Consentimento e banners

A Fazer Negócios na Turquia? O Que Precisa de Saber Sobre o KVKK e o VERBIS

7 de julho de 2026 · 15 min de leitura

Resposta Rápida: A principal lei de proteção de dados da Turquia, KVKK (Lei n.º 6698), aplica-se a qualquer organização, nacional ou estrangeira, que processe dados pessoais de indivíduos na Turquia. O VERBIS é o registo obrigatório de controladores de dados sob o KVKK. A maioria das organizações de médio a grande porte deve registar-se no VERBIS ou enfrentar multas administrativas. A partir de 2026, o processo de registo é acessível através da plataforma e-Devlet da Turquia, e os limites de isenção para pequenas empresas foram clarificados.

Principais Conclusões

KVKK (Kişisel Verilerin Korunması Kanunu) é a lei de proteção de dados da Turquia, promulgada em 2016 e modelada parcialmente nos princípios do GDPR, mas com requisitos locais distintos.
O VERBIS é o registo online onde os controladores de dados devem declarar as suas atividades de processamento de dados antes de iniciar o processamento.
Empresas estrangeiras que processam dados de residentes turcos estão sujeitas ao KVKK, independentemente de onde a empresa esteja sediada.
A partir de 12 de janeiro de 2026, os controladores de dados de pequena escala com menos de 10 funcionários e um balanço anual abaixo de 10 milhões de TL estão isentos do registo no VERBIS se a sua atividade principal envolver dados de categorias especiais. [4]
O prazo de registo no VERBIS foi alargado até 5 de junho de 2026 para organizações que se qualificam com base nas demonstrações financeiras de 2025. [1]
A partir de 1 de julho de 2026, os serviços do VERBIS estão totalmente integrados na plataforma e-Devlet da Turquia (e-Government). [3]
As penalidades por não conformidade ao abrigo do Artigo 18 do KVKK podem resultar em multas administrativas significativas, e a autoridade do KVKK aplica-as ativamente.
O consentimento ao abrigo do KVKK deve ser dado livremente, ser específico, informado e inequívoco; uma Plataforma de Gestão de Consentimento (CMP) é uma ferramenta prática para conformidade baseada na web.

O Que É o KVKK? A Lei de Proteção de Dados da Turquia Explicada

KVKK (Kişisel Verilerin Korunması Kanunu, Lei n.º 6698) é o estatuto abrangente de proteção de dados pessoais da Turquia, promulgado em 7 de abril de 2016. Regula como os dados pessoais são coletados, armazenados, processados, transferidos e eliminados por controladores e processadores de dados que operam na Turquia.

A lei estabeleceu a Autoridade de Proteção de Dados Pessoais (Kişisel Verileri Koruma Kurumu, também abreviada como KVKK), o órgão de supervisão independente responsável pela aplicação, orientação e pelo registo VERBIS.

Os princípios fundamentais ao abrigo do KVKK incluem:

Legalidade, equidade e transparência
Limitação de propósito (dados coletados apenas para fins específicos e explícitos)
Minimização de dados
Precisão e manutenção dos dados atualizados
Limitação de armazenamento (dados retidos apenas pelo tempo necessário)
Integridade e confidencialidade

Qualquer entidade que determine os fins e os meios de processamento de dados pessoais qualifica-se como "controlador de dados" ao abrigo do KVKK e assume as principais obrigações de conformidade.

KVKK vs. GDPR: Principais Diferenças e Sobreposição de Conformidade

O KVKK partilha o DNA estrutural com o GDPR da UE, mas os dois quadros divergem em várias formas operacionalmente significativas. Organizações já em conformidade com o GDPR não devem assumir automaticamente a conformidade com o KVKK.

Dimensão	KVKK (Turquia)	GDPR (UE)
Promulgação	2016	2018 (aplicação)
Órgão de supervisão	Autoridade KVKK	DPAs nacionais por estado membro
Registo de dados	VERBIS (obrigatório para a maioria)	Sem registo obrigatório equivalente
Transferências de dados para o exterior	Requer consentimento explícito ou adequação	Decisões de adequação ou SCCs
Exigência de DPO	Sem mandato formal de DPO	Obrigatório em certos casos
Notificação de violação	72 horas à autoridade	72 horas à autoridade

Principais divergências: O KVKK exige que os controladores de dados se registem no VERBIS e declarem as suas atividades de processamento proativamente. O GDPR não tem obrigação equivalente de registo público. Além disso, as regras de transferência de dados transfronteiriças do KVKK são mais restritivas na prática, exigindo o consentimento explícito do titular dos dados ou uma decisão formal de adequação, e a Turquia não recebeu o status de adequação da UE.

"A conformidade com o GDPR é uma base útil, mas fazer negócios na Turquia requer uma camada de conformidade KVKK separada, particularmente em torno do registo VERBIS e das regras de transferência transfronteiriça."

O Que É o VERBIS e Como Funciona?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) é o registo online mantido pela Autoridade KVKK onde os controladores de dados devem registar e declarar as suas atividades de processamento de dados pessoais antes de iniciar o processamento. Pense nisso como um inventário público de quem processa que dados, para que propósito e sob que política de retenção.

Como o VERBIS funciona na prática:

O controlador de dados cria uma conta no portal VERBIS (agora acessível através da plataforma e-Devlet da Turquia a partir de 1 de julho de 2026). [3]
O controlador declara cada categoria de dados pessoais processados, o propósito do processamento, a base legal, categorias de dados, grupos de destinatários e períodos de retenção.
As declarações são submetidas e tornam-se parte do registo público.
Quaisquer alterações nas atividades de processamento devem ser atualizadas no VERBIS prontamente.
A falha em registar ou atualizar aciona penalidades ao abrigo do Artigo 18 do KVKK. [5]

A 1 de julho de 2026, a Autoridade KVKK também lançou versões atualizadas do documento de orientação "Sorularla VERBİS" e do guia oficial VERBİS Kılavuzu (guia do utilizador) para ajudar os controladores de dados a navegar nas obrigações de registo. [2]

As Empresas Estrangeiras Precisam de Conformidade com o KVKK?

Sim. O KVKK aplica-se a qualquer controlador de dados que processe dados pessoais de indivíduos localizados na Turquia, independentemente de onde o controlador esteja incorporado ou sediado. Uma empresa de SaaS alemã com clientes turcos, uma plataforma de e-commerce dos EUA que envia para a Turquia, ou uma agência de marketing do Reino Unido que realiza campanhas direcionadas a consumidores turcos, todas estão dentro do âmbito do KVKK.

Implicações práticas para empresas estrangeiras:

Devem nomear um representante local na Turquia se não tiverem uma presença física (embora a implementação da lei sobre este ponto continue a evoluir, consulte um advogado local).
Devem cumprir os requisitos de registo no VERBIS, a menos que se aplique uma isenção específica.
As transferências de dados transfronteiriças para fora da Turquia exigem o consentimento explícito do titular dos dados ou um mecanismo formal de adequação, nenhum dos quais é simples para a maioria dos destinos fora da UE.

Erro comum: Empresas estrangeiras assumindo que a conformidade com o GDPR ou uma política de privacidade genérica cobre a sua base de utilizadores turca. O KVKK exige divulgações específicas da jurisdição, mecanismos de consentimento e declarações de registo.

Requisitos de Registo no VERBIS: Quem Deve Registar e Como

A maioria dos controladores de dados acima do limite de isenção para pequenas empresas é obrigada a registar-se no VERBIS. A obrigação aplica-se tanto a entidades do setor privado como a instituições públicas. [6]

O registo é obrigatório se o controlador de dados:

Tem 50 ou mais funcionários (equivalente a tempo integral), OU
Tem um total de balanço financeiro anual superior a 25 milhões de TL, OU
Processa categorias especiais de dados pessoais (saúde, biométricos, registos criminais, etc.) independentemente do tamanho, a menos que se aplique a isenção de pequena escala (veja abaixo).

Para startups e empresas em crescimento: O limite é baseado no número de funcionários anuais e nos valores do balanço. Uma startup que ultrapassa a marca de 50 funcionários ou o limite do balanço em um determinado ano torna-se obrigada a registar-se. O registo deve ser concluído antes do início do processamento sob o novo limite, não retroativamente no final do ano.

Processo de registo VERBIS passo a passo:

Inicie sessão no portal VERBIS através do e-Devlet (portal e-Government) usando um endereço de KEP (correio eletrónico registado) ou credenciais de signatário autorizado. [3]
Complete o perfil do controlador de dados (nome da empresa, forma legal, detalhes de contacto, representante autorizado).
Crie uma entrada de "atividade de processamento" para cada categoria distinta de dados pessoais processados.
Para cada atividade, declare: categoria de dados, propósito, base legal, grupo de titulares de dados, destinatários e período de retenção.
Submeta e receba um número de registo VERBIS.
Atualize o registo sempre que as atividades de processamento mudarem materialmente.

Isenções do KVKK: Pequenas Empresas e Quais Dados Não Estão Cobertos

Nem toda a organização precisa registar-se no VERBIS. A 12 de janeiro de 2026, a Autoridade KVKK clarificou os critérios de isenção para controladores de dados de pequena escala. [4]

A isenção aplica-se quando TODAS as três condições são atendidas:

Menos de 10 funcionários
Total do balanço anual abaixo de 10 milhões de TL
A atividade principal envolve o processamento de categorias especiais de dados pessoais (a isenção foi especificamente projetada para pequenos prestadores de cuidados de saúde, clínicas e entidades semelhantes)

A análise legal publicada pela CMS Law observa que esta isenção é mais restrita do que pode parecer à primeira vista, não é uma isenção geral para pequenas empresas, mas visa especificamente entidades cuja atividade principal envolve categorias de dados sensíveis. [7] Erdem & Erdem esclareceram ainda mais os princípios de aplicação dessas novas isenções. [8]

Categorias de dados não cobertas pelo KVKK:

Dados anonimizados (onde a reidentificação é impossível)
Dados processados exclusivamente para fins pessoais ou domésticos (sem atividade comercial)
Dados processados por autoridades judiciais para processos criminais (regidos por legislação separada)

Caso limite: Dados pseudonimizados ainda são considerados dados pessoais ao abrigo do KVKK se o controlador mantiver os meios para reidentificar indivíduos. Não trate a pseudonimização como equivalente à anonimização para fins de conformidade.

Requisitos de Consentimento do KVKK para Dados de Clientes

Ao abrigo do KVKK, o consentimento válido deve ser dado livremente, ser específico, informado e inequívoco. O consentimento não pode ser agrupado com a aceitação dos termos de serviço, e caixas pré-selecionadas não constituem consentimento válido.

O consentimento deve ser:

Dado livremente: Sem coerção ou condicionamento do acesso ao serviço ao consentimento
Específico: Ligado a um propósito definido, não autorização geral
Informado: O titular dos dados deve saber quem está coletando dados e porquê
Inequívoco: Requer uma ação afirmativa (clique, assinatura, caixa de seleção)

Para websites e plataformas digitais, implementar uma Plataforma de Gestão de Consentimento em conformidade é a abordagem mais prática. Biscotti CMP foi projetada para ajudar proprietários de websites e empresas a gerir a coleta de consentimento de forma alinhada com o KVKK e outros quadros de proteção de dados, fornecendo trilhas de auditoria e registos de consentimento granulares.

Consentimento explícito é adicionalmente exigido para categorias especiais de dados pessoais (saúde, biométricos, genéticos, registos criminais, etc.) e para transferências de dados transfronteiriças onde não existe um mecanismo de adequação.

Penalidades e Multas do KVKK por Não Conformidade

A aplicação do KVKK não é teórica. A Autoridade KVKK emitiu multas contra entidades tanto nacionais como estrangeiras. As penalidades são regidas pelo Artigo 18 da lei.

Categorias de multas administrativas ao abrigo do Artigo 18:

Falha em cumprir obrigações de divulgação: 9,027 TL a 180,536 TL (faixa aproximada de 2024; os valores são atualizados anualmente para inflação)
Falha em garantir a segurança dos dados: 45,135 TL a 9,027,000 TL
Falha em cumprir decisões da Autoridade KVKK: 45,135 TL a 9,027,000 TL
Falha em registar-se no VERBIS ou falha em atualizar o VERBIS: 39,337 TL a 1,966,862 TL

Nota: Os valores das multas são indexados anualmente e os números acima refletem as faixas publicadas para 2024. Verifique os valores atuais com a Autoridade KVKK ou um advogado turco para ações de aplicação em 2026.

Responsabilidade criminal por certas violações (processamento ilegal, falha em eliminar dados) pode resultar em prisão ao abrigo do Código Penal Turco, uma dimensão ausente do conjunto de ferramentas de aplicação do GDPR.

Regras de Notificação de Violação de Dados do KVKK

Ao abrigo do KVKK, os controladores de dados devem notificar a Autoridade KVKK dentro de 72 horas após tomarem conhecimento de uma violação de dados pessoais. Se a violação for suscetível de afetar negativamente os titulares dos dados, essas pessoas também devem ser notificadas prontamente.

Lista de verificação para notificação de violação:

Identificar e conter a violação
Avaliar o alcance e o impacto provável sobre os titulares dos dados
Notificar a Autoridade KVKK dentro de 72 horas através do formulário de notificação oficial
Documentar a violação internamente (o que aconteceu, que dados foram afetados, passos de remediação)
Notificar os titulares de dados afetados se houver um alto risco de dano

A falha em notificar dentro do prazo exigido é, por si só, uma violação sancionável ao abrigo do Artigo 18.

Erros Comuns de Conformidade com o KVKK que as Empresas Cometem

1. Tratar o VERBIS como uma tarefa única. As entradas do VERBIS devem ser atualizadas sempre que as atividades de processamento mudarem. Adquirir um novo CRM, lançar uma nova campanha de marketing com diferentes categorias de dados ou integrar um novo processador de dados podem exigir atualizações no VERBIS.

2. Confiar no consentimento do GDPR para utilizadores turcos. Os requisitos de consentimento do KVKK têm nuances locais. Um banner de consentimento otimizado para o GDPR pode não capturar as divulgações específicas exigidas pelo KVKK.

3. Ignorar as regras de transferência transfronteiriça. Enviar dados de clientes turcos para uma plataforma de análise ou fornecedor de nuvem baseado nos EUA sem um mecanismo de transferência válido é uma violação comum e frequentemente penalizada.

4. Assumir a isenção para pequenas empresas sem verificação. A clarificação de janeiro de 2026 deixou claro que a isenção é condicional ao cumprimento simultâneo de todos os três critérios. [4]

5. Não ter uma política de retenção de dados. O KVKK exige que os dados sejam eliminados, destruídos ou anonimizados quando o propósito do processamento já não existir. Muitas empresas coletam dados indefinidamente sem um cronograma de retenção documentado.

FAQ

Q: O KVKK é obrigatório para todas as empresas que operam na Turquia? Sim, qualquer entidade que processe dados pessoais de indivíduos na Turquia está sujeita ao KVKK, independentemente do tamanho ou nacionalidade da empresa. O registo no VERBIS é obrigatório para a maioria das entidades acima do limite de isenção para pequenas empresas.

Q: Qual é o prazo de registo no VERBIS em 2026? A Autoridade KVKK alargou o prazo de registo no VERBIS até 5 de junho de 2026 para organizações que se qualificam com base nas suas demonstrações financeiras de 2025. [1] Organizações que já cumpriram os limites anteriores devem já estar registadas.

Q: Uma empresa estrangeira pode ser multada ao abrigo do KVKK? Sim. A Autoridade KVKK tem jurisdição sobre qualquer controlador de dados que processe dados de residentes turcos, incluindo empresas estrangeiras. A aplicação contra entidades estrangeiras é uma área em evolução, mas a exposição legal é real.

Q: Existe uma alternativa ao VERBIS para declarar atividades de processamento de dados? Não. O VERBIS é o único registo obrigatório ao abrigo do KVKK. Não há um mecanismo alternativo para cumprir a obrigação de registo do controlador de dados.

Q: Quanto tempo leva o registo no VERBIS? Com a integração do e-Devlet a partir de 1 de julho de 2026, o processo técnico pode ser concluído em algumas horas para casos simples. [3] No entanto, o trabalho preparatório, mapeando todas as atividades de processamento de dados, identificando bases legais e documentando períodos de retenção, normalmente leva semanas para organizações de médio porte.

Q: O KVKK exige um Encarregado de Proteção de Dados (DPO)? O KVKK não exige um papel formal de DPO equivalente à exigência do GDPR. No entanto, a Autoridade KVKK recomenda que os controladores de dados designem uma pessoa responsável internamente para gerir a conformidade.

Q: O que constitui dados pessoais de categorias especiais ao abrigo do KVKK? As categorias especiais incluem: raça, origem étnica, opinião política, crença filosófica, religião, seita, dados de saúde, vida sexual, condenações criminais, dados biométricos e dados genéticos. O processamento dessas categorias requer consentimento explícito ou uma base legal específica.

Q: Como o KVKK trata o consentimento de cookies em websites? Cookies que coletam dados pessoais (análise, identificadores publicitários) requerem consentimento válido ao abrigo do KVKK. Uma CMP em conformidade, como a Biscotti CMP, pode ajudar os proprietários de websites a capturar, armazenar e gerir o consentimento de cookies em conformidade com as obrigações do KVKK.

Q: As instituições públicas são obrigadas a registar-se no VERBIS? Sim. Instituições e organizações públicas são obrigadas a registar-se no VERBIS. O período de registo para entidades públicas começou em 1 de abril de 2019, com um prazo de conclusão até 30 de junho de 2020. [6]

Q: O que acontece se uma empresa atualizar as suas atividades de processamento, mas não atualizar o VERBIS? A falha em atualizar o VERBIS para refletir as atividades de processamento atuais é tratada como uma violação de conformidade e pode resultar em multas administrativas ao abrigo do Artigo 18 do KVKK. [5]

Conclusão: Próximos Passos Acionáveis para Conformidade com o KVKK e VERBIS

Fazer negócios na Turquia requer uma abordagem estruturada e específica da jurisdição para a proteção de dados. O KVKK é aplicado ativamente, o registo no VERBIS não é opcional para a maioria das organizações, e as clarificações de isenção de janeiro de 2026 estreitaram, e não expandiram, as isenções para pequenas empresas. [4]

Ações imediatas para organizações que operam na Turquia:

Realizar um exercício de mapeamento de dados. Identifique cada categoria de dados pessoais processados, seu propósito, base legal e destinatário.
Determinar a obrigação de VERBIS. Aplique os limites de contagem de funcionários e balanço para confirmar se o registo é necessário. Se tiver dúvidas, registe-se.
Registar ou atualizar o VERBIS. Utilize o portal VERBIS integrado ao e-Devlet para completar ou atualizar o seu registo de controlador de dados. [3]
Auditar mecanismos de consentimento. Assegure-se de que os banners de consentimento do website e os formulários de coleta de dados atendem aos requisitos específicos do KVKK. Considere implementar a Biscotti CMP (www.biscotti-cmp.com) para uma gestão de consentimento estruturada e auditável.
Rever arranjos de transferência transfronteiriça. Identifique todos os processadores de terceiros e serviços de nuvem que recebem dados pessoais turcos e avalie a base legal para cada transferência.
Estabelecer um protocolo de resposta a violações. Documente o procedimento de notificação de 72 horas e atribua responsabilidade interna.
Consultar um advogado local. A interpretação do KVKK continua a evoluir, e um advogado de proteção de dados turco pode fornecer orientações específicas da jurisdição que nenhum quadro de conformidade geral pode substituir.

O panorama de conformidade para fazer negócios na Turquia está a evoluir rapidamente. Organizações que tratam o KVKK como um exercício de verificação em vez de um programa contínuo encontrarão-se expostas à medida que a aplicação se intensifica.