Derecho Tecnológico, Privacidad de Datos (KVKK) y Regulaciones de Criptomonedas

Derecho Tecnológico, Privacidad de Datos (KVKK) y Regulación de Criptomonedas. Serka Law Firm asesora a empresas tecnológicas internacionales, operadores de plataformas, editoras y distribuidoras de videojuegos, proveedores de SaaS, fintechs, equipos de aprendizaje automático y plataformas de criptomonedas en materia de protección de datos, comercio electrónico, derecho de internet y derecho del mercado de capitales en Turquía. Construimos las estructuras de cumplimiento que permiten a una plataforma extranjera prestar servicios a usuarios turcos de forma lícita, y defendemos esa plataforma cuando un regulador actúa contra ella.

Plazo legal fijado: 1 de noviembre de 2026. La Ley n.º 7578, publicada en el «Resmî Gazete» de 1 de mayo de 2026, número 33240, introduce el artículo adicional 5 en la Ley de Internet n.º 5651 y da nueva redacción al artículo adicional 4. Desde el 1 de noviembre de 2026, una plataforma de videojuegos de origen extranjero cuyo acceso diario desde Turquía supere las cien mil conexiones debe designar un representante en Turquía y notificarlo a la Autoridad, con una sanción administrativa que alcanza los treinta millones de liras turcas en caso de segunda infracción. Este deber no existía antes del 1 de mayo de 2026. El test, los umbrales y lo que hay que construir se exponen inmediatamente a continuación.

Abogado Serkan Kara, Serka Law Firm. Colegio de Abogados de Estambul, n.º de registro 53770; Unión de Colegios de Abogados de Turquía (TBB) n.º 121348. En ejercicio desde 2015.

El deber de representante para plataformas de videojuegos extranjeras desde el 1 de noviembre de 2026

Desde el 1 de noviembre de 2026, una plataforma de videojuegos de origen extranjero cuyo acceso diario desde Turquía supere las cien mil conexiones debe designar un representante en Turquía, persona física o jurídica, y notificar esa designación a la Autoridad. La plataforma debe además publicar la identidad y los datos de contacto del representante en su propio sitio web, de forma fácilmente visible y directamente accesible. Las obligaciones de clasificación por edades de los contenidos y de control parental se recogen en el mismo artículo. El instrumento es el artículo adicional 5 de la Ley de Internet n.º 5651, introducido por el artículo 23 de la Ley n.º 7578, publicada en el «Resmî Gazete» de 1 de mayo de 2026, número 33240. El artículo 27 de esa ley fija la entrada en vigor a los seis meses de la publicación, esto es, el 1 de noviembre de 2026. La sanción administrativa alcanza los treinta millones de liras turcas en caso de segunda infracción.

Para una asesoría jurídica interna conviene señalar dos consecuencias con claridad. Primera: la obligación es nueva, de modo que no hay un asesor establecido que ya la gestione ni un precedente interno del que copiar. Segunda: la arquitectura de clasificación por edades y control parental es un desarrollo, no una presentación de documentos; los seis meses entre publicación y entrada en vigor eran la ventana de ese desarrollo, y la mayor parte ya ha transcurrido.

Qué exige el artículo, punto por punto

• Designar un representante en Turquía. El artículo admite tanto persona física como jurídica.
• Notificar esa designación a la Autoridad.
• Publicar la identidad y los datos de contacto del representante en el propio sitio web de la plataforma, de forma fácilmente visible y directamente accesible.
• Cumplir el régimen de clasificación de contenidos por edades y ofrecer controles parentales; ambas obligaciones figuran en el mismo artículo.

El artículo designa al órgano notificado como la Autoridad, sin identificarlo con más detalle en el texto publicado. Por esa razón escribimos «la Autoridad» y no aventuramos cuál es. Qué órgano designa, y el procedimiento que ese órgano publicará, se determinará mediante la legislación secundaria de desarrollo o mediante el anuncio del propio órgano, y vigilamos el «Resmî Gazete» para ambos.

¿Alcanza este deber a su plataforma?

Lo deciden cuatro condiciones. Tres son verificables públicamente y una es su propia cifra, motivo por el cual el test se expone aquí para que usted lo aplique, en lugar de afirmarse desde fuera sobre nadie.

Si se cumplen las cuatro, la designación y la notificación son exigibles antes del 1 de noviembre de 2026, y la arquitectura de clasificación por edades y control parental debe estar operativa para entonces. Después de esa fecha, la misma empresa está en fase de ejecución sancionadora y no de preparación, que es una posición de partida sensiblemente peor.

El reflejo del RGPD, y por qué falla aquí

Para un equipo jurídico español o latinoamericano acostumbrado al RGPD, el error más caro no es desconocer la KVKK sino suponer que es la KVKK la que se adapta. Turquía no forma parte del marco de adecuación de la Unión Europea, de modo que un conjunto de cláusulas contractuales tipo redactado para el RGPD no satisface por sí mismo el régimen turco de transferencia, y una decisión de adecuación de la Comisión Europea no produce ningún efecto sobre la Junta turca. El mismo reflejo aparece en la regla de plataformas: el hecho de que un servicio ya cumpla la normativa europea de servicios digitales no dice nada sobre el artículo adicional 5, cuyo umbral, cuyo destinatario y cuya fecha son propios y no derivados. Las dos arquitecturas conviven, pero ninguna cubre a la otra, y comprobar cuál es el análisis turco sobre sus propios hechos es más barato antes de una inspección que después.

El régimen de proveedor de redes sociales por encima de diez millones de accesos diarios

El artículo 22 de la Ley n.º 7578 da nueva redacción al artículo adicional 4 de la Ley de Internet n.º 5651, la disposición que regula a los proveedores de redes sociales, y añade una capa más exigente para aquellos cuyo acceso diario desde Turquía supere los diez millones. Entra en vigor en la misma fecha, el 1 de noviembre de 2026. Un representante designado hace años como notificación formal no es lo mismo que una función jurídica capaz de sostener la nueva capa, de modo que un proveedor que ya cuente con un representante notificado debería contrastar el artículo reescrito con lo que esa designación cubre realmente y con quién responde de ella dentro de la organización.

A quién está contratando

Abogado Serkan Kara. Abogado del Colegio de Abogados de Estambul, número de registro 53770, Unión de Colegios de Abogados de Turquía n.º 121348, en ejercicio desde 2015. Titular de la Tarjeta Profesional de Abogado del CCBE. Cursó Derecho de los Estados Unidos en el programa CUSL de la Facultad de Derecho de la Universidad de Colonia, con calificaciones de vollbefriedigend. La consecuencia es justamente la que importa a la dirección jurídica de una empresa tecnológica: este despacho domina las dos grandes tradiciones jurídicas, la continental y la angloamericana, en lugar de que una de ellas consulte a la otra a través de una frontera. El trabajo transfronterizo es aquí el caso ordinario, y así se gestiona y se presupuesta.

Es además desarrollador. Software y hardware, con las manos en el teclado desde la era MS-DOS, desde los once años, y nivel Premium en el Google Developer Program. El aprendizaje automático figura entre las especialidades declaradas del despacho. Lo que eso le aporta es concreto y explica por qué esta página está escrita así: su arquitectura, sus flujos de datos, su fichero de licencias, la documentación de sus modelos y sus condiciones de servicio los lee el abogado en lugar de que se los expliquen, y a sus ingenieros no se les pide que traduzcan su propio sistema antes de que pueda asesorarse sobre él.

Significa también que el despacho utiliza la tecnología más nueva y mejor en toda su extensión, sobre experiencia y conocimientos tecnológicos propios y no de un proveedor. Es una de las ventajas serias que lo distinguen en cualquier lugar del mundo, y se apoya en las credenciales anteriores.

¿Qué es el derecho tecnológico y de privacidad de datos para las empresas que operan en Turquía?

El derecho tecnológico y de privacidad de datos en Turquía regula cómo una empresa recopila, almacena, transfiere y monetiza datos personales y servicios digitales. La norma central es la Ley de Protección de Datos Personales No. 6698 (KVKK), que refleja el RGPD de la UE pero impone condiciones más estrictas para transferir datos fuera de Turquía. Una empresa tecnológica que presta servicios a usuarios turcos queda sujeta a estas normas con independencia de dónde se encuentren sus servidores. Junto con la KVKK, la Ley de Regulación del Comercio Electrónico No. 6563, la Ley de Internet No. 5651 y la Ley del Mercado de Capitales No. 6362 (para los criptoactivos) conforman en conjunto el perímetro regulatorio que toda plataforma extranjera debe respetar.

¿Qué debe revisar primero un proyecto tecnológico o de datos?

Un proyecto tecnológico debe comenzar con un mapa de flujo de datos: quiénes son los interesados, qué datos personales se tratan, con qué finalidad, dónde se almacenan y qué terceros o proveedores acceden a ellos. A partir de ese mapa, el abogado puede identificar las obligaciones legales asociadas a cada flujo, incluidos el consentimiento u otra base de licitud, los controles de transferencia transfronteriza, los deberes de seguridad, las cláusulas contractuales frente al consumidor y cualquier licencia sectorial. Resolver estas cuestiones durante el diseño del producto, y no después de una investigación del regulador, es lo que evita que una sola decisión comercial se convierta más adelante en un incumplimiento de cumplimiento normativo.

¿Qué es la KVKK y en qué se diferencia del RGPD?

La KVKK (Ley de Protección de Datos Personales No. 6698) es la norma general de protección de datos de Turquía, estructuralmente próxima al RGPD en sus principios, en los derechos de los interesados y en los deberes de responsabilidad proactiva. La diferencia decisiva es la transferencia transfronteriza de datos. Mientras que el RGPD permite las transferencias mediante decisiones de adecuación y salvaguardias estandarizadas, la KVKK exigía históricamente o bien el consentimiento explícito del interesado, o bien que el país de destino figurara en la lista de países con protección adecuada elaborada por la Junta de Protección de Datos Personales. Dado que esa lista de adecuación ha permanecido limitada en la práctica, la mayoría de las empresas internacionales se apoyan en compromisos escritos aprobados por la Junta o en salvaguardias contractuales tipo, en lugar de considerar un destino automáticamente seguro.

Registro en VERBIS para los responsables del tratamiento

Las empresas que alcancen determinados umbrales, o cuya actividad principal sea el tratamiento de datos personales sensibles, deben inscribirse en VERBIS, el Registro público de Responsables del Tratamiento gestionado por la Autoridad de Protección de Datos Personales. La inscripción documenta el inventario de datos del responsable, las finalidades del tratamiento, los plazos de conservación y las medidas de seguridad. Un responsable del tratamiento extranjero sin establecimiento en Turquía debe designar a un Representante del Responsable del Tratamiento en Turquía, función que nuestro despacho desempeña para clientes internacionales. No inscribirse, o inscribir información inexacta, expone al responsable a sanciones administrativas.

La Autoridad enuncia este deber en su propia guía publicada sobre el Registro: un responsable del tratamiento que sea persona jurídica residente en el extranjero debe designar un representante del responsable del tratamiento en Turquía. Se trata de un test sobre el estatuto del responsable y no sobre el tamaño de una presencia turca, y por eso alcanza a un conjunto de empresas tecnológicas extranjeras mucho más amplio que cualquiera de los dos regímenes de plataforma descritos arriba. Si un responsable concreto queda además dentro de los umbrales de inscripción se valora sobre sus propias cifras, y conviene valorarlo antes de una inspección y no después.

Transferencia transfronteriza de datos

Conforme a la KVKK, los datos personales de los usuarios en Turquía no pueden transferirse a servidores en el extranjero por mera conveniencia. El consentimiento explícito es una vía, pero es frágil porque el usuario puede retirarlo en cualquier momento. La vía más duradera es un compromiso escrito o un mecanismo contractual tipo aprobado por la Junta de Protección de Datos Personales, respaldado por una equivalencia genuina de seguridad técnica y organizativa. Preparamos y presentamos estos instrumentos para que una empresa global pueda mantener los datos en su infraestructura de nube existente sin dejar de ser lícita conforme al derecho turco.

¿Cómo regula Turquía las criptomonedas y las plataformas de criptoactivos?

Los proveedores de servicios de criptomonedas y criptoactivos en Turquía están regulados por la Ley del Mercado de Capitales No. 6362, en su versión modificada para incorporar los criptoactivos a la supervisión de la Junta del Mercado de Capitales (SPK). Los proveedores de servicios de criptoactivos, incluidas las plataformas de intercambio y de custodia, deben contar con una autorización de funcionamiento de la SPK y cumplir obligaciones de capital, gobernanza, custodia y prevención del blanqueo de capitales. Operar una plataforma de intercambio dirigida a usuarios en Turquía sin esa autorización se considera una actividad no autorizada del mercado de capitales y puede dar lugar a responsabilidad penal de los directivos responsables y al bloqueo del acceso a la plataforma.

Obtención de licencia para una plataforma de intercambio de criptomonedas

Una plataforma de intercambio extranjera que capte usuarios turcos, se anuncie en turco u ofrezca pares de negociación en liras turcas generalmente necesita constituir una sociedad anónima turca y obtener la autorización de la SPK. La obtención de la licencia implica cumplir los requisitos de capital mínimo, implantar controles de prevención del blanqueo de capitales y de identificación del cliente alineados con MASAK (la Junta de Investigación de Delitos Financieros) y establecer mecanismos de custodia que cumplan la normativa. Gestionamos la solicitud de autorización de principio a fin y estructuramos el vehículo societario que ostenta la licencia.

Emisión de tokens y estructuración Web3

La emisión de tokens conlleva un riesgo en materia de valores. Un token que se comporta como un instrumento de participación en beneficios o de dividendos puede ser tratado como un valor, lo que activa obligaciones de folleto y de información. Emitimos dictámenes jurídicos que distinguen los tokens de utilidad de los tokens de valor, estructuramos la entidad emisora y delimitamos geográficamente las ofertas minoristas para que los fundadores no queden expuestos a reclamaciones por oferta pública no autorizada en Turquía.

¿Qué normas de comercio electrónico se aplican a las plataformas en línea extranjeras?

Las plataformas en línea extranjeras que venden a consumidores en Turquía deben cumplir la Ley de Regulación del Comercio Electrónico No. 6563 y el reglamento sobre Contratos de Venta a Distancia. Dos obligaciones son las más relevantes. Primera, toda venta de empresa a consumidor debe otorgar al consumidor un derecho de desistimiento de catorce días sin penalización, junto con un formulario detallado de información previa antes de la compra. Segunda, los mensajes electrónicos comerciales, como los SMS de marketing, el correo electrónico o las llamadas automatizadas, requieren una aprobación previa registrada en el Sistema Central de Gestión de Mensajes (IYS); la baja del consumidor debe respetarse de forma automática. Enviar marketing no solicitado sin aprobación en el IYS, o denegar un reembolso lícito, acarrea sanciones administrativas y reclamaciones de consumidores que pueden alterar el procesamiento de pagos local.

¿Pueden las autoridades turcas bloquear o ralentizar una plataforma extranjera?

Sí. Conforme a la Ley de Internet No. 5651, un proveedor extranjero de redes sociales con una gran base diaria de usuarios turcos debe designar a un representante local para recibir y responder a las notificaciones legales, y desde el 1 de noviembre de 2026 la misma arquitectura alcanza a las plataformas de videojuegos por encima de cien mil accesos diarios en virtud del artículo adicional 5. Cuando un tribunal ordena la retirada de contenidos por motivos de derechos de la personalidad u otros fundamentos legales, el proveedor debe actuar dentro del plazo legal. La negativa puede llevar a la Autoridad de Tecnologías de la Información y la Comunicación (BTK) a imponer prohibiciones de publicidad, multas y una ralentización progresiva del ancho de banda que degrada el servicio. Actuamos como representante designado, evaluamos la validez de cada orden, presentamos objeciones cuando una orden es defectuosa y ejecutamos un cumplimiento estrictamente acotado para que una sola controversia no comprometa la disponibilidad general de la plataforma.

¿Cuáles son los principales riesgos legales para las empresas tecnológicas, y las excepciones?

Los riesgos recurrentes son la transferencia transfronteriza ilícita de datos, la falta de inscripción en VERBIS, operar un servicio de criptoactivos sin autorización de la SPK, el marketing no solicitado sin aprobación en el IYS y desatender las obligaciones de retirada de contenidos o de representante conforme a la Ley de Internet. Cada uno conlleva sanciones administrativas, y varios conllevan exposición penal o bloqueo del acceso. Las principales excepciones y defensas incluyen bases de licitud distintas del consentimiento conforme a la KVKK, una anonimización genuina que sustrae los datos del ámbito de los datos personales, instrumentos de transferencia aprobados por la Junta y la estructuración de la actividad de criptoactivos o tokens de modo que no se dirija a usuarios minoristas turcos. La aplicabilidad de una excepción depende de los hechos concretos y debe evaluarse antes, y no después, de que el regulador actúe.

¿Necesito un abogado para asuntos de tecnología y privacidad de datos?

Un abogado es necesario siempre que un producto tecnológico afecte a usuarios turcos a gran escala, trate datos sensibles o biométricos, transfiera datos al extranjero, ofrezca servicios de criptoactivos o tokens, quede dentro de una obligación de representante, o haya recibido una notificación de un regulador. Estos asuntos combinan protección de datos, mercado de capitales, derecho del consumidor y derecho de internet, y un paso en falso en una de estas áreas puede congelar las pasarelas de pago o bloquear todo el servicio. Contratar asesoramiento jurídico durante el diseño del producto es mucho menos costoso que defender una acción de ejecución tras el lanzamiento.

Preguntas frecuentes

Somos una plataforma de videojuegos con usuarios turcos. ¿Qué es exigible exactamente el 1 de noviembre de 2026?

Si su plataforma es de origen extranjero y el acceso diario desde Turquía supera las cien mil conexiones, el artículo adicional 5 de la Ley n.º 5651 exige un representante designado en Turquía, esa designación notificada a la Autoridad, y la identidad y los datos de contacto del representante publicados en su propio sitio web de forma fácilmente visible y directamente accesible. La clasificación de contenidos por edades y los controles parentales figuran en el mismo artículo. La sanción administrativa alcanza los treinta millones de liras turcas en caso de segunda infracción.

Ya tenemos una filial turca. ¿Basta con eso para el deber de representante?

Por sí sola, no. El artículo exige un representante designado y notificado, y la identidad de ese representante publicada en el sitio de la plataforma. Una entidad de ventas o marketing que no lleva aparejado un mandato de cumplimiento normativo no es una designación, y no coloca a nadie en posición de recibir y responder a aquello para lo que existe el nombramiento. La pregunta correcta es qué persona física o jurídica se designa, qué dice su mandato y si se ha efectuado la notificación.

¿Se aplica la KVKK a una empresa sin oficina en Turquía?

Sí. La KVKK se aplica en función del tratamiento de datos personales de personas que se encuentran en Turquía, no de dónde esté constituida la empresa ni de dónde se ubiquen sus servidores. Un responsable del tratamiento extranjero que trate los datos de usuarios turcos está, por regla general, obligado a inscribirse en VERBIS y a designar a un Representante del Responsable del Tratamiento en Turquía.

¿Podemos mantener los datos de clientes en infraestructura de nube fuera de Turquía?

A menudo sí, pero no de forma automática. Almacenar los datos personales de usuarios turcos en infraestructura de nube extranjera constituye una transferencia transfronteriza conforme a la KVKK. Debe estar respaldada o bien por un consentimiento explícito válido o, de manera más duradera, por un compromiso escrito o un mecanismo contractual tipo aprobado por la Junta, junto con medidas de seguridad adecuadas. Preparamos y presentamos los instrumentos que autorizan la transferencia.

¿Es legal operar una plataforma de intercambio de criptomonedas para usuarios turcos desde el extranjero?

Dirigirse a usuarios turcos desde una plataforma de intercambio offshore sin licencia se considera una actividad no autorizada del mercado de capitales conforme a la Ley No. 6362 y puede dar lugar a responsabilidad penal y al bloqueo del acceso. Una plataforma que quiera contar con usuarios turcos normalmente debe constituir una sociedad turca y obtener la autorización de la SPK, incluidos controles de prevención del blanqueo de capitales conformes con MASAK.

¿Qué ocurre si enviamos mensajes de marketing sin aprobación en el IYS?

Cada mensaje electrónico comercial no aprobado puede acarrear una sanción administrativa, y las infracciones reiteradas atraen reclamaciones regulatorias y de los consumidores. Los SMS de marketing, el correo electrónico y las llamadas automatizadas a consumidores turcos deben registrarse en el sistema IYS, y las bajas deben aplicarse de forma automática.

Un tribunal turco nos ha ordenado retirar contenido. ¿Cuál es el plazo?

Conforme a la Ley de Internet No. 5651, los proveedores deben actuar sobre una orden válida de retirada de contenidos dentro del plazo legal aplicable al tipo de orden. Incumplir el plazo puede llevar a la BTK a imponer prohibiciones de publicidad, multas y ralentización del ancho de banda. Evaluamos la validez de la orden, cumplimos cuando es exigible e impugnamos las órdenes defectuosas.

¿Con qué rapidez deberíamos recurrir a asesoramiento jurídico tras una investigación del regulador?

De inmediato. Un asesoramiento temprano puede detener un canal de datos no conforme, preservar defensas como la anonimización o una base de licitud alternativa, y abrir un diálogo estructurado con el regulador antes de que se concreten las multas y las órdenes de destrucción. La demora estrecha las defensas disponibles.

Qué se puede comprobar, y dónde

Toda afirmación de esta página que un lector tenga derecho a verificar se enuncia junto con el lugar donde verificarla, de modo que lo único que queda por hacer es teclear un número.

Servicios jurídicos relacionados

Los asuntos tecnológicos se conectan con frecuencia con otras áreas de práctica. Coordinamos el trabajo tecnológico y de datos con la constitución de sociedades en Turquía para el vehículo societario que ostenta una licencia de la SPK o un mandato de representante, con el derecho societario y mercantil para los acuerdos de SaaS y de plataforma, con la estructuración de la inversión extranjera directa para el capital tecnológico entrante, con el derecho tributario y la normativa aduanera para la fiscalidad de los servicios digitales, y con la defensa penal y la jurisdicción cuando surge responsabilidad por mercado de capitales o ciberdelincuencia.

Solicite una evaluación confidencial de su caso

Si su plataforma queda dentro del deber de representante del 1 de noviembre de 2026, trata datos de usuarios turcos, ofrece servicios de criptoactivos o tokens a usuarios turcos, o ha recibido una notificación de un regulador, solicite una evaluación confidencial de su caso. Describa el producto, los flujos de datos, su posición de accesos y cualquier orden pendiente, e identificaremos las obligaciones aplicables y la estructura que le mantiene en cumplimiento y en funcionamiento. Recibe la posición por escrito: el producto es el análisis, no la reunión.

Directo: WhatsApp +90 530 127 59 35 o info@serkalaw.com.

Aviso legal

Esta página ofrece información general sobre el derecho tecnológico, de protección de datos y del mercado de capitales de Turquía y no constituye asesoramiento jurídico. Su lectura no crea una relación abogado-cliente. La relación abogado-cliente se establece únicamente mediante un contrato de encargo firmado. Para asesoramiento sobre una situación concreta, consulte a un abogado cualificado.