同意与横幅

在土耳其做生意？您需要了解的KVKK和VERBIS

2026年7月7日 · 15 分钟阅读

快速回答： 土耳其的主要数据保护法KVKK（法第6698号）适用于任何处理土耳其个人数据的组织，无论是国内还是外国。VERBIS是KVKK下的强制数据控制者注册。大多数中大型组织必须在VERBIS注册，否则将面临行政罚款。截至2026年，注册过程可以通过土耳其的e-Devlet平台访问，并且对小型企业的豁免阈值已得到明确。

关键要点

KVKK（Kişisel Verilerin Korunması Kanunu）是土耳其的数据保护法，于2016年颁布，部分基于GDPR原则，但具有独特的地方要求。
VERBIS是数据控制者必须在处理开始之前声明其数据处理活动的在线注册。
处理土耳其居民数据的外国公司也受KVKK的约束，无论公司位于何处。
截至2026年1月12日，员工少于10人且年资产负债表低于1000万土耳其里拉的小型数据控制者，如果其主要活动涉及特殊类别数据，则可豁免VERBIS注册。[4]
针对2025年财务报表合格的组织，VERBIS注册截止日期已延长至2026年6月5日。[1]
截至2026年7月1日，VERBIS服务已与土耳其的e-Devlet（电子政府）平台完全整合。[3]
根据KVKK第18条的规定，未遵守的罚款可能达到相当可观的行政罚款，KVKK当局积极执行这些罚款。
根据KVKK的要求，同意必须是自愿的、具体的、知情的和明确的，使用同意管理平台（CMP）是实现网络合规的实用工具。

什么是KVKK？土耳其的数据保护法解析

KVKK（Kişisel Verilerin Korunması Kanunu，法第6698号）是土耳其的全面个人数据保护法，于2016年4月7日颁布。它规范了在土耳其运营的数据控制者和处理者如何收集、存储、处理、转移和删除个人数据。

该法律建立了个人数据保护局（Kişisel Verileri Koruma Kurumu，简称KVKK），这是负责执行、指导和VERBIS注册的独立监督机构。

KVKK下的核心原则包括：

合法性、公平性和透明性
目的限制（仅为特定、明确的目的收集数据）
数据最小化
准确性和保持数据的最新性
存储限制（数据保留不得超过必要的时间）
完整性和保密性

任何确定个人数据处理目的和方式的实体都被视为KVKK下的“数据控制者”，并承担主要的合规义务。

KVKK与GDPR：关键差异与合规重叠

KVKK与欧盟的GDPR在结构上有相似之处，但在多个操作上存在显著差异。已经符合GDPR的组织不应假设自动符合KVKK。

维度	KVKK（土耳其）	GDPR（欧盟）
颁布	2016	2018（执行）
监督机构	KVKK当局	各成员国国家数据保护局
数据注册	VERBIS（大多数情况下是强制性的）	没有等效的强制注册
数据转移到国外	需要明确同意或适当性	适当性决定或标准合同条款
DPO要求	没有正式的DPO要求	在某些情况下是强制性的
违规通知	72小时内通知当局	72小时内通知当局

关键差异： KVKK要求数据控制者主动在VERBIS注册并声明其处理活动。GDPR没有等效的公共注册义务。此外，KVKK的跨境数据转移规则在实践中更为严格，要求数据主体的明确同意或正式的适当性决定，而土耳其尚未获得欧盟的适当性状态。

“GDPR合规是一个有用的基础，但在土耳其做生意需要一个单独的KVKK合规层，特别是在VERBIS注册和跨境转移规则方面。”

什么是VERBIS，它是如何工作的？

VERBIS（Veri Sorumluları Sicil Bilgi Sistemi）是由KVKK当局维护的在线注册，数据控制者必须在处理开始之前注册并声明其个人数据处理活动。可以将其视为一个公开的清单，列出谁处理什么数据、出于什么目的以及在什么保留政策下。

VERBIS在实践中的工作方式：

数据控制者在VERBIS门户上创建一个帐户（截至2026年7月1日，现在可以通过土耳其的e-Devlet平台访问）。[3]
控制者声明每个处理的个人数据类别、处理目的、法律依据、数据类别、接收者群体和保留期限。
声明提交后成为公共注册的一部分。
处理活动的任何变化必须及时在VERBIS中更新。
未注册或未更新将触发KVKK第18条下的罚款。[5]

在2026年7月1日，KVKK当局还发布了更新版的“通过问题了解VERBIS”指导文件和官方VERBIS用户指南，以帮助数据控制者了解注册义务。[2]

外国公司需要KVKK合规吗？

是的。KVKK适用于任何处理位于土耳其的个人数据的数据控制者，无论控制者注册或设立在哪里。拥有土耳其客户的德国SaaS公司、向土耳其发货的美国电子商务平台，或针对土耳其消费者开展活动的英国营销机构，都在KVKK的适用范围内。

外国公司的实际影响：

如果没有实体存在，必须在土耳其指定一名当地代表（尽管该法律在这一点上的实施仍在不断发展，建议咨询当地法律顾问）。
除非适用特定豁免，否则必须遵守VERBIS注册要求。
从土耳其向境外转移数据需要数据主体的明确同意或正式的适当性机制，而这对于大多数非欧盟目的地来说并不简单。

常见错误： 外国公司假设GDPR合规或通用隐私政策涵盖其土耳其用户群。KVKK要求特定于管辖区的披露、同意机制和注册声明。

VERBIS注册要求：谁必须注册以及如何注册

大多数超过小型企业豁免阈值的数据控制者必须在VERBIS注册。该义务适用于私营部门实体和公共机构。[6]

如果数据控制者满足以下条件，则需要注册：

拥有50名或更多员工（全职等效），或者
年财务资产负债表总额超过2500万土耳其里拉，或者
处理特殊类别的个人数据（健康、 biometric、犯罪记录等），无论规模如何，除非适用小型企业豁免（见下文）。

对于初创企业和成长型公司： 阈值基于年员工人数和资产负债表数据。初创企业在某一年超过50名员工或资产负债表阈值后，必须注册。注册必须在处理开始之前完成，而不是在年末追溯。

逐步VERBIS注册流程：

使用KEP（注册电子邮件）地址或授权签字人凭证登录VERBIS门户，通过e-Devlet（电子政府网关）。[3]
完成数据控制者资料（公司名称、法律形式、联系方式、授权代表）。
为每个处理的个人数据类别创建一个“处理活动”条目。
对于每个活动，声明：数据类别、目的、法律依据、数据主体群体、接收者和保留期限。
提交并接收VERBIS注册号。
每当处理活动发生重大变化时，及时更新注册。

KVKK豁免：小型企业和不受覆盖的数据

并非所有组织都必须在VERBIS注册。2026年1月12日，KVKK当局明确了小型数据控制者的豁免标准。[4]

当满足以下三个条件时，适用豁免：

员工少于10人
年资产负债表总额低于1000万土耳其里拉
主要活动涉及处理特殊类别的个人数据（该豁免特别针对小型医疗提供者、诊所和类似实体）

CMS法律发布的法律分析指出，该豁免比最初看起来的要狭窄，它并不是一个全面的小型企业豁免，而是专门针对核心业务涉及敏感数据类别的实体。[7] Erdem & Erdem进一步阐明了这些新豁免的适用原则。[8]

KVKK不涵盖的数据类别：

匿名数据（无法重新识别）
纯粹用于个人或家庭目的处理的数据（没有商业活动）
司法机关为刑事诉讼处理的数据（受单独立法管辖）

边缘案例： 如果控制者保留重新识别个人的手段，伪匿名数据仍被视为KVKK下的个人数据。请勿将伪匿名化视为合规目的上的匿名化。

KVKK客户数据的同意要求

根据KVKK，有效的同意必须是自愿的、具体的、知情的和明确的。同意不能与服务条款的接受捆绑在一起，预先勾选的框也不构成有效同意。

同意必须是：

自愿的： 不得强迫或以同意为条件限制服务访问
具体的： 与定义的目的相关，而不是笼统的授权
知情的： 数据主体必须知道谁在收集数据以及原因
明确的： 需要采取积极行动（点击、签名、复选框）

对于网站和数字平台，实施合规的同意管理平台是最实用的方法。Biscotti CMP旨在帮助网站所有者和企业以符合KVKK和其他数据保护框架的方式管理同意收集，提供审计跟踪和详细的同意记录。

特殊类别个人数据（健康、biometric、遗传、犯罪记录等）和没有适当性机制的跨境数据转移还需要明确同意。

KVKK不合规的罚款和罚金

KVKK的执行并非理论。KVKK当局已对国内和外国实体处以罚款。罚款由法律第18条规定。

根据第18条的行政罚款类别：

未履行披露义务：9027土耳其里拉至180536土耳其里拉（2024年大致区间；金额每年根据通货膨胀调整）
未确保数据安全：45135土耳其里拉至9027000土耳其里拉
未遵守KVKK当局决定：45135土耳其里拉至9027000土耳其里拉
未在VERBIS注册或未更新VERBIS：39337土耳其里拉至1966862土耳其里拉

注意：罚款金额每年调整，以上数字反映了2024年公布的区间。请与KVKK当局或土耳其法律顾问核实2026年执行行动的当前数字。

刑事责任对于某些违规行为（非法处理、未删除数据）可能导致根据土耳其刑法被判处监禁，这是GDPR的执行工具中所没有的一个维度。

KVKK数据泄露通知规则

根据KVKK，数据控制者必须在意识到个人数据泄露后的72小时内通知KVKK当局。如果泄露可能对数据主体产生不利影响，则还必须及时通知这些个人。

泄露通知清单：

确定并遏制泄露
评估对数据主体的范围和可能影响
在72小时内通过官方通知表通知KVKK当局
在内部记录泄露（发生了什么，受影响的数据，补救措施）
如果存在高风险损害，通知受影响的数据主体

未在规定时间内通知本身就是根据第18条的可处罚违规行为。

企业常见的KVKK合规错误

1. 将VERBIS视为一次性任务。 每当处理活动发生变化时，VERBIS条目必须更新。获取新的CRM、启动新的涉及不同数据类别的营销活动或引入新的数据处理者都可能需要VERBIS更新。

2. 依赖GDPR同意处理土耳其用户。 KVKK的同意要求具有地方特征。针对GDPR优化的同意横幅可能无法捕捉KVKK下所需的特定披露。

3. 忽视跨境转移规则。 在没有有效转移机制的情况下，将土耳其客户数据发送到美国的分析平台或云服务提供商是常见且经常受到处罚的违规行为。

4. 假设小型企业豁免而不进行验证。 2026年1月的澄清明确指出，豁免条件是同时满足所有三个标准。[4]

5. 没有数据保留政策。 KVKK要求在处理目的不再存在时删除、销毁或匿名化数据。许多企业无限期收集数据，而没有记录的保留计划。

常见问题解答

问：KVKK对在土耳其运营的所有企业都是强制性的吗？ 是的，任何处理土耳其个人数据的实体都受KVKK约束，无论公司规模或国籍。对于大多数超过小型企业豁免阈值的实体，VERBIS注册是强制性的。

问：2026年的VERBIS注册截止日期是什么时候？ KVKK当局将VERBIS注册截止日期延长至2026年6月5日，适用于根据其2025年财务报表合格的组织。[1] 已经满足先前阈值的组织应已注册。

问：外国公司可以根据KVKK被罚款吗？ 可以。KVKK当局对处理土耳其居民数据的任何数据控制者拥有管辖权，包括外国公司。对外国实体的执行是一个不断发展的领域，但法律风险是真实存在的。

问：是否有替代VERBIS声明数据处理活动的机制？ 没有。VERBIS是KVKK下唯一的强制性注册。没有替代机制来满足数据控制者的注册义务。

问：VERBIS注册需要多长时间？ 随着2026年7月1日e-Devlet集成的实施，技术流程可以在几个小时内完成，适用于简单案例。[3] 然而，准备工作、映射所有数据处理活动、识别法律依据和记录保留期限，通常需要几周时间，尤其是对于中型组织。

问：KVKK是否要求数据保护官（DPO）？ KVKK并不要求与GDPR要求相当的正式DPO角色。然而，KVKK当局建议数据控制者在内部指定一名负责合规的人员。

问：KVKK下什么构成特殊类别个人数据？ 特殊类别包括：种族、民族来源、政治观点、哲学信仰、宗教、教派、健康数据、性生活、犯罪记录、生物识别数据和遗传数据。处理这些类别需要明确同意或特定法律依据。

问：KVKK如何处理网站上的cookie同意？ 收集个人数据的cookie（分析、广告标识符）在KVKK下需要有效同意。合规的CMP如Biscotti CMP可以帮助网站所有者捕获、存储和管理cookie同意，以符合KVKK的要求。

问：公共机构是否需要在VERBIS注册？ 是的。公共机构和组织需要在VERBIS注册。公共实体的注册期于2019年4月1日开始，完成截止日期为2020年6月30日。[6]

问：如果公司更新其处理活动但未更新VERBIS，会发生什么？ 未更新VERBIS以反映当前处理活动将被视为合规违规，并可能根据KVKK第18条导致行政罚款。[5]

结论：KVKK和VERBIS合规的可行下一步

在土耳其做生意需要一个结构化的、特定于管辖区的数据保护方法。KVKK正在积极执行，VERBIS注册对大多数组织来说并非可选，而2026年1月的豁免澄清缩小了小型企业的豁免范围，而不是扩大。[4]

在土耳其运营的组织的立即行动：

进行数据映射工作。 确定每个处理的个人数据类别、目的、法律依据和接收者。
确定VERBIS义务。 应用员工人数和资产负债表阈值确认是否需要注册。如果有疑问，请注册。
注册或更新VERBIS。 使用与e-Devlet集成的VERBIS门户完成或更新您的数据控制者注册。[3]
审计同意机制。 确保网站同意横幅和数据收集表单符合KVKK的具体要求。考虑部署Biscotti CMP（www.biscotti-cmp.com）进行结构化、可审计的同意管理。
审查跨境转移安排。 确定所有接收土耳其个人数据的第三方处理者和云服务，并评估每次转移的法律依据。
建立泄露响应协议。 记录72小时通知程序并分配内部责任。
咨询当地法律顾问。 KVKK的解释仍在不断发展，土耳其数据保护律师可以提供特定于管辖区的指导，这是任何通用合规框架无法替代的。