Soglasje in pasice

Poslovanje v Turčiji? Kaj morate vedeti o KVKK in VERBIS

7. julij 2026 · 15 min branje

Hiter odgovor: Glavni zakon o varstvu podatkov v Turčiji, KVKK (Zakon št. 6698), se uporablja za vsako organizacijo, domačo ali tujo, ki obdeluje osebne podatke posameznikov v Turčiji. VERBIS je obvezni register upravljavcev podatkov po KVKK. Večina srednjih in velikih organizacij se mora registrirati v VERBIS ali se soočiti z administrativnimi kaznimi. Od leta 2026 je postopek registracije dostopen preko platforme e-Devlet v Turčiji, meje za izjeme za mala podjetja pa so bile pojasnjene.

Ključne točke

KVKK (Kişisel Verilerin Korunması Kanunu) je zakon o varstvu podatkov v Turčiji, sprejet leta 2016 in delno zasnovan na načelih GDPR, vendar z značilnimi lokalnimi zahtevami.
VERBIS je spletni register, kjer morajo upravljavci podatkov razglasiti svoje dejavnosti obdelave podatkov, preden obdelava začne.
Tuje družbe, ki obdelujejo podatke turških prebivalcev, so podvržene KVKK, ne glede na to, kje je podjetje registrirano.
Od 12. januarja 2026 so upravljavci podatkov z manj kot 10 zaposlenimi in letnim bilančnim zneskom pod 10 milijoni TL oproščeni registracije v VERBIS, če njihova glavna dejavnost vključuje obdelavo posebnih kategorij podatkov. [4]
Rok za registracijo v VERBIS je bil podaljšan do 5. junija 2026 za organizacije, ki izpolnjujejo pogoje na podlagi finančnih izkazov za leto 2025. [1]
Od 1. julija 2026 so storitve VERBIS popolnoma integrirane s platformo e-Devlet (e-Vlada) v Turčiji. [3]
Kazni za neupoštevanje po 18. členu KVKK lahko dosežejo znatne administrativne kazni, organ KVKK pa jih aktivno izvaja.
Soglasje po KVKK mora biti prostovoljno, specifično, obveščeno in nedvoumno; platforma za upravljanje soglasij (CMP) je praktično orodje za skladnost na spletu.

Kaj je KVKK? Zakon o varstvu podatkov v Turčiji pojasnjen

KVKK (Kişisel Verilerin Korunması Kanunu, Zakon št. 6698) je celovit zakon o varstvu osebnih podatkov v Turčiji, sprejet 7. aprila 2016. Ureja, kako se osebni podatki zbirajo, shranjujejo, obdelujejo, prenašajo in brišejo s strani upravljavcev in obdelovalcev podatkov, ki delujejo v Turčiji.

Zakon je ustanovil Organ za varstvo osebnih podatkov (Kişisel Verileri Koruma Kurumu, tudi okrajšano KVKK), neodvisni nadzorni organ, odgovoren za izvajanje, usmerjanje in register VERBIS.

Temeljna načela po KVKK vključujejo:

Zakonitost, poštenost in preglednost
Omejitev namena (podatki se zbirajo samo za določene, jasne namene)
Minimimizacija podatkov
Natančnost in ažurnost podatkov
Omejitev shranjevanja (podatki se hranijo le toliko časa, kolikor je potrebno)
Celovitost in zaupnost

Vsaka entiteta, ki določa namene in sredstva za obdelavo osebnih podatkov, se kvalificira kot "upravljavec podatkov" po KVKK in nosi glavne obveznosti skladnosti.

KVKK proti GDPR: Ključne razlike in prekrivanje skladnosti

KVKK deli strukturno DNK z EU GDPR, vendar se ti dve okvirja razlikujeta v več operativno pomembnih vidikih. Organizacije, ki so že skladne z GDPR, ne bi smele domnevati avtomatske skladnosti s KVKK.

Dimenzija	KVKK (Turčija)	GDPR (EU)
Sprejet	2016	2018 (izvajanje)
Nadzorni organ	Organ KVKK	Nacionalni organi za varstvo podatkov po državah članicah
Register podatkov	VERBIS (obvezno za večino)	Ni ekvivalentnega obveznega registra
Prenosi podatkov v tujino	Zahteva izrecno soglasje ali ustreznost	Odločitve o ustreznosti ali SCC
Zahteva po DPO	Ni formalne zahteve po DPO	Obvezno v določenih primerih
Obvestilo o kršitvi	72 ur do organa	72 ur do organa

Ključna razlika: KVKK zahteva, da se upravljavci podatkov registrirajo v VERBIS in proaktivno razglasijo svoje dejavnosti obdelave. GDPR nima ekvivalentne obveznosti javnega registra. Poleg tega so pravila KVKK o prenosu podatkov čez meje v praksi bolj stroga, saj zahtevajo bodisi izrecno soglasje posameznika bodisi formalno odločitev o ustreznosti, Turčija pa ni bila priznana kot država z ustreznostjo EU.

"Skladnost z GDPR je koristna osnova, vendar poslovanje v Turčiji zahteva ločeno plast skladnosti s KVKK, zlasti glede registracije v VERBIS in pravil o prenosu podatkov čez meje."

Kaj je VERBIS in kako deluje?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) je spletni register, ki ga vzdržuje Organ KVKK, kjer se morajo upravljavci podatkov registrirati in razglasiti svoje dejavnosti obdelave osebnih podatkov, preden obdelava začne. Razmislite o tem kot o javnem seznamu, kdo obdeluje katere podatke, za kakšen namen in pod katero politiko hrambe.

Kako VERBIS deluje v praksi:

Upravljavec podatkov ustvari račun na portalu VERBIS (sedaj dostopen preko platforme e-Devlet v Turčiji od 1. julija 2026). [3]
Upravljavec razglasi vsako kategorijo osebnih podatkov, ki se obdelujejo, namen obdelave, pravno podlago, kategorije podatkov, skupine prejemnikov in obdobja hrambe.
Razglasitve se predložijo in postanejo del javnega registra.
Vsake spremembe v dejavnostih obdelave je treba takoj posodobiti v VERBIS.
Neuspeh pri registraciji ali posodobitvi sproži kazni po 18. členu KVKK. [5]
julija 2026 je Organ KVKK tudi izdal posodobljene različice dokumenta "Sorularla VERBİS" in uradnega VERBİS Kılavuzu (uporabniški priročnik), da bi pomagal upravljavcem podatkov pri navigaciji po obveznostih registracije. [2]

Ali morajo tuja podjetja izpolnjevati zahteve KVKK?

Da. KVKK se uporablja za vsak upravljavec podatkov, ki obdeluje osebne podatke posameznikov, ki se nahajajo v Turčiji, ne glede na to, kje je upravljavec registriran ali ima sedež. Nemško podjetje SaaS z turškimi strankami, ameriška e-trgovinska platforma, ki pošilja v Turčijo, ali britanska marketinška agencija, ki izvaja kampanje, usmerjene na turške potrošnike, vse spadajo pod področje uporabe KVKK.

Praktične posledice za tuja podjetja:

Morajo imenovati lokalnega predstavnika v Turčiji, če nimajo fizične prisotnosti (čeprav se izvajanje zakona na tem področju še naprej razvija, se posvetujte z lokalnim pravnim svetovalcem).
Morajo izpolnjevati zahteve po registraciji v VERBIS, razen če velja posebna izjema.
Prenosi podatkov čez meje iz Turčije zahtevajo bodisi izrecno soglasje posameznika bodisi formalni mehanizem ustreznosti, kar za večino destinacij izven EU ni preprosto.

Pogosta napaka: Tuje družbe domnevajo, da skladnost z GDPR ali splošna politika zasebnosti pokriva njihovo turško uporabniško bazo. KVKK zahteva specifične razkritja, mehanizme soglasja in razglasitve v registru, prilagojene jurisdikciji.

Zahteve za registracijo v VERBIS: Kdo se mora registrirati in kako

Večina upravljavcev podatkov, ki presegajo prag izjeme za mala podjetja, se mora registrirati v VERBIS. Obveznost velja tako za subjekte v zasebnem sektorju kot za javne institucije. [6]

Registracija je obvezna, če upravljavec podatkov:

Ima 50 ali več zaposlenih (v ekvivalentu polnega delovnega časa), ALI
Ima letni skupni bilančni znesek, ki presega 25 milijonov TL, ALI
Obdeluje posebne kategorije osebnih podatkov (zdravje, biometrični podatki, kazenske evidence itd.) ne glede na velikost, razen če velja izjema za mala podjetja (glej spodaj).

Za zagonska podjetja in rastoča podjetja: Prag temelji na letnem številu zaposlenih in bilančnih številkah. Zagonsko podjetje, ki preseže 50 zaposlenih ali prag bilančnega zneska v določenem letu, postane dolžno registrirati se. Registracija mora biti zaključena pred začetkom obdelave pod novim pragom, ne retroaktivno ob koncu leta.

Postopek registracije v VERBIS po korakih:

Prijavite se na portal VERBIS preko e-Devlet (vhodna točka e-Vlade) z uporabo naslova KEP (registrirana elektronska pošta) ali pooblastil pooblaščenega podpisnika. [3]
Izpolnite profil upravljavca podatkov (ime podjetja, pravna oblika, kontaktni podatki, pooblaščeni predstavnik).
Ustvarite vnos "dejavnost obdelave" za vsako ločeno kategorijo osebnih podatkov, ki se obdelujejo.
Za vsako dejavnost razglasite: kategorijo podatkov, namen, pravno podlago, skupino posameznikov, prejemnike in obdobje hrambe.
Predložite in prejmite številko registracije VERBIS.
Posodobite register, kadar koli se dejavnosti obdelave bistveno spremenijo.

Izjeme KVKK: Mala podjetja in kateri podatki niso zajeti

Ne organizacija se mora registrirati v VERBIS. Dne 12. januarja 2026 je Organ KVKK pojasnil merila za izjeme za upravljavce podatkov majhne velikosti. [4]

Izjema velja, ko so izpolnjeni VSE trije pogoji:

Manj kot 10 zaposlenih
Letni skupni bilančni znesek pod 10 milijoni TL
Glavna dejavnost vključuje obdelavo posebnih kategorij osebnih podatkov (izjema je bila posebej zasnovana za mala zdravstvena podjetja, klinike in podobne entitete)

Pravna analiza, objavljena s strani CMS Law, opozarja, da je ta izjema ožja, kot se morda sprva zdi; ni splošna izjema za mala podjetja, temveč se posebej osredotoča na entitete, katerih osnovna dejavnost vključuje občutljive kategorije podatkov. [7] Erdem & Erdem so dodatno pojasnili načela uporabe teh novih izjem. [8]

Kategorije podatkov, ki niso zajete pod KVKK:

Anonimizirani podatki (kjer je ponovna identifikacija nemogoča)
Podatki, obdelani izključno za osebne ali gospodinjske namene (brez komercialne dejavnosti)
Podatki, obdelani s strani sodnih organov za kazenske postopke (urejeni z ločeno zakonodajo)

Mejni primer: Pseudonimizirani podatki se še vedno štejejo za osebne podatke po KVKK, če upravljavec ohrani sredstva za ponovno identifikacijo posameznikov. Ne obravnavajte pseudonimizacije kot ekvivalentne anonimizaciji za namene skladnosti.

Zahteve po soglasju KVKK za podatke strank

Po KVKK mora biti veljavno soglasje prostovoljno, specifično, obveščeno in nedvoumno. Soglasje ne more biti povezano z sprejemom pogojev storitve, predhodno označene možnosti pa ne predstavljajo veljavnega soglasja.

Soglasje mora biti:

Prostovoljno: Brez prisile ali pogojevanja dostopa do storitve na soglasju
Specifično: Povezano z določenim namenom, ne splošno dovoljenje
Obveščeno: Posameznik mora vedeti, kdo zbira podatke in zakaj
Nedvoumno: Zahteva pozitivno dejanje (klik, podpis, potrditvena polja)

Za spletne strani in digitalne platforme je izvajanje skladne platforme za upravljanje soglasij najbolj praktičen pristop. Biscotti CMP je zasnovan za pomoč lastnikom spletnih strani in podjetjem pri upravljanju zbiranja soglasij na način, ki je skladen s KVKK in drugimi okviri za varstvo podatkov, ter zagotavlja revizijske sledi in podrobne evidence soglasij.

Izrecno soglasje je dodatno zahtevano za posebne kategorije osebnih podatkov (zdravje, biometrični, genetski, kazenski podatki itd.) in za prenose podatkov čez meje, kjer ne obstaja mehanizem ustreznosti.

Kazni in globe KVKK za neupoštevanje

Izvajanje KVKK ni teoretično. Organ KVKK je izdal kazni proti domačim in tujim entitetam. Kazni ureja 18. člen zakona.

Kategorije administrativnih kazni po 18. členu:

Neizpolnjevanje obveznosti razkritja: 9,027 TL do 180,536 TL (približno razred za leto 2024; zneski se letno posodabljajo zaradi inflacije)
Nezavarovanje podatkov: 45,135 TL do 9,027,000 TL
Neupoštevanje odločitev organa KVKK: 45,135 TL do 9,027,000 TL
Neuspeh pri registraciji v VERBIS ali neuspeh pri posodobitvi VERBIS: 39,337 TL do 1,966,862 TL

Opomba: Zneski kazni se letno indeksirajo, zgoraj navedene številke odražajo objavljene razrede za leto 2024. Preverite trenutne številke pri organu KVKK ali turškem pravnem svetovalcu za izvajanje ukrepov v letu 2026.

Kazenska odgovornost za nekatere kršitve (nezakonita obdelava, neuspeh pri brisanju podatkov) lahko vodi do zapora po turškem kazenskem zakoniku, kar je dimenzija, ki je odsotna iz orodij za izvajanje GDPR.

Pravila o obvestilu o kršitvi podatkov KVKK

Po KVKK morajo upravljavci podatkov obvestiti organ KVKK v 72 urah, ko postanejo seznanjeni s kršitvijo osebnih podatkov. Če kršitev verjetno negativno vpliva na posameznike, morajo biti ti posamezniki prav tako hitro obveščeni.

Seznam za obvestilo o kršitvi:

Identificirati in obvladati kršitev
Oceniti obseg in verjeten vpliv na posameznike
Obvestiti organ KVKK v 72 urah preko uradnega obrazca za obvestilo
Dokumentirati kršitev interno (kaj se je zgodilo, kateri podatki so bili prizadeti, koraki za odpravo)
Obvestiti prizadete posameznike, če obstaja visoko tveganje za škodo

Neuspeh pri obvestilu v zahtevanem časovnem okviru je sam po sebi sankcionirana kršitev po 18. členu.

Pogoste napake pri skladnosti s KVKK, ki jih podjetja delajo

1. Obvladovanje VERBIS kot enkratne naloge. Vnosi v VERBIS je treba posodobiti, kadar koli se dejavnosti obdelave spremenijo. Pridobitev novega CRM, zagon nove marketinške kampanje z različnimi kategorijami podatkov ali vključitev novega obdelovalca podatkov lahko vse zahtevajo posodobitve v VERBIS.

2. Zanašanje na soglasje GDPR za turške uporabnike. Zahteve po soglasju KVKK imajo lokalne posebnosti. Pasica za soglasje, optimizirana za GDPR, morda ne zajame specifičnih razkritij, zahtevanih po KVKK.

3. Ignoriranje pravil o prenosu podatkov čez meje. Pošiljanje podatkov turških strank na analitično platformo ali ponudnika oblakov s sedežem v ZDA brez veljavnega mehanizma prenosa je pogosta in pogosto kaznovana kršitev.

4. Domnevanje izjeme za mala podjetja brez preverjanja. Pojasnilo iz januarja 2026 je jasno pokazalo, da je izjema pogojna na vseh treh kriterijih, ki morajo biti izpolnjeni hkrati. [4]

5. Brez politike hrambe podatkov. KVKK zahteva, da se podatki izbrišejo, uničijo ali anonimizirajo, ko namen obdelave ne obstaja več. Mnoge organizacije zbirajo podatke neskončno brez dokumentiranega načrta hrambe.

Pogosta vprašanja

Q: Je KVKK obvezen za vsa podjetja, ki delujejo v Turčiji? Da, vsaka entiteta, ki obdeluje osebne podatke posameznikov v Turčiji, je podvržena KVKK, ne glede na velikost podjetja ali narodnost. Registracija v VERBIS je obvezna za večino entitet nad pragom izjeme za mala podjetja.

Q: Kakšen je rok za registracijo v VERBIS v letu 2026? Organ KVKK je podaljšal rok za registracijo v VERBIS do 5. junija 2026 za organizacije, ki izpolnjujejo pogoje na podlagi svojih finančnih izkazov za leto 2025. [1] Organizacije, ki so že izpolnile prejšnje prage, bi se morale že registrirati.

Q: Ali lahko tuje podjetje dobi kazen po KVKK? Da. Organ KVKK ima jurisdikcijo nad vsakim upravljavcem podatkov, ki obdeluje podatke turških prebivalcev, vključno s tujimi podjetji. Izvajanje proti tujim entitetam je razvijajoče se področje, vendar je pravna izpostavljenost resnična.

Q: Ali obstaja alternativa VERBIS za razglasitev dejavnosti obdelave podatkov? Ne. VERBIS je edini obvezni register po KVKK. Ni alternativnega mehanizma za izpolnitev obveznosti registracije upravljavca podatkov.

Q: Koliko časa traja registracija v VERBIS? Z integracijo e-Devlet od 1. julija 2026 se lahko tehnični postopek zaključi v nekaj urah za preproste primere. [3] Vendar pa pripravljalno delo, kartiranje vseh dejavnosti obdelave podatkov, identifikacija pravnih podlag in dokumentiranje obdobij hrambe običajno traja tedne za srednje velika podjetja.

Q: Ali KVKK zahteva pooblaščenega uradnika za varstvo podatkov (DPO)? KVKK ne zahteva formalne vloge DPO, ki bi bila ekvivalentna zahtevam GDPR. Vendar pa organ KVKK priporoča, da upravljavci podatkov imenujejo odgovorno osebo znotraj podjetja za upravljanje skladnosti.

Q: Kaj predstavlja posebno kategorijo osebnih podatkov po KVKK? Posebne kategorije vključujejo: raso, etnično poreklo, politično mnenje, filozofsko prepričanje, vero, sekto, zdravstvene podatke, spolno življenje, kazenske obsodbe, biometrične podatke in genetske podatke. Obdelava teh kategorij zahteva izrecno soglasje ali posebno pravno podlago.

Q: Kako KVKK obravnava soglasje za piškotke na spletnih straneh? Piškotki, ki zbirajo osebne podatke (analitika, oglasni identifikatorji), zahtevajo veljavno soglasje po KVKK. Skladna CMP, kot je Biscotti CMP, lahko pomaga lastnikom spletnih strani zajeti, shraniti in upravljati soglasje za piškotke v skladu z obveznostmi KVKK.

Q: Ali morajo javne institucije registrirati v VERBIS? Da. Javne institucije in organizacije morajo registrirati v VERBIS. Obdobje registracije za javne entitete se je začelo 1. aprila 2019, z rokom za dokončanje do 30. junija 2020. [6]

Q: Kaj se zgodi, če podjetje posodobi svoje dejavnosti obdelave, vendar ne posodobi VERBIS? Neuspeh pri posodobitvi VERBIS, da odraža trenutne dejavnosti obdelave, se obravnava kot kršitev skladnosti in lahko privede do administrativnih kazni po 18. členu KVKK. [5]

Zaključek: Ukrepi za skladnost s KVKK in VERBIS

Poslovanje v Turčiji zahteva strukturiran, jurisdikcijsko specifičen pristop k varstvu podatkov. KVKK se aktivno izvaja, registracija v VERBIS ni prostovoljna za večino organizacij, in pojasnila o izjemah iz januarja 2026 so ožja, ne širša, za mala podjetja. [4]

Takojšnji ukrepi za organizacije, ki delujejo v Turčiji:

Izvedite vajo kartiranja podatkov. Identificirajte vsako kategorijo osebnih podatkov, ki se obdelujejo, njen namen, pravno podlago in prejemnike.
Določite obveznost VERBIS. Uporabite število zaposlenih in bilančne prage, da potrdite, ali je registracija potrebna. Če ste v dvomih, se registrirajte.
Registrirajte ali posodobite VERBIS. Uporabite portal VERBIS, integriran z e-Devlet, da dokončate ali posodobite registracijo upravljavca podatkov. [3]
Preverite mehanizme soglasja. Prepričajte se, da pasice za soglasje na spletni strani in obrazci za zbiranje podatkov izpolnjujejo specifične zahteve KVKK. Razmislite o uvedbi Biscotti CMP (www.biscotti-cmp.com) za strukturirano, revizijsko upravljanje soglasij.
Preverite dogovore o prenosu podatkov čez meje. Identificirajte vse tretje obdelovalce in storitve v oblaku, ki prejemajo turške osebne podatke, in ocenite pravno podlago za vsak prenos.
Vzpostavite protokol za odziv na kršitve. Dokumentirajte postopek obvestila v 72 urah in dodelite notranjo odgovornost.
Sodelujte z lokalnim pravnim svetovalcem. Razlaga KVKK se še naprej razvija, turški odvetnik za varstvo podatkov lahko zagotovi specifične smernice, ki jih noben splošen okvir skladnosti ne more nadomestiti.

Skladnost v poslovnem okolju v Turčiji se hitro razvija. Organizacije, ki obravnavajo KVKK kot nalogo za odkljukanje, namesto kot trajen program, se bodo izpostavile, saj se izvajanje krepi.