeiro de 2026, controladores de dados de pequeno porte com menos de 10 funcionários e um balanço anual abaixo de 10 milhões de TL estão isentos do registro no VERBIS se sua atividade principal envolver dados de categoria especial. [4]
O prazo de registro do VERBIS foi estendido até 5 de junho de 2026 para organizações que se qualificam com base nas demonstrações financeiras de 2025. [1]
A partir de 1º de julho de 2026, os serviços do VERBIS estão totalmente integrados à plataforma e-Devlet (e-Government) da Turquia. [3]
As penalidades por não conformidade sob o Artigo 18 do KVKK podem alcançar multas administrativas significativas, e a autoridade do KVKK as aplica ativamente.
O consentimento sob o KVKK deve ser dado livremente, específico, informado e inequívoco; uma Plataforma de Gestão de Consentimento (CMP) é uma ferramenta prática para conformidade baseada na web.

O Que É KVKK? A Lei de Proteção de Dados da Turquia Explicada

KVKK (Kişisel Verilerin Korunması Kanunu, Lei nº 6698) é o estatuto abrangente de proteção de dados pessoais da Turquia, promulgado em 7 de abril de 2016. Ele regula como os dados pessoais são coletados, armazenados, processados, transferidos e excluídos por controladores e processadores de dados que operam na Turquia.

A lei estabeleceu a Autoridade de Proteção de Dados Pessoais (Kişisel Verileri Koruma Kurumu, também abreviada como KVKK), o órgão supervisor independente responsável pela aplicação, orientação e pelo registro VERBIS.

Os princípios fundamentais sob o KVKK incluem:

Legalidade, justiça e transparência
Limitação de finalidade (dados coletados apenas para fins específicos e explícitos)
Minimização de dados
Precisão e manutenção dos dados atualizados
Limitação de armazenamento (dados retidos apenas pelo tempo necessário)
Integridade e confidencialidade

Qualquer entidade que determina as finalidades e os meios de processamento de dados pessoais qualifica-se como um "controlador de dados" sob o KVKK e assume as principais obrigações de conformidade.

KVKK vs. GDPR: Principais Diferenças e Sobreposição de Conformidade

KVKK compartilha DNA estrutural com o GDPR da UE, mas os dois frameworks divergem em várias maneiras operacionalmente significativas. Organizações já em conformidade com o GDPR não devem assumir automaticamente a conformidade com o KVKK.

Dimensão	KVKK (Turquia)	GDPR (UE)
Promulgação	2016	2018 (aplicação)
Órgão supervisor	Autoridade KVKK	DPAs nacionais por estado membro
Registro de dados	VERBIS (obrigatório para a maioria)	Sem registro obrigatório equivalente
Transferências de dados para o exterior	Requer consentimento explícito ou adequação	Decisões de adequação ou SCCs
Requisito de DPO	Sem mandato formal de DPO	Obrigatório em certos casos
Notificação de violação	72 horas para a autoridade	72 horas para a autoridade

Principais divergências: O KVKK exige que os controladores de dados se registrem no VERBIS e declarem suas atividades de processamento proativamente. O GDPR não possui obrigação equivalente de registro público. Além disso, as regras de transferência de dados transfronteiriças do KVKK são mais restritivas na prática, exigindo o consentimento explícito do titular dos dados ou uma decisão formal de adequação, e a Turquia não recebeu status de adequação da UE.

"A conformidade com o GDPR é uma base útil, mas fazer negócios na Turquia requer uma camada separada de conformidade com o KVKK, particularmente em torno do registro no VERBIS e das regras de transferência transfronteiriça."

O Que É VERBIS e Como Funciona?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) é o registro online mantido pela Autoridade KVKK onde os controladores de dados devem se registrar e declarar suas atividades de processamento de dados pessoais antes que o processamento comece. Pense nisso como um inventário público de quem processa quais dados, para qual finalidade e sob qual política de retenção.

Como o VERBIS funciona na prática:

O controlador de dados cria uma conta no portal do VERBIS (agora acessível através da plataforma e-Devlet da Turquia a partir de 1º de julho de 2026). [3]
O controlador declara cada categoria de dados pessoais processados, a finalidade do processamento, a base legal, categorias de dados, grupos de destinatários e períodos de retenção.
As declarações são submetidas e se tornam parte do registro público.
Quaisquer mudanças nas atividades de processamento devem ser atualizadas no VERBIS prontamente.
A falha em se registrar ou atualizar aciona penalidades sob o Artigo 18 do KVKK. [5]

Em 1º de julho de 2026, a Autoridade KVKK também lançou versões atualizadas do documento de orientação "Sorularla VERBİS" e do VERBİS Kılavuzu (guia do usuário) para ajudar os controladores de dados a navegar pelas obrigações de registro. [2]

Empresas Estrangeiras Precisam de Conformidade com o KVKK?

Sim. O KVKK se aplica a qualquer controlador de dados que processe dados pessoais de indivíduos localizados na Turquia, independentemente de onde o controlador esteja incorporado ou baseado. Uma empresa de SaaS alemã com clientes turcos, uma plataforma de e-commerce dos EUA enviando para a Turquia ou uma agência de marketing do Reino Unido realizando campanhas direcionadas a consumidores turcos, todas estão dentro do escopo do KVKK.

Implicações práticas para empresas estrangeiras:

Devem nomear um representante local na Turquia se não tiverem presença física (embora a implementação da lei sobre este ponto continue a evoluir, consulte um advogado local).
Devem cumprir os requisitos de registro no VERBIS, a menos que uma isenção específica se aplique.
Transferências de dados transfronteiriças para fora da Turquia exigem o consentimento explícito do titular dos dados ou um mecanismo formal de adequação, nenhum dos quais é simples para a maioria dos destinos fora da UE.

Erro comum: Empresas estrangeiras assumindo que a conformidade com o GDPR ou uma política de privacidade genérica cobre sua base de usuários turca. O KVKK exige divulgações específicas da jurisdição, mecanismos de consentimento e declarações de registro.

Requisitos de Registro do VERBIS: Quem Deve se Registrar e Como

A maioria dos controladores de dados acima do limite de isenção para pequenas empresas é obrigada a se registrar no VERBIS. A obrigação se aplica tanto a entidades do setor privado quanto a instituições públicas. [6]

O registro é necessário se o controlador de dados:

Tem 50 ou mais funcionários (equivalente a tempo integral), OU
Tem um total de balanço financeiro anual superior a 25 milhões de TL, OU
Processa categorias especiais de dados pessoais (saúde, biométricos, registros criminais, etc.) independentemente do tamanho, a menos que a isenção de pequeno porte se aplique (veja abaixo).

Para startups e empresas em crescimento: O limite é baseado na contagem anual de funcionários e nos números do balanço. Uma startup que ultrapassa a marca de 50 funcionários ou o limite do balanço em um determinado ano torna-se obrigada a se registrar. O registro deve ser concluído antes que o processamento comece sob o novo limite, não retroativamente no final do ano.

Processo de registro do VERBIS passo a passo:

Faça login no portal do VERBIS via e-Devlet (portal e-Government) usando um endereço de KEP (correio eletrônico registrado) ou credenciais de signatário autorizado. [3]
Complete o perfil do controlador de dados (nome da empresa, forma legal, detalhes de contato, representante autorizado).
Crie uma entrada de "atividade de processamento" para cada categoria distinta de dados pessoais processados.
Para cada atividade, declare: categoria de dados, finalidade, base legal, grupo de titulares de dados, destinatários e período de retenção.
Submeta e receba um número de registro do VERBIS.
Atualize o registro sempre que as atividades de processamento mudarem materialmente.

Isenções do KVKK: Pequenas Empresas e Quais Dados Não Estão Cobertos

Nem toda organização precisa se registrar no VERBIS. Em 12 de janeiro de 2026, a Autoridade KVKK esclareceu os critérios de isenção para controladores de dados de pequeno porte. [4]

A isenção se aplica quando TODAS as três condições são atendidas:

Menos de 10 funcionários
Total do balanço anual abaixo de 10 milhões de TL
A atividade principal envolve o processamento de categorias especiais de dados pessoais (a isenção foi especificamente projetada para pequenos prestadores de serviços de saúde, clínicas e entidades similares)

A análise legal publicada pela CMS Law observa que essa isenção é mais restrita do que pode parecer inicialmente, não é uma isenção geral para pequenas empresas, mas visa especificamente entidades cuja atividade principal envolve categorias de dados sensíveis. [7] Erdem & Erdem esclareceram ainda mais os princípios de aplicação dessas novas isenções. [8]

Categorias de dados não cobertas pelo KVKK:

Dados anonimizados (onde a reidentificação é impossível)
Dados processados puramente para fins pessoais ou domésticos (sem atividade comercial)
Dados processados por autoridades judiciais para processos criminais (regidos por legislação separada)

Caso limite: Dados pseudonimizados ainda são considerados dados pessoais sob o KVKK se o controlador mantiver os meios para reidentificar indivíduos. Não trate a pseudonimização como equivalente à anonimização para fins de conformidade.

Requisitos de Consentimento do KVKK para Dados de Clientes

Sob o KVKK, o consentimento válido deve ser dado livremente, específico, informado e inequívoco. O consentimento não pode ser agrupado com a aceitação dos termos de serviço, e caixas pré-marcadas não constituem consentimento válido.

O consentimento deve ser:

Dado livremente: Sem coerção ou condicionamento do acesso ao serviço ao consentimento
Específico: Vinculado a uma finalidade definida, não autorização geral
Informado: O titular dos dados deve saber quem está coletando os dados e por quê
Inequívoco: Exige uma ação afirmativa (clique, assinatura, caixa de seleção)

Para sites e plataformas digitais, implementar uma Plataforma de Gestão de Consentimento em conformidade é a abordagem mais prática. Biscotti CMP foi projetada para ajudar proprietários de sites e empresas a gerenciar a coleta de consentimento de maneira alinhada com o KVKK e outras estruturas de proteção de dados, fornecendo trilhas de auditoria e registros granulares de consentimento.

Consentimento explícito é adicionalmente exigido para categorias especiais de dados pessoais (saúde, biométricos, genéticos, registros criminais, etc.) e para transferências de dados transfronteiriças onde não existe mecanismo de adequação.

Penalidades e Multas do KVKK por Não Conformidade

A aplicação do KVKK não é teórica. A Autoridade KVKK emitiu multas contra entidades tanto nacionais quanto estrangeiras. As penalidades são regidas pelo Artigo 18 da lei.

Categorias de multas administrativas sob o Artigo 18:

Falha em cumprir obrigações de divulgação: 9.027 TL a 180.536 TL (faixa aproximada de 2024; os valores são atualizados anualmente pela inflação)
Falha em garantir a segurança dos dados: 45.135 TL a 9.027.000 TL
Falha em cumprir decisões da Autoridade KVKK: 45.135 TL a 9.027.000 TL
Falha em se registrar no VERBIS ou falha em atualizar o VERBIS: 39.337 TL a 1.966.862 TL

Nota: Os valores das multas são indexados anualmente e os números acima refletem as faixas publicadas para 2024. Verifique os números atuais com a Autoridade KVKK ou um advogado turco para ações de aplicação de 2026.

Responsabilidade criminal por certas violações (processamento ilegal, falha em excluir dados) pode resultar em prisão sob o Código Penal Turco, uma dimensão ausente do conjunto de ferramentas de aplicação do GDPR.

Regras de Notificação de Violação de Dados do KVKK

Sob o KVKK, os controladores de dados devem notificar a Autoridade KVKK dentro de 72 horas após tomar conhecimento de uma violação de dados pessoais. Se a violação provavelmente afetar negativamente os titulares dos dados, essas pessoas também devem ser notificadas prontamente.

Lista de verificação para notificação de violação:

Identificar e conter a violação
Avaliar o escopo e o provável impacto sobre os titulares dos dados
Notificar a Autoridade KVKK dentro de 72 horas por meio do formulário de notificação oficial
Documentar a violação internamente (o que aconteceu, quais dados foram afetados, etapas de remediação)
Notificar os titulares de dados afetados se houver alto risco de dano

A falha em notificar dentro do prazo exigido é, por si só, uma violação sancionável sob o Artigo 18.

Erros Comuns de Conformidade com o KVKK que as Empresas Cometem

1. Tratar o VERBIS como uma tarefa única. As entradas do VERBIS devem ser atualizadas sempre que as atividades de processamento mudarem. Adquirir um novo CRM, lançar uma nova campanha de marketing com diferentes categorias de dados ou integrar um novo processador de dados podem exigir atualizações no VERBIS.

2. Confiar no consentimento do GDPR para usuários turcos. Os requisitos de consentimento do KVKK têm nuances locais. Um banner de consentimento otimizado para o GDPR pode não capturar as divulgações específicas exigidas sob o KVKK.

3. Ignorar as regras de transferência transfronteiriça. Enviar dados de clientes turcos para uma plataforma de análise ou provedor de nuvem baseado nos EUA sem um mecanismo de transferência válido é uma violação comum e frequentemente penalizada.

4. Assumir isenção para pequenas empresas sem verificação. O esclarecimento de janeiro de 2026 deixou claro que a isenção é condicional ao cumprimento simultâneo de todos os três critérios. [4]

5. Não ter uma política de retenção de dados. O KVKK exige que os dados sejam excluídos, destruídos ou anonimizados quando a finalidade do processamento não existir mais. Muitas empresas coletam dados indefinidamente sem um cronograma de retenção documentado.

FAQ

Q: O KVKK é obrigatório para todas as empresas que operam na Turquia? Sim, qualquer entidade que processe dados pessoais de indivíduos na Turquia está sujeita ao KVKK, independentemente do tamanho ou nacionalidade da empresa. O registro no VERBIS é obrigatório para a maioria das entidades acima do limite de isenção para pequenas empresas.

Q: Qual é o prazo de registro do VERBIS em 2026? A Autoridade KVKK estendeu o prazo de registro do VERBIS até 5 de junho de 2026 para organizações que se qualificam com base em suas demonstrações financeiras de 2025. [1] Organizações que já atenderam aos limites anteriores devem já estar registradas.

Q: Uma empresa estrangeira pode ser multada sob o KVKK? Sim. A Autoridade KVKK tem jurisdição sobre qualquer controlador de dados que processe dados de residentes turcos, incluindo empresas estrangeiras. A aplicação contra entidades estrangeiras é uma área em evolução, mas a exposição legal é real.

Q: Existe uma alternativa ao VERBIS para declarar atividades de processamento de dados? Não. O VERBIS é o único registro obrigatório sob o KVKK. Não há mecanismo alternativo para cumprir a obrigação de registro do controlador de dados.

Q: Quanto tempo leva o registro no VERBIS? Com a integração do e-Devlet a partir de 1º de julho de 2026, o processo técnico pode ser concluído em algumas horas para casos simples. [3] No entanto, o trabalho preparatório, mapeando todas as atividades de processamento de dados, identificando bases legais e documentando períodos de retenção, normalmente leva semanas para organizações de médio porte.

Q: O KVKK exige um Encarregado de Proteção de Dados (DPO)? O KVKK não exige um papel formal de DPO equivalente ao requisito do GDPR. No entanto, a Autoridade KVKK recomenda que os controladores de dados designem uma pessoa responsável internamente para gerenciar a conformidade.

Q: O que constitui dados pessoais de categoria especial sob o KVKK? As categorias especiais incluem: raça, origem étnica, opinião política, crença filosófica, religião, seita, dados de saúde, vida sexual, condenações criminais, dados biométricos e dados genéticos. O processamento dessas categorias exige consentimento explícito ou uma base legal específica.

Q: Como o KVKK lida com o consentimento de cookies em sites? Cookies que coletam dados pessoais (análise, identificadores de publicidade) exigem consentimento válido sob o KVKK. Uma CMP em conformidade, como a Biscotti CMP, pode ajudar os proprietários de sites a capturar, armazenar e gerenciar o consentimento de cookies de acordo com as obrigações do KVKK.

Q: Instituições públicas são obrigadas a se registrar no VERBIS? Sim. Instituições e organizações públicas são obrigadas a se registrar no VERBIS. O período de registro para entidades públicas começou em 1º de abril de 2019, com um prazo de conclusão até 30 de junho de 2020. [6]

Q: O que acontece se uma empresa atualizar suas atividades de processamento, mas não atualizar o VERBIS? A falha em atualizar o VERBIS para refletir as atividades de processamento atuais é tratada como uma violação de conformidade e pode resultar em multas administrativas sob o Artigo 18 do KVKK. [5]

Conclusão: Próximos Passos Ações para Conformidade com KVKK e VERBIS

Fazer negócios na Turquia requer uma abordagem estruturada e específica da jurisdição para a proteção de dados. O KVKK é aplicado ativamente, o registro no VERBIS não é opcional para a maioria das organizações, e os esclarecimentos sobre isenção de janeiro de 2026 estreitaram, e não expandiram, as isenções para pequenas empresas. [4]

Ações imediatas para organizações que operam na Turquia:

Realizar um exercício de mapeamento de dados. Identifique cada categoria de dados pessoais processados, sua finalidade, base legal e destinatário.
Determinar a obrigação do VERBIS. Aplique os limites de contagem de funcionários e balanço para confirmar se o registro é necessário. Em caso de dúvida, registre-se.
Registrar ou atualizar o VERBIS. Use o portal do VERBIS integrado ao e-Devlet para completar ou atualizar seu registro como controlador de dados. [3]
Auditar mecanismos de consentimento. Assegure-se de que os banners de consentimento do site e os formulários de coleta de dados atendam aos requisitos específicos do KVKK. Considere implantar a Biscotti CMP (www.biscotti-cmp.com) para uma gestão de consentimento estruturada e auditável.
Revisar arranjos de transferência transfronteiriça. Identifique todos os processadores de terceiros e serviços de nuvem que recebem dados pessoais turcos e avalie a base legal para cada transferência.
Estabelecer um protocolo de resposta a violações. Documente o procedimento de notificação de 72 horas e atribua responsabilidade interna.
Consultar um advogado local. A interpretação do KVKK continua a evoluir, e um advogado de proteção de dados turco pode fornecer orientações específicas da jurisdição que nenhum framework de conformidade geral pode substituir.

O cenário de conformidade para fazer negócios na Turquia está amadurecendo rapidamente. Organizações que tratam o KVKK como um exercício de verificação em vez de um programa contínuo se verão expostas à medida que a aplicação se intensifica.