Cumplimiento de la KVKK de Turquía

¿Qué es la KVKK?

La Ley de Protección de Datos Personales n.º 6698 es la ley integral de protección de datos de Turquía. Su finalidad es proteger los derechos y libertades fundamentales, en particular el derecho a la privacidad, al tiempo que establece los principios y obligaciones aplicables a las personas y organizaciones que tratan datos personales.

La ley se aplica al tratamiento realizado total o parcialmente por medios automatizados, así como a determinados tratamientos no automatizados que formen parte de un fichero. Establece los siguientes roles:

• Responsable del tratamiento (Veri Sorumlusu): determina los fines y medios del tratamiento.
• Encargado del tratamiento (Veri İşleyen): trata datos personales por cuenta del responsable.
• Interesado: la persona cuyos datos personales se tratan.
• Consejo de Protección de Datos Personales: el órgano decisorio regulatorio.
• Autoridad de Protección de Datos Personales: la autoridad institucional que sostiene el marco regulatorio.

La KVKK se promulgó el 24 de marzo de 2016 y se publicó en el Boletín Oficial el 7 de abril de 2016. El marco se ha modificado desde entonces, incluidas reformas significativas que entraron en vigor en 2024, relativas en particular a las categorías especiales de datos personales y a las transferencias internacionales de datos.

Organizaciones cubiertas por la KVKK

La KVKK se aplica a las organizaciones y personas que quedan dentro de su ámbito y tratan datos personales cubiertos por la ley. Esto puede incluir:

• Empresas turcas
• Empleadores
• Negocios de comercio electrónico
• Bancos y entidades financieras
• Organizaciones sanitarias
• Centros educativos
• Empresas tecnológicas
• Proveedores SaaS
• Empresas de publicidad y marketing
• Operadores de telecomunicaciones
• Mercados en línea
• Aplicaciones móviles
• Sitios web y plataformas digitales
• Instituciones públicas
• Organizaciones que tratan datos de empleados
• Organizaciones que utilizan bases de clientes o de posibles clientes

Las organizaciones establecidas fuera de Turquía también pueden tener obligaciones conforme a la KVKK, según sus actividades de tratamiento y su relación con interesados turcos.

Para las empresas que operan en Turquía sitios web, aplicaciones móviles, plataformas SaaS, servicios de comercio electrónico u otros productos digitales, el cumplimiento de la KVKK puede implicar gestión del consentimiento, avisos de privacidad, evaluación de las condiciones de tratamiento, medidas de seguridad, gestión de solicitudes de los interesados, obligaciones de VERBİS y garantías para transferencias internacionales.

¿Qué datos protege la KVKK?

La KVKK cubre los datos personales relativos a una persona identificada o identificable. Por ejemplo:

• Nombre
• Dirección de correo electrónico
• Número de teléfono
• Dirección postal
• Información de identificación
• Información de cuentas de clientes
• Información de empleados
• Direcciones IP cuando constituyan datos personales
• Identificadores en línea
• Información de ubicación
• Información de transacciones
• Información relativa a dispositivos
• Información de autenticación
• Registros de clientes
• Perfiles de marketing
• Determinada información de cookies y seguimiento

Que un identificador técnico concreto constituya un dato personal depende de si se refiere a una persona física identificada o identificable.

La KVKK establece además requisitos adicionales para las categorías especiales de datos personales.

Principios de tratamiento de la KVKK

El artículo 4 establece los principios fundamentales del tratamiento de datos personales. Estos deben tratarse conforme a la ley y a los principios jurídicos pertinentes, entre ellos:

• Licitud y lealtad: el tratamiento debe cumplir los requisitos legales aplicables y realizarse de forma leal.
• Exactitud: los datos personales deberían ser exactos y mantenerse actualizados cuando sea necesario.
• Limitación de la finalidad: los datos deberían tratarse para fines determinados, explícitos y legítimos.
• Minimización de datos: los datos personales deberían ser pertinentes, limitados y proporcionados a los fines del tratamiento.
• Limitación del plazo de conservación: los datos deberían conservarse durante el periodo exigido por la legislación aplicable o el necesario para los fines del tratamiento.

Estos principios deberían considerarse a lo largo de todo el ciclo de vida de los datos, desde la recogida y el consentimiento hasta la conservación, el uso, la comunicación y la supresión.

¿Qué es el consentimiento explícito en la KVKK?

La KVKK define el consentimiento explícito como aquel libremente prestado, específico e informado. Debería representar, por tanto, una manifestación positiva y significativa de la voluntad del interesado.

La gestión del consentimiento debería evitar:

• Opciones de consentimiento preseleccionadas
• Consentimientos vagos o genéricos
• Finalidades poco claras
• Mecanismos de consentimiento ocultos
• Consentimientos agrupados innecesariamente con tratamientos no relacionados
• Interfaces que dificultan innecesariamente la negativa

La Autoridad KVKK ha subrayado los tres elementos esenciales del consentimiento explícito: un objeto determinado, la información y la libre elección.

Retirada del consentimiento

Cuando el tratamiento se basa en el consentimiento explícito, las organizaciones deberían ofrecer un mecanismo práctico para gestionar esa relación de consentimiento. Un sistema de gestión del consentimiento debería permitir:

• Registrar cuándo se prestó el consentimiento
• Registrar qué abarcaba el consentimiento
• Registrar la finalidad correspondiente
• Registrar la elección del usuario
• Conservar evidencia del consentimiento
• Admitir cambios en las preferencias de consentimiento
• Conservar registros de las retiradas
• Impedir tratamientos posteriores cuando el consentimiento sea la base jurídica aplicable y se haya retirado

ConsentX puede ayudar a las organizaciones a implantar estos controles técnicos.

Categorías especiales de datos personales en la KVKK

La KVKK ofrece protección adicional a las categorías especiales de datos personales. Incluyen datos relativos a:

• Raza
• Origen étnico
• Opinión política
• Convicción filosófica
• Religión
• Confesión religiosa u otra creencia
• Apariencia
• Pertenencia a asociaciones, fundaciones o sindicatos
• Salud
• Vida sexual
• Condenas penales y medidas de seguridad
• Datos biométricos
• Datos genéticos

En 2024 entraron en vigor modificaciones significativas del artículo 6. La estructura anterior se sustituyó por un conjunto más amplio de condiciones legales que permiten tratar categorías especiales sin depender exclusivamente del consentimiento explícito: determinadas exigencias legales, fines de salud pública, obligaciones laborales y de seguridad social, la protección de derechos y otras circunstancias específicas.

Las reformas de 2024 hacen, por tanto, especialmente importante revisar los flujos de consentimiento heredados para datos de categoría especial, en lugar de suponer que todo tratamiento de datos sensibles debe usar el mismo mecanismo de consentimiento.

Tratamiento de categorías especiales de datos personales

Cuando se tratan datos de categoría especial, las organizaciones deberían determinar:

• ¿Qué categoría de datos está implicada?
• ¿Cuál es la finalidad del tratamiento?
• ¿Qué condición del artículo 6 se aplica?
• ¿Se exige consentimiento explícito?
• ¿Qué medidas de seguridad adicionales se aplican?
• ¿Quién puede acceder a la información?
• ¿Cuánto tiempo debería conservarse?
• ¿Se comunica la información a otra parte?
• ¿Se transfiere fuera de Turquía?
• ¿Qué evidencia debería conservarse?

La KVKK exige además las medidas adecuadas determinadas por el Consejo cuando se tratan categorías especiales de datos personales.

Avisos de privacidad y transparencia

El artículo 10 de la KVKK obliga a los responsables a informar a los interesados cuando se obtienen datos personales. La información incluye:

• La identidad del responsable del tratamiento
• La identidad de su representante, cuando proceda
• La finalidad del tratamiento
• Los destinatarios y las finalidades de las transferencias
• El método y la base jurídica de la recogida
• Los derechos pertinentes de los interesados

En sitios web y aplicaciones, los avisos de privacidad deberían ser claros, accesibles y adecuadamente vinculados al punto de recogida de datos.

Los avisos de consentimiento no deberían tratarse como un sustituto de un aviso de privacidad completo.

Cookies y tecnologías de seguimiento en la KVKK

La KVKK no implica que toda cookie requiera automáticamente consentimiento explícito. El tratamiento jurídico adecuado depende de:

• Qué información recoge la cookie o el rastreador
• Si esa información constituye datos personales
• Por qué se utiliza
• Si concurre otra condición del artículo 5
• Si los datos se comunican a terceros
• Si la actividad implica transferencias internacionales
• Si están implicados datos de categoría especial

Para analítica, publicidad y otros seguimientos no esenciales, las organizaciones deberían valorar la condición de tratamiento aplicable de la KVKK e implantar, cuando sea necesario, un mecanismo adecuado de consentimiento o información.

ConsentX puede ayudar a las organizaciones a identificar cookies y rastreadores y a aplicar controles específicos por región.

Derechos de los interesados en la KVKK

El artículo 11 reconoce varios derechos a los interesados. Pueden solicitar:

• Confirmación de si sus datos personales se tratan
• Información sobre el tratamiento
• Información sobre las finalidades del tratamiento
• Información sobre los terceros que reciben sus datos
• La rectificación de datos inexactos o incompletos
• La supresión o destrucción cuando concurran las condiciones legales
• La comunicación de rectificaciones o supresiones a los terceros pertinentes
• La oposición a determinados resultados adversos producidos exclusivamente mediante tratamiento automatizado
• La indemnización por los daños derivados de un tratamiento ilícito

Solicitudes de los interesados en la KVKK

Los interesados pueden presentar solicitudes al responsable conforme a los procedimientos previstos en la KVKK. Este debe resolver la solicitud, por regla general, cuanto antes y en un máximo de 30 días. Las solicitudes son normalmente gratuitas, si bien puede admitirse una tasa en los supuestos definidos por las normas aplicables.

ConsentX puede dar soporte a flujos operativos para:

• La recepción de solicitudes
• Los flujos de verificación de identidad
• El seguimiento de solicitudes
• La recopilación de evidencias
• La asignación interna
• El control de plazos
• La documentación de respuestas
• Las pistas de auditoría

Seguridad de los datos en la KVKK

El artículo 12 exige a los responsables adoptar las medidas técnicas y organizativas necesarias para garantizar un nivel de seguridad adecuado. Estas medidas van dirigidas a evitar:

• El tratamiento ilícito
• El acceso ilícito
• La pérdida o el menoscabo de los datos personales

Los responsables deben además realizar o encargar auditorías adecuadas sobre el cumplimiento de los requisitos de seguridad de los datos.

Cuando el tratamiento lo lleva a cabo un encargado, el responsable sigue obligado a asegurar medidas de seguridad adecuadas.

Notificación de brechas en la KVKK

Cuando datos personales tratados por un responsable son obtenidos ilícitamente por terceros, el responsable debe notificarlo al interesado y al Consejo en el plazo más breve. El Consejo de la KVKK interpreta la expresión legal «plazo más breve» como 72 horas como máximo desde que se tuvo conocimiento de la brecha. Si la notificación no puede completarse en ese plazo, deben indicarse los motivos del retraso.

Las organizaciones deberían mantener:

• Procedimientos de detección de brechas
• Procesos de respuesta a incidentes
• Documentación de las brechas
• Procedimientos internos de escalado
• Flujos de notificación al regulador
• Procedimientos de comunicación a los interesados

Responsables y encargados del tratamiento

La KVKK distingue entre el responsable, es decir, la organización que determina los fines y medios del tratamiento de datos personales, y el encargado, es decir, la persona u organización que trata datos personales por cuenta del responsable.

Entre los encargados pueden figurar:

• Proveedores de servicios en la nube
• Empresas de alojamiento
• Proveedores de CRM
• Plataformas de correo electrónico
• Proveedores de analítica
• Proveedores de tecnología de marketing
• Plataformas de atención al cliente

El responsable debería supervisar adecuadamente a sus encargados y velar por que las obligaciones de seguridad y privacidad se atiendan durante toda la relación de tratamiento.

Transferencias internacionales de datos en la KVKK

Las transferencias internacionales de datos son un área clave del cumplimiento de la KVKK. El artículo 9 se modificó sustancialmente en 2024 e introdujo un nuevo marco para las transferencias de datos personales al extranjero. Con ese marco, las transferencias pueden apoyarse en mecanismos como:

• Una decisión de adecuación
• Normas corporativas vinculantes aprobadas
• Contratos tipo publicados por el Consejo
• Determinados compromisos escritos aprobados
• Circunstancias excepcionales de transferencia previstas

Los contratos tipo son una de las garantías disponibles para las transferencias internacionales. La ley exige notificar el contrato tipo a la Autoridad dentro de los cinco días hábiles siguientes a su firma, y la Autoridad KVKK ha publicado modelos para distintas relaciones entre responsables y encargados.

Esto es especialmente relevante para las organizaciones que utilizan a escala internacional:

• Infraestructura en la nube
• Herramientas SaaS
• Plataformas CRM
• Servicios de analítica
• Tecnología publicitaria
• Proveedores de correo electrónico
• Sistemas de atención al cliente

Transferencias internacionales y consentimiento

El consentimiento explícito puede ser uno de los mecanismos excepcionales para transferir datos personales al extranjero, pero el marco del artículo 9 modificado no convierte el consentimiento en la solución por defecto para las transferencias internacionales habituales.

Cuando se recurre a las condiciones excepcionales de transferencia, deben valorarse con cuidado los requisitos y límites legales. Para las transferencias internacionales continuadas, las organizaciones deberían valorar por regla general si existe una decisión de adecuación o una garantía adecuada.

VERBİS: el registro de responsables del tratamiento

La KVKK crea el registro de responsables del tratamiento, conocido como VERBİS. Los responsables sujetos a la obligación de registro deben inscribirse y facilitar información sobre sus actividades de tratamiento. El marco de registro puede exigir información como:

• La identidad del responsable
• Las finalidades del tratamiento
• Las categorías de interesados
• Las categorías de datos
• Los destinatarios
• Las transferencias internacionales
• Las medidas de seguridad
• Los plazos máximos de conservación

No obstante, la ley permite al Consejo establecer exenciones basadas en criterios objetivos. El Consejo de la KVKK ha fijado exenciones atendiendo, entre otros, a la naturaleza y el volumen de los datos, las actividades de tratamiento y las características de la organización.

Una decisión relevante del Consejo de 2025 amplió además el marco de exenciones para ciertos responsables pequeños cuya actividad principal implica el tratamiento de datos personales de categoría especial, con criterios de número de empleados y balance.

Las empresas deberían, por tanto, verificar su situación actual de registro en VERBİS y los criterios de exención aplicables, en lugar de basarse en umbrales antiguos de empleados o ingresos publicados en materiales de cumplimiento desactualizados.

Conservación y supresión de datos

La KVKK exige conservar los datos personales durante el periodo establecido por la legislación aplicable o el necesario para la finalidad del tratamiento. Cuando desaparecen los motivos que exigían el tratamiento, los datos personales deberían suprimirse, destruirse o anonimizarse, según corresponda.

Turquía cuenta además con un reglamento específico sobre supresión, destrucción o anonimización de datos personales, que establece los procedimientos aplicables. Las organizaciones deberían mantener calendarios de conservación y procedimientos de supresión documentados que cubran:

• Plazos de conservación establecidos por la legislación
• Plazos de conservación vinculados a la finalidad del tratamiento
• Procedimientos de supresión
• Procedimientos de destrucción
• Procedimientos de anonimización
• Revisión periódica de los datos almacenados
• Evidencia de que la supresión se llevó a cabo

Decisiones automatizadas

La KVKK reconoce el derecho del interesado a oponerse a un resultado que le sea adverso derivado del análisis de datos personales tratados exclusivamente por sistemas automatizados. Esto afecta a las empresas que utilizan:

• Sistemas de IA
• Elaboración automatizada de perfiles
• Puntuación automatizada de clientes
• Detección del fraude
• Tecnología de reclutamiento
• Sistemas de personalización
• Decisiones automatizadas de elegibilidad

Las organizaciones que utilizan IA o sistemas de decisión automatizada deberían valorar las condiciones de tratamiento pertinentes de la KVKK, las obligaciones de transparencia, los derechos de los interesados y los requisitos de seguridad.

Mercadotecnia directa en la KVKK

Las actividades de marketing pueden implicar varias categorías de tratamiento de datos personales, entre ellas:

• Direcciones de correo electrónico
• Números de teléfono
• Perfiles de clientes
• Historial de compras
• Información de comportamiento
• Identificadores publicitarios
• Actividad en el sitio web

Las organizaciones deberían determinar la base jurídica adecuada y asegurarse de que el tratamiento con fines de marketing cumple los requisitos de transparencia y de tratamiento de la KVKK.

Cuando se exige consentimiento explícito, este debería ser específico, informado y libremente prestado, y deberían conservarse registros de consentimiento como evidencia.

Privacidad desde el diseño en la KVKK

Aunque la KVKK no reproduce sin más la terminología del RGPD, las organizaciones deberían incorporar consideraciones de privacidad y seguridad en sistemas y procesos desde el principio. Una implantación consciente de la privacidad puede incluir:

• Minimización de datos
• Recogida basada en la finalidad
• Controles de acceso
• Gestión del consentimiento
• Avisos de privacidad
• Controles de conservación
• Flujos para solicitudes de los interesados
• Evaluación de proveedores
• Evaluación de transferencias internacionales
• Controles de seguridad
• Registro de auditoría

Registros de tratamiento y gobernanza

Las organizaciones deberían mantener visibilidad sobre:

• Qué datos personales tratan
• Por qué los tratan
• Dónde se almacenan
• Quién puede acceder a ellos
• Qué proveedores los reciben
• Si salen de Turquía
• Cuánto tiempo se conservan
• Qué condición legal sustenta el tratamiento
• Si se exige consentimiento explícito
• Cómo se retira el consentimiento
• Cómo se gestionan las solicitudes de los interesados

Para las organizaciones sujetas al registro en VERBİS, mantener información de tratamiento exacta es especialmente importante, porque los datos del registro están vinculados a las actividades de tratamiento de la organización.

¿Quién aplica la KVKK?

La KVKK está supervisada y aplicada por la Autoridad de Protección de Datos Personales (Kişisel Verileri Koruma Kurumu).

El Consejo de Protección de Datos Personales desempeña importantes funciones regulatorias, de supervisión y de aplicación, incluidas la tramitación de reclamaciones, el examen de infracciones y la imposición de sanciones administrativas.

Por qué importa la gestión del consentimiento en la KVKK

Para los negocios digitales, el cumplimiento en materia de privacidad no se limita a publicar una política de privacidad. Un sitio web puede emplear docenas de tecnologías que recogen o transmiten información, entre ellas:

• Herramientas de analítica
• Píxeles publicitarios
• Scripts de redes sociales
• Herramientas de grabación de sesiones
• Tecnologías de personalización
• Etiquetas de marketing
• Contenido incrustado
• Integraciones de CRM

Un sistema sólido de gestión del consentimiento ayuda a las organizaciones a comprender estas tecnologías, controlar el tratamiento correspondiente y conservar evidencia de las decisiones de los usuarios.

ConsentX combina descubrimiento de cookies, gestión del consentimiento, bloqueo previo de scripts, registros de consentimiento, reglas regionales y flujos de DSAR para ayudar a las empresas a llevar los controles de privacidad a la práctica en todos sus activos digitales.

Lista de comprobación de cumplimiento de la KVKK

Use esta lista de comprobación como punto de partida de su programa de cumplimiento:

• Identificar las actividades de tratamiento de datos personales
• Identificar responsables y encargados
• Mapear las finalidades de tratamiento
• Determinar la condición de tratamiento aplicable del artículo 5
• Identificar las categorías especiales de datos personales
• Valorar las condiciones del artículo 6 cuando proceda
• Preparar avisos de privacidad adecuados
• Revisar las cookies y tecnologías de seguimiento
• Determinar dónde se exige consentimiento explícito
• Asegurar que el consentimiento sea libre, específico e informado
• Registrar las decisiones de consentimiento
• Ofrecer mecanismos para la retirada del consentimiento
• Implantar procedimientos para solicitudes de los interesados
• Controlar el plazo de respuesta de 30 días
• Implantar medidas de seguridad adecuadas
• Mantener un proceso de respuesta a brechas de datos
• Valorar las transferencias internacionales
• Revisar los requisitos de contratos tipo cuando proceda
• Seguir el requisito de notificación en cinco días hábiles para los contratos tipo aplicables
• Valorar los requisitos de registro en VERBİS
• Mantener inventarios de tratamiento
• Definir plazos de conservación
• Implantar procedimientos de supresión y anonimización
• Revisar las relaciones con proveedores y encargados
• Conservar evidencia de auditoría adecuada
• Seguir las orientaciones del Consejo de la KVKK y las novedades regulatorias