Súhlas a bannery

Podnikanie v Turecku? Čo potrebujete vedieť o KVKK a VERBIS

7. júla 2026 · 15 min čítania

Rýchla odpoveď: Hlavný zákon o ochrane údajov v Turecku, KVKK (Zákon č. 6698), sa vzťahuje na akúkoľvek organizáciu, domácu alebo zahraničnú, ktorá spracováva osobné údaje jednotlivcov v Turecku. VERBIS je povinný register správcov údajov podľa KVKK. Väčšina stredných a veľkých organizácií sa musí zaregistrovať v VERBIS, inak čelí administratívnym pokutám. Od roku 2026 je proces registrácie prístupný cez tureckú platformu e-Devlet a prahové hodnoty pre malé podniky boli objasnené.

Kľúčové body

KVKK (Kişisel Verilerin Korunması Kanunu) je zákon o ochrane údajov v Turecku, prijatý v roku 2016 a čiastočne modelovaný na princípoch GDPR, ale s osobitnými miestnymi požiadavkami.
VERBIS je online register, kde musia správcovia údajov deklarovať svoje aktivity spracovania údajov pred začiatkom spracovania.
Zahraničné spoločnosti spracovávajúce údaje tureckých obyvateľov podliehajú KVKK, bez ohľadu na to, kde je spoločnosť založená.
Od 12. januára 2026 sú správcovia údajov s menej ako 10 zamestnancami a ročným bilančným súčtom pod 10 miliónov TL oslobodení od registrácie v VERBIS, ak ich hlavná činnosť zahŕňa spracovanie špeciálnych kategórií údajov. [4]
Lehota na registráciu do VERBIS bola predĺžená do 5. júna 2026 pre organizácie, ktoré spĺňajú podmienky na základe finančných výkazov za rok 2025. [1]
Od 1. júla 2026 sú služby VERBIS plne integrované s tureckou platformou e-Devlet (e-Government). [3]
Pokuty za nedodržanie predpisov podľa článku 18 KVKK môžu dosiahnuť významné administratívne pokuty a orgán KVKK ich aktívne vymáha.
Súhlas podľa KVKK musí byť slobodne daný, konkrétny, informovaný a jednoznačný, platforma na správu súhlasu (CMP) je praktickým nástrojom na webovú súlad.

Čo je KVKK? Zákon o ochrane údajov v Turecku vysvetlený

KVKK (Kişisel Verilerin Korunması Kanunu, Zákon č. 6698) je komplexný zákon o ochrane osobných údajov v Turecku, prijatý 7. apríla 2016. Upravuje, ako sa osobné údaje zbierajú, uchovávajú, spracovávajú, prenášajú a vymazávajú správcami a spracovateľmi údajov pôsobiacimi v Turecku.

Zákon zriadil Úrad na ochranu osobných údajov (Kişisel Verileri Koruma Kurumu, skrátene KVKK), nezávislý dozorný orgán zodpovedný za vymáhanie, usmernenie a register VERBIS.

Základné princípy podľa KVKK zahŕňajú:

Zákonnosť, spravodlivosť a transparentnosť
Obmedzenie účelu (údaje sa zbierajú len na špecifikované, explicitné účely)
Minimalizácia údajov
Presnosť a aktuálnosť údajov
Obmedzenie uchovávania (údaje sa uchovávajú len tak dlho, ako je to potrebné)
Integrita a dôvernosť

Akákoľvek entita, ktorá určuje účely a prostriedky spracovania osobných údajov, sa kvalifikuje ako "správca údajov" podľa KVKK a nesie primárne povinnosti dodržiavania predpisov.

KVKK vs. GDPR: Kľúčové rozdiely a prekrytie súladu

KVKK zdieľa štrukturálnu DNA s GDPR EÚ, ale oba rámce sa v niekoľkých operatívne významných aspektoch líšia. Organizácie, ktoré už spĺňajú požiadavky GDPR, by nemali predpokladať automatický súlad s KVKK.

Rozmer	KVKK (Turecko)	GDPR (EÚ)
Prijatý	2016	2018 (vymáhanie)
Dozorný orgán	Orgán KVKK	Národné DPA podľa členského štátu
Register údajov	VERBIS (povinný pre väčšinu)	Neexistuje ekvivalentný povinný register
Prenos údajov do zahraničia	Vyžaduje explicitný súhlas alebo adekvátnosť	Rozhodnutia o adekvátnosti alebo SCC
Požiadavka na DPO	Žiadna formálna povinnosť DPO	Povinné v určitých prípadoch
Oznámenie o porušení	72 hodín orgánu	72 hodín orgánu

Kľúčový rozdiel: KVKK vyžaduje, aby sa správcovia údajov zaregistrovali v VERBIS a proaktívne deklarovali svoje aktivity spracovania. GDPR nemá ekvivalentnú povinnosť verejného registra. Okrem toho sú pravidlá KVKK o prenose údajov do zahraničia v praxi prísnejšie, vyžadujú buď explicitný súhlas dotknutej osoby, alebo formálne rozhodnutie o adekvátnosti, a Turecko nebolo uznané za krajinu s adekvátnym statusom EÚ.

"Súlad s GDPR je užitočný základ, ale podnikanie v Turecku si vyžaduje samostatnú vrstvu súladu s KVKK, najmä pokiaľ ide o registráciu v VERBIS a pravidlá o prenose údajov do zahraničia."

Čo je VERBIS a ako funguje?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) je online register spravovaný orgánom KVKK, kde sa musia správcovia údajov zaregistrovať a deklarovať svoje aktivity spracovania osobných údajov pred začiatkom spracovania. Môžete to považovať za verejný inventár toho, kto spracováva aké údaje, na aký účel a podľa akých pravidiel uchovávania.

Ako VERBIS funguje v praxi:

Správca údajov si vytvorí účet na portáli VERBIS (teraz prístupný cez tureckú platformu e-Devlet od 1. júla 2026). [3]
Správca deklaruje každú kategóriu osobných údajov spracovávaných, účel spracovania, právny základ, kategórie údajov, skupiny príjemcov a obdobia uchovávania.
Deklarácie sú predložené a stávajú sa súčasťou verejného registra.
Akékoľvek zmeny v aktivitách spracovania musia byť okamžite aktualizované v VERBIS.
Nedodržanie registrácie alebo aktualizácie spúšťa pokuty podľa článku 18 KVKK. [5]

Dňa 1. júla 2026 orgán KVKK tiež vydal aktualizované verzie dokumentu "Sorularla VERBİS" a oficiálneho sprievodcu VERBİS Kılavuzu (užívateľský sprievodca), aby pomohol správcom údajov orientovať sa v povinnostiach registrácie. [2]

Potrebujú zahraničné spoločnosti súlad s KVKK?

Áno. KVKK sa vzťahuje na každého správcu údajov, ktorý spracováva osobné údaje jednotlivcov nachádzajúcich sa v Turecku, bez ohľadu na to, kde je správca založený alebo umiestnený. Nemecká spoločnosť SaaS so zákazníkmi v Turecku, americká e-commerce platforma zasielajúca do Turecka alebo britská marketingová agentúra realizujúca kampane zamerané na tureckých spotrebiteľov, všetky spadajú pod pôsobnosť KVKK.

Praktické dôsledky pre zahraničné spoločnosti:

Musia vymenovať miestneho zástupcu v Turecku, ak nemajú fyzickú prítomnosť (aj keď sa implementácia zákona v tomto bode naďalej vyvíja, konzultujte s miestnym právnym poradcom).
Musia dodržiavať požiadavky na registráciu v VERBIS, pokiaľ sa neuplatňuje konkrétna výnimka.
Prenosy údajov do zahraničia z Turecka vyžadujú buď explicitný súhlas dotknutej osoby, alebo formálny mechanizmus adekvátnosti, pričom ani jeden z nich nie je pre väčšinu ne-európskych destinácií jednoduchý.

Bežná chyba: Zahraničné spoločnosti predpokladajúce, že súlad s GDPR alebo všeobecná politika ochrany súkromia pokrýva ich tureckú používateľskú základňu. KVKK vyžaduje jurisdikčne špecifické zverejnenia, mechanizmy súhlasu a deklarácie v registri.

Požiadavky na registráciu VERBIS: Kto sa musí zaregistrovať a ako

Väčšina správcov údajov nad prahom výnimky pre malé podniky je povinná zaregistrovať sa v VERBIS. Povinnosť sa vzťahuje na súkromné subjekty aj verejné inštitúcie. [6]

Registrácia je povinná, ak správca údajov:

Má 50 alebo viac zamestnancov (ekvivalent plného úväzku), ALEBO
Má ročný finančný bilančný súčet presahujúci 25 miliónov TL, ALEBO
Spracováva špeciálne kategórie osobných údajov (zdravie, biometrické údaje, trestné záznamy atď.) bez ohľadu na veľkosť, pokiaľ sa neuplatňuje výnimka pre malé podniky (pozri nižšie).

Pre startupy a rastúce spoločnosti: Prah je založený na ročnom počte zamestnancov a bilančných číslach. Startup, ktorý prekročí hranicu 50 zamestnancov alebo prah bilančného súčtu v danom roku, sa stáva povinným zaregistrovať. Registrácia musí byť dokončená pred začiatkom spracovania podľa nového prahu, nie spätne na konci roka.

Krok za krokom proces registrácie VERBIS:

Prihláste sa do portálu VERBIS cez e-Devlet (brána e-Government) pomocou adresy KEP (registrovaná elektronická pošta) alebo oprávnených podpisových údajov. [3]
Vyplňte profil správcu údajov (názov spoločnosti, právna forma, kontaktné údaje, oprávnený zástupca).
Vytvorte záznam "aktivity spracovania" pre každú samostatnú kategóriu spracovávaných osobných údajov.
Pre každú aktivitu deklarujte: kategóriu údajov, účel, právny základ, skupinu dotknutých osôb, príjemcov a obdobie uchovávania.
Predložte a získajte registračné číslo VERBIS.
Aktualizujte register vždy, keď sa aktivity spracovania podstatne zmenia.

Výnimky KVKK: Malé podniky a aké údaje nie sú pokryté

Nie každá organizácia sa musí zaregistrovať v VERBIS. Dňa 12. januára 2026 orgán KVKK objasnil kritériá výnimky pre správcov údajov malej veľkosti. [4]

Výnimka sa uplatňuje, keď sú SPLNENÉ všetky tri podmienky:

Menej ako 10 zamestnancov
Ročný bilančný súčet pod 10 miliónov TL
Hlavná činnosť zahŕňa spracovanie špeciálnych kategórií osobných údajov (výnimka bola špeciálne navrhnutá pre malé poskytovateľov zdravotnej starostlivosti, kliniky a podobné subjekty)

Právna analýza publikovaná CMS Law uvádza, že táto výnimka je užšia, než sa môže na prvý pohľad zdať, nie je to všeobecná výnimka pre malé podniky, ale špecificky cielená na subjekty, ktorých hlavná činnosť zahŕňa citlivé kategórie údajov. [7] Erdem & Erdem ďalej objasnili aplikačné princípy týchto nových výnimiek. [8]

Kategórie údajov, ktoré nie sú pokryté KVKK:

Anonymizované údaje (kde je re-identifikácia nemožná)
Údaje spracovávané výlučne na osobné alebo domácnosti účely (žiadna obchodná činnosť)
Údaje spracovávané súdnymi orgánmi na trestné konanie (riadené samostatnou legislatívou)

Okrajový prípad: Pseudonymizované údaje sú stále považované za osobné údaje podľa KVKK, ak správca uchováva prostriedky na re-identifikáciu jednotlivcov. Nepovažujte pseudonymizáciu za ekvivalent anonymizácie na účely súladu.

Požiadavky na súhlas KVKK pre údaje zákazníkov

Podľa KVKK musí byť platný súhlas slobodne daný, konkrétny, informovaný a jednoznačný. Súhlas nemôže byť spojený s prijatím podmienok služby a predznačené políčka nepredstavujú platný súhlas.

Súhlas musí byť:

Slobodne daný: Žiadne donútenie alebo podmienenie prístupu k službe na súhlase
Konkrétny: Viazaný na definovaný účel, nie na všeobecné povolenie
Informovaný: Dotknutá osoba musí vedieť, kto zbiera údaje a prečo
Jednoznačný: Vyžaduje kladnú akciu (klik, podpis, začiarkavacie políčko)

Pre webové stránky a digitálne platformy je implementácia súladu s platformou na správu súhlasu najpraktickejším prístupom. Biscotti CMP je navrhnutá na pomoc vlastníkom webových stránok a podnikom pri správe zberu súhlasu spôsobom, ktorý je v súlade s KVKK a inými rámcami ochrany údajov, poskytujúc auditné stopy a podrobné záznamy o súhlase.

Explicitný súhlas je navyše potrebný pre špeciálne kategórie osobných údajov (zdravie, biometrické, genetické, trestné záznamy atď.) a pre prenos údajov do zahraničia, kde neexistuje mechanizmus adekvátnosti.

Pokuty a sankcie KVKK za nedodržanie

Vymáhanie KVKK nie je teoretické. Orgán KVKK uložil pokuty domácim aj zahraničným subjektom. Pokuty sú riadené článkom 18 zákona.

Kategórie administratívnych pokút podľa článku 18:

Nedodržanie povinností zverejnenia: 9,027 TL až 180,536 TL (približný rámec 2024; sumy sa každoročne aktualizujú na základe inflácie)
Nedodržanie zabezpečenia údajov: 45,135 TL až 9,027,000 TL
Nedodržanie rozhodnutí orgánu KVKK: 45,135 TL až 9,027,000 TL
Nedodržanie registrácie v VERBIS alebo nedodržanie aktualizácie VERBIS: 39,337 TL až 1,966,862 TL

Poznámka: Suma pokút sa každoročne indexuje a uvedené čísla odrážajú zverejnené rámce pre rok 2024. Overte aktuálne čísla s orgánom KVKK alebo tureckým právnym poradcom pre vymáhanie v roku 2026.

Trestná zodpovednosť za určité porušenia (nelegálne spracovanie, nedodržanie vymazania údajov) môže viesť k odňatiu slobody podľa tureckého trestného zákonníka, čo je dimenzia, ktorá chýba v nástrojoch vymáhania GDPR.

Pravidlá ohlásenia porušenia údajov KVKK

Podľa KVKK musia správcovia údajov oznámiť orgánu KVKK do 72 hodín od okamihu, keď sa dozvedia o porušení osobných údajov. Ak je pravdepodobné, že porušenie negatívne ovplyvní dotknuté osoby, tieto osoby musia byť tiež okamžite informované.

Kontrolný zoznam ohlásenia porušenia:

Identifikujte a obmedzte porušenie
Posúďte rozsah a pravdepodobný dopad na dotknuté osoby
Oznámte orgánu KVKK do 72 hodín prostredníctvom oficiálneho oznamovacieho formulára
Dokumentujte porušenie interne (čo sa stalo, aké údaje boli ovplyvnené, kroky na nápravu)
Oznámte dotknutým osobám, ak existuje vysoké riziko poškodenia

Nedodržanie oznámenia v požadovanom časovom rámci je samo o sebe sankcionovateľným porušením podľa článku 18.

Bežné chyby v súlade s KVKK, ktoré podniky robia

1. Považovanie VERBIS za jednorazovú úlohu. Záznamy v VERBIS musia byť aktualizované vždy, keď sa zmenia aktivity spracovania. Získanie nového CRM, spustenie novej marketingovej kampane s rôznymi kategóriami údajov alebo zapojenie nového spracovateľa údajov všetko potenciálne vyžaduje aktualizácie v VERBIS.

2. Spoliehanie sa na súhlas GDPR pre tureckých používateľov. Požiadavky na súhlas KVKK majú miestne nuansy. Banner súhlasu optimalizovaný pre GDPR nemusí zachytiť konkrétne zverejnenia požadované podľa KVKK.

3. Ignorovanie pravidiel o prenose údajov do zahraničia. Odosielanie údajov tureckých zákazníkov na analytickú platformu alebo cloudového poskytovateľa so sídlom v USA bez platného mechanizmu prenosu je bežné a často sankcionované porušenie.

4. Predpokladanie výnimky pre malé podniky bez overenia. Objavenie sa objasnenia z januára 2026 jasne ukázalo, že výnimka je podmienená splnením všetkých troch kritérií súčasne. [4]

5. Neexistencia politiky uchovávania údajov. KVKK vyžaduje, aby sa údaje vymazali, zničili alebo anonymizovali, keď účel spracovania už neexistuje. Mnohé podniky zbierajú údaje neobmedzene bez zdokumentovaného plánu uchovávania.

FAQ

Q: Je KVKK povinný pre všetky podniky pôsobiace v Turecku? Áno, akákoľvek entita, ktorá spracováva osobné údaje jednotlivcov v Turecku, podlieha KVKK, bez ohľadu na veľkosť alebo národnosť spoločnosti. Registrácia v VERBIS je povinná pre väčšinu subjektov nad prahom výnimky pre malé podniky.

Q: Aká je lehota na registráciu VERBIS v roku 2026? Orgán KVKK predĺžil lehotu na registráciu do VERBIS do 5. júna 2026 pre organizácie, ktoré spĺňajú podmienky na základe svojich finančných výkazov za rok 2025. [1] Organizácie, ktoré už splnili predchádzajúce prahy, by mali byť už zaregistrované.

Q: Môže byť zahraničná spoločnosť pokutovaná podľa KVKK? Áno. Orgán KVKK má jurisdikciu nad každým správcom údajov spracovávajúcim údaje tureckých obyvateľov, vrátane zahraničných spoločností. Vymáhanie voči zahraničným subjektom je vyvíjajúca sa oblasť, ale právne riziko je reálne.

Q: Existuje alternatíva k VERBIS na deklarovanie aktivít spracovania údajov? Nie. VERBIS je jediný povinný register podľa KVKK. Neexistuje alternatívny mechanizmus na splnenie povinnosti registrácie správcov údajov.

Q: Ako dlho trvá registrácia v VERBIS? S integráciou e-Devlet od 1. júla 2026 môže byť technický proces dokončený za niekoľko hodín pre jednoduché prípady. [3] Avšak prípravné práce, mapovanie všetkých aktivít spracovania údajov, identifikácia právnych základov a dokumentácia období uchovávania zvyčajne trvá týždne pre stredne veľké organizácie.

Q: Vyžaduje KVKK povereného pracovníka na ochranu údajov (DPO)? KVKK nevyžaduje formálnu úlohu DPO ekvivalentnú požiadavke GDPR. Avšak orgán KVKK odporúča, aby správcovia údajov vymenovali zodpovednú osobu interne na riadenie súladu.

Q: Čo predstavuje špeciálnu kategóriu osobných údajov podľa KVKK? Špeciálne kategórie zahŕňajú: rasu, etnický pôvod, politický názor, filozofické presvedčenie, náboženstvo, sektu, údaje o zdraví, sexuálny život, trestné odsúdenia, biometrické údaje a genetické údaje. Spracovanie týchto kategórií vyžaduje explicitný súhlas alebo konkrétny právny základ.

Q: Ako KVKK zaobchádza so súhlasom na cookies na webových stránkach? Cookies, ktoré zbierajú osobné údaje (analytické, reklamné identifikátory), vyžadujú platný súhlas podľa KVKK. Kompatibilná CMP, ako je Biscotti CMP, môže pomôcť vlastníkom webových stránok zachytiť, uchovávať a spravovať súhlas s cookies v súlade s povinnosťami KVKK.

Q: Musia sa verejné inštitúcie registrovať v VERBIS? Áno. Verejné inštitúcie a organizácie sú povinné zaregistrovať sa v VERBIS. Obdobie registrácie pre verejné subjekty začalo 1. apríla 2019 s termínom na dokončenie do 30. júna 2020. [6]

Q: Čo sa stane, ak spoločnosť aktualizuje svoje aktivity spracovania, ale neaktualizuje VERBIS? Nedodržanie aktualizácie VERBIS, aby odrážal aktuálne aktivity spracovania, sa považuje za porušenie súladu a môže viesť k administratívnym pokutám podľa článku 18 KVKK. [5]

Záver: Akčné kroky pre súlad s KVKK a VERBIS

Podnikanie v Turecku si vyžaduje štruktúrovaný, jurisdikčne špecifický prístup k ochrane údajov. KVKK je aktívne vymáhaný, registrácia v VERBIS nie je voliteľná pre väčšinu organizácií a objasnenia výnimiek z januára 2026 zúžili, nie rozšírili, výnimky pre malé podniky. [4]

Okamžité kroky pre organizácie pôsobiace v Turecku:

Vykonajte cvičenie mapovania údajov. Identifikujte každú kategóriu spracovávaných osobných údajov, jej účel, právny základ a príjemcu.
Určte povinnosť registrácie v VERBIS. Aplikujte prahy počtu zamestnancov a bilančných súčtov na potvrdenie, či je registrácia povinná. Ak máte pochybnosti, zaregistrujte sa.
Zaregistrujte alebo aktualizujte VERBIS. Použite portál VERBIS integrovaný s e-Devlet na dokončenie alebo aktualizáciu registrácie správcu údajov. [3]
Audít mechanizmy súhlasu. Uistite sa, že bannery súhlasu na webových stránkach a formuláre na zber údajov spĺňajú konkrétne požiadavky KVKK. Zvážte nasadenie Biscotti CMP (www.biscotti-cmp.com) na štruktúrované, audítovateľné riadenie súhlasu.
Prehodnoťte usporiadania o prenose údajov do zahraničia. Identifikujte všetkých spracovateľov tretích strán a cloudové služby, ktoré prijímajú turecké osobné údaje, a posúďte právny základ pre každý prenos.
Zriaďte protokol na reakciu na porušenie. Dokumentujte postup oznámenia do 72 hodín a priraďte internú zodpovednosť.
Získajte miestne právne poradenstvo. Interpretácia KVKK sa naďalej vyvíja a turecký právnik na ochranu údajov môže poskytnúť jurisdikčne špecifické usmernenia, ktoré žiadny všeobecný rámec súladu nemôže nahradiť.

Krajina súladu pre podnikanie v Turecku sa rýchlo vyvíja. Organizácie, ktoré považujú KVKK za úlohu na zaškrtnutie, namiesto toho, aby to bola prebiehajúca programová činnosť, sa ocitnú v riziku, keď sa vymáhanie zintenzívni.