Consimțământ și bannere

Faceti afaceri în Turcia? Ce trebuie să știți despre KVKK și VERBIS

7 iulie 2026 · 15 min de citit

Răspuns rapid: Legea principală de protecție a datelor din Turcia, KVKK (Legea nr. 6698), se aplică oricărei organizații, interne sau externe, care prelucrează date personale ale indivizilor din Turcia. VERBIS este registrul obligatoriu al operatorilor de date conform KVKK. Cele mai multe organizații de dimensiuni medii și mari trebuie să se înregistreze în VERBIS sau să facă față amenzilor administrative. Începând cu 2026, procesul de înregistrare este accesibil prin platforma e-Devlet din Turcia, iar pragurile de excepție pentru micile afaceri au fost clarificate.

Puncte cheie

KVKK (Kişisel Verilerin Korunması Kanunu) este legea de protecție a datelor din Turcia, adoptată în 2016 și modelată parțial pe principiile GDPR, dar cu cerințe locale distincte.
VERBIS este registrul online unde operatorii de date trebuie să declare activitățile lor de prelucrare a datelor înainte de a începe prelucrarea.
Companiile străine care prelucrează date ale rezidenților turci sunt supuse KVKK, indiferent de locul în care este înregistrată compania.
Începând cu 12 ianuarie 2026, operatorii de date de mică amploare cu mai puțin de 10 angajați și un bilanț anual sub 10 milioane TL sunt scutiți de înregistrarea în VERBIS dacă activitatea lor principală implică date din categorii speciale. [4]
Termenul limită pentru înregistrarea în VERBIS a fost extins până la 5 iunie 2026 pentru organizațiile care se califică pe baza situațiilor financiare din 2025. [1]
Începând cu 1 iulie 2026, serviciile VERBIS sunt complet integrate cu platforma e-Devlet (e-Guvernare) din Turcia. [3]
Penalitățile pentru neconformitate conform Articolului 18 din KVKK pot ajunge la amenzi administrative semnificative, iar autoritatea KVKK le aplică activ.
Consimțământul conform KVKK trebuie să fie dat liber, specific, informat și neechivoc; o platformă de gestionare a consimțământului (CMP) este un instrument practic pentru conformitatea bazată pe web.

Ce este KVKK? Legea de protecție a datelor din Turcia explicată

KVKK (Kişisel Verilerin Korunması Kanunu, Legea nr. 6698) este statute-ul cuprinzător de protecție a datelor personale din Turcia, adoptat pe 7 aprilie 2016. Aceasta reglementează modul în care datele personale sunt colectate, stocate, prelucrate, transferate și șterse de către operatorii și procesatorii de date care își desfășoară activitatea în Turcia.

Legea a înființat Autoritatea pentru Protecția Datelor Personale (Kişisel Verileri Koruma Kurumu, abreviată KVKK), organismul de supraveghere independent responsabil pentru aplicarea legii, orientare și registrul VERBIS.

Principiile de bază conform KVKK includ:

Legalitate, corectitudine și transparență
Limitarea scopului (datele colectate doar pentru scopuri specificate și explicite)
Minimizarea datelor
Acuratețea și menținerea datelor actualizate
Limitarea stocării (datele păstrate nu mai mult decât este necesar)
Integritate și confidențialitate

Orice entitate care determină scopurile și mijloacele de prelucrare a datelor personale se califică drept "operator de date" conform KVKK și are obligații principale de conformitate.

KVKK vs. GDPR: Diferențe cheie și suprapunerea conformității

KVKK împărtășește ADN-ul structural cu GDPR-ul UE, dar cele două cadre se deosebesc în mai multe moduri operaționale semnificative. Organizațiile deja conforme cu GDPR nu ar trebui să presupună conformitatea automată cu KVKK.

Dimensiune	KVKK (Turcia)	GDPR (UE)
Adoptată	2016	2018 (aplicare)
Organism de supraveghere	Autoritatea KVKK	Autoritățile naționale de protecție a datelor per stat membru
Registrul de date	VERBIS (obligatoriu pentru majoritatea)	Fără registru public obligatoriu echivalent
Transferuri de date în străinătate	Necesită consimțământ explicit sau adecvare	Decizii de adecvare sau SCC-uri
Cerința DPO	Fără mandat formal DPO	Obligatoriu în anumite cazuri
Notificarea breșelor	72 de ore către autoritate	72 de ore către autoritate

Diferența cheie: KVKK necesită ca operatorii de date să se înregistreze în VERBIS și să declare proactiv activitățile lor de prelucrare. GDPR nu are o obligație echivalentă de registru public. În plus, regulile KVKK privind transferurile de date transfrontaliere sunt mai restrictive în practică, necesitând fie consimțământul explicit al subiectului de date, fie o decizie formală de adecvare, iar Turcia nu a primit statut de adecvare din partea UE.

"Conformitatea cu GDPR este o fundație utilă, dar a face afaceri în Turcia necesită un strat separat de conformitate KVKK, în special în jurul înregistrării VERBIS și regulilor de transfer transfrontalier."

Ce este VERBIS și cum funcționează?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) este registrul online întreținut de Autoritatea KVKK unde operatorii de date trebuie să se înregistreze și să declare activitățile lor de prelucrare a datelor personale înainte de a începe prelucrarea. Gândiți-vă la el ca la un inventar public al celor care prelucrează ce date, în ce scop și sub ce politică de păstrare.

Cum funcționează VERBIS în practică:

Operatorul de date își creează un cont pe portalul VERBIS (acum accesibil prin platforma e-Devlet din Turcia începând cu 1 iulie 2026). [3]
Operatorul declară fiecare categorie de date personale prelucrate, scopul prelucrării, baza legală, categoriile de date, grupurile de destinatari și perioadele de păstrare.
Declarațiile sunt trimise și devin parte a registrului public.
Orice modificări ale activităților de prelucrare trebuie actualizate în VERBIS prompt.
Nerespectarea înregistrării sau actualizării declanșează penalități conform Articolului 18 din KVKK. [5]

Pe 1 iulie 2026, Autoritatea KVKK a lansat, de asemenea, versiuni actualizate ale documentului de orientare "Sorularla VERBİS" și ale ghidului oficial VERBİS Kılavuzu (ghid pentru utilizatori) pentru a ajuta operatorii de date să navigheze obligațiile de înregistrare. [2]

Au companiile străine nevoie de conformitate KVKK?

Da. KVKK se aplică oricărui operator de date care prelucrează date personale ale indivizilor localizați în Turcia, indiferent de locul în care este înregistrat sau bazat operatorul. O companie germană SaaS cu clienți turci, o platformă de comerț electronic din SUA care livrează în Turcia sau o agenție de marketing din Marea Britanie care desfășoară campanii țintind consumatorii turci, toate se încadrează în domeniul de aplicare al KVKK.

Implicatii practice pentru companiile străine:

Trebuie să numească un reprezentant local în Turcia dacă nu au o prezență fizică (deși implementarea legii pe acest punct continuă să evolueze, consultați un consilier juridic local).
Trebuie să respecte cerințele de înregistrare VERBIS, cu excepția cazului în care se aplică o excepție specifică.
Transferurile de date transfrontaliere din Turcia necesită fie consimțământul explicit al subiectului de date, fie un mecanism formal de adecvare, niciunul dintre acestea nefiind simplu pentru cele mai multe destinații non-UE.

Greșeală comună: Companiile străine presupun că conformitatea cu GDPR sau o politică de confidențialitate generică acoperă baza lor de utilizatori turci. KVKK necesită divulgări specifice jurisdicției, mecanisme de consimțământ și declarații de registru.

Cerințele de înregistrare VERBIS: Cine trebuie să se înregistreze și cum

Cele mai multe operatori de date care depășesc pragul de excepție pentru micile afaceri sunt obligați să se înregistreze în VERBIS. Obligația se aplică atât entităților din sectorul privat, cât și instituțiilor publice. [6]

Înregistrarea este necesară dacă operatorul de date:

Are 50 sau mai mulți angajați (echivalent cu normă întreagă), SAU
Are un total al bilanțului financiar anual care depășește 25 milioane TL, SAU
Prelucrează categorii speciale de date personale (sănătate, biometrice, cazier judiciar etc.) indiferent de dimensiune, cu excepția cazului în care se aplică excepția de mică amploare (vezi mai jos).

Pentru startup-uri și companii în creștere: Pragul se bazează pe numărul anual de angajați și cifrele bilanțului. Un startup care depășește pragul de 50 de angajați sau pragul bilanțului într-un an devine obligat să se înregistreze. Înregistrarea trebuie finalizată înainte de a începe prelucrarea conform noului prag, nu retroactiv la sfârșitul anului.

Procesul de înregistrare VERBIS pas cu pas:

Conectați-vă la portalul VERBIS prin e-Devlet (poarta e-Guvernare) folosind o adresă de e-mail KEP (corespondență electronică înregistrată) sau acreditivele semnatarului autorizat. [3]
Completați profilul operatorului de date (numele companiei, forma juridică, detalii de contact, reprezentant autorizat).
Creați o intrare "activitate de prelucrare" pentru fiecare categorie distinctă de date personale prelucrate.
Pentru fiecare activitate, declarați: categoria de date, scopul, baza legală, grupul de subiecți de date, destinatarii și perioada de păstrare.
Trimiteți și primiți un număr de înregistrare VERBIS.
Actualizați registrul ori de câte ori activitățile de prelucrare se schimbă semnificativ.

Excepțiile KVKK: Micile afaceri și ce date nu sunt acoperite

Nu fiecare organizație trebuie să se înregistreze în VERBIS. Pe 12 ianuarie 2026, Autoritatea KVKK a clarificat criteriile de excepție pentru operatorii de date de mică amploare. [4]

Excepția se aplică atunci când TOATE cele trei condiții sunt îndeplinite:

Mai puțin de 10 angajați
Totalul bilanțului anual sub 10 milioane TL
Activitatea principală implică prelucrarea de categorii speciale de date personale (excepția a fost concepută specific pentru furnizorii de servicii de sănătate mici, clinici și entități similare)

Analiza juridică publicată de CMS Law notează că această excepție este mai restrânsă decât ar putea părea inițial, nu este o excepție generală pentru micile afaceri, ci vizează specific entitățile ale căror activitate principală implică categorii de date sensibile. [7] Erdem & Erdem au clarificat, de asemenea, principiile de aplicare ale acestor noi excepții. [8]

Categorii de date neacoperite de KVKK:

Date anonimizate (unde re-identificarea este imposibilă)
Date prelucrate exclusiv pentru scopuri personale sau de gospodărie (fără activitate comercială)
Date prelucrate de autoritățile judiciare pentru proceduri penale (reglementate de legislație separată)

Caz limită: Datele pseudonimizate sunt considerate în continuare date personale conform KVKK dacă operatorul păstrează mijloacele de re-identificare a indivizilor. Nu tratați pseudonimizarea ca echivalentă cu anonimizarea în scopuri de conformitate.

Cerințele de consimțământ KVKK pentru datele clienților

Conform KVKK, consimțământul valid trebuie să fie dat liber, specific, informat și neechivoc. Consimțământul nu poate fi legat de acceptarea termenilor de serviciu, iar casetele pre-bifate nu constituie consimțământ valid.

Consimțământul trebuie să fie:

Dat liber: Fără constrângere sau condiționarea accesului la serviciu pe consimțământ
Specific: Legat de un scop definit, nu o autorizare generală
Informat: Subiectul de date trebuie să știe cine colectează datele și de ce
Neambiguu: Necesită o acțiune afirmativă (clic, semnătură, casetă de selectare)

Pentru site-uri web și platforme digitale, implementarea unei platforme de gestionare a consimțământului conforme este cea mai practică abordare. Biscotti CMP este concepută pentru a ajuta proprietarii de site-uri și întreprinderile să gestioneze colectarea consimțământului într-un mod aliniat cu KVKK și alte cadre de protecție a datelor, oferind trasee de audit și înregistrări detaliate ale consimțământului.

Consimțământul explicit este, de asemenea, necesar pentru categorii speciale de date personale (sănătate, biometrice, genetice, cazier judiciar etc.) și pentru transferurile de date transfrontaliere unde nu există un mecanism de adecvare.

Penalitățile și amenzile KVKK pentru neconformitate

Aplicarea KVKK nu este teoretică. Autoritatea KVKK a impus amenzi atât entităților interne, cât și celor externe. Penalitățile sunt reglementate de Articolul 18 din lege.

Categorii de amenzi administrative conform Articolului 18:

Nerespectarea obligațiilor de divulgare: 9,027 TL până la 180,536 TL (aproximativ intervalul 2024; sumele sunt actualizate anual pentru inflație)
Nerespectarea securității datelor: 45,135 TL până la 9,027,000 TL
Nerespectarea deciziilor Autorității KVKK: 45,135 TL până la 9,027,000 TL
Nerespectarea înregistrării în VERBIS sau nerespectarea actualizării VERBIS: 39,337 TL până la 1,966,862 TL

Notă: Sumele amenzilor sunt indexate anual, iar cifrele de mai sus reflectă intervalele publicate pentru 2024. Verificați cifrele actuale cu Autoritatea KVKK sau cu un consilier juridic turc pentru acțiunile de aplicare din 2026.

Răspunderea penală pentru anumite încălcări (prelucrare ilegală, nerespectarea ștergerii datelor) poate duce la închisoare conform Codului Penal turc, o dimensiune absentă din instrumentele de aplicare ale GDPR.

Regulile de notificare a breșelor de date KVKK

Conform KVKK, operatorii de date trebuie să notifice Autoritatea KVKK în termen de 72 de ore de la conștientizarea unei breșe de date personale. Dacă breșa este probabil să afecteze negativ subiecții de date, aceștia trebuie, de asemenea, notificați prompt.

Lista de verificare pentru notificarea breșelor:

Identificați și conțineți breșa
Evaluați amploarea și impactul probabil asupra subiecților de date
Notificați Autoritatea KVKK în termen de 72 de ore prin formularul oficial de notificare
Documentați breșa intern (ce s-a întâmplat, ce date au fost afectate, pașii de remediere)
Notificați subiecții de date afectați dacă există un risc ridicat de daune

Nerespectarea notificării în termenul cerut este, de asemenea, o încălcare sancționabilă conform Articolului 18.

Greșeli comune de conformitate KVKK pe care le fac afacerile

1. Tratarea VERBIS ca o sarcină unică. Intrările în VERBIS trebuie actualizate ori de câte ori activitățile de prelucrare se schimbă. Achiziționarea unui nou CRM, lansarea unei noi campanii de marketing cu categorii de date diferite sau integrarea unui nou procesator de date necesită toate actualizări VERBIS.

2. Dependerea de consimțământul GDPR pentru utilizatorii turci. Cerințele de consimțământ KVKK au nuanțe locale. O banner de consimțământ optimizată pentru GDPR poate să nu capteze divulgările specifice cerute de KVKK.

3. Ignorarea regulilor de transfer transfrontalier. Trimiterea datelor clienților turci către o platformă de analiză sau un furnizor de cloud din SUA fără un mecanism de transfer valid este o încălcare comună și frecvent sancționată.

4. Presupunerea excepției pentru micile afaceri fără verificare. Clarificarea din ianuarie 2026 a făcut clar că excepția este condiționată de îndeplinirea simultană a tuturor celor trei criterii. [4]

5. Fără politică de păstrare a datelor. KVKK necesită ca datele să fie șterse, distruse sau anonimizate atunci când scopul prelucrării nu mai există. Multe afaceri colectează date pe termen nelimitat fără un program de păstrare documentat.

Întrebări frecvente

Î: Este KVKK obligatorie pentru toate afacerile care operează în Turcia? Da, orice entitate care prelucrează date personale ale indivizilor din Turcia este supusă KVKK, indiferent de dimensiunea sau naționalitatea companiei. Înregistrarea în VERBIS este obligatorie pentru majoritatea entităților care depășesc pragul de excepție pentru micile afaceri.

Î: Care este termenul limită pentru înregistrarea VERBIS în 2026? Autoritatea KVKK a extins termenul limită pentru înregistrarea VERBIS până la 5 iunie 2026 pentru organizațiile care se califică pe baza situațiilor financiare din 2025. [1] Organizațiile care au îndeplinit deja pragurile anterioare ar trebui să fie deja înregistrate.

Î: Poate o companie străină să fie amendată conform KVKK? Da. Autoritatea KVKK are jurisdicție asupra oricărui operator de date care prelucrează datele rezidenților turci, inclusiv companii străine. Aplicarea împotriva entităților străine este un domeniu în evoluție, dar expunerea legală este reală.

Î: Există o alternativă la VERBIS pentru declararea activităților de prelucrare a datelor? Nu. VERBIS este singurul registru obligatoriu conform KVKK. Nu există un mecanism alternativ pentru îndeplinirea obligației de înregistrare a operatorului de date.

Î: Cât durează înregistrarea VERBIS? Odată cu integrarea e-Devlet începând cu 1 iulie 2026, procesul tehnic poate fi finalizat în câteva ore pentru cazuri simple. [3] Cu toate acestea, munca pregătitoare, cartografierea tuturor activităților de prelucrare a datelor, identificarea bazelor legale și documentarea perioadelor de păstrare durează, de obicei, săptămâni pentru organizațiile de dimensiuni medii.

Î: KVKK necesită un Ofițer de Protecție a Datelor (DPO)? KVKK nu impune un rol formal DPO echivalent cu cerința GDPR. Cu toate acestea, Autoritatea KVKK recomandă ca operatorii de date să desemneze o persoană responsabilă intern pentru a gestiona conformitatea.

Î: Ce constituie date personale din categorii speciale conform KVKK? Categorii speciale includ: rasă, origine etnică, opinie politică, credință filozofică, religie, sectă, date de sănătate, viață sexuală, condamnări penale, date biometrice și date genetice. Prelucrarea acestor categorii necesită consimțământ explicit sau o bază legală specifică.

Î: Cum gestionează KVKK consimțământul pentru cookie-uri pe site-uri web? Cookie-urile care colectează date personale (analitice, identificatori publicitari) necesită consimțământ valid conform KVKK. O CMP conformă, cum ar fi Biscotti CMP, poate ajuta proprietarii de site-uri să capteze, să stocheze și să gestioneze consimțământul pentru cookie-uri în conformitate cu obligațiile KVKK.

Î: Instituțiile publice sunt obligate să se înregistreze în VERBIS? Da. Instituțiile și organizațiile publice sunt obligate să se înregistreze în VERBIS. Perioada de înregistrare pentru entitățile publice a început pe 1 aprilie 2019, cu un termen limită de finalizare pe 30 iunie 2020. [6]

Î: Ce se întâmplă dacă o companie își actualizează activitățile de prelucrare, dar nu actualizează VERBIS? Nerespectarea actualizării VERBIS pentru a reflecta activitățile curente de prelucrare este tratată ca o încălcare a conformității și poate duce la amenzi administrative conform Articolului 18 din KVKK. [5]

Concluzie: Pași acționabili pentru conformitatea KVKK și VERBIS

A face afaceri în Turcia necesită o abordare structurată, specifică jurisdicției, pentru protecția datelor. KVKK este aplicată activ, înregistrarea în VERBIS nu este opțională pentru majoritatea organizațiilor, iar clarificările excepțiilor din ianuarie 2026 au restrâns, nu au extins, excepțiile pentru micile afaceri. [4]

Acțiuni imediate pentru organizațiile care operează în Turcia:

Realizați un exercițiu de cartografiere a datelor. Identificați fiecare categorie de date personale prelucrate, scopul, baza legală și destinatarii.
Determinați obligația VERBIS. Aplicați pragurile de număr de angajați și bilanț pentru a confirma dacă înregistrarea este necesară. Dacă aveți îndoieli, înregistrați-vă.
Înregistrați sau actualizați VERBIS. Utilizați portalul VERBIS integrat în e-Devlet pentru a finaliza sau actualiza înregistrarea operatorului de date. [3]
Auditați mecanismele de consimțământ. Asigurați-vă că bannerele de consimțământ de pe site și formularele de colectare a datelor respectă cerințele specifice KVKK. Luați în considerare implementarea Biscotti CMP (www.biscotti-cmp.com) pentru gestionarea consimțământului într-o manieră structurată și auditabilă.
Revizuiți aranjamentele de transfer transfrontalier. Identificați toți procesatorii terți și serviciile cloud care primesc date personale turcești și evaluați baza legală pentru fiecare transfer.
Stabiliți un protocol de răspuns la breșe. Documentați procedura de notificare de 72 de ore și desemnați responsabilitatea internă.
Angajați un consilier juridic local. Interpretarea KVKK continuă să evolueze, iar un avocat turc specializat în protecția datelor poate oferi orientări specifice jurisdicției pe care niciun cadru general de conformitate nu le poate substitui.

Peisajul de conformitate pentru a face afaceri în Turcia se maturizează rapid. Organizațiile care tratează KVKK ca pe un exercițiu de bifare a unei liste, mai degrabă decât ca pe un program continuu, se vor găsi expuse pe măsură ce aplicarea se intensifică.