La ley de protección de datos de Turquía es la Ley de Protección de Datos Personales n.º 6698 (KVKK), de 24 de marzo de 2016, reformada por la Ley n.º 7499 con efectos desde el 1 de junio de 2024 en las categorías especiales de datos, las transferencias al extranjero y las sanciones. Cinco obligaciones deciden casi todos los expedientes de cumplimiento: tratar los datos con consentimiento explícito o con una de las bases legales del artículo 5; informar al interesado al recoger sus datos (art. 10); inscribirse en el Registro de Responsables del Tratamiento (VERBİS) antes de empezar a tratar datos, salvo exención del Consejo (art. 16/2); proteger los datos y comunicar su obtención ilícita (art. 12); y transferir datos al extranjero solo por una de las vías del artículo 9. Una empresa española añade su propia ley: el Reglamento (UE) 2016/679 (RGPD), y ninguna de las dos leyes sustituye a la otra.
El despacho asesora a empresas extranjeras sobre la KVKK y su encaje con el RGPD.
¿A quién se aplica la KVKK?
A las personas físicas cuyos datos se tratan y a las personas físicas o jurídicas que los tratan por medios total o parcialmente automatizados, o por medios no automatizados si forman parte de un sistema de registro (art. 2). El responsable del tratamiento (veri sorumlusu) es quien determina los fines y los medios del tratamiento y responde del sistema de registro; el encargado (veri işleyen) trata los datos por cuenta del responsable (art. 3). La Ley n.º 6698 no tiene una regla de ámbito territorial como el artículo 3.2 del RGPD, que somete al Reglamento a quien, sin establecimiento en la Unión, ofrece bienes o servicios a residentes en la Unión y le obliga a designar un representante en ella (art. 27 del RGPD); una empresa turca que vende a clientes españoles responde, por tanto, de las dos leyes.
¿Cuándo es lícito tratar datos personales en Turquía?
El punto de partida es el consentimiento: los datos personales no pueden tratarse sin el consentimiento explícito del interesado (art. 5/1), y el consentimiento explícito es el que se da sobre un asunto determinado, informado y libremente (art. 3/1(a)). Sin consentimiento, el tratamiento solo es posible si lo prevé expresamente una ley; si es necesario para proteger la vida o la integridad física de quien no puede consentir; si es necesario para celebrar o ejecutar un contrato con el interesado; para cumplir una obligación legal del responsable; si el propio interesado hizo públicos los datos; para constituir, ejercer o proteger un derecho; o por el interés legítimo del responsable, sin dañar los derechos fundamentales del interesado (art. 5/2). Todo tratamiento respeta la licitud y la buena fe, la exactitud, fines determinados, explícitos y legítimos, la limitación y la proporcionalidad, y la conservación solo durante el tiempo necesario (art. 4/2).
¿Qué son los datos de categoría especial?
Los relativos a la raza, el origen étnico, las opiniones políticas, las creencias filosóficas, la religión, la secta u otras creencias, la vestimenta, la afiliación a asociaciones, fundaciones o sindicatos, la salud, la vida sexual, las condenas penales y medidas de seguridad, y los datos biométricos y genéticos (art. 6/1). Su tratamiento está prohibido salvo en los supuestos que enumera el artículo 6/3 desde la reforma de 2024: el consentimiento explícito, la previsión expresa de una ley, la protección de la vida, los datos que el interesado hizo públicos, la constitución o defensa de un derecho, la salud pública y la asistencia sanitaria a cargo de personas sujetas a secreto, las obligaciones legales en empleo, seguridad social y servicios sociales, y las entidades sin ánimo de lucro respecto de sus miembros. Además, el Consejo fija las medidas adecuadas que todo tratamiento de estos datos debe adoptar (art. 6/4).
¿Cómo se transfieren datos personales al extranjero?
El artículo 9, reescrito por la Ley n.º 7499, ordena tres escalones. Primero, una base de los artículos 5 o 6 y una decisión de adecuación del Consejo sobre el país, el sector o la organización internacional de destino, publicada en el Boletín Oficial (art. 9/1 y 9/2). A falta de decisión, una base de los artículos 5 o 6, que el interesado pueda ejercer sus derechos y acudir a recursos efectivos en el país de destino, y una de las garantías adecuadas: un acuerdo entre organismos públicos autorizado por el Consejo, normas corporativas vinculantes aprobadas por el Consejo, el contrato estándar que el Consejo ha publicado, o un compromiso escrito autorizado por el Consejo (art. 9/4). Y solo si no hay ni decisión ni garantía, y de forma ocasional, las excepciones del artículo 9/6, entre ellas el consentimiento explícito del interesado informado de los riesgos, la ejecución de un contrato con él y la constitución o defensa de un derecho.
El contrato estándar se notifica a la Autoridad dentro de los cinco días hábiles siguientes a su firma (art. 9/5); el Reglamento de transferencias de 10.07.2024 exige usar el texto del Consejo sin cambios, prevaleciendo el turco, firmado por quienes pueden obligar a cada parte, con la prueba de sus poderes y la traducción notarial de todo documento extranjero. El lado español funciona igual y por separado: una transferencia desde la Unión a un tercer país necesita una decisión de adecuación de la Comisión o garantías adecuadas como las cláusulas tipo de protección de datos (arts. 45 y 46 del RGPD). Las cláusulas tipo de la Comisión no son el contrato estándar turco, ni al revés; un flujo de datos entre España y Turquía necesita su fundamento en las dos leyes.
La propia Autoridad advirtió el 22.09.2026, en su guía para abogados, que subir documentos con datos personales a una herramienta de aprendizaje automático alojada fuera de Turquía puede ser una transferencia al extranjero sometida al artículo 9, y que antes hay que leer sus condiciones, su política de privacidad y los lugares donde trata los datos.
¿Qué es VERBİS y quién debe inscribirse?
VERBİS es el Registro de Responsables del Tratamiento (Veri Sorumluları Sicili), público y llevado bajo la supervisión del Consejo (art. 16/1). Las personas físicas y jurídicas que tratan datos personales deben inscribirse antes de empezar a tratarlos; el Consejo puede eximir de la inscripción con criterios objetivos como la naturaleza y el número de los datos, que el tratamiento venga impuesto por ley o que los datos se comuniquen a terceros (art. 16/2). La inscripción declara la identidad y la dirección del responsable y de su representante, los fines, los grupos de interesados y las categorías de datos, los destinatarios, los datos que se prevé transferir al extranjero, las medidas de seguridad y el plazo máximo de conservación (art. 16/3), y todo cambio se comunica de inmediato (art. 16/4).
¿Qué derechos tiene el interesado y en qué plazos?
Saber si se tratan sus datos y pedir información sobre ello; conocer la finalidad y si se usan conforme a ella; conocer a los terceros a quienes se transfieren, en Turquía o fuera; pedir la rectificación, la supresión o la destrucción; pedir que esas operaciones se comuniquen a los terceros destinatarios; oponerse a un resultado adverso obtenido exclusivamente por sistemas automatizados; y reclamar la indemnización del daño sufrido por un tratamiento ilícito (art. 11). La solicitud se dirige primero al responsable, que la resuelve en el plazo más breve y como máximo en treinta días, gratis salvo que la operación tenga un coste según la tarifa del Consejo (art. 13). Si la rechaza, responde de forma insuficiente o no responde, el interesado puede reclamar ante el Consejo en treinta días desde que conoció la respuesta y, en todo caso, en sesenta desde su solicitud; sin haber pasado antes por el responsable, la reclamación no se admite (art. 14).
¿Qué hay que hacer ante una brecha de seguridad?
El responsable debe adoptar todas las medidas técnicas y organizativas necesarias para impedir el tratamiento y el acceso ilícitos y conservar los datos (art. 12/1), responde conjuntamente con el encargado que trata datos por su cuenta (art. 12/2) y, si terceros obtienen los datos por medios ilícitos, lo comunica en el plazo más breve al interesado y al Consejo, que puede anunciarlo en su sitio web (art. 12/5). La ley turca no fija un número de horas; el RGPD sí, setenta y dos horas desde que el responsable tuvo constancia de la violación (art. 33.1 del RGPD). Una empresa sometida a las dos leyes trabaja con el plazo más corto.
¿Qué sanciones prevé la KVKK?
Multas administrativas por incumplir el deber de información, las obligaciones de seguridad, las decisiones del Consejo, la inscripción en VERBİS y, desde 2024, la notificación del contrato estándar (art. 18/1), recurribles ante el tribunal administrativo (art. 18/3). Los delitos contra los datos personales son los de los artículos 135 a 140 del Código Penal turco, y quien no suprime ni anonimiza los datos cuando debe responde conforme a su artículo 138 (art. 17). El Consejo examina de oficio o por reclamación, el responsable le entrega en quince días la información pedida (art. 15/3), sus decisiones se cumplen en treinta días desde la notificación (art. 15/5), y puede ordenar que se detenga un tratamiento o una transferencia al extranjero cuando hay un daño difícil de reparar y una ilegalidad manifiesta (art. 15/7).
¿Puede llevarse sin viajar a Turquía?
Sí. Leemos sus tratamientos y sus flujos de datos, redactamos la información al interesado, preparamos la inscripción en VERBİS y el contrato estándar con su notificación, respondemos a las solicitudes de los interesados y al Consejo, y recurrimos una multa ante el tribunal administrativo, con un poder notarial otorgado ante un consulado turco o ante un notario de su país con apostilla.
Antes de la próxima transferencia
Qué datos trata, con qué base, dónde los guarda y a quién los transfiere decide lo que le exige la KVKK, lo que le exige el RGPD y lo que debe firmar y notificar antes de la próxima transferencia. Escríbanos a info@serkalaw.com o a través de la página de contacto, indicando dónde están sus servidores y a qué países envía los datos.
Véase también: derecho tecnológico y protección de datos (KVKK).
Esta página expone la Ley n.º 6698 según el texto consolidado de mevzuat.gov.tr, el Reglamento sobre transferencias de datos personales al extranjero (Boletín Oficial de 10.07.2024) y la guía de la Autoridad para abogados de 22.09.2026, y el Reglamento (UE) 2016/679 según su texto español en el Diario Oficial de la Unión Europea. Es información general sobre el derecho turco y no un asesoramiento sobre un expediente concreto; la representación empieza solo con un encargo firmado.