Пристанак и банери

Poslovanje u Turskoj? Šta trebate znati o KVKK i VERBIS

7. јул 2026. · 15 min čitanja

Brzi odgovor: Primarni zakon o zaštiti podataka u Turskoj, KVKK (Zakon br. 6698), primenjuje se na svaku organizaciju, domaću ili stranu, koja obrađuje lične podatke pojedinaca u Turskoj. VERBIS je obavezni registar kontrolora podataka prema KVKK. Većina srednjih i velikih organizacija mora se registrovati u VERBIS-u ili se suočiti sa administrativnim kaznama. Od 2026. godine, proces registracije je dostupan putem Turske e-Devlet platforme, a pragovi izuzeća za mala preduzeća su razjašnjeni.

Ključne tačke

KVKK (Kişisel Verilerin Korunması Kanunu) je zakon o zaštiti podataka u Turskoj, donet 2016. godine i delimično modelovan prema principima GDPR-a, ali sa posebnim lokalnim zahtevima.
VERBIS je online registar gde kontrolori podataka moraju prijaviti svoje aktivnosti obrade podataka pre nego što obrada počne.
Strane kompanije koje obrađuju podatke turskih rezidenata podložne su KVKK, bez obzira na to gde je kompanija registrovana.
Od 12. januara 2026. godine, kontrolori podataka sa manje od 10 zaposlenih i godišnjim bilansom ispod 10 miliona TL su oslobođeni od registracije u VERBIS-u ako je njihova primarna aktivnost povezana sa posebnim kategorijama podataka. [4]
Rok za registraciju u VERBIS produžen je do 5. juna 2026. za organizacije koje ispunjavaju uslove na osnovu finansijskih izveštaja za 2025. godinu. [1]
Od 1. jula 2026. godine, VERBIS usluge su potpuno integrisane sa Turskom e-Devlet (e-Vlada) platformom. [3]
Kazne za neusklađenost prema članu 18. KVKK mogu dostići značajne administrativne kazne, a KVKK vlast aktivno sprovodi te kazne.
Saglasnost prema KVKK mora biti slobodno data, specifična, informisana i nedvosmislena; platforma za upravljanje saglasnošću (CMP) je praktičan alat za usklađenost na vebu.

Šta je KVKK? Zakon o zaštiti podataka u Turskoj objašnjen

KVKK (Kişisel Verilerin Korunması Kanunu, Zakon br. 6698) je sveobuhvatan zakon o zaštiti ličnih podataka u Turskoj, donet 7. aprila 2016. godine. On reguliše kako se lični podaci prikupljaju, čuvaju, obrađuju, prenose i brišu od strane kontrolora i obrađivača podataka koji deluju u Turskoj.

Zakon je uspostavio Agenciju za zaštitu ličnih podataka (Kişisel Verileri Koruma Kurumu, takođe skraćeno KVKK), nezavisno nadzorno telo odgovorno za sprovođenje, vođenje i registar VERBIS.

Osnovni principi prema KVKK uključuju:

Legalnost, pravednost i transparentnost
Ograničenje svrhe (podaci se prikupljaju samo za određene, eksplicitne svrhe)
Minimimizacija podataka
Tačnost i ažurnost podataka
Ograničenje čuvanja (podaci se čuvaju samo koliko je neophodno)
Integritet i poverljivost

Svaka entitet koji određuje svrhe i sredstva obrade ličnih podataka kvalifikuje se kao "kontrolor podataka" prema KVKK i snosi glavne obaveze usklađenosti.

KVKK vs. GDPR: Ključne razlike i preklapanje usklađenosti

KVKK deli strukturnu DNK sa EU GDPR-om, ali se dva okvira razlikuju u nekoliko operativno značajnih aspekata. Organizacije koje su već usklađene sa GDPR-om ne bi trebale pretpostavljati automatsku usklađenost sa KVKK.

Dimenzija	KVKK (Turska)	GDPR (EU)
Donet	2016	2018 (sprovođenje)
Nadzorno telo	KVKK Agencija	Nacionalne DPA prema članici
Registar podataka	VERBIS (obavezan za većinu)	Nema ekvivalentnog obaveznog registra
Prenosi podataka u inostranstvo	Zahteva eksplicitnu saglasnost ili adekvatnost	Odluke o adekvatnosti ili SCC
Zahtev za DPO	Nema formalne obaveze za DPO	Obavezno u određenim slučajevima
Obaveštenje o povredi	72 sata do vlasti	72 sata do vlasti

Ključna razlika: KVKK zahteva od kontrolora podataka da se registruju u VERBIS i proaktivno prijave svoje aktivnosti obrade. GDPR nema ekvivalentnu obavezu javnog registra. Pored toga, pravila KVKK o prenosu podataka preko granica su u praksi restriktivnija, zahtevajući ili eksplicitnu saglasnost subjekta podataka ili formalnu odluku o adekvatnosti, a Turskoj nije dodeljen status adekvatnosti od strane EU.

"Usklađenost sa GDPR-om je korisna osnova, ali poslovanje u Turskoj zahteva poseban sloj usklađenosti sa KVKK, posebno u vezi sa registracijom u VERBIS i pravilima o prenosu podataka preko granica."

Šta je VERBIS i kako funkcioniše?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) je online registar koji održava KVKK Agencija gde kontrolori podataka moraju da se registruju i prijave svoje aktivnosti obrade ličnih podataka pre nego što obrada počne. Zamislite ga kao javni inventar ko obrađuje koje podatke, u koju svrhu i pod kojim politikama čuvanja.

Kako VERBIS funkcioniše u praksi:

Kontrolor podataka kreira nalog na VERBIS portalu (sada dostupan putem Turske e-Devlet platforme od 1. jula 2026. godine). [3]
Kontrolor prijavljuje svaku kategoriju ličnih podataka koji se obrađuju, svrhu obrade, pravnu osnovu, kategorije podataka, grupe primaoca i periode čuvanja.
Prijave se podnose i postaju deo javnog registra.
Sve promene u aktivnostima obrade moraju se odmah ažurirati u VERBIS-u.
Nepoštovanje registracije ili ažuriranja pokreće kazne prema članu 18. KVKK. [5]

Dana 1. jula 2026. godine, KVKK Agencija je takođe objavila ažurirane verzije dokumenta "Sorularla VERBİS" i zvaničnog VERBİS Kılavuzu (korisnički vodič) kako bi pomogla kontrolorima podataka da se snađu u obavezama registracije. [2]

Da li strana preduzeća treba da se usklade sa KVKK?

Da. KVKK se primenjuje na svakog kontrolora podataka koji obrađuje lične podatke pojedinaca smeštenih u Turskoj, bez obzira na to gde je kontrolor registrovan ili smešten. Nemačka SaaS kompanija sa turskim kupcima, američka e-trgovinska platforma koja šalje u Tursku ili britanska marketinška agencija koja vodi kampanje usmerene na turske potrošače, sve spadaju u okvir KVKK.

Praktične posledice za strane kompanije:

Moraju imenovati lokalnog predstavnika u Turskoj ako nemaju fizičko prisustvo (iako se implementacija zakona po ovom pitanju nastavlja razvijati, konsultujte lokalnog pravnog savetnika).
Moraju se pridržavati zahteva za registraciju u VERBIS-u osim ako se ne primenjuje specifično izuzeće.
Prenosi podataka iz Turske zahtevaju ili eksplicitnu saglasnost subjekta podataka ili formalni mehanizam adekvatnosti, što nije jednostavno za većinu destinacija izvan EU.

Uobičajena greška: Strane kompanije pretpostavljaju da usklađenost sa GDPR-om ili generička politika privatnosti pokriva njihovu tursku korisničku bazu. KVKK zahteva specifične objave, mehanizme saglasnosti i prijave u registar.

Zahtevi za registraciju u VERBIS: Ko mora da se registruje i kako

Većina kontrolora podataka iznad praga izuzeća za mala preduzeća je obavezna da se registruje u VERBIS. Obaveza se odnosi na kako privatne sektore tako i javne institucije. [6]

Registracija je obavezna ako kontrolor podataka:

Ima 50 ili više zaposlenih (ekvivalent punom radnom vremenu), ILI
Ima godišnji finansijski bilans koji premašuje 25 miliona TL, ILI
Obradjuje posebne kategorije ličnih podataka (zdravlje, biometrijski podaci, krivični dosijei itd.) bez obzira na veličinu, osim ako se ne primenjuje izuzeće za mala preduzeća (vidi u nastavku).

Za startape i rastuće kompanije: Prag se zasniva na godišnjem broju zaposlenih i bilansnim podacima. Startap koji pređe prag od 50 zaposlenih ili prag bilansa u određenoj godini postaje obavezan za registraciju. Registracija mora biti završena pre nego što obrada počne prema novom pragu, a ne retroaktivno na kraju godine.

Korak po korak proces registracije u VERBIS:

Prijavite se na VERBIS portal putem e-Devlet (e-Vladin portal) koristeći KEP (registrovanu elektronsku poštu) adresu ili ovlašćene podatke potpisnika. [3]
Popunite profil kontrolora podataka (ime kompanije, pravna forma, kontakt podaci, ovlašćeni predstavnik).
Kreirajte unos "aktivnosti obrade" za svaku posebnu kategoriju ličnih podataka koji se obrađuju.
Za svaku aktivnost prijavite: kategoriju podataka, svrhu, pravnu osnovu, grupu subjekata podataka, primaoce i period čuvanja.
Podnesite i primite broj registracije u VERBIS-u.
Ažurirajte registar svaki put kada se aktivnosti obrade značajno promene.

KVKK izuzeća: Mala preduzeća i koji podaci nisu pokriveni

Nisu sve organizacije obavezne da se registruju u VERBIS. Dana 12. januara 2026. godine, KVKK Agencija je razjasnila kriterijume izuzeća za kontrolore podataka male razmere. [4]

Izuzeće se primenjuje kada su SVA tri uslova ispunjena:

Manje od 10 zaposlenih
Godišnji bilans ispod 10 miliona TL
Primarna aktivnost uključuje obradu posebnih kategorija ličnih podataka (izuzeće je posebno dizajnirano za male pružaoce zdravstvenih usluga, klinike i slične entitete)

Pravna analiza objavljena od strane CMS Law napominje da je ovo izuzeće uža nego što se na prvi pogled može činiti, nije to blanket izuzeće za mala preduzeća, već se posebno fokusira na entitete čija osnovna delatnost uključuje osetljive kategorije podataka. [7] Erdem & Erdem su dodatno razjasnili principe primene ovih novih izuzeća. [8]

Kategorije podataka koje nisu pokrivene KVKK:

Anonimizovani podaci (gde je ponovna identifikacija nemoguća)
Podaci obrađeni isključivo za lične ili domaće svrhe (bez komercijalne aktivnosti)
Podaci koje obrađuju pravosudne vlasti za krivične postupke (regulisani posebnim zakonodavstvom)

Iznimni slučaj: Pseudonimizovani podaci se i dalje smatraju ličnim podacima prema KVKK ako kontrolor zadržava sredstva za ponovnu identifikaciju pojedinaca. Ne tretirajte pseudonimizaciju kao ekvivalent anonimizaciji u svrhu usklađenosti.

Zahtevi za saglasnost KVKK za podatke kupaca

Prema KVKK, važeća saglasnost mora biti slobodno data, specifična, informisana i nedvosmislena. Saglasnost ne može biti povezana sa prihvatanjem uslova korišćenja, a unapred označene kutije ne predstavljaju važeću saglasnost.

Saglasnost mora biti:

Slobodno data: Bez prisile ili uslovljavanja pristupa uslugama na saglasnost
Specifična: Povezana sa definisanom svrhom, a ne opštom autorizacijom
Informisana: Subjekat podataka mora znati ko prikuplja podatke i zašto
Nedvosmislena: Zahteva afirmativnu akciju (klik, potpis, kvačica)

Za veb sajtove i digitalne platforme, implementacija usklađene platforme za upravljanje saglasnošću je najpraktičniji pristup. Biscotti CMP je dizajnirana da pomogne vlasnicima veb sajtova i preduzećima da upravljaju prikupljanjem saglasnosti na način koji je usklađen sa KVKK i drugim okvirima zaštite podataka, pružajući tragove revizije i detaljne evidencije saglasnosti.

Eksplicitna saglasnost je dodatno potrebna za posebne kategorije ličnih podataka (zdravlje, biometrijski, genetski, krivični dosijei itd.) i za prenose podataka preko granica gde ne postoji mehanizam adekvatnosti.

Kazne i novčane kazne za neusklađenost sa KVKK

Sprovođenje KVKK nije teorijsko. KVKK Agencija je izrekla kazne protiv domaćih i stranih entiteta. Kazne su regulisane članom 18. zakona.

Kategorije administrativnih kazni prema članu 18:

Nepoštovanje obaveza objavljivanja: 9,027 TL do 180,536 TL (približno okvir za 2024; iznosi se godišnje ažuriraju zbog inflacije)
Nepoštovanje obezbeđenja podataka: 45,135 TL do 9,027,000 TL
Nepoštovanje odluka KVKK Agencije: 45,135 TL do 9,027,000 TL
Nepoštovanje registracije u VERBIS-u ili ne ažuriranje VERBIS-a: 39,337 TL do 1,966,862 TL

Napomena: Iznosi kazni se godišnje indeksiraju, a gornji podaci odražavaju objavljene okvire za 2024. Proverite trenutne iznose sa KVKK Agencijom ili turskim pravnim savetnikom za sprovođenje akcija u 2026.

Krivična odgovornost za određene prekršaje (nezakonita obrada, nebrisanje podataka) može rezultirati zatvorskom kaznom prema Turskom krivičnom zakoniku, dimenzija koja nedostaje u alatu za sprovođenje GDPR-a.

Pravila obaveštavanja o povredi podataka prema KVKK

Prema KVKK, kontrolori podataka moraju obavestiti KVKK Agenciju u roku od 72 sata od saznanja o povredi ličnih podataka. Ako povreda može negativno uticati na subjekte podataka, te osobe takođe moraju biti brzo obaveštene.

Lista za obaveštavanje o povredi:

Identifikujte i obuzdajte povredu
Procijenite obim i verovatni uticaj na subjekte podataka
Obavestite KVKK Agenciju u roku od 72 sata putem zvaničnog obrasca za obaveštavanje
Dokumentujte povredu interno (šta se desilo, koji su podaci pogođeni, koraci za otklanjanje)
Obavestite pogođene subjekte podataka ako postoji visok rizik od štete

Nepodnošenje obaveštenja u propisanom roku se samo po sebi smatra prekršajem koji se može sankcionisati prema članu 18.

Uobičajene greške u usklađenosti sa KVKK koje preduzeća prave

1. Tretiranje VERBIS-a kao jednokratnog zadatka. Unosi u VERBIS moraju se ažurirati svaki put kada se aktivnosti obrade promene. Nabavka novog CRM-a, pokretanje nove marketinške kampanje sa različitim kategorijama podataka ili uključivanje novog obrađivača podataka sve potencijalno zahteva ažuriranje VERBIS-a.

2. Oslanjanje na saglasnost GDPR-a za turske korisnike. Zahtevi za saglasnost prema KVKK imaju lokalne nijanse. Baner za saglasnost optimizovan za GDPR možda neće obuhvatiti specifične objave koje su potrebne prema KVKK.

3. Ignorisanje pravila o prenosu podataka preko granica. Slanje podataka turskih kupaca na analitičku platformu ili cloud provajdera sa sedištem u SAD-u bez validnog mehanizma prenosa je uobičajen i često kažnjavan prekršaj.

4. Pretpostavljanje izuzeća za mala preduzeća bez provere. Razjašnjenje iz januara 2026. godine jasno je stavilo do znanja da je izuzeće uslovljeno istovremenim ispunjavanjem sva tri kriterijuma. [4]

5. Nema politike čuvanja podataka. KVKK zahteva da se podaci brišu, uništavaju ili anonimizuju kada svrha obrade više ne postoji. Mnoge kompanije prikupljaju podatke neograničeno bez dokumentovane politike čuvanja.

FAQ

P: Da li je KVKK obavezan za sve kompanije koje posluju u Turskoj? Da, svaka entitet koja obrađuje lične podatke pojedinaca u Turskoj podložna je KVKK, bez obzira na veličinu ili nacionalnost kompanije. Registracija u VERBIS je obavezna za većinu entiteta iznad praga izuzeća za mala preduzeća.

P: Koji je rok za registraciju u VERBIS-u u 2026. godini? KVKK Agencija je produžila rok za registraciju u VERBIS do 5. juna 2026. za organizacije koje ispunjavaju uslove na osnovu svojih finansijskih izveštaja za 2025. godinu. [1] Organizacije koje su već ispunile prethodne pragove bi već trebale biti registrovane.

P: Može li strana kompanija biti kažnjena prema KVKK? Da. KVKK Agencija ima jurisdikciju nad svakim kontrolorom podataka koji obrađuje podatke turskih rezidenata, uključujući strane kompanije. Sprovođenje protiv stranih entiteta je oblast koja se razvija, ali pravna izloženost je stvarna.

P: Da li postoji alternativa VERBIS-u za prijavu aktivnosti obrade podataka? Ne. VERBIS je jedini obavezni registar prema KVKK. Ne postoji alternativni mehanizam za ispunjavanje obaveze registracije kontrolora podataka.

P: Koliko traje registracija u VERBIS-u? Sa integracijom e-Devlet-a od 1. jula 2026. godine, tehnički proces može se završiti za nekoliko sati u jednostavnim slučajevima. [3] Međutim, pripremni rad, mapiranje svih aktivnosti obrade podataka, identifikacija pravnih osnova i dokumentovanje perioda čuvanja obično traje nedeljama za srednje velike organizacije.

P: Da li KVKK zahteva službenika za zaštitu podataka (DPO)? KVKK ne zahteva formalnu ulogu DPO-a ekvivalentnu zahtevu GDPR-a. Međutim, KVKK Agencija preporučuje da kontrolori podataka imenuju odgovornu osobu unutar organizacije za upravljanje usklađenošću.

P: Šta čini posebne kategorije ličnih podataka prema KVKK? Posebne kategorije uključuju: rasu, etničko poreklo, političko mišljenje, filozofsko uverenje, religiju, sektu, zdravstvene podatke, seksualni život, krivične presude, biometrijske podatke i genetske podatke. Obrada ovih kategorija zahteva eksplicitnu saglasnost ili specifičnu pravnu osnovu.

P: Kako KVKK reguliše saglasnost za kolačiće na veb sajtovima? Kolačići koji prikupljaju lične podatke (analitika, identifikatori za oglašavanje) zahtevaju važeću saglasnost prema KVKK. Usklađena CMP kao što je Biscotti CMP može pomoći vlasnicima veb sajtova da prikupe, čuvaju i upravljaju saglasnošću za kolačiće u skladu sa obavezama KVKK.

P: Da li su javne institucije obavezne da se registruju u VERBIS-u? Da. Javne institucije i organizacije su obavezne da se registruju u VERBIS-u. Period registracije za javne entitete započeo je 1. aprila 2019. godine, sa rokom za završetak do 30. juna 2020. [6]

P: Šta se dešava ako kompanija ažurira svoje aktivnosti obrade, ali ne ažurira VERBIS? Nepodnošenje ažuriranja VERBIS-a kako bi se odrazile trenutne aktivnosti obrade tretira se kao prekršaj usklađenosti i može rezultirati administrativnim kaznama prema članu 18. KVKK. [5]

Zaključak: Akcioni koraci za usklađenost sa KVKK i VERBIS

Poslovanje u Turskoj zahteva strukturisan, specifičan pristup zaštiti podataka. KVKK se aktivno sprovodi, registracija u VERBIS nije opcionalna za većinu organizacija, a razjašnjenja iz januara 2026. godine su suzila, a ne proširila, izuzeća za mala preduzeća. [4]

Odmah akcije za organizacije koje posluju u Turskoj:

Sprovedite vežbu mapiranja podataka. Identifikujte svaku kategoriju ličnih podataka koji se obrađuju, njenu svrhu, pravnu osnovu i primaoce.
Odredite obavezu za VERBIS. Primijenite pragove broja zaposlenih i bilansa kako biste potvrdili da li je registracija obavezna. Ako ste u nedoumici, registrujte se.
Registrujte ili ažurirajte VERBIS. Koristite e-Devlet-integrisani VERBIS portal da završite ili ažurirate svoju registraciju kontrolora podataka. [3]
Revizija mehanizama saglasnosti. Osigurajte da baneri za saglasnost na veb sajtovima i obrasci za prikupljanje podataka ispunjavaju specifične zahteve KVKK. Razmotrite implementaciju Biscotti CMP (www.biscotti-cmp.com) za strukturirano, auditable upravljanje saglasnošću.
Pregledajte aranžmane za prenos podataka preko granica. Identifikujte sve treće strane obrađivače i cloud usluge koje primaju lične podatke iz Turske i procenite pravnu osnovu za svaki prenos.
Uspostavite protokol za odgovor na povredu. Dokumentujte proceduru obaveštavanja u roku od 72 sata i dodelite unutrašnju odgovornost.
Angažujte lokalnog pravnog savetnika. Tumačenje KVKK se nastavlja razvijati, a turski advokat za zaštitu podataka može pružiti specifične smernice koje nijedan opšti okvir usklađenosti ne može zameniti.

Pejzaž usklađenosti za poslovanje u Turskoj brzo se razvija. Organizacije koje KVKK tretiraju kao zadatak za čekiranje umesto kao kontinuirani program će se suočiti sa izloženošću kako se sprovođenje pojačava.