Samtycke & banners

Gör affärer i Turkiet? Vad du behöver veta om KVKK och VERBIS

7 juli 2026 · 15 min läsning

Snabbt svar: Turkiets primära dataskyddslag, KVKK (Lag nr 6698), gäller för alla organisationer, inhemska eller utländska, som behandlar personuppgifter om individer i Turkiet. VERBIS är det obligatoriska registret för personuppgiftsansvariga enligt KVKK. De flesta medelstora till stora organisationer måste registrera sig hos VERBIS eller riskera administrativa böter. Från och med 2026 är registreringsprocessen tillgänglig via Turkiets e-Devlet-plattform, och undantagsgränserna för små företag har klargjorts.

Viktiga punkter

KVKK (Kişisel Verilerin Korunması Kanunu) är Turkiets dataskyddslag, antagen 2016 och delvis modellerad på GDPR-principer, men med distinkta lokala krav.
VERBIS är det online-register där personuppgiftsansvariga måste deklarera sina databehandlingsaktiviteter innan behandlingen påbörjas.
Utländska företag som behandlar data om turkiska medborgare omfattas av KVKK, oavsett var företaget är baserat.
Från och med den 12 januari 2026 är småskaliga personuppgiftsansvariga med färre än 10 anställda och en årlig balansräkning under 10 miljoner TL undantagna från VERBIS-registrering om deras huvudsakliga verksamhet involverar särskilda kategorier av data. [4]
Registreringsfristen för VERBIS förlängdes till den 5 juni 2026 för organisationer som kvalificerar sig baserat på 2025 års finansiella rapporter. [1]
Från och med den 1 juli 2026 är VERBIS-tjänsterna helt integrerade med Turkiets e-Devlet (e-regering) plattform. [3]
Böter för bristande efterlevnad enligt artikel 18 i KVKK kan nå betydande administrativa böter, och KVKK-myndigheten verkställer dem aktivt.
Samtycke enligt KVKK måste ges fritt, vara specifikt, informerat och entydigt; en samtyckeshanteringsplattform (CMP) är ett praktiskt verktyg för webbaserad efterlevnad.

Vad är KVKK? Turkiets dataskyddslag förklarad

KVKK (Kişisel Verilerin Korunması Kanunu, Lag nr 6698) är Turkiets omfattande lagstiftning för skydd av personuppgifter, antagen den 7 april 2016. Den reglerar hur personuppgifter samlas in, lagras, behandlas, överförs och raderas av personuppgiftsansvariga och personuppgiftsbiträden som verkar i Turkiet.

Lagen inrättade den personuppgiftsansvariga myndigheten (Kişisel Verileri Koruma Kurumu, även förkortad KVKK), den oberoende tillsynsmyndighet som ansvarar för verkställighet, vägledning och VERBIS-registret.

Kärnprinciper enligt KVKK inkluderar:

Laglighet, rättvisa och transparens
Syftesbegränsning (data som samlas in för specificerade, uttryckliga syften)
Dataminimering
Noggrannhet och att hålla data aktuell
Lagringsbegränsning (data som behålls inte längre än nödvändigt)
Integritet och konfidentialitet

Alla enheter som bestämmer syftena och medlen för behandling av personuppgifter kvalificeras som "personuppgiftsansvariga" enligt KVKK och har de primära efterlevnadsansvaret.

KVKK vs. GDPR: Viktiga skillnader och överlappningar i efterlevnad

KVKK delar strukturell DNA med EU:s GDPR, men de två ramverken avviker på flera operativt betydelsefulla sätt. Organisationer som redan är GDPR-kompatibla bör inte anta automatisk KVKK-efterlevnad.

Dimension	KVKK (Turkiet)	GDPR (EU)
Antagen	2016	2018 (verkställighet)
Tillsynsmyndighet	KVKK-myndigheten	Nationella DPA:er per medlemsstat
Dataregister	VERBIS (obligatoriskt för de flesta)	Ingen motsvarande obligatorisk registrering
Dataöverföringar utomlands	Kräver uttryckligt samtycke eller adekvathet	Adekvathetsbeslut eller SCC:er
DPO-krav	Ingen formell DPO-mandat	Obligatoriskt i vissa fall
Brottsanmälan	72 timmar till myndigheten	72 timmar till myndigheten

Viktig avvikelse: KVKK kräver att personuppgiftsansvariga registrerar sig hos VERBIS och proaktivt deklarerar sina behandlingsaktiviteter. GDPR har ingen motsvarande offentlig registreringsskyldighet. Dessutom är KVKK:s regler för gränsöverskridande dataöverföringar mer restriktiva i praktiken, vilket kräver antingen den registrerades uttryckliga samtycke eller ett formellt adekvathetsbeslut, och Turkiet har inte beviljats EU:s adekvathetsstatus.

"GDPR-efterlevnad är en användbar grund, men att göra affärer i Turkiet kräver ett separat lager av KVKK-efterlevnad, särskilt kring VERBIS-registrering och regler för gränsöverskridande överföringar."

Vad är VERBIS och hur fungerar det?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) är det online-register som upprätthålls av KVKK-myndigheten där personuppgiftsansvariga måste registrera sig och deklarera sina personuppgiftsbehandlingsaktiviteter innan behandlingen påbörjas. Tänk på det som en offentlig inventering av vem som behandlar vilken data, för vilket syfte och under vilken lagringspolicy.

Så fungerar VERBIS i praktiken:

Personuppgiftsansvarig skapar ett konto på VERBIS-portalen (nu tillgänglig via Turkiets e-Devlet-plattform från och med den 1 juli 2026). [3]
Ansvarig deklarerar varje kategori av personuppgifter som behandlas, syftet med behandlingen, den rättsliga grunden, datakategorier, mottagargrupper och lagringsperioder.
Deklarationer skickas in och blir en del av det offentliga registret.
Eventuella förändringar i behandlingsaktiviteter måste uppdateras i VERBIS omedelbart.
Underlåtenhet att registrera sig eller uppdatera utlöser påföljder enligt artikel 18 i KVKK. [5]

Den 1 juli 2026 släppte KVKK-myndigheten också uppdaterade versioner av vägledningsdokumentet "Sorularla VERBİS" och den officiella VERBİS Kılavuzu (användarguide) för att hjälpa personuppgiftsansvariga att navigera registreringsskyldigheterna. [2]

Behöver utländska företag följa KVKK?

Ja. KVKK gäller för alla personuppgiftsansvariga som behandlar personuppgifter om individer som befinner sig i Turkiet, oavsett var ansvarig är registrerad eller baserad. Ett tyskt SaaS-företag med turkiska kunder, en amerikansk e-handelsplattform som skickar till Turkiet, eller en brittisk marknadsföringsbyrå som kör kampanjer riktade mot turkiska konsumenter, faller alla inom KVKK:s tillämpningsområde.

Praktiska konsekvenser för utländska företag:

Måste utse en lokal representant i Turkiet om de saknar fysisk närvaro (även om lagens tillämpning på denna punkt fortsätter att utvecklas, konsultera lokal juridisk rådgivning).
Måste följa VERBIS-registreringskraven om inget specifikt undantag gäller.
Gränsöverskridande dataöverföringar utanför Turkiet kräver antingen uttryckligt samtycke från den registrerade eller en formell adekvansmekanism, vilket inte är enkelt för de flesta icke-EU-destinationer.

Vanligt misstag: Utländska företag som antar att GDPR-efterlevnad eller en generell sekretesspolicy täcker deras turkiska användarbas. KVKK kräver jurisdiktionsspecifika avslöjanden, samtyckesmekanismer och registreringsdeklarationer.

VERBIS-registreringskrav: Vem måste registrera sig och hur

De flesta personuppgiftsansvariga över undantagsgränsen för små företag är skyldiga att registrera sig hos VERBIS. Skyldigheten gäller både privata sektorer och offentliga institutioner. [6]

Registrering krävs om den personuppgiftsansvarige:

Har 50 eller fler anställda (heltidsanställda), ELLER
Har en årlig finansiell balansräkning som överstiger 25 miljoner TL, ELLER
Behandlar särskilda kategorier av personuppgifter (hälsa, biometriska data, brottsregister, etc.) oavsett storlek, om inte undantaget för småskaliga företag gäller (se nedan).

För startups och växande företag: Tröskeln baseras på årlig anställdantal och balansräkningsuppgifter. En startup som passerar 50-anställdas gränsen eller balansräkningsgränsen under ett givet år blir skyldig att registrera sig. Registreringen måste slutföras innan behandlingen påbörjas under den nya tröskeln, inte retroaktivt vid årsskiftet.

Steg-för-steg VERBIS-registreringsprocess:

Logga in på VERBIS-portalen via e-Devlet (e-regeringsgateway) med en KEP (registrerad elektronisk post) adress eller behöriga signaturuppgifter. [3]
Fyll i profilen för personuppgiftsansvarig (företagsnamn, juridisk form, kontaktuppgifter, behörig representant).
Skapa en "behandlingsaktivitet" för varje distinkt kategori av personuppgifter som behandlas.
För varje aktivitet, deklarera: datakategori, syfte, rättslig grund, datakategorigrupp, mottagare och lagringsperiod.
Skicka in och få ett VERBIS-registreringsnummer.
Uppdatera registret närhelst behandlingsaktiviteter förändras väsentligt.

KVKK-undantag: Små företag och vilka data som inte omfattas

Inte varje organisation måste registrera sig hos VERBIS. Den 12 januari 2026 klargjorde KVKK-myndigheten undantagskriterierna för småskaliga personuppgiftsansvariga. [4]

Undantag gäller när ALLA tre villkor är uppfyllda:

Färre än 10 anställda
Årlig balansräkning under 10 miljoner TL
Huvudverksamheten involverar behandling av särskilda kategorier av personuppgifter (undantaget var specifikt utformat för små vårdgivare, kliniker och liknande enheter)

Juridisk analys publicerad av CMS Law noterar att detta undantag är snävare än det kan verka vid första anblick, det är inte en generell undantagsregel för små företag utan riktar sig specifikt till enheter vars kärnverksamhet involverar känsliga datakategorier. [7] Erdem & Erdem klargjorde vidare tillämpningsprinciperna för dessa nya undantag. [8]

Datakategorier som inte omfattas av KVKK:

Anonymiserade data (där re-identifikation är omöjlig)
Data som behandlas enbart för personliga eller hushållsändamål (ingen kommersiell verksamhet)
Data som behandlas av rättsliga myndigheter för brottmål (regleras av separat lagstiftning)

Gränsfall: Pseudonymiserade data betraktas fortfarande som personuppgifter enligt KVKK om den ansvarige behåller medlen för att re-identificera individer. Behandla inte pseudonymisering som likvärdig med anonymisering för efterlevnadsändamål.

KVKK:s samtyckeskrav för kunddata

Enligt KVKK måste giltigt samtycke ges fritt, vara specifikt, informerat och entydigt. Samtycke får inte kopplas ihop med acceptans av tjänstevillkor, och förifyllda rutor utgör inte giltigt samtycke.

Samtycke måste vara:

Fritt givet: Ingen tvång eller villkorande av tjänstetillgång på samtycke
Specifikt: Kopplat till ett definierat syfte, inte en generell auktorisering
Informerat: Den registrerade måste veta vem som samlar in data och varför
Entydigt: Kräver en bekräftande åtgärd (klick, signatur, kryssruta)

För webbplatser och digitala plattformar är implementeringen av en efterlevnadsanpassad samtyckeshanteringsplattform det mest praktiska tillvägagångssättet. Biscotti CMP är utformat för att hjälpa webbplatsägare och företag att hantera samtyckesinsamling på ett sätt som är i linje med KVKK och andra dataskyddsramverk, vilket ger revisionsspår och detaljerade samtyckesregister.

Uttryckligt samtycke krävs dessutom för särskilda kategorier av personuppgifter (hälsa, biometriska, genetiska, brottsregister, etc.) och för gränsöverskridande dataöverföringar där ingen adekvathetsmekanism finns.

KVKK:s påföljder och böter för bristande efterlevnad

KVKK:s verkställighet är inte teoretisk. KVKK-myndigheten har utfärdat böter mot både inhemska och utländska enheter. Påföljder regleras av artikel 18 i lagen.

Kategorier av administrativa böter enligt artikel 18:

Underlåtenhet att uppfylla avslöjande skyldigheter: 9,027 TL till 180,536 TL (ungefärlig 2024-gräns; beloppen uppdateras årligen för inflation)
Underlåtenhet att säkerställa dataskydd: 45,135 TL till 9,027,000 TL
Underlåtenhet att följa beslut från KVKK-myndigheten: 45,135 TL till 9,027,000 TL
Underlåtenhet att registrera sig hos VERBIS eller underlåtenhet att uppdatera VERBIS: 39,337 TL till 1,966,862 TL

Obs: Bötesbeloppen indexeras årligen och siffrorna ovan återspeglar publicerade 2024-gränser. Verifiera aktuella siffror med KVKK-myndigheten eller turkisk juridisk rådgivning för verkställighetsåtgärder 2026.

Straffrättsligt ansvar för vissa överträdelser (olaglig behandling, underlåtenhet att radera data) kan leda till fängelse enligt den turkiska strafflagen, en dimension som saknas i GDPR:s verkställighetsverktyg.

KVKK:s regler för anmälan av dataintrång

Enligt KVKK måste personuppgiftsansvariga meddela KVKK-myndigheten inom 72 timmar efter att de blivit medvetna om ett dataintrång. Om intrånget sannolikt kommer att påverka de registrerade negativt, måste dessa individer också meddelas omedelbart.

Checklista för anmälan av intrång:

Identifiera och begränsa intrånget
Bedöm omfattningen och sannolika påverkan på de registrerade
Meddela KVKK-myndigheten inom 72 timmar via det officiella anmälningsformuläret
Dokumentera intrånget internt (vad hände, vilka data påverkades, åtgärder som vidtogs)
Meddela berörda registrerade om det finns en hög risk för skada

Underlåtenhet att meddela inom den angivna tidsramen är i sig en sanktionsbar överträdelse enligt artikel 18.

Vanliga KVKK-efterlevnadsmisstag som företag gör

1. Behandla VERBIS som en engångsuppgift. VERBIS-poster måste uppdateras närhelst behandlingsaktiviteter förändras. Att skaffa en ny CRM, lansera en ny marknadsföringskampanj med olika datakategorier eller onboarda en ny databehandlare kan alla potentiellt kräva VERBIS-uppdateringar.

2. Förlita sig på GDPR-samtycke för turkiska användare. KVKK:s samtyckeskrav har lokala nyanser. En samtyckesbanner optimerad för GDPR kanske inte fångar de specifika avslöjanden som krävs enligt KVKK.

3. Ignorera regler för gränsöverskridande överföringar. Att skicka turkiska kunddata till en amerikansk analysplattform eller molnleverantör utan en giltig överföringsmekanism är en vanlig och ofta straffad överträdelse.

4. Anta småföretagsundantag utan verifiering. Klargörandet i januari 2026 gjorde klart att undantaget är villkorat av att alla tre kriterier uppfylls samtidigt. [4]

5. Ingen datalagringspolicy. KVKK kräver att data raderas, förstörs eller anonymiseras när syftet med behandlingen inte längre finns. Många företag samlar in data på obestämd tid utan en dokumenterad lagringsplan.

FAQ

Q: Är KVKK obligatoriskt för alla företag som verkar i Turkiet? Ja, alla enheter som behandlar personuppgifter om individer i Turkiet omfattas av KVKK, oavsett företagsstorlek eller nationalitet. VERBIS-registrering är obligatorisk för de flesta enheter över undantagsgränsen för små företag.

Q: Vad är registreringsfristen för VERBIS 2026? KVKK-myndigheten förlängde registreringsfristen för VERBIS till den 5 juni 2026 för organisationer som kvalificerar sig baserat på sina finansiella rapporter för 2025. [1] Organisationer som redan uppfyller tidigare trösklar bör redan vara registrerade.

Q: Kan ett utländskt företag få böter enligt KVKK? Ja. KVKK-myndigheten har jurisdiktion över alla personuppgiftsansvariga som behandlar data om turkiska medborgare, inklusive utländska företag. Verkställighet mot utländska enheter är ett utvecklande område, men den juridiska exponeringen är verklig.

Q: Finns det ett alternativ till VERBIS för att deklarera databehandlingsaktiviteter? Nej. VERBIS är det enda obligatoriska registret enligt KVKK. Det finns ingen alternativ mekanism för att uppfylla registreringsskyldigheten för personuppgiftsansvariga.

Q: Hur lång tid tar VERBIS-registreringen? Med e-Devlet-integrationen från och med den 1 juli 2026 kan den tekniska processen slutföras på några timmar för enkla fall. [3] Men det förberedande arbetet, att kartlägga alla databehandlingsaktiviteter, identifiera rättsliga grunder och dokumentera lagringsperioder, tar vanligtvis veckor för medelstora organisationer.

Q: Kräver KVKK en dataskyddsombud (DPO)? KVKK kräver inte en formell DPO-roll motsvarande GDPR:s krav. Men KVKK-myndigheten rekommenderar att personuppgiftsansvariga utser en ansvarig person internt för att hantera efterlevnad.

Q: Vad utgör särskilda kategorier av personuppgifter enligt KVKK? Särskilda kategorier inkluderar: ras, etniskt ursprung, politisk åsikt, filosofisk tro, religion, sekter, hälsodata, sexuell liv, brottsliga domar, biometriska data och genetiska data. Behandling av dessa kategorier kräver uttryckligt samtycke eller en specifik rättslig grund.

Q: Hur hanterar KVKK cookie-samtycke på webbplatser? Cookies som samlar in personuppgifter (analys, reklamidentifierare) kräver giltigt samtycke enligt KVKK. En efterlevnadsanpassad CMP som Biscotti CMP kan hjälpa webbplatsägare att fånga, lagra och hantera cookie-samtycke i enlighet med KVKK:s skyldigheter.

Q: Är offentliga institutioner skyldiga att registrera sig hos VERBIS? Ja. Offentliga institutioner och organisationer är skyldiga att registrera sig hos VERBIS. Registreringsperioden för offentliga enheter började den 1 april 2019, med en slutförandedatum den 30 juni 2020. [6]

Q: Vad händer om ett företag uppdaterar sina behandlingsaktiviteter men inte uppdaterar VERBIS? Underlåtenhet att uppdatera VERBIS för att återspegla aktuella behandlingsaktiviteter betraktas som en överträdelse av efterlevnaden och kan resultera i administrativa böter enligt artikel 18 i KVKK. [5]

Slutsats: Handlingsbara nästa steg för KVKK och VERBIS-efterlevnad

Att göra affärer i Turkiet kräver ett strukturerat, jurisdiktionsspecifikt tillvägagångssätt för dataskydd. KVKK verkställs aktivt, VERBIS-registrering är inte valfritt för de flesta organisationer, och klargörandena om undantag i januari 2026 har snävat in, inte utökat, undantagen för små företag. [4]

Omedelbara åtgärder för organisationer som verkar i Turkiet:

Genomför en datakartläggning. Identifiera varje kategori av personuppgifter som behandlas, dess syfte, rättsliga grund och mottagare.
Bestäm VERBIS-skyldighet. Tillämpa anställdantal och balansräkningsgränser för att bekräfta om registrering krävs. Om du är osäker, registrera dig.
Registrera eller uppdatera VERBIS. Använd den e-Devlet-integrerade VERBIS-portalen för att slutföra eller uppdatera din registrering som personuppgiftsansvarig. [3]
Granska samtyckesmekanismer. Se till att webbplatsens samtyckesbanner och datainsamlingsformulär uppfyller KVKK:s specifika krav. Överväg att implementera Biscotti CMP (www.biscotti-cmp.com) för strukturerad, reviderbar samtyckeshantering.
Granska arrangemang för gränsöverskridande överföringar. Identifiera alla tredje parts behandlare och molntjänster som tar emot turkiska personuppgifter och bedöm den rättsliga grunden för varje överföring.
Etablera en protokoll för intrångsrespons. Dokumentera proceduren för 72-timmarsmeddelande och tilldela internt ansvar.
Engagera lokal juridisk rådgivning. Tolkningen av KVKK fortsätter att utvecklas, och en turkisk dataskyddsjurist kan ge jurisdiktionsspecifik vägledning som ingen allmän efterlevnadsram kan ersätta.

Efterlevnadsmiljön för att göra affärer i Turkiet mognar snabbt. Organisationer som behandlar KVKK som en kryssruta snarare än ett pågående program kommer att finna sig exponerade när verkställigheten intensifieras.