同意與橫幅

在土耳其經商？您需要了解的KVKK和VERBIS

2026年7月7日 · 15 分鐘閱讀

快速回答： 土耳其的主要數據保護法KVKK（法第6698號）適用於任何處理土耳其個人數據的組織，無論是國內還是外國。VERBIS是KVKK下的強制數據控制者登記。大多數中型至大型組織必須在VERBIS註冊，否則將面臨行政罰款。截至2026年，註冊過程可通過土耳其的e-Devlet平台訪問，並已明確小型企業的豁免門檻。

關鍵要點

KVKK（Kişisel Verilerin Korunması Kanunu）是土耳其的數據保護法，於2016年頒布，部分基於GDPR原則，但具有明確的本地要求。
VERBIS是數據控制者必須在處理開始之前聲明其數據處理活動的在線登記。
處理土耳其居民數據的外國公司必須遵守KVKK，無論該公司位於何處。
截至2026年1月12日，員工少於10人且年資產負債表低於1000萬土耳其里拉的小型數據控制者，如果其主要活動涉及特殊類別數據，則可豁免VERBIS註冊。[4]
根據2025年財務報表，VERBIS的註冊截止日期已延長至2026年6月5日。[1]
截至2026年7月1日，VERBIS服務已與土耳其的e-Devlet（電子政府）平台完全整合。[3]
根據KVKK第18條的非合規處罰可能會達到相當高的行政罰款，KVKK當局積極執行這些罰款。
根據KVKK的同意必須是自願的、具體的、知情的和明確的，使用同意管理平台（CMP）是網絡合規的實用工具。

KVKK是什麼？土耳其的數據保護法解釋

KVKK（Kişisel Verilerin Korunması Kanunu，法第6698號）是土耳其的綜合個人數據保護法，於2016年4月7日頒布。它規範了數據控制者和處理者在土耳其如何收集、存儲、處理、轉移和刪除個人數據。

該法律成立了個人數據保護機構（Kişisel Verileri Koruma Kurumu，簡稱KVKK），這是一個獨立的監管機構，負責執法、指導和VERBIS登記。

KVKK下的核心原則包括：

合法性、公平性和透明性
目的限制（僅為特定、明確的目的收集數據）
數據最小化
準確性和保持數據的最新性
存儲限制（數據保留不超過必要的時間）
完整性和保密性

任何確定個人數據處理目的和方式的實體都被視為KVKK下的“數據控制者”，並承擔主要的合規義務。

KVKK與GDPR：主要差異和合規重疊

KVKK與歐盟的GDPR在結構上有相似之處，但兩者在幾個運營上重要的方面有所不同。已經符合GDPR的組織不應假設自動符合KVKK。

維度	KVKK（土耳其）	GDPR（歐盟）
頒布	2016	2018（執行）
監管機構	KVKK當局	各成員國的國家數據保護機構
數據登記	VERBIS（對大多數人強制）	沒有等效的強制登記
海外數據轉移	需要明確同意或充分性	充分性決定或標準合同條款
DPO要求	沒有正式的DPO要求	在某些情況下是強制的
違規通知	72小時內通知當局	72小時內通知當局

主要差異： KVKK要求數據控制者主動在VERBIS登記並聲明其處理活動。GDPR沒有等效的公共登記義務。此外，KVKK的跨境數據轉移規則在實踐中更為嚴格，要求數據主體的明確同意或正式的充分性決定，而土耳其尚未獲得歐盟的充分性地位。

“GDPR合規是一個有用的基礎，但在土耳其經商需要一個單獨的KVKK合規層，特別是在VERBIS登記和跨境轉移規則方面。”

VERBIS是什麼，如何運作？

VERBIS（Veri Sorumluları Sicil Bilgi Sistemi）是KVKK當局維護的在線登記，數據控制者必須在處理開始之前註冊並聲明其個人數據處理活動。可以將其視為一個面向公眾的清單，顯示誰在處理什麼數據、出於什麼目的以及根據什麼保留政策。

VERBIS在實踐中的運作方式：

數據控制者在VERBIS門戶網站上創建帳戶（自2026年7月1日起可通過土耳其的e-Devlet平台訪問）。[3]
控制者聲明每類處理的個人數據、處理目的、法律依據、數據類別、接收者群體和保留期限。
聲明提交後成為公共登記的一部分。
任何處理活動的變更必須及時在VERBIS中更新。
未能註冊或更新將根據KVKK第18條觸發罰款。[5]

在2026年7月1日，KVKK當局還發布了更新版本的“Sorularla VERBİS”指導文件和官方VERBİS Kılavuzu（用戶指南），以幫助數據控制者了解註冊義務。[2]

外國公司需要KVKK合規嗎？

是的。KVKK適用於任何處理位於土耳其的個人數據的數據控制者，無論該控制者的註冊地或所在地。擁有土耳其客戶的德國SaaS公司、向土耳其發貨的美國電子商務平台或針對土耳其消費者進行營銷活動的英國營銷機構，都在KVKK的範疇之內。

對外國公司的實際影響：

如果他們在土耳其沒有實體存在，則必須任命當地代表（儘管該法律在這一點上的實施仍在不斷演變，請諮詢當地法律顧問）。
必須遵守VERBIS註冊要求，除非適用特定豁免。
從土耳其的跨境數據轉移需要數據主體的明確同意或正式的充分性機制，對於大多數非歐盟目的地來說，這並不簡單。

常見錯誤： 外國公司假設GDPR合規或通用隱私政策涵蓋其土耳其用戶群。KVKK要求特定於管轄區的披露、同意機制和登記聲明。

VERBIS註冊要求：誰必須註冊以及如何註冊

大多數超過小型企業豁免門檻的數據控制者必須在VERBIS註冊。該義務適用於私營部門實體和公共機構。[6]

如果數據控制者：

擁有50名或以上的員工（全職等效），或
年財務資產負債表總額超過2500萬土耳其里拉，或
無論規模大小，處理特殊類別的個人數據（健康、 biometric、犯罪記錄等），除非適用小型企業豁免（見下文）。

對於初創企業和成長型公司： 門檻基於年員工數和資產負債表數據。當初創企業在某一年超過50名員工或資產負債表門檻時，便有義務註冊。根據新門檻，註冊必須在處理開始之前完成，而不是在年末追溯。

逐步VERBIS註冊過程：

通過e-Devlet（電子政府網關）使用KEP（註冊電子郵件）地址或授權簽署人憑證登錄VERBIS門戶。[3]
完成數據控制者檔案（公司名稱、法律形式、聯繫方式、授權代表）。
為每個處理的個人數據類別創建“處理活動”條目。
對於每個活動，聲明：數據類別、目的、法律依據、數據主體群體、接收者和保留期限。
提交並獲得VERBIS註冊號。
每當處理活動發生重大變更時，更新登記。

KVKK豁免：小型企業和不受覆蓋的數據

並非所有組織都必須在VERBIS註冊。2026年1月12日，KVKK當局澄清了小型數據控制者的豁免標準。[4]

當滿足所有三個條件時適用豁免：

少於10名員工
年資產負債表總額低於1000萬土耳其里拉
主要活動涉及處理特殊類別的個人數據（該豁免專門為小型醫療提供者、診所和類似實體設計）

CMS法律發布的法律分析指出，這一豁免比最初看起來更狹窄，並不是一個全面的小型企業豁免，而是專門針對核心業務涉及敏感數據類別的實體。[7] Erdem & Erdem進一步澄清了這些新豁免的適用原則。[8]

KVKK不涵蓋的數據類別：

匿名數據（無法重新識別的數據）
僅用於個人或家庭目的處理的數據（無商業活動）
司法機構為刑事訴訟處理的數據（受單獨立法管轄）

邊緣案例： 如果控制者保留重新識別個體的手段，則假名數據仍被視為KVKK下的個人數據。不要將假名化視為合規目的上的匿名化。

KVKK對客戶數據的同意要求

根據KVKK，有效的同意必須是自願的、具體的、知情的和明確的。同意不能與服務條款的接受捆綁在一起，預先勾選的框也不構成有效的同意。

同意必須是：

自願的： 不得強迫或以同意為條件限制服務訪問
具體的： 與定義的目的相關，而不是籠統的授權
知情的： 數據主體必須知道誰在收集數據以及為什麼
明確的： 需要一個肯定的行動（點擊、簽名、勾選框）

對於網站和數字平台，實施合規的同意管理平台是最實用的方法。Biscotti CMP旨在幫助網站所有者和企業以符合KVKK和其他數據保護框架的方式管理同意收集，提供審計記錄和詳細的同意記錄。

明確同意 也要求對特殊類別的個人數據（健康、 biometric、遺傳、犯罪記錄等）以及在沒有充分性機制的情況下的跨境數據轉移。

KVKK的非合規罰款和罰金

KVKK的執法不是理論上的。KVKK當局已對國內和外國實體處以罰款。罰款由法律第18條管轄。

根據第18條的行政罰款類別：

未能履行披露義務：9027土耳其里拉至180536土耳其里拉（約2024年範圍；金額每年根據通脹更新）
未能確保數據安全：45135土耳其里拉至9027000土耳其里拉
未能遵守KVKK當局的決定：45135土耳其里拉至9027000土耳其里拉
未能在VERBIS註冊或未能更新VERBIS：39337土耳其里拉至1966862土耳其里拉

注意：罰款金額每年進行指數調整，上述數字反映了2024年的公布範圍。請向KVKK當局或土耳其法律顧問確認2026年的執法行動的當前數字。

刑事責任 針對某些違規行為（非法處理、未能刪除數據）可能會根據土耳其刑法導致監禁，這是GDPR的執法工具中所缺乏的維度。

KVKK數據洩露通知規則

根據KVKK，數據控制者必須在意識到個人數據洩露後72小時內通知KVKK當局。如果洩露可能對數據主體產生不利影響，則必須及時通知這些個體。

洩露通知檢查清單：

確定並控制洩露
評估對數據主體的範圍和可能影響
通過官方通知表在72小時內通知KVKK當局
在內部記錄洩露（發生了什麼、受影響的數據、補救措施）
如果存在高風險的傷害，則通知受影響的數據主體

未能在要求的時間內通知本身就是根據第18條的可處罰違規行為。

企業常見的KVKK合規錯誤

1. 將VERBIS視為一次性任務。 每當處理活動變更時，VERBIS條目必須更新。獲得新的CRM、啟動不同數據類別的新營銷活動或引入新的數據處理者都可能需要VERBIS更新。

2. 依賴GDPR同意來處理土耳其用戶。 KVKK的同意要求具有本地特點。針對GDPR優化的同意橫幅可能無法捕捉KVKK要求的具體披露。

3. 忽視跨境轉移規則。 將土耳其客戶數據發送到美國的分析平台或雲服務提供商，而沒有有效的轉移機制，是一種常見且經常受到處罰的違規行為。

4. 假設小型企業豁免而不進行驗證。 2026年1月的澄清明確指出，豁免是有條件的，必須同時滿足所有三個標準。[4]

5. 沒有數據保留政策。 KVKK要求在處理目的不再存在時刪除、銷毀或匿名數據。許多企業無限期收集數據，卻沒有文檔保留計劃。

常見問題

問：KVKK對所有在土耳其經營的企業都是強制性的嗎？ 是的，任何處理土耳其個人數據的實體都受KVKK約束，無論公司規模或國籍。對於大多數超過小型企業豁免門檻的實體，VERBIS註冊是強制的。

問：2026年的VERBIS註冊截止日期是什麼時候？ KVKK當局將VERBIS註冊截止日期延長至2026年6月5日，適用於根據其2025年財務報表符合條件的組織。[1] 已經滿足先前門檻的組織應該已經註冊。

問：外國公司可以根據KVKK被罰款嗎？ 是的。KVKK當局對任何處理土耳其居民數據的數據控制者擁有管轄權，包括外國公司。對外國實體的執法是一個不斷演變的領域，但法律風險是真實的。

問：是否有替代VERBIS的機制來聲明數據處理活動？ 沒有。VERBIS是KVKK下唯一的強制性登記。沒有替代機制來滿足數據控制者的登記義務。

問：VERBIS註冊需要多長時間？ 隨著2026年7月1日的e-Devlet整合，技術過程可以在幾個小時內完成，適用於簡單的案例。[3] 但是，準備工作、映射所有數據處理活動、確定法律依據和記錄保留期限，通常需要幾周的時間，對於中型組織來說尤其如此。

問：KVKK是否要求數據保護官（DPO）？ KVKK不要求與GDPR要求等同的正式DPO角色。然而，KVKK當局建議數據控制者在內部指定一名負責人來管理合規性。

問：KVKK下的特殊類別個人數據是什麼？ 特殊類別包括：種族、民族來源、政治觀點、哲學信仰、宗教、教派、健康數據、性生活、刑事定罪、生物識別數據和遺傳數據。處理這些類別需要明確的同意或特定的法律依據。

問：KVKK如何處理網站上的Cookie同意？ 收集個人數據的Cookie（分析、廣告標識符）需要根據KVKK獲得有效的同意。合規的CMP，如Biscotti CMP，可以幫助網站所有者捕捉、存儲和管理Cookie同意，以符合KVKK的義務。

問：公共機構是否需要在VERBIS註冊？ 是的。公共機構和組織必須在VERBIS註冊。公共實體的註冊期自2019年4月1日開始，完成截止日期為2020年6月30日。[6]

問：如果公司更新其處理活動但未更新VERBIS會發生什麼？ 未能更新VERBIS以反映當前的處理活動將被視為合規違規，並可能根據KVKK第18條導致行政罰款。[5]

結論：KVKK和VERBIS合規的可行後續步驟

在土耳其經商需要一個結構化的、特定於管轄區的數據保護方法。KVKK正在積極執行，對於大多數組織來說，VERBIS註冊不是可選的，而2026年1月的豁免澄清縮小了小型企業的豁免範圍，而不是擴大。[4]

在土耳其經營的組織的立即行動：

進行數據映射工作。 確定每類處理的個人數據、其目的、法律依據和接收者。
確定VERBIS義務。 應用員工數和資產負債表門檻以確認是否需要註冊。如果有疑問，請註冊。
註冊或更新VERBIS。 使用與e-Devlet整合的VERBIS門戶完成或更新您的數據控制者註冊。[3]
審核同意機制。 確保網站同意橫幅和數據收集表單符合KVKK的具體要求。考慮部署Biscotti CMP（www.biscotti-cmp.com）以進行結構化、可審計的同意管理。
審查跨境轉移安排。 確定所有接收土耳其個人數據的第三方處理者和雲服務，並評估每次轉移的法律依據。
建立洩露響應協議。 記錄72小時通知程序並指定內部責任。
聘請當地法律顧問。 KVKK的解釋仍在不斷演變，土耳其數據保護律師可以提供特定於管轄區的指導，這是任何通用合規框架無法替代的。