ความยินยอมและแบนเนอร์

ทำธุรกิจในตุรกี? สิ่งที่คุณต้องรู้เกี่ยวกับ KVKK และ VERBIS

7 กรกฎาคม 2569 · 15 อ่าน 1 นาที

คำตอบสั้น ๆ: กฎหมายการคุ้มครองข้อมูลส่วนบุคคลหลักของตุรกี KVKK (กฎหมายหมายเลข 6698) ใช้กับองค์กรใด ๆ ทั้งในประเทศและต่างประเทศที่ประมวลผลข้อมูลส่วนบุคคลของบุคคลในตุรกี VERBIS เป็นทะเบียนผู้ควบคุมข้อมูลที่ต้องลงทะเบียนตาม KVKK องค์กรขนาดกลางถึงขนาดใหญ่ส่วนใหญ่ต้องลงทะเบียนกับ VERBIS หรือเผชิญกับค่าปรับทางการบริหาร ตั้งแต่ปี 2026 กระบวนการลงทะเบียนสามารถเข้าถึงได้ผ่านแพลตฟอร์ม e-Devlet ของตุรกี และเกณฑ์การยกเว้นสำหรับธุรกิจขนาดเล็กได้รับการชี้แจงแล้ว

ประเด็นสำคัญ

KVKK (Kişisel Verilerin Korunması Kanunu) คือกฎหมายการคุ้มครองข้อมูลของตุรกีที่มีผลบังคับใช้ในปี 2016 และมีพื้นฐานบางส่วนจากหลักการของ GDPR แต่มีข้อกำหนดเฉพาะในท้องถิ่น
VERBIS คือทะเบียนออนไลน์ที่ผู้ควบคุมข้อมูลต้องประกาศกิจกรรมการประมวลผลข้อมูลของตนก่อนที่จะเริ่มการประมวลผล
บริษัทต่างชาติที่ประมวลผลข้อมูลของผู้ที่อาศัยอยู่ในตุรกีต้องปฏิบัติตาม KVKK ไม่ว่าจะตั้งอยู่ที่ใด
ตั้งแต่วันที่ 12 มกราคม 2026 ผู้ควบคุมข้อมูลขนาดเล็กที่มีพนักงานน้อยกว่า 10 คนและงบการเงินประจำปีต่ำกว่า 10 ล้าน TL จะได้รับการยกเว้นจากการลงทะเบียน VERBIS หากกิจกรรมหลักของพวกเขาเกี่ยวข้องกับข้อมูลประเภทพิเศษ [4]
กำหนดเวลาการลงทะเบียน VERBIS ได้ขยายไปถึงวันที่ 5 มิถุนายน 2026 สำหรับองค์กรที่มีคุณสมบัติตามงบการเงินปี 2025 [1]
ตั้งแต่วันที่ 1 กรกฎาคม 2026 บริการ VERBIS ได้รวมเข้ากับแพลตฟอร์ม e-Devlet (e-Government) ของตุรกีอย่างเต็มที่ [3]
โทษสำหรับการไม่ปฏิบัติตามตามมาตรา 18 ของ KVKK อาจมีค่าปรับทางการบริหารที่สำคัญ และหน่วยงาน KVKK จะบังคับใช้โทษเหล่านี้อย่างเข้มงวด
การยินยอมตาม KVKK ต้องให้โดยเสรี เฉพาะเจาะจง มีข้อมูลครบถ้วน และไม่คลุมเครือ แพลตฟอร์มการจัดการการยินยอม (CMP) เป็นเครื่องมือที่มีประโยชน์สำหรับการปฏิบัติตามทางเว็บ

KVKK คืออะไร? กฎหมายการคุ้มครองข้อมูลของตุรกีอธิบาย

KVKK (Kişisel Verilerin Korunması Kanunu, กฎหมายหมายเลข 6698) คือกฎหมายการคุ้มครองข้อมูลส่วนบุคคลที่ครอบคลุมของตุรกี ซึ่งมีผลบังคับใช้เมื่อวันที่ 7 เมษายน 2016 กฎหมายนี้กำหนดวิธีการที่ข้อมูลส่วนบุคคลถูกเก็บ รักษา ประมวลผล โอน และลบโดยผู้ควบคุมข้อมูลและผู้ประมวลผลที่ดำเนินงานในตุรกี

กฎหมายนี้ได้จัดตั้งหน่วยงานคุ้มครองข้อมูลส่วนบุคคล (Kişisel Verileri Koruma Kurumu หรือย่อว่า KVKK) ซึ่งเป็นหน่วยงานอิสระที่รับผิดชอบในการบังคับใช้ การให้คำแนะนำ และทะเบียน VERBIS

หลักการสำคัญภายใต้ KVKK ได้แก่:

ความถูกต้องตามกฎหมาย ความยุติธรรม และความโปร่งใส
การจำกัดวัตถุประสงค์ (ข้อมูลที่เก็บรวบรวมเพื่อวัตถุประสงค์ที่กำหนดและชัดเจนเท่านั้น)
การลดข้อมูล
ความถูกต้องและการรักษาข้อมูลให้ทันสมัย
การจำกัดการเก็บรักษา (ข้อมูลจะถูกเก็บรักษาไม่เกินความจำเป็น)
ความสมบูรณ์และความลับ

หน่วยงานใด ๆ ที่กำหนดวัตถุประสงค์และวิธีการในการประมวลผลข้อมูลส่วนบุคคลถือเป็น "ผู้ควบคุมข้อมูล" ตาม KVKK และมีภาระหน้าที่ในการปฏิบัติตามอย่างหลัก

KVKK vs. GDPR: ความแตกต่างที่สำคัญและการทับซ้อนของการปฏิบัติตาม

KVKK มีโครงสร้างที่คล้ายคลึงกับ GDPR ของสหภาพยุโรป แต่ทั้งสองกรอบมีความแตกต่างกันในหลายด้านที่สำคัญต่อการปฏิบัติงาน องค์กรที่ปฏิบัติตาม GDPR อยู่แล้วไม่ควรสันนิษฐานว่าปฏิบัติตาม KVKK โดยอัตโนมัติ

Dimension	KVKK (ตุรกี)	GDPR (สหภาพยุโรป)
มีผลบังคับใช้	2016	2018 (การบังคับใช้)
หน่วยงานกำกับดูแล	หน่วยงาน KVKK	หน่วยงาน DPAs ของแต่ละรัฐสมาชิก
ทะเบียนข้อมูล	VERBIS (บังคับสำหรับส่วนใหญ่)	ไม่มีทะเบียนบังคับที่เทียบเท่า
การโอนข้อมูลไปต่างประเทศ	ต้องการการยินยอมที่ชัดเจนหรือความเหมาะสม	การตัดสินความเหมาะสมหรือ SCCs
ความต้องการ DPO	ไม่มีข้อกำหนด DPO อย่างเป็นทางการ	บังคับในบางกรณี
การแจ้งการละเมิด	72 ชั่วโมงต่อหน่วยงาน	72 ชั่วโมงต่อหน่วยงาน

ความแตกต่างที่สำคัญ: KVKK ต้องการให้ผู้ควบคุมข้อมูลลงทะเบียนกับ VERBIS และประกาศกิจกรรมการประมวลผลของตนอย่างมีการวางแผน GDPR ไม่มีข้อกำหนดในการลงทะเบียนสาธารณะที่เทียบเท่า นอกจากนี้ กฎการโอนข้อมูลข้ามพรมแดนของ KVKK มีความเข้มงวดมากกว่าในทางปฏิบัติ โดยต้องการการยินยอมที่ชัดเจนจากผู้ที่เกี่ยวข้องหรือการตัดสินความเหมาะสมอย่างเป็นทางการ และตุรกียังไม่ได้รับสถานะความเหมาะสมจากสหภาพยุโรป

"การปฏิบัติตาม GDPR เป็นพื้นฐานที่มีประโยชน์ แต่การทำธุรกิจในตุรกีต้องการชั้นการปฏิบัติตาม KVKK แยกต่างหาก โดยเฉพาะในเรื่องการลงทะเบียน VERBIS และกฎการโอนข้ามพรมแดน"

VERBIS คืออะไรและทำงานอย่างไร?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) คือทะเบียนออนไลน์ที่หน่วยงาน KVKK ดูแลซึ่งผู้ควบคุมข้อมูลต้องลงทะเบียนและประกาศกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของตนก่อนที่จะเริ่มการประมวลผล คิดว่าเป็นการจัดทำบัญชีสาธารณะเกี่ยวกับผู้ที่ประมวลผลข้อมูลใด ข้อมูลเพื่อวัตถุประสงค์ใด และภายใต้นโยบายการเก็บรักษาใด

วิธีการทำงานของ VERBIS ในทางปฏิบัติ:

ผู้ควบคุมข้อมูลสร้างบัญชีในพอร์ทัล VERBIS (ซึ่งสามารถเข้าถึงได้ผ่านแพลตฟอร์ม e-Devlet ของตุรกีตั้งแต่วันที่ 1 กรกฎาคม 2026) [3]
ผู้ควบคุมประกาศแต่ละประเภทของข้อมูลส่วนบุคคลที่ประมวลผล วัตถุประสงค์ในการประมวลผล ฐานทางกฎหมาย ประเภทข้อมูล กลุ่มผู้รับ และระยะเวลาในการเก็บรักษา
การประกาศจะถูกส่งและกลายเป็นส่วนหนึ่งของทะเบียนสาธารณะ
การเปลี่ยนแปลงใด ๆ ในกิจกรรมการประมวลผลต้องได้รับการอัปเดตใน VERBIS อย่างรวดเร็ว
การไม่ลงทะเบียนหรือไม่อัปเดตจะทำให้เกิดโทษตามมาตรา 18 ของ KVKK [5]

เมื่อวันที่ 1 กรกฎาคม 2026 หน่วยงาน KVKK ยังได้เผยแพร่เวอร์ชันที่ปรับปรุงของเอกสารแนวทาง "Sorularla VERBİS" และคู่มือ VERBİS Kılavuzu (คู่มือผู้ใช้) เพื่อช่วยผู้ควบคุมข้อมูลในการนำทางภาระหน้าที่การลงทะเบียน [2]

บริษัทต่างชาติจำเป็นต้องปฏิบัติตาม KVKK หรือไม่?

ใช่ KVKK ใช้กับผู้ควบคุมข้อมูลใด ๆ ที่ประมวลผลข้อมูลส่วนบุคคลของบุคคลที่ตั้งอยู่ในตุรกี ไม่ว่าผู้ควบคุมจะจดทะเบียนหรือตั้งอยู่ที่ใด บริษัท SaaS ของเยอรมันที่มีลูกค้าชาวตุรกี แพลตฟอร์มอีคอมเมิร์ซของสหรัฐที่จัดส่งไปตุรกี หรือเอเจนซี่การตลาดของสหราชอาณาจักรที่ดำเนินการแคมเปญที่มุ่งเป้าไปที่ผู้บริโภคชาวตุรกี ล้วนอยู่ภายใต้ขอบเขตของ KVKK

ผลกระทบในทางปฏิบัติสำหรับบริษัทต่างชาติ:

ต้องแต่งตั้งตัวแทนในตุรกีหากไม่มีสถานที่ตั้งจริง (แม้ว่าการบังคับใช้กฎหมายในจุดนี้ยังคงพัฒนาอยู่ ควรปรึกษาทนายความท้องถิ่น)
ต้องปฏิบัติตามข้อกำหนดการลงทะเบียน VERBIS เว้นแต่จะมีการยกเว้นเฉพาะ
การโอนข้อมูลข้ามพรมแดนออกจากตุรกีต้องการการยินยอมที่ชัดเจนจากผู้ที่เกี่ยวข้องหรือกลไกความเหมาะสมอย่างเป็นทางการ ซึ่งไม่ใช่เรื่องง่ายสำหรับจุดหมายปลายทางที่ไม่ใช่สหภาพยุโรปส่วนใหญ่

ข้อผิดพลาดทั่วไป: บริษัทต่างชาติที่สันนิษฐานว่าการปฏิบัติตาม GDPR หรือแถลงการณ์ความเป็นส่วนตัวทั่วไปครอบคลุมฐานผู้ใช้ชาวตุรกี KVKK ต้องการการเปิดเผยข้อมูลเฉพาะเขตอำนาจศาล กลไกการยินยอม และการประกาศในทะเบียน

ข้อกำหนดการลงทะเบียน VERBIS: ใครต้องลงทะเบียนและอย่างไร

ผู้ควบคุมข้อมูลส่วนใหญ่ที่อยู่เหนือเกณฑ์การยกเว้นธุรกิจขนาดเล็กจะต้องลงทะเบียนกับ VERBIS ภาระหน้าที่นี้ใช้กับทั้งหน่วยงานภาคเอกชนและสถาบันสาธารณะ [6]

การลงทะเบียนจำเป็นต้องทำหากผู้ควบคุมข้อมูล:

มีพนักงาน 50 คนขึ้นไป (เทียบเท่าพนักงานเต็มเวลา) หรือ
มียอดรวมงบการเงินประจำปีเกิน 25 ล้าน TL หรือ
ประมวลผลข้อมูลส่วนบุคคลประเภทพิเศษ (สุขภาพ ชีวภาพ บันทึกอาชญากรรม ฯลฯ) โดยไม่คำนึงถึงขนาด เว้นแต่จะมีการยกเว้นขนาดเล็ก (ดูด้านล่าง)

สำหรับสตาร์ทอัพและบริษัทที่กำลังเติบโต: เกณฑ์จะขึ้นอยู่กับจำนวนพนักงานประจำปีและตัวเลขงบการเงิน สตาร์ทอัพที่ข้ามเกณฑ์ 50 คนหรือตัวเลขงบการเงินในปีใดปีหนึ่งจะต้องลงทะเบียน การลงทะเบียนต้องเสร็จก่อนที่จะเริ่มการประมวลผลภายใต้เกณฑ์ใหม่ ไม่ใช่ย้อนหลังในตอนสิ้นปี

ขั้นตอนการลงทะเบียน VERBIS แบบทีละขั้นตอน:

เข้าสู่ระบบพอร์ทัล VERBIS ผ่าน e-Devlet (ทางเข้า e-Government) โดยใช้ที่อยู่ KEP (จดหมายอิเล็กทรอนิกส์ที่ลงทะเบียน) หรือข้อมูลประจำตัวของผู้มีอำนาจ [3]
กรอกข้อมูลโปรไฟล์ผู้ควบคุมข้อมูล (ชื่อบริษัท รูปแบบทางกฎหมาย รายละเอียดการติดต่อ ตัวแทนที่ได้รับอนุญาต)
สร้างรายการ "กิจกรรมการประมวลผล" สำหรับแต่ละประเภทของข้อมูลส่วนบุคคลที่ประมวลผล
สำหรับแต่ละกิจกรรม ประกาศ: ประเภทข้อมูล วัตถุประสงค์ ฐานทางกฎหมาย กลุ่มผู้ที่เกี่ยวข้อง ผู้รับ และระยะเวลาในการเก็บรักษา
ส่งและรับหมายเลขการลงทะเบียน VERBIS
อัปเดตทะเบียนเมื่อกิจกรรมการประมวลผลเปลี่ยนแปลงอย่างมีนัยสำคัญ

การยกเว้น KVKK: ธุรกิจขนาดเล็กและข้อมูลที่ไม่ได้รับการคุ้มครอง

ไม่ใช่องค์กรทุกแห่งที่ต้องลงทะเบียนกับ VERBIS เมื่อวันที่ 12 มกราคม 2026 หน่วยงาน KVKK ได้ชี้แจงเกณฑ์การยกเว้นสำหรับผู้ควบคุมข้อมูลขนาดเล็ก [4]

การยกเว้นจะใช้เมื่อมีการปฏิบัติตามเงื่อนไขทั้งสามข้อ:

มีพนักงานน้อยกว่า 10 คน
ยอดรวมงบการเงินประจำปีต่ำกว่า 10 ล้าน TL
กิจกรรมหลักเกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลประเภทพิเศษ (การยกเว้นนี้ถูกออกแบบมาโดยเฉพาะสำหรับผู้ให้บริการด้านสุขภาพขนาดเล็ก คลินิก และหน่วยงานที่คล้ายกัน)

การวิเคราะห์ทางกฎหมายที่เผยแพร่โดย CMS Law ระบุว่าการยกเว้นนี้แคบกว่าที่อาจปรากฏในตอนแรก ไม่ใช่การยกเว้นธุรกิจขนาดเล็กแบบทั่วไป แต่มีเป้าหมายเฉพาะไปที่หน่วยงานที่ธุรกิจหลักเกี่ยวข้องกับข้อมูลที่ละเอียดอ่อน [7] Erdem & Erdem ได้ชี้แจงหลักการในการประยุกต์ใช้การยกเว้นใหม่เหล่านี้เพิ่มเติม [8]

ประเภทข้อมูลที่ไม่ได้รับการคุ้มครองโดย KVKK:

ข้อมูลที่ไม่สามารถระบุตัวตนได้ (ซึ่งไม่สามารถระบุตัวตนได้อีก)
ข้อมูลที่ประมวลผลเพื่อวัตถุประสงค์ส่วนบุคคลหรือครัวเรือนเท่านั้น (ไม่มีการดำเนินกิจกรรมเชิงพาณิชย์)
ข้อมูลที่ประมวลผลโดยหน่วยงานตุลาการสำหรับกระบวนการทางอาญา (อยู่ภายใต้กฎหมายที่แยกต่างหาก)

กรณีขอบเขต: ข้อมูลที่ถูกทำให้เป็นนามแฝงยังคงถือเป็นข้อมูลส่วนบุคคลภายใต้ KVKK หากผู้ควบคุมยังคงรักษาวิธีการในการระบุตัวตนบุคคลได้ อย่าถือว่าการทำให้เป็นนามแฝงเทียบเท่ากับการทำให้ไม่สามารถระบุตัวตนได้เพื่อวัตถุประสงค์ในการปฏิบัติตาม

ข้อกำหนดการยินยอม KVKK สำหรับข้อมูลลูกค้า

ภายใต้ KVKK การยินยอมที่ถูกต้องต้องให้โดยเสรี เฉพาะเจาะจง มีข้อมูลครบถ้วน และไม่คลุมเครือ การยินยอมไม่สามารถรวมเข้ากับการยอมรับเงื่อนไขการให้บริการ และกล่องที่ติ๊กไว้ล่วงหน้าไม่ถือเป็นการยินยอมที่ถูกต้อง

การยินยอมต้องเป็น:

ให้โดยเสรี: ไม่มีการบังคับหรือการกำหนดการเข้าถึงบริการตามการยินยอม
เฉพาะเจาะจง: ผูกพันกับวัตถุประสงค์ที่กำหนด ไม่ใช่การอนุญาตแบบทั่วไป
มีข้อมูลครบถ้วน: ผู้ที่เกี่ยวข้องต้องรู้ว่าใครกำลังเก็บข้อมูลและทำไม
ไม่คลุมเครือ: ต้องการการกระทำที่ยืนยัน (คลิก ลายเซ็น กล่องเลือก)

สำหรับเว็บไซต์และแพลตฟอร์มดิจิทัล การใช้แพลตฟอร์มการจัดการการยินยอมที่ปฏิบัติตามกฎระเบียบเป็นวิธีที่มีประสิทธิภาพที่สุด Biscotti CMP ถูกออกแบบมาเพื่อช่วยเจ้าของเว็บไซต์และองค์กรในการจัดการการเก็บรวบรวมการยินยอมในลักษณะที่สอดคล้องกับ KVKK และกรอบการคุ้มครองข้อมูลอื่น ๆ โดยให้เส้นทางการตรวจสอบและบันทึกการยินยอมที่ละเอียด

การยินยอมที่ชัดเจน ยังจำเป็นสำหรับข้อมูลส่วนบุคคลประเภทพิเศษ (สุขภาพ ชีวภาพ ยีน บันทึกอาชญากรรม ฯลฯ) และสำหรับการโอนข้อมูลข้ามพรมแดนซึ่งไม่มีกลไกความเหมาะสม

โทษและค่าปรับ KVKK สำหรับการไม่ปฏิบัติตาม

การบังคับใช้ KVKK ไม่ใช่เรื่องทฤษฎี หน่วยงาน KVKK ได้ออกค่าปรับต่อทั้งหน่วยงานในประเทศและต่างประเทศ โทษจะอยู่ภายใต้มาตรา 18 ของกฎหมาย

ประเภทค่าปรับทางการบริหารภายใต้มาตรา 18:

การไม่ปฏิบัติตามภาระหน้าที่ในการเปิดเผยข้อมูล: 9,027 TL ถึง 180,536 TL (ประมาณช่วงปี 2024; จำนวนเงินจะถูกปรับปรุงทุกปีตามอัตราเงินเฟ้อ)
การไม่ปฏิบัติตามการรักษาความปลอดภัยข้อมูล: 45,135 TL ถึง 9,027,000 TL
การไม่ปฏิบัติตามคำตัดสินของหน่วยงาน KVKK: 45,135 TL ถึง 9,027,000 TL
การไม่ลงทะเบียนกับ VERBIS หรือการไม่อัปเดต VERBIS: 39,337 TL ถึง 1,966,862 TL

หมายเหตุ: จำนวนเงินค่าปรับจะถูกปรับตามดัชนีทุกปีและตัวเลขข้างต้นสะท้อนถึงช่วงที่เผยแพร่ในปี 2024 ตรวจสอบตัวเลขปัจจุบันกับหน่วยงาน KVKK หรือทนายความชาวตุรกีสำหรับการบังคับใช้ในปี 2026

ความรับผิดทางอาญา สำหรับการละเมิดบางประการ (การประมวลผลที่ผิดกฎหมาย การไม่ลบข้อมูล) อาจส่งผลให้ถูกจำคุกตามประมวลกฎหมายอาญาของตุรกี ซึ่งเป็นมิติที่ไม่มีในเครื่องมือการบังคับใช้ของ GDPR

กฎการแจ้งการละเมิดข้อมูล KVKK

ภายใต้ KVKK ผู้ควบคุมข้อมูลต้องแจ้งหน่วยงาน KVKK ภายใน 72 ชั่วโมงหลังจากที่ทราบถึงการละเมิดข้อมูลส่วนบุคคล หากการละเมิดมีแนวโน้มที่จะส่งผลกระทบต่อผู้ที่เกี่ยวข้อง ผู้ที่เกี่ยวข้องเหล่านั้นต้องได้รับการแจ้งเตือนอย่างรวดเร็ว

รายการตรวจสอบการแจ้งการละเมิด:

ระบุและควบคุมการละเมิด
ประเมินขอบเขตและผลกระทบที่อาจเกิดขึ้นต่อผู้ที่เกี่ยวข้อง
แจ้งหน่วยงาน KVKK ภายใน 72 ชั่วโมงผ่านแบบฟอร์มการแจ้งอย่างเป็นทางการ
บันทึกการละเมิดภายใน (เกิดอะไรขึ้น ข้อมูลใดได้รับผลกระทบ ขั้นตอนการแก้ไข)
แจ้งผู้ที่เกี่ยวข้องหากมีความเสี่ยงสูงที่จะเกิดอันตราย

การไม่แจ้งภายในเวลาที่กำหนดถือเป็นการละเมิดที่สามารถถูกลงโทษตามมาตรา 18

ข้อผิดพลาดทั่วไปในการปฏิบัติตาม KVKK ที่ธุรกิจทำ

1. ถือว่า VERBIS เป็นงานครั้งเดียว รายการใน VERBIS ต้องได้รับการอัปเดตเมื่อกิจกรรมการประมวลผลเปลี่ยนแปลง การได้ CRM ใหม่ การเปิดตัวแคมเปญการตลาดใหม่ที่มีประเภทข้อมูลที่แตกต่างกัน หรือการนำผู้ประมวลผลข้อมูลใหม่เข้ามาทั้งหมดอาจต้องการการอัปเดต VERBIS

2. พึ่งพาการยินยอมของ GDPR สำหรับผู้ใช้ชาวตุรกี ข้อกำหนดการยินยอมของ KVKK มีความแตกต่างในท้องถิ่น แบนเนอร์การยินยอมที่ปรับให้เหมาะกับ GDPR อาจไม่สามารถจับข้อมูลเฉพาะที่จำเป็นภายใต้ KVKK ได้

3. มองข้ามกฎการโอนข้ามพรมแดน การส่งข้อมูลลูกค้าชาวตุรกีไปยังแพลตฟอร์มวิเคราะห์หรือผู้ให้บริการคลาวด์ที่ตั้งอยู่ในสหรัฐอเมริกาโดยไม่มีกลไกการโอนที่ถูกต้องเป็นการละเมิดที่พบบ่อยและมักถูกลงโทษ

4. สันนิษฐานว่ามีการยกเว้นธุรกิจขนาดเล็กโดยไม่ตรวจสอบ การชี้แจงในเดือนมกราคม 2026 ทำให้ชัดเจนว่าการยกเว้นนั้นขึ้นอยู่กับการปฏิบัติตามเงื่อนไขทั้งสามข้อพร้อมกัน [4]

5. ไม่มีนโยบายการเก็บรักษาข้อมูล KVKK กำหนดให้ข้อมูลต้องถูกลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวตนได้เมื่อวัตถุประสงค์ในการประมวลผลไม่อีกต่อไป หลายธุรกิจเก็บข้อมูลไปตลอดกาลโดยไม่มีตารางการเก็บรักษาที่ถูกต้อง

FAQ

Q: KVKK เป็นข้อบังคับสำหรับธุรกิจทั้งหมดที่ดำเนินงานในตุรกีหรือไม่? ใช่ องค์กรใด ๆ ที่ประมวลผลข้อมูลส่วนบุคคลของบุคคลในตุรกีต้องปฏิบัติตาม KVKK ไม่ว่าจะมีขนาดหรือสัญชาติใด การลงทะเบียน VERBIS เป็นข้อบังคับสำหรับหน่วยงานส่วนใหญ่ที่อยู่เหนือเกณฑ์การยกเว้นธุรกิจขนาดเล็ก

Q: กำหนดเวลาการลงทะเบียน VERBIS ในปี 2026 คือเมื่อไหร่? หน่วยงาน KVKK ได้ขยายกำหนดเวลาการลงทะเบียน VERBIS ไปจนถึงวันที่ 5 มิถุนายน 2026 สำหรับองค์กรที่มีคุณสมบัติตามงบการเงินปี 2025 [1] องค์กรที่ได้ปฏิบัติตามเกณฑ์ก่อนหน้านี้ควรจะลงทะเบียนแล้ว

Q: บริษัทต่างชาติสามารถถูกปรับภายใต้ KVKK ได้หรือไม่? ใช่ หน่วยงาน KVKK มีเขตอำนาจเหนือผู้ควบคุมข้อมูลใด ๆ ที่ประมวลผลข้อมูลของผู้ที่อาศัยอยู่ในตุรกี รวมถึงบริษัทต่างชาติ การบังคับใช้ต่อหน่วยงานต่างชาติเป็นพื้นที่ที่กำลังพัฒนา แต่ความเสี่ยงทางกฎหมายเป็นเรื่องจริง

Q: มีทางเลือกอื่นสำหรับ VERBIS ในการประกาศกิจกรรมการประมวลผลข้อมูลหรือไม่? ไม่มี VERBIS เป็นทะเบียนบังคับเพียงแห่งเดียวภายใต้ KVKK ไม่มีกลไกทางเลือกในการปฏิบัติตามข้อกำหนดการลงทะเบียนผู้ควบคุมข้อมูล

Q: การลงทะเบียน VERBIS ใช้เวลานานเท่าไหร่? ด้วยการรวมเข้ากับ e-Devlet ตั้งแต่วันที่ 1 กรกฎาคม 2026 กระบวนการทางเทคนิคสามารถเสร็จสิ้นในไม่กี่ชั่วโมงสำหรับกรณีที่ตรงไปตรงมา [3] อย่างไรก็ตาม งานเตรียมการ เช่น การทำแผนที่กิจกรรมการประมวลผลข้อมูลทั้งหมด การระบุฐานทางกฎหมาย และการบันทึกระยะเวลาในการเก็บรักษา มักใช้เวลาหลายสัปดาห์สำหรับองค์กรขนาดกลาง

Q: KVKK ต้องการเจ้าหน้าที่คุ้มครองข้อมูล (DPO) หรือไม่? KVKK ไม่กำหนดบทบาท DPO อย่างเป็นทางการเทียบเท่ากับข้อกำหนดของ GDPR อย่างไรก็ตาม หน่วยงาน KVKK แนะนำให้ผู้ควบคุมข้อมูลแต่งตั้งบุคคลที่รับผิดชอบภายในเพื่อจัดการการปฏิบัติตาม

Q: ข้อมูลประเภทพิเศษภายใต้ KVKK คืออะไร? ประเภทพิเศษรวมถึง: เชื้อชาติ แหล่งกำเนิดชาติพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อทางปรัชญา ศาสนา นิกาย ข้อมูลสุขภาพ ชีวิตทางเพศ การตัดสินลงโทษทางอาญา ข้อมูลชีวภาพ และข้อมูลทางพันธุกรรม การประมวลผลข้อมูลเหล่านี้ต้องการการยินยอมที่ชัดเจนหรือฐานทางกฎหมายเฉพาะ

Q: KVKK จัดการการยินยอมคุกกี้บนเว็บไซต์อย่างไร? คุกกี้ที่เก็บข้อมูลส่วนบุคคล (การวิเคราะห์ ตัวระบุโฆษณา) ต้องการการยินยอมที่ถูกต้องภายใต้ KVKK CMP ที่ปฏิบัติตาม เช่น Biscotti CMP สามารถช่วยเจ้าของเว็บไซต์ในการจับ เก็บ และจัดการการยินยอมคุกกี้ให้สอดคล้องกับข้อกำหนดของ KVKK

Q: หน่วยงานสาธารณะต้องลงทะเบียนกับ VERBIS หรือไม่? ใช่ หน่วยงานสาธารณะและองค์กรต้องลงทะเบียนกับ VERBIS ระยะเวลาการลงทะเบียนสำหรับหน่วยงานสาธารณะเริ่มตั้งแต่วันที่ 1 เมษายน 2019 โดยมีเส้นตายในการเสร็จสิ้นภายในวันที่ 30 มิถุนายน 2020 [6]

Q: จะเกิดอะไรขึ้นหากบริษัทอัปเดตกิจกรรมการประมวลผลแต่ไม่อัปเดต VERBIS? การไม่อัปเดต VERBIS เพื่อสะท้อนกิจกรรมการประมวลผลในปัจจุบันถือเป็นการละเมิดการปฏิบัติตามและอาจส่งผลให้เกิดค่าปรับทางการบริหารตามมาตรา 18 ของ KVKK [5]

สรุป: ขั้นตอนที่สามารถดำเนินการได้สำหรับการปฏิบัติตาม KVKK และ VERBIS

การทำธุรกิจในตุรกีต้องการแนวทางที่มีโครงสร้างและเฉพาะเขตอำนาจศาลในการคุ้มครองข้อมูล KVKK ถูกบังคับใช้อย่างเข้มงวด การลงทะเบียน VERBIS ไม่ใช่ทางเลือกสำหรับองค์กรส่วนใหญ่ และการชี้แจงการยกเว้นในเดือนมกราคม 2026 ได้ทำให้การยกเว้นสำหรับธุรกิจขนาดเล็กแคบลง ไม่ได้ขยายออกไป [4]

การดำเนินการทันทีสำหรับองค์กรที่ดำเนินงานในตุรกี:

ดำเนินการทำแผนที่ข้อมูล ระบุประเภทข้อมูลส่วนบุคคลที่ประมวลผลแต่ละประเภท วัตถุประสงค์ ฐานทางกฎหมาย และผู้รับ
กำหนดภาระหน้าที่ VERBIS ใช้จำนวนพนักงานและเกณฑ์งบการเงินเพื่อยืนยันว่าจำเป็นต้องลงทะเบียนหรือไม่ หากไม่แน่ใจให้ลงทะเบียน
ลงทะเบียนหรืออัปเดต VERBIS ใช้พอร์ทัล VERBIS ที่รวมเข้ากับ e-Devlet เพื่อเสร็จสิ้นหรืออัปเดตการลงทะเบียนผู้ควบคุมข้อมูลของคุณ [3]
ตรวจสอบกลไกการยินยอม ให้แน่ใจว่าแบนเนอร์การยินยอมบนเว็บไซต์และแบบฟอร์มการเก็บข้อมูลตรงตามข้อกำหนดเฉพาะของ KVKK พิจารณาการใช้ Biscotti CMP (www.biscotti-cmp.com) สำหรับการจัดการการยินยอมที่มีโครงสร้างและสามารถตรวจสอบได้
ตรวจสอบการจัดการการโอนข้ามพรมแดน ระบุผู้ประมวลผลและบริการคลาวด์ทั้งหมดที่ได้รับข้อมูลส่วนบุคคลของตุรกีและประเมินฐานทางกฎหมายสำหรับการโอนแต่ละครั้ง
จัดตั้งโปรโตคอลการตอบสนองต่อการละเมิด บันทึกขั้นตอนการแจ้งภายใน 72 ชั่วโมงและกำหนดความรับผิดชอบภายใน
ปรึกษาทนายความท้องถิ่น การตีความ KVKK ยังคงพัฒนาอยู่ และทนายความด้านการคุ้มครองข้อมูลชาวตุรกีสามารถให้คำแนะนำเฉพาะเขตอำนาจศาลที่ไม่มีกรอบการปฏิบัติตามทั่วไปใด ๆ สามารถทดแทนได้

ภูมิทัศน์การปฏิบัติตามกฎระเบียบสำหรับการทำธุรกิจในตุรกีกำลังพัฒนาอย่างรวดเร็ว องค์กรที่ถือว่า KVKK เป็นการดำเนินการเพียงครั้งเดียวแทนที่จะเป็นโปรแกรมที่ต่อเนื่องจะพบว่าตนเองมีความเสี่ยงเมื่อการบังคับใช้เข้มงวดขึ้น