Conformidade com a KVKK da Turquia

O que é a KVKK?

A Lei de Proteção de Dados Pessoais n.º 6698 é a lei abrangente de proteção de dados da Turquia. Sua finalidade é proteger direitos e liberdades fundamentais, em especial o direito à privacidade, estabelecendo ao mesmo tempo os princípios e obrigações aplicáveis a pessoas e organizações que tratam dados pessoais.

A lei aplica-se ao tratamento realizado total ou parcialmente por meios automatizados e a certos tratamentos não automatizados que integrem um arquivo de dados. Ela estabelece os seguintes papéis:

• Controlador (Veri Sorumlusu) – determina as finalidades e os meios do tratamento.
• Operador (Veri İşleyen) – trata dados pessoais em nome do controlador.
• Titular – a pessoa cujos dados pessoais são tratados.
• Conselho de Proteção de Dados Pessoais – o órgão decisório regulatório.
• Autoridade de Proteção de Dados Pessoais – a autoridade institucional que sustenta o arcabouço regulatório.

A KVKK foi promulgada em 24 de março de 2016 e publicada no Diário Oficial em 7 de abril de 2016. O arcabouço foi alterado desde então, inclusive por mudanças significativas que entraram em vigor em 2024, relativas em especial às categorias especiais de dados pessoais e às transferências internacionais.

Organizações abrangidas pela KVKK

A KVKK aplica-se a organizações e pessoas que estejam em seu âmbito e tratem dados pessoais abrangidos pela lei. Isso pode incluir:

• Empresas turcas
• Empregadores
• Negócios de comércio eletrônico
• Bancos e instituições financeiras
• Organizações de saúde
• Instituições de ensino
• Empresas de tecnologia
• Provedores SaaS
• Empresas de publicidade e marketing
• Operadoras de telecomunicações
• Marketplaces online
• Aplicativos móveis
• Sites e plataformas digitais
• Instituições públicas
• Organizações que tratam dados de funcionários
• Organizações que usam bases de clientes ou de potenciais clientes

Organizações estabelecidas fora da Turquia também podem ter obrigações sob a KVKK, conforme suas atividades de tratamento e sua relação com titulares turcos.

Para empresas que operam na Turquia sites, aplicativos móveis, plataformas SaaS, serviços de comércio eletrônico ou outros produtos digitais, a conformidade com a KVKK pode envolver gestão de consentimento, avisos de privacidade, avaliação das condições de tratamento, medidas de segurança, atendimento a requisições dos titulares, obrigações do VERBİS e salvaguardas para transferências internacionais.

Quais dados a KVKK protege?

A KVKK abrange dados pessoais relativos a uma pessoa identificada ou identificável. Exemplos:

• Nome
• Endereço de e-mail
• Número de telefone
• Endereço postal
• Informações de identificação
• Informações de conta de cliente
• Informações de funcionários
• Endereços IP quando constituírem dados pessoais
• Identificadores online
• Informações de localização
• Informações de transações
• Informações relativas a dispositivos
• Informações de autenticação
• Registros de clientes
• Perfis de marketing
• Certas informações de cookies e rastreamento

Se determinado identificador técnico constitui dado pessoal depende de sua relação com uma pessoa natural identificada ou identificável.

A KVKK estabelece ainda requisitos adicionais para categorias especiais de dados pessoais.

Princípios de tratamento da KVKK

O artigo 4 estabelece os princípios fundamentais do tratamento de dados pessoais, que devem ser tratados conforme a lei e os princípios jurídicos pertinentes, entre eles:

• Licitude e lealdade – o tratamento deve observar os requisitos legais aplicáveis e ser conduzido de forma leal.
• Exatidão – os dados pessoais devem ser exatos e mantidos atualizados quando necessário.
• Limitação da finalidade – os dados devem ser tratados para finalidades determinadas, explícitas e legítimas.
• Minimização de dados – os dados pessoais devem ser pertinentes, limitados e proporcionais às finalidades do tratamento.
• Limitação do armazenamento – os dados devem ser retidos pelo período exigido pela legislação aplicável ou necessário às finalidades do tratamento.

Esses princípios devem ser considerados em todo o ciclo de vida dos dados, da coleta e do consentimento ao armazenamento, uso, compartilhamento e eliminação.

O que é consentimento explícito na KVKK?

A KVKK define consentimento explícito como aquele livremente concedido, específico e informado. Ele deve, portanto, representar uma manifestação positiva e significativa da vontade do titular.

A gestão de consentimento deve evitar:

• Opções de consentimento pré-selecionadas
• Consentimento vago ou genérico
• Finalidades pouco claras
• Mecanismos de consentimento ocultos
• Consentimento agrupado sem necessidade com tratamentos não relacionados
• Interfaces que dificultam desnecessariamente a recusa

A Autoridade da KVKK destacou os três elementos centrais do consentimento explícito: objeto determinado, informação e livre escolha.

Retirada do consentimento

Quando o tratamento se baseia em consentimento explícito, as organizações devem oferecer um mecanismo prático para gerir essa relação de consentimento. Um sistema de gestão de consentimento deve permitir:

• Registrar quando o consentimento foi dado
• Registrar o que o consentimento abrangia
• Registrar a finalidade correspondente
• Registrar a escolha do usuário
• Manter evidência do consentimento
• Suportar mudanças nas preferências de consentimento
• Manter registros das retiradas
• Impedir tratamentos posteriores quando o consentimento for a base legal aplicável e tiver sido retirado

A ConsentX pode ajudar as organizações a operacionalizar esses controles técnicos.

Categorias especiais de dados pessoais na KVKK

A KVKK prevê proteção adicional para categorias especiais de dados pessoais. Elas incluem dados relativos a:

• Raça
• Origem étnica
• Opinião política
• Convicção filosófica
• Religião
• Vertente religiosa ou outra crença
• Aparência
• Filiação a associação, fundação ou sindicato
• Saúde
• Vida sexual
• Condenações criminais e medidas de segurança
• Dados biométricos
• Dados genéticos

Alterações significativas do artigo 6 entraram em vigor em 2024. A estrutura anterior foi substituída por um conjunto mais amplo de condições legais que permitem tratar categorias especiais sem depender exclusivamente do consentimento explícito: certas exigências legais, finalidades de saúde pública, obrigações trabalhistas e previdenciárias, a proteção de direitos e outras circunstâncias específicas.

As alterações de 2024 tornam, portanto, especialmente importante revisar fluxos de consentimento legados para dados de categoria especial, em vez de supor que todo tratamento de dados sensíveis deva usar o mesmo mecanismo de consentimento.

Tratamento de categorias especiais de dados pessoais

Quando dados de categoria especial são tratados, as organizações devem determinar:

• Qual categoria de dados está envolvida?
• Qual é a finalidade do tratamento?
• Qual condição do artigo 6 se aplica?
• É exigido consentimento explícito?
• Quais medidas de segurança adicionais se aplicam?
• Quem pode acessar a informação?
• Por quanto tempo deve ser retida?
• A informação é transferida a outra parte?
• É transferida para fora da Turquia?
• Quais evidências devem ser mantidas?

A KVKK exige ainda as medidas adequadas determinadas pelo Conselho no tratamento de categorias especiais de dados pessoais.

Avisos de privacidade e transparência

O artigo 10 da KVKK exige que os controladores informem os titulares quando dados pessoais são obtidos. A informação inclui:

• A identidade do controlador
• A identidade de seu representante, quando aplicável
• A finalidade do tratamento
• Os destinatários e as finalidades das transferências
• O método e a base legal da coleta
• Os direitos pertinentes dos titulares

Em sites e aplicativos, os avisos de privacidade devem ser claros, acessíveis e adequadamente vinculados ao ponto de coleta.

Banners de consentimento não devem ser tratados como substitutos de um aviso de privacidade completo.

Cookies e tecnologias de rastreamento na KVKK

A KVKK não significa que todo cookie exija automaticamente consentimento explícito. O tratamento jurídico adequado depende de:

• Quais informações o cookie ou rastreador coleta
• Se essas informações constituem dados pessoais
• Por que é utilizado
• Se outra condição do artigo 5 se aplica
• Se os dados são transferidos a terceiros
• Se a atividade envolve transferências internacionais
• Se estão envolvidas informações de categoria especial

Para analytics, publicidade e outros rastreamentos não essenciais, as organizações devem avaliar a condição de tratamento aplicável da KVKK e implementar, quando necessário, um mecanismo adequado de consentimento ou informação.

A ConsentX pode ajudar as organizações a identificar cookies e rastreadores e a aplicar controles específicos por região.

Direitos dos titulares na KVKK

O artigo 11 confere diversos direitos aos titulares. Eles podem requerer:

• Confirmação de que seus dados pessoais são tratados
• Informações sobre o tratamento
• Informações sobre as finalidades do tratamento
• Informações sobre terceiros que recebem seus dados
• Correção de dados inexatos ou incompletos
• Eliminação ou destruição quando presentes as condições legais
• Comunicação de correções ou eliminações a terceiros pertinentes
• Oposição a certos resultados desfavoráveis produzidos exclusivamente por tratamento automatizado
• Indenização por danos decorrentes de tratamento ilícito

Requisições dos titulares na KVKK

Os titulares podem apresentar requisições ao controlador conforme os procedimentos previstos na KVKK. Em regra, o controlador deve concluir a requisição o quanto antes e no máximo em 30 dias. As requisições são normalmente gratuitas, ainda que possa ser admitida uma taxa nas circunstâncias definidas pelas regras aplicáveis.

A ConsentX pode apoiar fluxos operacionais para:

• Recebimento de requisições
• Fluxos de verificação de identidade
• Acompanhamento das requisições
• Coleta de evidências
• Atribuição interna
• Monitoramento de prazos
• Documentação das respostas
• Trilhas de auditoria

Segurança dos dados na KVKK

O artigo 12 exige que os controladores adotem as medidas técnicas e organizacionais necessárias para assegurar um nível adequado de segurança. Essas medidas visam impedir:

• O tratamento ilícito
• O acesso ilícito
• A perda ou o comprometimento dos dados pessoais

Os controladores também devem realizar ou contratar auditorias adequadas sobre o cumprimento dos requisitos de segurança dos dados.

Quando o tratamento é realizado por um operador, o controlador continua responsável por medidas de segurança adequadas.

Notificação de incidentes na KVKK

Quando dados pessoais tratados por um controlador são obtidos ilicitamente por terceiros, o controlador deve notificar o titular e o Conselho no menor prazo. O Conselho da KVKK interpreta a expressão legal “menor prazo” como no máximo 72 horas após tomar conhecimento do incidente. Se a notificação não puder ser concluída nesse prazo, devem ser indicados os motivos do atraso.

As organizações devem manter:

• Procedimentos de detecção de incidentes
• Processos de resposta a incidentes
• Documentação dos incidentes
• Procedimentos internos de escalonamento
• Fluxos de notificação ao regulador
• Procedimentos de comunicação aos titulares

Controladores e operadores

A KVKK distingue o controlador, ou seja, a organização que determina as finalidades e os meios do tratamento de dados pessoais, do operador, ou seja, a pessoa ou organização que trata dados pessoais em nome do controlador.

Exemplos de operadores podem incluir:

• Provedores de serviços em nuvem
• Empresas de hospedagem
• Provedores de CRM
• Plataformas de e-mail
• Provedores de analytics
• Provedores de tecnologia de marketing
• Plataformas de atendimento ao cliente

O controlador deve manter supervisão adequada sobre os operadores e assegurar que as obrigações de segurança e privacidade sejam observadas durante toda a relação de tratamento.

Transferências internacionais de dados na KVKK

As transferências internacionais de dados são uma área central da conformidade com a KVKK. O artigo 9 foi substancialmente alterado em 2024, introduzindo um novo arcabouço para transferências de dados pessoais ao exterior. Nesse arcabouço, as transferências podem apoiar-se em mecanismos como:

• Uma decisão de adequação
• Normas corporativas vinculantes aprovadas
• Contratos padrão publicados pelo Conselho
• Determinados compromissos escritos aprovados
• Circunstâncias excepcionais de transferência previstas

Os contratos padrão são uma das salvaguardas disponíveis para transferências internacionais. A lei exige que o contrato padrão seja notificado à Autoridade em até cinco dias úteis após a assinatura, e a Autoridade da KVKK publicou modelos cobrindo diferentes relações entre controladores e operadores.

Isso é especialmente relevante para organizações que utilizam internacionalmente:

• Infraestrutura em nuvem
• Ferramentas SaaS
• Plataformas de CRM
• Serviços de analytics
• Tecnologia de publicidade
• Provedores de e-mail
• Sistemas de atendimento ao cliente

Transferências internacionais e consentimento

O consentimento explícito pode ser um dos mecanismos excepcionais para transferir dados pessoais ao exterior, mas o arcabouço do artigo 9 alterado não faz do consentimento a solução padrão para transferências internacionais rotineiras.

Ao recorrer às condições excepcionais de transferência, os requisitos e limites legais devem ser avaliados com cuidado. Para transferências internacionais contínuas, as organizações devem em geral avaliar se há uma decisão de adequação ou uma salvaguarda adequada disponível.

VERBİS – o registro de controladores

A KVKK cria o registro de controladores, conhecido como VERBİS. Os controladores sujeitos à obrigação de registro devem inscrever-se e fornecer informações sobre suas atividades de tratamento. O arcabouço de registro pode exigir informações como:

• A identidade do controlador
• As finalidades do tratamento
• As categorias de titulares
• As categorias de dados
• Os destinatários
• As transferências internacionais
• As medidas de segurança
• Os prazos máximos de armazenamento

A lei permite, no entanto, que o Conselho estabeleça isenções com base em critérios objetivos. O Conselho da KVKK definiu isenções considerando, entre outros aspectos, a natureza e a quantidade dos dados, as atividades de tratamento e as características da organização.

Uma decisão relevante do Conselho de 2025 também ampliou o arcabouço de isenções para certos controladores de pequeno porte cuja atividade principal envolve o tratamento de dados pessoais de categoria especial, com critérios de número de empregados e de balanço.

As empresas devem, portanto, verificar sua situação atual de registro no VERBİS e os critérios de isenção aplicáveis, em vez de se basear em limites antigos de empregados ou de receita publicados em materiais de conformidade desatualizados.

Retenção e eliminação de dados

A KVKK exige que os dados pessoais sejam armazenados pelo período estabelecido na legislação aplicável ou pelo período necessário à finalidade do tratamento. Quando deixam de existir as razões que exigiam o tratamento, os dados pessoais devem ser eliminados, destruídos ou anonimizados, conforme o caso.

A Turquia conta ainda com um regulamento específico sobre eliminação, destruição ou anonimização de dados pessoais, que estabelece os procedimentos aplicáveis. As organizações devem, portanto, manter cronogramas de retenção e procedimentos de eliminação documentados, cobrindo:

• Prazos de retenção previstos na legislação
• Prazos de retenção vinculados à finalidade do tratamento
• Procedimentos de eliminação
• Procedimentos de destruição
• Procedimentos de anonimização
• Revisão periódica dos dados armazenados
• Evidência de que a eliminação foi realizada

Decisões automatizadas

A KVKK reconhece o direito do titular de se opor a um resultado que lhe seja desfavorável decorrente da análise de dados pessoais tratados exclusivamente por sistemas automatizados. Isso é relevante para empresas que usam:

• Sistemas de IA
• Definição automatizada de perfis
• Escore automatizado de clientes
• Detecção de fraude
• Tecnologia de recrutamento
• Sistemas de personalização
• Decisões automatizadas de elegibilidade

Organizações que usam IA ou sistemas de decisão automatizada devem avaliar as condições de tratamento pertinentes da KVKK, as obrigações de transparência, os direitos dos titulares e os requisitos de segurança.

Marketing direto na KVKK

Atividades de marketing podem envolver várias categorias de tratamento de dados pessoais, incluindo:

• Endereços de e-mail
• Números de telefone
• Perfis de clientes
• Histórico de compras
• Informações comportamentais
• Identificadores de publicidade
• Atividade no site

As organizações devem determinar a base legal adequada e assegurar que o tratamento para fins de marketing seja compatível com os requisitos de transparência e de tratamento da KVKK.

Quando o consentimento explícito for exigido, ele deve ser específico, informado e livremente concedido, e os registros de consentimento devem ser mantidos como evidência.

Privacidade desde a concepção na KVKK

Ainda que a KVKK não reproduza a terminologia do GDPR, as organizações devem incorporar considerações de privacidade e segurança em sistemas e processos desde o início. Uma implementação atenta à privacidade pode incluir:

• Minimização de dados
• Coleta baseada na finalidade
• Controles de acesso
• Gestão de consentimento
• Avisos de privacidade
• Controles de retenção
• Fluxos de requisições dos titulares
• Avaliação de fornecedores
• Avaliação de transferências internacionais
• Controles de segurança
• Registro de auditoria

Registros de tratamento e governança

As organizações devem manter visibilidade sobre:

• Quais dados pessoais tratam
• Por que os tratam
• Onde são armazenados
• Quem pode acessá-los
• Quais fornecedores os recebem
• Se saem da Turquia
• Por quanto tempo são retidos
• Qual condição legal sustenta o tratamento
• Se é exigido consentimento explícito
• Como o consentimento é retirado
• Como as requisições dos titulares são tratadas

Para organizações sujeitas ao registro no VERBİS, manter informações de tratamento exatas é especialmente importante, pois os dados do registro estão vinculados às atividades de tratamento da organização.

Quem fiscaliza a KVKK?

A KVKK é supervisionada e fiscalizada pela Autoridade de Proteção de Dados Pessoais (Kişisel Verileri Koruma Kurumu).

O Conselho de Proteção de Dados Pessoais exerce importantes funções regulatórias, de supervisão e de fiscalização, incluindo o tratamento de reclamações, o exame de violações e a aplicação de sanções administrativas.

Por que a gestão de consentimento importa na KVKK

Para negócios digitais, a conformidade em privacidade não se limita a publicar uma política de privacidade. Um site pode envolver dezenas de tecnologias que coletam ou transmitem informações, incluindo:

• Ferramentas de analytics
• Pixels de publicidade
• Scripts de redes sociais
• Ferramentas de gravação de sessão
• Tecnologias de personalização
• Tags de marketing
• Conteúdo incorporado
• Integrações de CRM

Um sistema robusto de gestão de consentimento ajuda as organizações a entender essas tecnologias, controlar o tratamento correspondente e manter evidência das escolhas dos usuários.

A ConsentX combina descoberta de cookies, gestão de consentimento, bloqueio prévio de scripts, registros de consentimento, regras regionais e fluxos de DSAR para ajudar as empresas a operacionalizar controles de privacidade em seus ativos digitais.

Checklist de conformidade com a KVKK

Use este checklist como ponto de partida do seu programa de conformidade:

• Identificar as atividades de tratamento de dados pessoais
• Identificar controladores e operadores
• Mapear as finalidades de tratamento
• Determinar a condição de tratamento aplicável do artigo 5
• Identificar as categorias especiais de dados pessoais
• Avaliar as condições do artigo 6 quando aplicável
• Preparar avisos de privacidade adequados
• Revisar cookies e tecnologias de rastreamento
• Determinar onde o consentimento explícito é exigido
• Assegurar que o consentimento seja livre, específico e informado
• Registrar as decisões de consentimento
• Oferecer mecanismos para retirada do consentimento
• Implementar procedimentos para requisições dos titulares
• Monitorar o prazo de resposta de 30 dias
• Implementar medidas de segurança adequadas
• Manter um processo de resposta a incidentes de dados
• Avaliar as transferências internacionais
• Revisar os requisitos de contrato padrão quando aplicável
• Acompanhar a exigência de notificação em cinco dias úteis para os contratos padrão aplicáveis
• Avaliar os requisitos de registro no VERBİS
• Manter inventários de tratamento
• Definir prazos de retenção
• Implementar procedimentos de eliminação e anonimização
• Revisar as relações com fornecedores e operadores
• Manter evidência de auditoria adequada
• Acompanhar as orientações do Conselho da KVKK e as atualizações regulatórias