Согласие и баннеры

Ведение бизнеса в Турции? Что вам нужно знать о KVKK и VERBIS

7 июля 2026 г. · 15 мин. чтения

Краткий ответ: Основной закон о защите данных в Турции, KVKK (Закон № 6698), применяется к любой организации, как местной, так и иностранной, которая обрабатывает персональные данные лиц в Турции. VERBIS — это обязательный реестр контроллеров данных в соответствии с KVKK. Большинство организаций среднего и крупного размера должны зарегистрироваться в VERBIS, иначе им грозят административные штрафы. С 2026 года процесс регистрации доступен через платформу e-Devlet Турции, а пороги для исключений для малых предприятий были уточнены.

Основные выводы

KVKK (Kişisel Verilerin Korunması Kanunu) — это закон о защите данных в Турции, принятый в 2016 году и частично основанный на принципах GDPR, но с особыми местными требованиями.
VERBIS — это онлайн-регистратор, где контроллеры данных должны заявлять о своих действиях по обработке данных до начала обработки.
Иностранные компании, обрабатывающие данные жителей Турции, подлежат KVKK, независимо от того, где зарегистрирована компания.
С 12 января 2026 года малые контроллеры данных с числом сотрудников менее 10 и годовым балансом ниже 10 миллионов TL освобождаются от регистрации в VERBIS, если их основная деятельность связана с обработкой данных специальной категории. [4]
Срок регистрации в VERBIS был продлен до 5 июня 2026 года для организаций, соответствующих критериям на основе финансовых отчетов за 2025 год. [1]
С 1 июля 2026 года услуги VERBIS полностью интегрированы с платформой e-Devlet (электронное правительство) Турции. [3]
Штрафы за несоответствие в соответствии со статьей 18 KVKK могут достигать значительных административных штрафов, и орган KVKK активно их применяет.
Согласие в соответствии с KVKK должно быть свободно дано, конкретным, информированным и недвусмысленным; Платформа управления согласием (CMP) является практическим инструментом для соблюдения требований в интернете.

Что такое KVKK? Объяснение закона о защите данных в Турции

KVKK (Kişisel Verilerin Korunması Kanunu, Закон № 6698) — это всеобъемлющий закон Турции о защите персональных данных, принятый 7 апреля 2016 года. Он регулирует, как персональные данные собираются, хранятся, обрабатываются, передаются и удаляются контроллерами и процессорами данных, работающими в Турции.

Закон учредил Управление по защите персональных данных (Kişisel Verileri Koruma Kurumu, также сокращенно KVKK), независимый надзорный орган, ответственный за соблюдение, руководство и реестр VERBIS.

Основные принципы в соответствии с KVKK включают:

Законность, справедливость и прозрачность
Ограничение цели (данные собираются только для определенных, четко указанных целей)
Минимизация данных
Точность и актуальность данных
Ограничение хранения (данные хранятся не дольше, чем это необходимо)
Целостность и конфиденциальность

Любое лицо, которое определяет цели и средства обработки персональных данных, квалифицируется как "контроллер данных" в соответствии с KVKK и несет основные обязательства по соблюдению.

KVKK против GDPR: Основные различия и пересечение соблюдения

KVKK имеет структурное сходство с GDPR ЕС, но два этих правовых акта различаются в нескольких операционно значимых аспектах. Организации, уже соответствующие требованиям GDPR, не должны предполагать автоматическое соответствие KVKK.

Параметр	KVKK (Турция)	GDPR (ЕС)
Принят	2016	2018 (применение)
Надзорный орган	Орган KVKK	Национальные DPA в каждой стране
Реестр данных	VERBIS (обязателен для большинства)	Нет эквивалентного обязательного реестра
Передача данных за границу	Требует явного согласия или адекватности	Решения о адекватности или SCC
Требование DPO	Нет формального мандата DPO	Обязательно в определенных случаях
Уведомление о нарушении	72 часа в орган	72 часа в орган

Ключевое различие: KVKK требует от контроллеров данных зарегистрироваться в VERBIS и проактивно заявить о своих действиях по обработке. У GDPR нет эквивалентного обязательства по публичному реестру. Кроме того, правила KVKK о трансфере данных за границу более строгие на практике, требуя либо явного согласия субъекта данных, либо формального решения о адекватности, и Турция не получила статус адекватности от ЕС.

"Соблюдение GDPR является полезной основой, но ведение бизнеса в Турции требует отдельного уровня соблюдения KVKK, особенно в отношении регистрации в VERBIS и правил трансфера данных за границу."

Что такое VERBIS и как он работает?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) — это онлайн-регистратор, поддерживаемый Органом KVKK, где контроллеры данных должны зарегистрироваться и заявить о своих действиях по обработке персональных данных до начала обработки. Рассматривайте это как публичный инвентаризационный список, кто обрабатывает какие данные, с какой целью и по какой политике хранения.

Как работает VERBIS на практике:

Контроллер данных создает учетную запись на портале VERBIS (теперь доступен через платформу e-Devlet Турции с 1 июля 2026 года). [3]
Контроллер заявляет каждую категорию обрабатываемых персональных данных, цель обработки, правовую основу, категории данных, группы получателей и сроки хранения.
Заявления подаются и становятся частью публичного реестра.
Любые изменения в действиях по обработке должны быть своевременно обновлены в VERBIS.
Невыполнение регистрации или обновления влечет за собой штрафы в соответствии со статьей 18 KVKK. [5]

1 июля 2026 года Орган KVKK также выпустил обновленные версии документа "Sorularla VERBİS" и официального руководства VERBİS Kılavuzu (пользовательское руководство), чтобы помочь контроллерам данных разобраться с обязательствами по регистрации. [2]

Нужны ли иностранным компаниям соблюдение KVKK?

Да. KVKK применяется к любому контроллеру данных, который обрабатывает персональные данные лиц, находящихся в Турции, независимо от того, где зарегистрирован контроллер. Немецкая SaaS-компания с турецкими клиентами, американская платформа электронной коммерции, отправляющая товары в Турцию, или британское маркетинговое агентство, проводящее кампании, нацеленные на турецких потребителей, все подпадают под действие KVKK.

Практические последствия для иностранных компаний:

Должны назначить местного представителя в Турции, если у них нет физического присутствия (хотя реализация закона в этом отношении продолжает развиваться, проконсультируйтесь с местным юристом).
Должны соблюдать требования регистрации в VERBIS, если не применяется конкретное исключение.
Передача данных за границу из Турции требует либо явного согласия субъекта данных, либо формального механизма адекватности, ни один из которых не является простым для большинства стран, не входящих в ЕС.

Распространенная ошибка: Иностранные компании предполагают, что соблюдение GDPR или общая политика конфиденциальности охватывает их турецкую пользовательскую базу. KVKK требует раскрытия информации, механизмов согласия и заявлений в реестре, специфичных для юрисдикции.

Требования к регистрации в VERBIS: Кто должен зарегистрироваться и как

Большинство контроллеров данных, превышающих порог исключения для малых предприятий, обязаны зарегистрироваться в VERBIS. Обязанность распространяется как на частные, так и на государственные учреждения. [6]

Регистрация обязательна, если контроллер данных:

Имеет 50 или более сотрудников (в эквиваленте полной занятости), ИЛИ
Имеет годовой финансовый баланс, превышающий 25 миллионов TL, ИЛИ
Обрабатывает специальные категории персональных данных (здоровье, биометрические данные, уголовные записи и т. д.) независимо от размера, если не применяется исключение для малых предприятий (см. ниже).

Для стартапов и растущих компаний: Порог основан на годовом количестве сотрудников и показателях баланса. Стартап, который превышает отметку в 50 сотрудников или порог баланса в данном году, становится обязанным зарегистрироваться. Регистрация должна быть завершена до начала обработки в соответствии с новым порогом, а не ретроактивно в конце года.

Пошаговый процесс регистрации в VERBIS:

Войдите в портал VERBIS через e-Devlet (портал электронного правительства), используя адрес KEP (зарегистрированная электронная почта) или полномочные данные подписанта. [3]
Заполните профиль контроллера данных (название компании, юридическая форма, контактные данные, уполномоченный представитель).
Создайте запись "действия по обработке" для каждой отдельной категории обрабатываемых персональных данных.
Для каждой деятельности заявите: категория данных, цель, правовая основа, группа субъектов данных, получатели и срок хранения.
Подайте заявку и получите номер регистрации VERBIS.
Обновляйте реестр всякий раз, когда действия по обработке изменяются существенно.

Исключения KVKK: Малые предприятия и какие данные не охватываются

Не каждая организация должна регистрироваться в VERBIS. 12 января 2026 года Орган KVKK уточнил критерии исключения для контроллеров данных малых масштабов. [4]

Исключение применяется, когда выполнены ВСЕ три условия:

Менее 10 сотрудников
Годовой баланс ниже 10 миллионов TL
Основная деятельность связана с обработкой специальных категорий персональных данных (исключение было специально разработано для малых поставщиков медицинских услуг, клиник и аналогичных организаций)

Юридический анализ, опубликованный CMS Law, отмечает, что это исключение уже более узкое, чем может показаться на первый взгляд; это не общее исключение для малых предприятий, а специально нацелено на организации, чья основная деятельность связана с чувствительными категориями данных. [7] Erdem & Erdem далее уточнили принципы применения этих новых исключений. [8]

Категории данных, не охватываемые KVKK:

Анонимизированные данные (где повторная идентификация невозможна)
Данные, обрабатываемые исключительно для личных или домашних нужд (без коммерческой деятельности)
Данные, обрабатываемые судебными органами для уголовных производств (регулируются отдельным законодательством)

Краевая ситуация: Псевдонимизированные данные все еще считаются персональными данными в соответствии с KVKK, если контроллер сохраняет средства для повторной идентификации лиц. Не рассматривайте псевдонимизацию как эквивалент анонимизации для целей соблюдения.

Требования к согласию KVKK для данных клиентов

В соответствии с KVKK действительное согласие должно быть свободно дано, конкретным, информированным и недвусмысленным. Согласие не может быть объединено с принятием условий обслуживания, а заранее отмеченные поля не считаются действительным согласием.

Согласие должно быть:

Свободно дано: Без принуждения или условия доступа к услуге на согласие
Конкретным: Привязано к определенной цели, а не к общей авторизации
Информированным: Субъект данных должен знать, кто собирает данные и зачем
Недвусмысленным: Требует активного действия (клик, подпись, флажок)

Для веб-сайтов и цифровых платформ внедрение соответствующей Платформы управления согласием является наиболее практическим подходом. Biscotti CMP предназначена для помощи владельцам веб-сайтов и предприятиям в управлении сбором согласия в соответствии с KVKK и другими рамками защиты данных, предоставляя аудиторские следы и детализированные записи согласия.

Явное согласие дополнительно требуется для специальных категорий персональных данных (здоровье, биометрические, генетические, уголовные записи и т. д.) и для трансферов данных за границу, где нет механизма адекватности.

Штрафы и санкции KVKK за несоответствие

Применение KVKK не является теоретическим. Орган KVKK наложил штрафы как на местные, так и на иностранные организации. Штрафы регулируются статьей 18 закона.

Категории административных штрафов в соответствии со статьей 18:

Невыполнение обязательств по раскрытию информации: от 9,027 TL до 180,536 TL (приблизительный диапазон 2024 года; суммы обновляются ежегодно с учетом инфляции)
Невыполнение требований по обеспечению безопасности данных: от 45,135 TL до 9,027,000 TL
Невыполнение решений Органа KVKK: от 45,135 TL до 9,027,000 TL
Невыполнение регистрации в VERBIS или невыполнение обновления VERBIS: от 39,337 TL до 1,966,862 TL

Примечание: Суммы штрафов индексируются ежегодно, и указанные цифры отражают опубликованные диапазоны 2024 года. Проверьте текущие цифры с Органом KVKK или турецким юристом для действий по применению в 2026 году.

Уголовная ответственность за определенные нарушения (незаконная обработка, невыполнение удаления данных) может привести к тюремному заключению в соответствии с Уголовным кодексом Турции, что отсутствует в инструментах применения GDPR.

Правила уведомления о нарушениях данных KVKK

В соответствии с KVKK контроллеры данных должны уведомить Орган KVKK в течение 72 часов после того, как они узнали о нарушении персональных данных. Если нарушение может негативно повлиять на субъектов данных, эти лица также должны быть незамедлительно уведомлены.

Контрольный список уведомления о нарушении:

Определите и локализуйте нарушение
Оцените масштаб и вероятное влияние на субъектов данных
Уведомите Орган KVKK в течение 72 часов через официальный уведомительный формуляр
Задокументируйте нарушение внутри организации (что произошло, какие данные были затронуты, шаги по устранению)
Уведомите затронутых субъектов данных, если существует высокий риск вреда

Невыполнение уведомления в установленный срок само по себе является подлежащим санкциям нарушением в соответствии со статьей 18.

Распространенные ошибки соблюдения KVKK, которые совершают компании

1. Рассмотрение VERBIS как одноразовой задачи. Записи в VERBIS должны обновляться всякий раз, когда действия по обработке изменяются. Приобретение новой CRM, запуск новой маркетинговой кампании с различными категориями данных или привлечение нового процессора данных могут потребовать обновления VERBIS.

2. Полагание на согласие GDPR для турецких пользователей. Требования к согласию KVKK имеют местные нюансы. Баннер согласия, оптимизированный для GDPR, может не охватывать конкретные раскрытия, требуемые в соответствии с KVKK.

3. Игнорирование правил трансфера данных за границу. Отправка данных турецких клиентов на аналитическую платформу или облачного провайдера, расположенного в США, без действующего механизма трансфера, является распространенным и часто штрафуемым нарушением.

4. Предположение о малом бизнесе без проверки. Уточнение от января 2026 года четко показало, что исключение зависит от одновременного выполнения всех трех критериев. [4]

5. Отсутствие политики хранения данных. KVKK требует удаления, уничтожения или анонимизации данных, когда цель обработки больше не существует. Многие компании собирают данные бесконечно без документированного графика хранения.

Часто задаваемые вопросы

В: Обязателен ли KVKK для всех компаний, работающих в Турции? Да, любое лицо, обрабатывающее персональные данные лиц в Турции, подлежит KVKK, независимо от размера или национальности компании. Регистрация в VERBIS обязательна для большинства организаций, превышающих порог исключения для малых предприятий.

В: Каков срок регистрации в VERBIS в 2026 году? Орган KVKK продлил срок регистрации в VERBIS до 5 июня 2026 года для организаций, соответствующих критериям на основе их финансовых отчетов за 2025 год. [1] Организации, которые уже соответствовали предыдущим критериям, должны были уже зарегистрироваться.

В: Может ли иностранная компания быть оштрафована в соответствии с KVKK? Да. Орган KVKK имеет юрисдикцию над любым контроллером данных, обрабатывающим данные жителей Турции, включая иностранные компании. Применение к иностранным лицам является развивающейся областью, но юридическая подверженность реальна.

В: Есть ли альтернатива VERBIS для заявления о действиях по обработке данных? Нет. VERBIS является единственным обязательным реестром в соответствии с KVKK. Нет альтернативного механизма для выполнения обязательства по регистрации контроллера данных.

В: Сколько времени занимает регистрация в VERBIS? С интеграцией e-Devlet с 1 июля 2026 года технический процесс может быть завершен за несколько часов для простых случаев. [3] Однако подготовительная работа, включая картирование всех действий по обработке данных, определение правовых оснований и документирование сроков хранения, обычно занимает недели для организаций среднего размера.

В: Требует ли KVKK назначение ответственного за защиту данных (DPO)? KVKK не требует формальной роли DPO, эквивалентной требованиям GDPR. Однако Орган KVKK рекомендует контроллерам данных назначить ответственного человека внутри организации для управления соблюдением.

В: Что составляет специальные категории персональных данных в соответствии с KVKK? Специальные категории включают: расу, этническое происхождение, политические взгляды, философские убеждения, религию, секту, данные о здоровье, сексуальную жизнь, уголовные приговоры, биометрические данные и генетические данные. Обработка этих категорий требует явного согласия или конкретной правовой основы.

В: Как KVKK обрабатывает согласие на использование файлов cookie на веб-сайтах? Файлы cookie, которые собирают персональные данные (аналитика, рекламные идентификаторы), требуют действительного согласия в соответствии с KVKK. Соответствующая CMP, такая как Biscotti CMP, может помочь владельцам веб-сайтов собирать, хранить и управлять согласием на использование файлов cookie в соответствии с обязательствами KVKK.

В: Обязаны ли государственные учреждения регистрироваться в VERBIS? Да. Государственные учреждения и организации обязаны регистрироваться в VERBIS. Период регистрации для государственных учреждений начался 1 апреля 2019 года, с конечным сроком 30 июня 2020 года. [6]

В: Что произойдет, если компания обновит свои действия по обработке, но не обновит VERBIS? Невыполнение обновления VERBIS для отражения текущих действий по обработке рассматривается как нарушение соблюдения и может привести к административным штрафам в соответствии со статьей 18 KVKK. [5]

Заключение: Практические следующие шаги для соблюдения KVKK и VERBIS

Ведение бизнеса в Турции требует структурированного, специфичного для юрисдикции подхода к защите данных. KVKK активно применяется, регистрация в VERBIS не является необязательной для большинства организаций, а уточнения исключений от января 2026 года сузили, а не расширили исключения для малых предприятий. [4]

Немедленные действия для организаций, работающих в Турции:

Проведите упражнение по картированию данных. Определите каждую категорию обрабатываемых персональных данных, ее цель, правовую основу и получателя.
Определите обязательство по VERBIS. Примените пороги по количеству сотрудников и балансу, чтобы подтвердить, требуется ли регистрация. Если есть сомнения, зарегистрируйтесь.
Зарегистрируйтесь или обновите VERBIS. Используйте интегрированный с e-Devlet портал VERBIS для завершения или обновления вашей регистрации контроллера данных. [3]
Аудит механизмов согласия. Убедитесь, что баннеры согласия на веб-сайте и формы сбора данных соответствуют конкретным требованиям KVKK. Рассмотрите возможность развертывания Biscotti CMP (www.biscotti-cmp.com) для структурированного, подлежащего аудиту управления согласием.
Пересмотрите соглашения о трансфере данных за границу. Определите всех третьих лиц-процессоров и облачные сервисы, получающие персональные данные Турции, и оцените правовую основу для каждого трансфера.
Установите протокол реагирования на нарушения. Задокументируйте процедуру уведомления в течение 72 часов и назначьте внутреннюю ответственность.
Обратитесь к местному юристу. Толкование KVKK продолжает развиваться, и турецкий юрист по защите данных может предоставить специфические для юрисдикции рекомендации, которые не может заменить ни одна общая рамка соблюдения.

Ландшафт соблюдения для ведения бизнеса в Турции быстро развивается. Организации, которые рассматривают KVKK как формальность, а не как постоянную программу, окажутся подверженными риску по мере усиления применения.