Згода та банери

Ведення бізнесу в Туреччині? Що потрібно знати про KVKK та VERBIS

7 липня 2026 р. · 15 хв читання

Швидка відповідь: Основний закон Туреччини про захист даних, KVKK (Закон № 6698), застосовується до будь-якої організації, як вітчизняної, так і іноземної, яка обробляє персональні дані осіб у Туреччині. VERBIS — це обов'язковий реєстр контролерів даних відповідно до KVKK. Більшість середніх і великих організацій повинні зареєструватися в VERBIS або зіткнутися з адміністративними штрафами. Станом на 2026 рік процес реєстрації доступний через платформу e-Devlet Туреччини, а пороги винятків для малих підприємств були уточнені.

Основні висновки

KVKK (Kişisel Verilerin Korunması Kanunu) — це закон Туреччини про захист даних, прийнятий у 2016 році, частково заснований на принципах GDPR, але з чіткими місцевими вимогами.
VERBIS — це онлайн-реєстр, де контролери даних повинні оголосити свої діяльності з обробки даних перед початком обробки.
Іноземні компанії, які обробляють дані резидентів Туреччини, підлягають KVKK, незалежно від того, де зареєстрована компанія.
Станом на 12 січня 2026 року, контролери даних малого масштабу з менш ніж 10 працівниками та річним балансом нижче 10 мільйонів TL звільняються від реєстрації в VERBIS, якщо їх основна діяльність пов'язана зі спеціальними категоріями даних. [4]
Термін реєстрації в VERBIS був продовжений до 5 червня 2026 року для організацій, які відповідають критеріям на основі фінансових звітів за 2025 рік. [1]
Станом на 1 липня 2026 року, послуги VERBIS повністю інтегровані з платформою e-Devlet Туреччини (електронний уряд). [3]
Штрафи за невиконання вимог відповідно до статті 18 KVKK можуть досягати значних адміністративних штрафів, і орган влади KVKK активно їх застосовує.
Згода відповідно до KVKK повинна бути вільно надана, конкретною, інформованою та однозначною, платформа управління згодою (CMP) є практичним інструментом для веб-дотримання.

Що таке KVKK? Пояснення закону Туреччини про захист даних

KVKK (Kişisel Verilerin Korunması Kanunu, Закон № 6698) — це всебічний закон Туреччини про захист персональних даних, прийнятий 7 квітня 2016 року. Він регулює, як персональні дані збираються, зберігаються, обробляються, передаються та видаляються контролерами даних і обробниками, які діють у Туреччині.

Закон встановив Орган влади захисту персональних даних (Kişisel Verileri Koruma Kurumu, також скорочено KVKK), незалежний наглядовий орган, відповідальний за виконання, надання рекомендацій та реєстр VERBIS.

Основні принципи відповідно до KVKK включають:

Законність, справедливість та прозорість
Обмеження мети (дані збираються лише для визначених, чітких цілей)
Мінімізація даних
Точність та актуальність даних
Обмеження зберігання (дані зберігаються не довше, ніж це необхідно)
Цілісність та конфіденційність

Будь-яка особа, яка визначає цілі та засоби обробки персональних даних, кваліфікується як "контролер даних" відповідно до KVKK і несе основні зобов'язання щодо дотримання.

KVKK проти GDPR: Основні відмінності та перекриття дотримання

KVKK має структурну ДНК з GDPR ЄС, але два рамки розходяться в кількох операційно значущих аспектах. Організації, які вже дотримуються GDPR, не повинні припускати автоматичне дотримання KVKK.

Вимірювання	KVKK (Туреччина)	GDPR (ЄС)
Прийнято	2016	2018 (виконання)
Наглядовий орган	Орган влади KVKK	Національні DPA відповідно до держави-члена
Реєстр даних	VERBIS (обов'язковий для більшості)	Немає еквівалентного обов'язкового реєстру
Передача даних за кордон	Вимагає явної згоди або адекватності	Рішення про адекватність або SCC
Вимога DPO	Немає формальної вимоги DPO	Обов'язкова в певних випадках
Повідомлення про порушення	72 години до органу	72 години до органу

Ключова відмінність: KVKK вимагає, щоб контролери даних реєструвалися в VERBIS і проактивно оголошували свої діяльності з обробки. GDPR не має еквівалентного обов'язку публічного реєстру. Крім того, правила передачі даних за кордон у KVKK є більш обмежувальними на практиці, вимагаючи або явної згоди суб'єкта даних, або формального рішення про адекватність, і Туреччина не отримала статусу адекватності від ЄС.

"Дотримання GDPR є корисною основою, але ведення бізнесу в Туреччині вимагає окремого рівня дотримання KVKK, особливо щодо реєстрації в VERBIS та правил передачі даних за кордон."

Що таке VERBIS і як він працює?

VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) — це онлайн-реєстр, що підтримується Органом влади KVKK, де контролери даних повинні зареєструватися та оголосити свої діяльності з обробки персональних даних перед початком обробки. Уявіть це як публічний реєстр, хто обробляє які дані, з якою метою та за якою політикою зберігання.

Як VERBIS працює на практиці:

Контролер даних створює обліковий запис на порталі VERBIS (тепер доступний через платформу e-Devlet Туреччини з 1 липня 2026 року). [3]
Контролер оголошує кожну категорію оброблюваних персональних даних, мету обробки, правову основу, категорії даних, групи отримувачів та терміни зберігання.
Оголошення подаються та стають частиною публічного реєстру.
Будь-які зміни в діяльності з обробки повинні бути оперативно оновлені в VERBIS.
Невиконання реєстрації або оновлення призводить до штрафів відповідно до статті 18 KVKK. [5]

1 липня 2026 року Орган влади KVKK також випустив оновлені версії документа "Sorularla VERBİS" та офіційного VERBİS Kılavuzu (посібник користувача), щоб допомогти контролерам даних орієнтуватися в зобов'язаннях щодо реєстрації. [2]

Чи потрібне дотримання KVKK іноземним компаніям?

Так. KVKK застосовується до будь-якого контролера даних, який обробляє персональні дані осіб, що знаходяться в Туреччині, незалежно від того, де зареєстрований або базується контролер. Німецька SaaS-компанія з турецькими клієнтами, американська електронна комерційна платформа, що постачає в Туреччину, або британське маркетингове агентство, що проводить кампанії, спрямовані на турецьких споживачів, всі підпадають під дію KVKK.

Практичні наслідки для іноземних компаній:

Потрібно призначити місцевого представника в Туреччині, якщо у них немає фізичної присутності (хоча реалізація закону в цій частині продовжує еволюціонувати, проконсультуйтеся з місцевим юридичним радником).
Потрібно дотримуватися вимог реєстрації в VERBIS, якщо не застосовується конкретне виключення.
Передача даних за кордон з Туреччини вимагає або явної згоди суб'єкта даних, або формального механізму адекватності, жоден з яких не є простим для більшості країн, що не входять до ЄС.

Поширена помилка: Іноземні компанії вважають, що дотримання GDPR або загальна політика конфіденційності охоплює їх турецьку користувацьку базу. KVKK вимагає специфічних для юрисдикції розкриттів, механізмів згоди та оголошень у реєстрі.

Вимоги до реєстрації VERBIS: хто повинен реєструватися і як

Більшість контролерів даних, які перевищують поріг винятку для малих підприємств, зобов'язані зареєструватися в VERBIS. Це зобов'язання стосується як приватного сектора, так і державних установ. [6]

Реєстрація є обов'язковою, якщо контролер даних:

Має 50 або більше працівників (еквівалент повного робочого дня), АБО
Має річний фінансовий баланс, що перевищує 25 мільйонів TL, АБО
Обробляє спеціальні категорії персональних даних (дані про здоров'я, біометричні дані, кримінальні записи тощо) незалежно від розміру, якщо не застосовується виняток для малих підприємств (див. нижче).

Для стартапів та зростаючих компаній: Поріг базується на річній кількості працівників та фінансових показниках. Стартап, який перевищує позначку в 50 працівників або поріг балансу в певному році, стає зобов'язаним зареєструватися. Реєстрацію потрібно завершити до початку обробки відповідно до нового порогу, а не ретроактивно в кінці року.

Покроковий процес реєстрації VERBIS:

Увійдіть до порталу VERBIS через e-Devlet (портал електронного уряду) за допомогою адреси KEP (зареєстрована електронна пошта) або повноважень уповноваженого підписанта. [3]
Заповніть профіль контролера даних (назва компанії, юридична форма, контактні дані, уповноважений представник).
Створіть запис "діяльності з обробки" для кожної окремої категорії оброблюваних персональних даних.
Для кожної діяльності оголосіть: категорію даних, мету, правову основу, групу суб'єктів даних, отримувачів та термін зберігання.
Подайте та отримайте номер реєстрації VERBIS.
Оновлюйте реєстр щоразу, коли діяльність з обробки змінюється суттєво.

Винятки KVKK: Малі підприємства та які дані не підлягають

Не кожна організація повинна реєструватися в VERBIS. 12 січня 2026 року Орган влади KVKK уточнив критерії винятків для контролерів даних малого масштабу. [4]

Виняток застосовується, коли виконуються ВСІ три умови:

Менше 10 працівників
Річний баланс нижче 10 мільйонів TL
Основна діяльність пов'язана з обробкою спеціальних категорій персональних даних (виняток був спеціально розроблений для малих постачальників медичних послуг, клінік та подібних установ)

Юридичний аналіз, опублікований CMS Law, зазначає, що цей виняток є вужчим, ніж може здаватися на перший погляд, він не є загальним винятком для малих підприємств, а спеціально націлений на суб'єкти, чия основна діяльність пов'язана з чутливими категоріями даних. [7] Erdem & Erdem додатково уточнили принципи застосування цих нових винятків. [8]

Категорії даних, які не охоплюються KVKK:

Анонімізовані дані (де повторна ідентифікація неможлива)
Дані, оброблені виключно для особистих або домашніх цілей (без комерційної діяльності)
Дані, оброблені судовими органами для кримінальних проваджень (регулюються окремим законодавством)

Крайній випадок: Псевдонімізовані дані все ще вважаються персональними даними відповідно до KVKK, якщо контролер зберігає засоби для повторної ідентифікації осіб. Не розглядайте псевдонімізацію як еквівалент анонімізації для цілей дотримання.

Вимоги до згоди KVKK для даних клієнтів

Відповідно до KVKK, дійсна згода повинна бути вільно надана, конкретною, інформованою та однозначною. Згода не може бути об'єднана з прийняттям умов обслуговування, а попередньо відмічені поля не є дійсною згодою.

Згода повинна бути:

Вільно надана: Без примусу або умовлення доступу до послуги на основі згоди
Конкретною: Прив'язана до визначеної мети, а не загального дозволу
Інформованою: Суб'єкт даних повинен знати, хто збирає дані і чому
Однозначною: Вимагає активної дії (клік, підпис, галочка)

Для веб-сайтів та цифрових платформ впровадження відповідної платформи управління згодою є найпрактичнішим підходом. Biscotti CMP розроблена для допомоги власникам веб-сайтів та підприємствам у керуванні збором згоди у спосіб, що відповідає KVKK та іншим рамкам захисту даних, надаючи аудиторські сліди та детальні записи згоди.

Явна згода також вимагається для спеціальних категорій персональних даних (дані про здоров'я, біометричні, генетичні, кримінальні записи тощо) та для передачі даних за кордон, де немає механізму адекватності.

Штрафи та покарання KVKK за невиконання

Виконання KVKK не є теоретичним. Орган влади KVKK наклав штрафи на як вітчизняні, так і на іноземні суб'єкти. Штрафи регулюються статтею 18 закону.

Категорії адміністративних штрафів відповідно до статті 18:

Невиконання зобов'язань щодо розкриття: 9,027 TL до 180,536 TL (приблизний діапазон 2024 року; суми оновлюються щорічно з урахуванням інфляції)
Невиконання вимог щодо забезпечення безпеки даних: 45,135 TL до 9,027,000 TL
Невиконання рішень Органу влади KVKK: 45,135 TL до 9,027,000 TL
Невиконання реєстрації в VERBIS або невиконання оновлення VERBIS: 39,337 TL до 1,966,862 TL

Примітка: Суми штрафів щорічно індексуються, і наведені вище цифри відображають опубліковані діапазони 2024 року. Перевірте актуальні цифри з Органом влади KVKK або турецьким юридичним радником для дій у 2026 році.

Кримінальна відповідальність за певні порушення (незаконна обробка, невиконання видалення даних) може призвести до ув'язнення відповідно до Турецького кримінального кодексу, що є аспектом, відсутнім у інструментах виконання GDPR.

Правила повідомлення про порушення даних KVKK

Відповідно до KVKK, контролери даних повинні повідомити Орган влади KVKK протягом 72 годин після того, як дізнаються про порушення персональних даних. Якщо порушення може негативно вплинути на суб'єктів даних, ці особи також повинні бути своєчасно повідомлені.

Контрольний список повідомлення про порушення:

Визначити та локалізувати порушення
Оцінити обсяг та ймовірний вплив на суб'єктів даних
Повідомити Орган влади KVKK протягом 72 годин за допомогою офіційної форми повідомлення
Документувати порушення внутрішньо (що сталося, які дані були під впливом, кроки з виправлення)
Повідомити постраждалих суб'єктів даних, якщо існує високий ризик шкоди

Невиконання повідомлення протягом вимогливого терміну є санкціонованим порушенням відповідно до статті 18.

Поширені помилки дотримання KVKK, які роблять бізнеси

1. Вважати VERBIS одноразовим завданням. Записи в VERBIS повинні оновлюватися щоразу, коли змінюється діяльність з обробки. Придбання нової CRM, запуск нової маркетингової кампанії з різними категоріями даних або залучення нового обробника даних можуть вимагати оновлення VERBIS.

2. Сподіватися на згоду GDPR для турецьких користувачів. Вимоги до згоди KVKK мають місцеві нюанси. Банер згоди, оптимізований для GDPR, може не охоплювати специфічні розкриття, вимагатимуться відповідно до KVKK.

3. Ігнорувати правила передачі даних за кордон. Відправка даних турецьких клієнтів на аналітичну платформу або хмарного постачальника, що базується в США, без дійсного механізму передачі є поширеним і часто караним порушенням.

4. Припускати виняток для малих підприємств без перевірки. Уточнення січня 2026 року чітко вказало, що виняток є умовним, якщо всі три критерії виконуються одночасно. [4]

5. Відсутність політики зберігання даних. KVKK вимагає, щоб дані були видалені, знищені або анонімізовані, коли мета обробки більше не існує. Багато бізнесів збирають дані безстроково без документованого графіка зберігання.

Питання та відповіді

Q: Чи є KVKK обов'язковим для всіх бізнесів, що працюють у Туреччині? Так, будь-яка особа, яка обробляє персональні дані осіб у Туреччині, підлягає KVKK, незалежно від розміру компанії або національності. Реєстрація в VERBIS є обов'язковою для більшості суб'єктів, які перевищують поріг винятку для малих підприємств.

Q: Який термін реєстрації VERBIS у 2026 році? Орган влади KVKK продовжив термін реєстрації в VERBIS до 5 червня 2026 року для організацій, які відповідають критеріям на основі фінансових звітів за 2025 рік. [1] Організації, які вже відповідали попереднім критеріям, повинні бути зареєстровані.

Q: Чи може іноземна компанія бути оштрафована відповідно до KVKK? Так. Орган влади KVKK має юрисдикцію над будь-яким контролером даних, що обробляє дані резидентів Туреччини, включаючи іноземні компанії. Виконання щодо іноземних суб'єктів є еволюційною областю, але юридична відповідальність є реальною.

Q: Чи є альтернатива VERBIS для оголошення діяльності з обробки даних? Ні. VERBIS є єдиним обов'язковим реєстром відповідно до KVKK. Немає альтернативного механізму для виконання зобов'язання щодо реєстрації контролера даних.

Q: Скільки часу займає реєстрація в VERBIS? З інтеграцією e-Devlet з 1 липня 2026 року технічний процес може бути завершено за кілька годин для простих випадків. [3] Однак підготовча робота, картографування всіх діяльностей з обробки даних, визначення правових основ та документування термінів зберігання зазвичай займає тижні для середніх організацій.

Q: Чи вимагає KVKK призначення Офіцера з захисту даних (DPO)? KVKK не вимагає формальної ролі DPO, еквівалентної вимозі GDPR. Однак Орган влади KVKK рекомендує контролерам даних призначити відповідальну особу всередині для управління дотриманням.

Q: Що є спеціальними категоріями персональних даних відповідно до KVKK? Спеціальні категорії включають: расу, етнічне походження, політичну думку, філософське переконання, релігію, секту, дані про здоров'я, сексуальне життя, кримінальні вироки, біометричні дані та генетичні дані. Обробка цих категорій вимагає явної згоди або конкретної правової основи.

Q: Як KVKK регулює згоду на куки на веб-сайтах? Куки, які збирають персональні дані (аналітика, рекламні ідентифікатори), вимагають дійсної згоди відповідно до KVKK. Відповідна CMP, така як Biscotti CMP, може допомогти власникам веб-сайтів захоплювати, зберігати та управляти згодою на куки відповідно до зобов'язань KVKK.

Q: Чи зобов'язані державні установи реєструватися в VERBIS? Так. Державні установи та організації зобов'язані реєструватися в VERBIS. Період реєстрації для державних суб'єктів розпочався 1 квітня 2019 року, з терміном завершення до 30 червня 2020 року. [6]

Q: Що станеться, якщо компанія оновить свою діяльність з обробки, але не оновить VERBIS? Невиконання оновлення VERBIS для відображення поточної діяльності з обробки розглядається як порушення дотримання і може призвести до адміністративних штрафів відповідно до статті 18 KVKK. [5]

Висновок: Дії для дотримання KVKK та VERBIS

Ведення бізнесу в Туреччині вимагає структурованого, специфічного для юрисдикції підходу до захисту даних. KVKK активно виконується, реєстрація в VERBIS не є необов'язковою для більшості організацій, а уточнення винятків січня 2026 року звузили, а не розширили, винятки для малих підприємств. [4]

Негайні дії для організацій, що працюють у Туреччині:

Проведіть вправу з картографування даних. Визначте кожну категорію оброблюваних персональних даних, її мету, правову основу та отримувача.
Визначте зобов'язання щодо VERBIS. Застосуйте пороги кількості працівників та балансу, щоб підтвердити, чи потрібна реєстрація. Якщо є сумніви, зареєструйтеся.
Зареєструйтеся або оновіть VERBIS. Використовуйте інтегрований з e-Devlet портал VERBIS для завершення або оновлення реєстрації контролера даних. [3]
Аудит механізмів згоди. Переконайтеся, що банери згоди на веб-сайті та форми збору даних відповідають специфічним вимогам KVKK. Розгляньте можливість впровадження Biscotti CMP (www.biscotti-cmp.com) для структурованого, аудиторного управління згодою.
Перегляньте угоди про передачу даних за кордон. Визначте всіх третіх осіб-обробників та хмарні сервіси, які отримують персональні дані Туреччини, і оцініть правову основу для кожної передачі.
Встановіть протокол реагування на порушення. Документуйте процедуру повідомлення протягом 72 годин та призначте внутрішню відповідальність.
Залучіть місцевого юридичного радника. Тлумачення KVKK продовжує еволюціонувати, і турецький юрист з захисту даних може надати специфічні для юрисдикції рекомендації, які не може замінити жодна загальна рамка дотримання.

Ландшафт дотримання вимог для ведення бізнесу в Туреччині швидко розвивається. Організації, які розглядають KVKK як формальність, а не як постійну програму, виявлять себе вразливими, оскільки виконання посилюється.