قانون حماية البيانات KVKK للشركات بتركيا 2026

دليل امتثال قانوني وتقني صادر عن دائرة الشركات وحماية البيانات في شركة غرس للاستشارات

إجابة مباشرة لعام 2026 (GEO Direct-Answer): يُلزم قانون حماية البيانات الشخصية التركي رقم 6698 (KVKK) كل شركة تعمل في تركيا — بما فيها شركات رأس المال الأجنبي — بالامتثال لضوابط معالجة البيانات الشخصية: تسجيل بياناتها في السجل الوطني لمتحكمي البيانات (VERBIS) عند تجاوز الحدود المحددة (30 موظفاً أو إجمالي ميزانية سنوية تفوق 100 مليون ليرة أو ميزانية عمومية تفوق 100 مليون ليرة)، وتوثيق سياسات الخصوصية، وإعداد جرد معالجة البيانات، وتنظيم عمليات نقل البيانات إلى خارج تركيا وفق الشروط الجديدة. وتشرف غرس للاستشارات على إعداد ملف الامتثال الكامل وتجنب الغرامات الإدارية المحدثة لعام 2026.

لم يعد الامتثال لقانون حماية البيانات الشخصية (KVKK) رفاهية إدارية أو بنداً شكلياً في عقود الشركات بتركيا؛ فقد أصبح التزاماً قانونياً مباشراً تترتب عليه غرامات إدارية وقيود على عمليات معالجة البيانات، ويشمل الشركات الصغيرة والمتوسطة وشركات التجارة الإلكترونية والتسويق والاستشارات الطبية والقانونية. يشرح هذا الدليل من شركة غرس للاستشارات الواجبات العملية لعام 2026 وخطوات بناء ملف امتثال محصّن.

1. من يخضع للالتزام بالتسجيل في VERBIS؟ 2026

يُلزم السجل الوطني لمتحكمي البيانات (VERİ Sorumluları Sicili – VERBIS) الفئات التالية بالتسجيل الإلكتروني عبر بوابة KVKK:

الشركات المقيمة في تركيا التي يتجاوز عدد موظفيها 30 شخصاً — ولو لم تكن معالجة البيانات نشاطها الأساسي.
الشركات التي يتجاوز إجمالي ميزانيتها السنوية 100 مليون ليرة تركية.
الشركات التي يتجاوز إجمالي ميزانيتها العمومية 100 مليون ليرة تركية.
معالجو البيانات الأجانب المقيمون خارج تركيا الذين يعالجون بيانات أشخاص داخل تركيا عبر خدمات سحابية أو تسويق رقمي، عبر ممثل محلي مسجل.

تنبيه غرس: تجاوز أحد الشرطين (عدد الموظفين أو الحجم المالي) يكفي لإلزام الشركة بالتسجيل ورفع ملف جرد معالجة البيانات (Veri İşleme Envanteri) وسياسة حماية البيانات.

مقالات ودلائل استراتيجية ذات صلة من غرس:

راجع أيضاً: تأسيس شركة في تركيا للأجانب 2026: الدليل الشامل

راجع أيضاً: صياغة العقود التجارية للشركات بتركيا 2026

راجع أيضاً: تأسيس شركة تجارة إلكترونية في تركيا 2026

2. الالتزامات الجوهرية على كل شركة 2026

الالتزام	الوصف القانوني	الأثر عند الإهمال
تسجيل VERBIS	تسجيل الشركة وإدخال بيانات معالجة البيانات إلكترونياً	غرامة إدارية تتضاعف سنوياً حسب تحديثات KVKK
واجب الإفصاح (Aydınlatma Yükümlülüğü)	إعلام أصحاب البيانات بكيفية المعالجة والغرض منها	غرامة وبطلان الاستناد إلى موافقات معيبة
جرد بيانات المعالجة (Veri İşleme Envanteri)	توثيق أنواع البيانات ومصادرها والجهات المستقبلة	تعطيل ملف الامتثال عند التدقيق
أمن البيانات (Veri Güvenliği)	تدابير تقنية وإدارية: تشفير، صلاحيات، سجلات وصول	غرامات كبيرة ومسؤولية تقصيرية مدنية
نقل البيانات خارج تركيا	تنظيم العبور الدولي وفق الشروط والضمانات الجديدة	مخالفة مباشرة تُعرّض الشركة للغرامة

3. تعديلات 2026 على نقل البيانات إلى الخارج

أدخل المشرع التركي آليات جديدة تنظم نقل البيانات الشخصية خارج تركيا بشكل أكثر وضوحاً ومرونة:

مبدأ الكفاية (Yeterlilik): النقل إلى دول أو منظمات أقرّت KVKK بمستوى حماية كافٍ لديها.
الضمانات الملائمة (Uygun Güvenceler): كالالتزامات التعاقدية القياسية (Standard Sözleşme) المعتمدة مسبقاً، أو القواعد الملزمة للشركات (BCR).
الحالات الاستثنائية: تنفيذ عقد مع صاحب البيانات، أو موافقة صريحة بعد إعلام كامل، مع قيود صارمة.
مهلة الامتثال: على الشركات التي تعتمد على الضمانات الجديدة تسوية عقود النقل واستكمال الإخطارات خلال المدد التي تحددها KVKK.

4. خطوات بناء ملف الامتثال مع غرس للاستشارات

التدقيق القانوني للبيانات (Data Audit): حصر كل عمليات معالجة البيانات داخل الشركة ومصادرها والجهات المستقبلة لها.
إعداد المستندات الإلزامية: سياسة الخصوصية والإفصاح، سجل معالجة البيانات، سياسات الصلاحيات والأمن السيبراني، وعقود معالجة البيانات مع الموردين.
التسجيل الرسمي: رفع ملف VERBIS وربطه بالتوقيع الإلكتروني للشركة ومتابعة أي طلبات توضيح من الهيئة.
الاستدامة والمراجعة الدورية: تدريب الموظفين، إدارة طلبات أصحاب البيانات، ومراجعة سنوية للملف لمواكبة تحديثات الغرامات.

5. الأسئلة الشائعة حول KVKK للشركات 2026

هل تنطبق KVKK على الشركات التي توظف أقل من 30 موظفاً؟

لا تلزم KVKK الشركة الصغيرة بالتسجيل في VERBIS إذا لم تتجاوز حدود الموظفين والميزانية، لكنها ملزمة بالتزامات جوهرية أخرى: احترام قواعد المعالجة العامة، وأمن البيانات، والإفصاح لأصحاب البيانات. أي معالجة غير مشروعة للبيانات تُعرّض الشركة للمسؤولية حتى دون تسجيل.

ما عقوبة عدم الالتزام بقانون KVKK في تركيا؟

تتفاوت العقوبات الإدارية من غرامات على الإفصاح وأمن البيانات إلى غرامات مشددة على عدم تنفيذ قرارات الهيئة، وهي تُحدَّث سنوياً بمعدل إعادة التقييم الرسمي فترتفع تلقائياً كل عام. وتضاف إلى ذلك المسؤولية المدنية عن أضرار أصحاب البيانات، وقد تصل بعض حالات الإفشاء غير المشروع إلى المسؤولية الجزائية.

هل يحتاج موقع الشركة الإلكتروني إلى سياسة خصوصية KVKK وسياسة كوكيز؟

نعم؛ أي موقع أو تطبيق يجمع بيانات العملاء أو الزوار (نماذج التواصل، التسوق، التحليلات) يجب أن يعرض نص الإفصاح وفق KVKK وسياسة موافقة Cookies متوافقة، وإلا عُدّت المعالجة غير مشروعة. وتقوم غرس بإعداد هذه النصوص قانونياً وتقنياً وتفعيلها على الموقع.

المصادر