土耳其KVKK合规——关键事实
土耳其数据保护法以第6698号《个人数据保护法》——KVKK为核心。个人数据保护局及委员会通过登记义务、信息与安全义务、传输规则、决定及行政罚款执行该框架。
2026年KVKK概况
2024年第6条与第9条改革特殊类别数据处理及跨境传输规则发生重大变化。
跨境传输满足法定条件时，采用充分性决定、适当保障或有限的偶发传输情形。
土耳其标准合同委员会的四种范本：控制者 → 控制者、控制者 → 处理者、处理者 → 处理者及处理者 → 控制者。
五个工作日通知已签署的标准合同必须在五个工作日内通知主管机关。
VERBİS普通本地豁免满足其他条件时，通常要求员工少于50人且年度资产负债表总额低于1亿土耳其里拉。
特殊类别豁免根据第2025/1572号决定，符合条件的控制者在员工少于10人且资产负债表总额低于1000万土耳其里拉时，可能获得豁免。
告知与同意第2026/347号决定要求，在处理依赖明确同意时分别编排。
生物识别考勤第2026/921号决定实质改变了仅用于员工出勤的生物识别数据的风险分析。
最近法律审查：2026年9月。 主管机关发布更新时，应审查门槛、委员会决定及罚款区间。
1. 面向国际企业的KVKK差距分析
合规应从实际数据流开始，而非从装有政策模板的文件夹开始。我们审查网站、应用、CRM、客户接入、销售、营销、人力资源、招聘、薪酬、闭路电视、门禁、IT、云服务、财务、支持、供应商、物流、集团公司系统、分析、Cookie、AI工具及安全运营。
审查关注收集哪些数据、谁是控制者、适用第5条或第6条的哪项条件、是否涉及特殊类别数据、哪些系统及供应商接收数据、数据是否离开土耳其、保存多久、是否执行删除、VERBİS是否反映实际情况，以及公司能否证明其立场。
交付成果：按风险排序的KVKK差距报告
严重、高、中、低等级的问题发现，以及所需整改、负责工作及实施优先级。
申请KVKK差距分析 2. GDPR至KVKK本地化
GDPR合规是有力的起点，不能替代土耳其法律分析。我们将现有计划分为三条路径：
本地化
需要针对土耳其调整的文件及流程。
- 控制者身份与告知
- 法律依据与同意措辞
- VERBİS与代表
重建
在现行KVKK框架下无法使用的机制。
- 第9条传输路径
- 土耳其标准合同文件组合
- 事件与主管机关应对
交付
与实际运营一致的土耳其专用隐私文件组合。
- 本地化矩阵
- 按优先级排列的整改计划
- 具备证据支持的实施
欧盟SCC不会自动满足土耳其第9条传输机制。 本地化我们的GDPR计划。
3. 个人数据清单与数据映射
可靠的隐私计划以了解组织实际处理内容为基础。我们映射业务流程、数据主体群体、数据类别、特殊类别数据、目的、法律依据、收集方式、存储地点、境内外接收方、保存期限、技术措施、管理措施及控制者 / 处理者角色。
清单应与VERBİS、隐私告知、同意流程、保存政策、供应商协议及跨境传输文件保持一致。我们可建立、更新或检查清单质量，使其作为运营控制发挥作用，而非成为静态电子表格。
建立或更新数据清单
4. VERBİS登记与外国数据控制者代表
VERBİS是土耳其数据控制者登记信息系统。登记是更广泛数据映射工作的对外成果，而非孤立的门户表单。我们就是否需要登记、适用豁免、员工与资产负债表门槛、主要活动、特殊类别处理、外国控制者身份、代表结构、登记类别、更新及合规证据提供咨询。
本地控制者
对于主要活动不属于特殊类别处理的普通本地控制者，一般豁免通常要求同时满足年度员工人数少于50人及年度资产负债表总额低于1亿土耳其里拉。
特殊类别活动
第2025/1572号决定引入另一项有条件豁免，要求员工少于10人且年度资产负债表总额低于1000万土耳其里拉。
外国控制者
非居民控制者应单独评估。不应假定本地员工及资产负债表豁免自动适用。
代表
适用框架要求设立土耳其合规联系人时，我们就任命、授权、VERBİS、与主管机关沟通及与数据主体往来提供咨询。
核查VERBİS与外国控制者身份
5. 隐私告知、透明度与明确同意
我们为网站、电子商务、移动应用、客户、潜在客户、员工、候选人、闭路电视、访客、供应商、业务联系人、呼叫中心、忠诚度计划、活动及推广起草并审查KVKK隐私告知及说明文本。合规告知应准确说明控制者身份、处理目的、接收方或传输、收集方式、法律依据及数据主体权利。
第2026/347号决定：告知与同意相互独立
需要同意时，不应将隐私告知视为个人“同意”的对象。隐私信息 / 说明文本与明确同意文本应分别编排。
明确同意是一项合法处理条件，而非包罗一切的依据。我们检验是否确实需要同意、是否具体且自由作出、是否捆绑目的、撤回机制是否有效，以及记录能否得到证明。
我们还审查员工、健康、生物识别、忠诚度计划、画像、营销、跨境及移动应用同意流程。 审查隐私告知或同意流程。
6. 特殊类别数据、员工隐私与生物识别
KVKK第6条规范健康、生物识别、遗传、刑事定罪、宗教、哲学信仰、政治观点、协会 / 基金会 / 工会会员身份、外貌或服饰相关受保护信息及性生活等特殊类别。我们就正确的第6条条件、雇佣处理、访问控制、加密、传输、保存及额外技术或管理保障提供咨询。
员工隐私工作涵盖招聘、人力资源、薪酬、银行、绩效、纪律、闭路电视、门禁、健康、残疾、背景调查、监控、电子邮件与设备使用、远程工作、全球人力资源系统、薪酬供应商、跨境传输及终止雇佣后的保存。雇佣关系中的力量失衡意味着，不应仅因能够取得签名就认定同意是最稳妥的依据。
第2026/921号决定后的生物识别考勤
该决定涉及仅用于员工出勤跟踪的生物识别数据，并引导企业采用卡片、PIN码、RFID / NFC门禁卡或传统签名等侵入性更低的替代方式。其他生物识别用途仍须按目的、必要性、法律依据及比例原则分别评估。
评估生物识别系统 7. 从土耳其进行的跨境个人数据传输
土耳其数据可能需要传输至全球或区域总部、云基础设施、SaaS提供商、CRM供应商、薪酬与人力资源平台、安全提供商、分析工具、客户支持系统、集团公司或外部顾问。2024年第9条改革引入分阶段分析：
- 核查充分性： 评估目的地、行业或国际组织是否受益于适用的充分性决定。
- 确定适当保障： 考虑土耳其标准合同、有约束力的公司规则、符合条件的公共部门安排或委员会批准的书面承诺。
- 谨慎使用偶发传输依据： 有限例外不应成为日常运营模式。
我们梳理传出实体、接收方角色、目的地、境内法律依据、第9条机制、后续传输、处理者链条、云架构、特殊类别数据、保障、证据及监管通知。
梳理跨境数据传输
8. 土耳其标准合同与有约束力的公司规则
对于许多国际企业，土耳其标准合同是最实用的第9条保障。委员会发布四种范本：控制者 → 控制者、控制者 → 处理者、处理者 → 处理者及处理者 → 控制者。选择取决于各方实际角色，而非全球模板中使用的名称。
我们协助角色分析、范本选择、附件填写、数据类别、数据主体、目的、接收方群体、技术保障、特殊类别保障、后续传输及五个工作日通知。
2026年7月签署实务
主管机关公告强调由获授权人员签字、在土耳其语文本上签字、授权证明文件，以及外国文件的认证或经公证土耳其语译文要求。签署前应核查修订限制及通知档案。
对于集团传输，我们评估有约束力的公司规则是否适当，准备申请结构，并使内部框架与实际实体、传输及数据主体权利保持一致。
9. 供应商合同、Cookie、营销与保存
供应商合同与DPA
我们审查控制者 / 处理者角色、数据处理协议、安全措施、分处理者、审计权、删除、事件升级及国际传输条款。名称必须符合实际情况。
Cookie合规
我们根据实际处理依据评估严格必要、分析、跟踪及营销Cookie。不适用其他法定条件时，非必要Cookie应依赖事先有效的主动选择同意。
营销与CRM
我们审查潜在客户信息收集、营销活动许可、画像、与IYS的衔接、购买或转介的联系人数据，以及主管机关2026年关于将第三方数据用于广告和营销的警示。
保存与销毁
我们将保存期限、删除触发条件、销毁记录、备份、法律保留及告知，与清单、法定义务、合同需求及实际系统能力相协调。
10. 数据主体请求、安全与治理
我们为访问、更正、删除、反对及其他数据主体权利设计请求接收与答复流程，包括身份核查、期限跟踪、系统检索、豁免、答复起草及证据。
我们从法律治理角度就技术与管理措施提供咨询：政策、访问控制、供应商监督、培训、事件升级、清单一致性、风险登记册及可向委员会提交的证据。我们不会将法律咨询表述为合格渗透测试或技术安全服务的替代。
11. 数据泄露响应、委员会调查与抗辩
发生泄露时，法律应对应与遏制及取证工作同步进行。我们协助组织初始响应、识别受影响数据及特殊类别、评估控制者与处理者角色、协调通知记录、评估向数据主体沟通并保全证据。
必须准确描述72小时要求
KVKK第12条要求“尽快”通知。委员会第2019/10号决定将向委员会通知解释为最迟在知悉后72小时内。不应将72小时表述呈现为第12条的字面措辞。
对于委员会调查或信息请求，我们使答复与清单、告知、VERBİS、合同、实际处理、安全措施及整改计划保持一致。我们可支持与主管机关往来、向数据主体沟通、内部治理及抗辩记录。
12. 2026年KVKK行政罚款区间
罚款风险取决于义务、事实及执法决定。以下区间用于规划，不应理解为对任何结果的预测。
告知义务85,437土耳其里拉 – 1,709,200土耳其里拉
数据安全义务256,357土耳其里拉 – 17,092,242土耳其里拉
不遵守委员会决定427,263土耳其里拉 – 17,092,242土耳其里拉
VERBİS登记 / 通知341,809土耳其里拉 – 17,092,242土耳其里拉
第9(5)条下的标准合同通知90,308土耳其里拉 – 1,806,177土耳其里拉
13. 隐私尽职调查、持续法律顾问与交付成果
对于并购、投资、供应商接入及市场进入，我们检验将随业务转移的隐私状况：告知、同意、清单、VERBİS、代表、传输、合同、事件、数据主体请求、安全治理、尚未结案的主管机关往来及整改成本。
评估
按风险排序的差距分析、数据映射、VERBİS / 代表情况及传输矩阵。
文件
土耳其隐私文件组合：告知、同意、清单、保存、供应商、传输及事件文件。
实施
按优先级排列的整改计划、责任归属、期限、系统变更及证据核查清单。
持续性
针对新供应商、产品、营销活动、员工、事件及主管机关沟通的持续法律咨询。
请向我们提供公司或集团结构、土耳其实体（如有）、当前VERBİS状态、主要数据类别、员工人数、相关资产负债表门槛、主要系统及云提供商、接收土耳其数据的国家、现有GDPR文件及当前关注事项。
14. 企业为何委托Turkish Trade Lawyers处理KVKK事务
落实隐私，而非模板式合规： 我们将文件与数据流、系统及决策相衔接。
GDPR至KVKK转换： 我们保留可行的全球控制，并识别土耳其差异。
跨境传输能力： 我们评估角色、土耳其标准合同、BCR、通知及证据。
商业整合： 隐私工作与雇佣、商业合同、技术、公司架构及事件响应相协调。
当前监管立场： 该服务反映第2025/1572号VERBİS豁免、第2026/347号告知与同意决定、第2026/921号生物识别考勤决定、2026年7月标准合同指引及2026年罚款区间。
土耳其KVKK与数据保护常见问题
什么是KVKK？
KVKK即第6698号《个人数据保护法》，是土耳其规范个人数据处理、数据控制者义务、数据主体权利、登记义务、传输及安全的主要框架。
KVKK与GDPR是否相同？
并非如此。两个框架具有共同概念，但土耳其法律依据、告知、同意架构、VERBİS、第9条传输及本地监管实践需要针对土耳其分析。
每家土耳其公司是否都需要在VERBİS登记？
并非如此。某些情况下适用豁免与门槛，外国控制者身份必须单独评估。普通本地豁免通常要求同时满足员工及资产负债表条件。
能否对每项处理活动都使用明确同意？
不能。应为每个目的识别正确的第5条或第6条条件。不必要的同意可能掩盖真实法律依据并造成运营风险。
能否修改委员会的土耳其标准合同？
签署前应核查委员会现行实践及指引。当事人应保留规定结构，准确填写附件，并谨慎评估任何拟议修订。
严格必要Cookie是否需要明确同意？
并非自动需要。必须评估实际目的及适用的法定处理条件。不适用其他合法依据时，非必要Cookie应依赖事先有效的主动选择同意。
我们有多长时间答复数据主体请求？
应在法定答复框架内处理请求，并跟踪身份、范围、适用豁免及证据。我们可设计接收与答复流程。
Turkish Trade Lawyers能否答复KVKK主管机关函件？
可以。我们可审查请求，将其与实际处理及证据对应，协调答复并支持整改记录。
你们能否审查我们网站的KVKK合规情况？
可以。我们可审查告知、同意流程、Cookie、表单、分析、营销、供应商、传输、保存，以及对外材料与内部清单之间的衔接。
你们能否开展GDPR至KVKK差距分析？
可以。我们将全球计划与土耳其要求进行比较，交付保留 / 本地化 / 重建矩阵及按优先级排列的整改措施。
官方来源与主管机关材料
本页面的法律立场基于个人数据保护局发布的材料。主管机关发布新决定、门槛或罚款表时，应再次核查这些链接。