Droit des Technologies, Protection des Donnees (KVKK) et Reglementations des Cryptomonnaies

Droit des technologies, protection des données (KVKK) et réglementation des cryptomonnaies. Serka Law Firm conseille les entreprises technologiques internationales, les opérateurs de plateformes, les éditeurs et distributeurs de jeux vidéo, les fournisseurs de SaaS, les fintechs, les équipes d’apprentissage automatique et les plateformes de cryptomonnaies en matière de protection des données, de commerce électronique, de droit de l’internet et de droit des marchés de capitaux turcs. Nous construisons les structures de conformité qui permettent à une plateforme étrangère de servir légalement les utilisateurs turcs, et nous défendons cette plateforme lorsqu’un régulateur engage une action à son encontre.

Échéance légale fixée au 1er novembre 2026. La loi n° 7578, publiée au «Resmî Gazete» du 1er mai 2026, numéro 33240, insère l’article additionnel 5 dans la loi n° 5651 sur l’internet et réécrit l’article additionnel 4. À compter du 1er novembre 2026, une plateforme de jeux vidéo d’origine étrangère dont l’accès quotidien depuis la Turquie dépasse cent mille connexions doit désigner un représentant en Turquie et le notifier à l’Autorité, sous peine d’une amende administrative atteignant trente millions de livres turques en cas de seconde infraction. Cette obligation n’existait pas avant le 1er mai 2026. Le test, les seuils et ce qu’il faut construire sont exposés immédiatement ci-dessous.

Me Serkan Kara, Serka Law Firm. Barreau d’Istanbul, n° d’inscription 53770 ; Union des barreaux de Turquie (TBB) n° 121348. En exercice depuis 2015.

L’obligation de représentant pour les plateformes de jeux vidéo étrangères à compter du 1er novembre 2026

À compter du 1er novembre 2026, une plateforme de jeux vidéo d’origine étrangère dont l’accès quotidien depuis la Turquie dépasse cent mille connexions doit désigner un représentant en Turquie, personne physique ou morale, et notifier cette désignation à l’Autorité. La plateforme doit en outre publier l’identité et les coordonnées du représentant sur son propre site web, sous une forme aisément visible et directement accessible. Les obligations de classification des contenus par âge et de contrôle parental figurent au même article. L’instrument est l’article additionnel 5 de la loi n° 5651 sur l’internet, inséré par l’article 23 de la loi n° 7578, publiée au «Resmî Gazete» du 1er mai 2026, numéro 33240. L’article 27 de cette loi fixe l’entrée en vigueur six mois après la publication, soit le 1er novembre 2026. L’amende administrative atteint trente millions de livres turques en cas de seconde infraction.

Deux conséquences méritent d’être énoncées clairement à l’attention d’une direction juridique. Premièrement, l’obligation est nouvelle : aucun conseil en place ne la gère déjà et aucun précédent interne n’est disponible pour s’en inspirer. Deuxièmement, l’architecture de classification par âge et de contrôle parental relève du développement et non d’un simple dépôt : les six mois entre la publication et l’entrée en vigueur constituaient la fenêtre de ce développement, et l’essentiel est déjà écoulé.

Ce que l’article exige, point par point

• Désigner un représentant en Turquie. L’article admet une personne physique comme une personne morale.
• Notifier cette désignation à l’Autorité.
• Publier l’identité et les coordonnées du représentant sur le site web de la plateforme, sous une forme aisément visible et directement accessible.
• Respecter le régime de classification des contenus par âge et fournir des contrôles parentaux, deux obligations qui figurent au même article.

L’article désigne l’organe notifié comme l’Autorité, sans le nommer davantage dans le texte publié. C’est pour cette raison que nous écrivons « l’Autorité » et que nous ne cherchons pas à le deviner. Quel organe est ainsi visé, et quelle procédure il publiera, sera tranché par la législation d’application ou par l’annonce de cet organe lui-même, et nous surveillons le «Resmî Gazete» pour l’un comme pour l’autre.

Cette obligation atteint-elle votre plateforme ?

Quatre conditions en décident. Trois sont vérifiables publiquement et une est votre propre chiffre, raison pour laquelle le test est exposé ici pour que vous l’appliquiez, plutôt qu’affirmé de l’extérieur au sujet de quiconque.

Si les quatre conditions sont réunies, la désignation et la notification sont exigibles avant le 1er novembre 2026, et l’architecture de classification par âge et de contrôle parental doit être en place à la même échéance. Passé cette date, la même société se trouve en phase répressive et non en phase de préparation, ce qui constitue une position de départ nettement moins favorable.

Le réflexe RGPD, et pourquoi il échoue ici

Pour une direction juridique française habituée au RGPD et à la doctrine de la CNIL, l’erreur la plus coûteuse n’est pas d’ignorer la KVKK mais de supposer qu’elle s’aligne. La Turquie ne relève pas du cadre européen d’adéquation : un jeu de clauses contractuelles types rédigé pour le RGPD ne satisfait pas à lui seul le régime turc de transfert, et une décision d’adéquation de la Commission européenne ne produit aucun effet devant l’Autorité turque. Le même réflexe se retrouve sur le volet plateformes : la conformité d’un service au règlement européen sur les services numériques ne dit rien de l’article additionnel 5, dont le seuil, le destinataire et la date lui sont propres et ne sont dérivés d’aucun texte européen. Les deux architectures coexistent, aucune ne couvre l’autre, et vérifier ce que donne l’analyse turque sur vos propres faits coûte moins cher avant un contrôle qu’après.

Le régime de fournisseur de réseau social au-delà de dix millions d’accès quotidiens

L’article 22 de la loi n° 7578 réécrit l’article additionnel 4 de la loi n° 5651 sur l’internet, la disposition qui régit les fournisseurs de réseaux sociaux, et ajoute un niveau d’exigences renforcé pour ceux dont l’accès quotidien depuis la Turquie dépasse dix millions. Il entre en vigueur à la même date, le 1er novembre 2026. Un représentant désigné il y a plusieurs années au titre d’une notification formelle n’équivaut pas à une fonction juridique capable de porter ce nouveau niveau : un fournisseur disposant déjà d’un représentant notifié devrait donc confronter l’article réécrit à ce que cette désignation couvre réellement, et à la question de savoir qui, dans l’organisation, en répond.

Qui vous instruisez

Me Serkan Kara. Avocat au barreau d’Istanbul, numéro d’inscription 53770, Union des barreaux de Turquie n° 121348, en exercice depuis 2015. Titulaire de la carte professionnelle d’avocat du CCBE. Il a étudié le droit des États-Unis dans le cadre du programme CUSL à la faculté de droit de l’université de Cologne, avec des résultats notés vollbefriedigend. La conséquence est précisément celle qui importe à une direction juridique du secteur technologique : ce cabinet maîtrise les deux grandes traditions juridiques, continentale et anglo-américaine, plutôt que l’une consultant l’autre par-delà une frontière. Le travail transfrontalier est ici le cas ordinaire, et il est traité et facturé comme tel.

Il est également développeur. Logiciel et matériel, les mains dans le cambouis depuis l’ère MS-DOS, dès l’âge de onze ans, et niveau Premium au Google Developer Program. L’apprentissage automatique figure parmi les spécialités déclarées du cabinet. Ce que cela vous apporte est précis et explique pourquoi cette page est écrite ainsi : votre architecture, vos flux de données, votre fichier de licences, la documentation de vos modèles et vos conditions d’utilisation sont lus par l’avocat au lieu de lui être décrits, et vos ingénieurs ne sont pas priés de traduire leur propre système avant qu’un avis puisse être rendu.

Cela signifie aussi que le cabinet exploite pleinement les technologies les plus récentes et les meilleures, sur son expérience et son expertise technologiques propres et non sur celles d’un prestataire. C’est l’un des avantages sérieux qui le distinguent partout dans le monde, et il repose sur les qualifications ci-dessus.

Qu’est-ce que le droit des technologies et de la protection des données pour les entreprises opérant en Turquie ?

Le droit des technologies et de la protection des données en Turquie régit la manière dont une entreprise collecte, conserve, transfère et monétise les données personnelles et les services numériques. Le texte fondamental est la loi n° 6698 sur la protection des données personnelles (KVKK), qui s’inspire du RGPD de l’UE tout en imposant des conditions plus strictes au transfert de données hors de Turquie. Une entreprise technologique servant des utilisateurs turcs est soumise à ces règles, quel que soit l’emplacement de ses serveurs. Aux côtés de la KVKK, la loi n° 6563 sur la réglementation du commerce électronique, la loi n° 5651 sur l’internet et la loi n° 6362 sur les marchés de capitaux (pour les crypto-actifs) forment ensemble le périmètre réglementaire que toute plateforme étrangère doit respecter.

Que faut-il examiner en premier dans un projet technologique ou de données ?

Un projet technologique doit commencer par une cartographie des flux de données : qui sont les personnes concernées, quelles données personnelles sont traitées, à quelle fin, où elles sont conservées et quels tiers ou prestataires y accèdent. À partir de cette cartographie, le conseil peut identifier les obligations juridiques attachées à chaque flux, y compris le consentement ou une autre base légale, les contrôles de transfert transfrontalier, les obligations de sécurité, les conditions contractuelles vis-à-vis du consommateur et toute licence sectorielle. Résoudre ces questions dès la conception du produit, plutôt qu’après une enquête d’un régulateur, est ce qui empêche une seule décision commerciale de se transformer plus tard en défaillance de conformité.

Qu’est-ce que la KVKK et en quoi diffère-t-elle du RGPD ?

La KVKK (loi n° 6698 sur la protection des données personnelles) est le texte général turc de protection des données, structurellement proche du RGPD dans ses principes, les droits des personnes concernées et les obligations de responsabilité. La différence décisive concerne le transfert transfrontalier des données. Là où le RGPD autorise les transferts au titre de décisions d’adéquation et de garanties standardisées, la KVKK exigeait historiquement soit le consentement explicite de la personne concernée, soit que le pays de destination figure sur la liste des pays offrant une protection adéquate établie par l’Autorité de protection des données personnelles. Comme cette liste d’adéquation est restée limitée en pratique, la plupart des entreprises internationales s’appuient sur des engagements écrits approuvés par l’Autorité ou sur des garanties contractuelles types plutôt que de considérer une destination comme automatiquement sûre.

Enregistrement VERBIS pour les responsables de traitement

Les entreprises qui atteignent des seuils définis, ou dont l’activité principale consiste à traiter des données personnelles sensibles, doivent s’enregistrer auprès du VERBIS, le registre public des responsables de traitement tenu par l’Autorité de protection des données personnelles. L’enregistrement documente l’inventaire des données du responsable, les finalités de traitement, les durées de conservation et les mesures de sécurité. Un responsable de traitement étranger sans établissement turc doit désigner un représentant du responsable de traitement en Turquie, un rôle que notre cabinet assure pour ses clients internationaux. L’absence d’enregistrement, ou l’enregistrement d’informations inexactes, expose le responsable à des amendes administratives.

L’Autorité énonce cette obligation dans sa propre notice publiée sur le registre : un responsable de traitement qui est une personne morale résidant à l’étranger doit désigner un représentant du responsable de traitement en Turquie. Il s’agit d’un test portant sur le statut du responsable et non sur la taille d’une présence turque, ce qui explique qu’il atteigne un ensemble d’entreprises technologiques étrangères bien plus large que l’un ou l’autre des deux régimes de plateforme décrits plus haut. Le point de savoir si un responsable donné relève en outre des seuils d’enregistrement s’apprécie sur ses propres chiffres, et il vaut mieux l’apprécier avant un contrôle qu’après.

Transfert transfrontalier de données

En vertu de la KVKK, les données personnelles des utilisateurs en Turquie ne peuvent être transférées vers des serveurs à l’étranger pour de simples raisons de commodité. Le consentement explicite est une voie, mais elle est fragile car un utilisateur peut le retirer à tout moment. La voie la plus durable est un engagement écrit ou un mécanisme contractuel type approuvé par l’Autorité de protection des données personnelles, soutenu par une équivalence réelle des mesures de sécurité techniques et organisationnelles. Nous préparons et soumettons ces instruments afin qu’une entreprise mondiale puisse conserver ses données sur son infrastructure cloud existante tout en restant conforme au droit turc.

Comment la Turquie réglemente-t-elle les cryptomonnaies et les plateformes de crypto-actifs ?

Les prestataires de services de cryptomonnaies et de crypto-actifs en Turquie sont réglementés par la loi n° 6362 sur les marchés de capitaux, telle que modifiée pour placer les crypto-actifs sous la supervision du Conseil des marchés de capitaux (SPK). Les prestataires de services de crypto-actifs, y compris les bourses d’échange et les plateformes de conservation, doivent détenir une autorisation d’exercice délivrée par le SPK et se conformer aux obligations en matière de capital, de gouvernance, de conservation et de lutte contre le blanchiment de capitaux. Exploiter une bourse d’échange visant des utilisateurs en Turquie sans cette autorisation est traité comme une activité non autorisée sur les marchés de capitaux et peut entraîner une responsabilité pénale pour les dirigeants responsables ainsi que le blocage d’accès à la plateforme.

Obtention d’une licence pour une bourse de cryptomonnaies

Une bourse d’échange étrangère qui sollicite des utilisateurs turcs, fait de la publicité en turc ou propose des paires de trading en livres turques doit généralement constituer une société anonyme turque et obtenir l’autorisation du SPK. L’octroi de la licence implique de satisfaire à des exigences de capital minimum, de mettre en œuvre des contrôles de lutte contre le blanchiment de capitaux et d’identification de la clientèle alignés sur le MASAK (le Conseil d’enquête sur les délits financiers), et de mettre en place des dispositifs de conservation conformes. Nous gérons la demande d’autorisation de bout en bout et structurons le véhicule sociétaire qui détient la licence.

Émission de jetons et structuration Web3

L’émission de jetons comporte un risque au regard du droit des valeurs mobilières. Un jeton qui se comporte comme un instrument de participation aux bénéfices ou de dividende peut être assimilé à une valeur mobilière, ce qui déclenche des obligations de prospectus et d’information. Nous fournissons des avis juridiques distinguant les jetons utilitaires des jetons de sécurité, structurons l’entité émettrice et géolocalisons les offres destinées au grand public afin que les fondateurs ne soient pas exposés à des allégations d’offre publique non autorisée en Turquie.

Quelles règles de commerce électronique s’appliquent aux plateformes en ligne étrangères ?

Les plateformes en ligne étrangères vendant à des consommateurs en Turquie doivent se conformer à la loi n° 6563 sur la réglementation du commerce électronique et au règlement sur les contrats de vente à distance. Deux obligations sont les plus importantes. Premièrement, toute vente d’une entreprise à un consommateur doit accorder au consommateur un droit de rétractation de quatorze jours sans pénalité, accompagné d’un formulaire d’information précontractuelle détaillé avant l’achat. Deuxièmement, les messages électroniques commerciaux tels que les SMS marketing, les courriels ou les appels automatisés requièrent un consentement préalable enregistré dans le Système central de gestion des messages (IYS) ; le désabonnement d’un consommateur doit être respecté automatiquement. L’envoi de messages marketing non sollicités sans approbation IYS, ou le refus d’un remboursement légitime, entraîne des amendes administratives et des plaintes de consommateurs susceptibles de perturber le traitement local des paiements.

Les autorités turques peuvent-elles bloquer ou ralentir une plateforme étrangère ?

Oui. En vertu de la loi n° 5651 sur l’internet, un fournisseur de réseau social étranger comptant une large base quotidienne d’utilisateurs turcs doit désigner un représentant local chargé de recevoir et de répondre aux notifications juridiques, et à compter du 1er novembre 2026 la même architecture atteint les plateformes de jeux vidéo au-delà de cent mille accès quotidiens en vertu de l’article additionnel 5. Lorsqu’un tribunal ordonne le retrait d’un contenu pour atteinte aux droits de la personnalité ou pour d’autres motifs légaux, le fournisseur doit agir dans le délai légal. Un refus peut conduire l’Autorité des technologies de l’information et de la communication (BTK) à imposer des interdictions de publicité, des amendes et un ralentissement progressif de la bande passante qui dégrade le service. Nous agissons en qualité de représentant désigné, évaluons la validité de chaque ordonnance, formons des oppositions lorsqu’une ordonnance est viciée et exécutons une mise en conformité étroitement ciblée afin qu’un seul litige ne compromette pas la disponibilité globale de la plateforme.

Quels sont les principaux risques juridiques pour les entreprises technologiques, et les exceptions ?

Les risques récurrents sont le transfert transfrontalier illicite de données, l’absence d’enregistrement VERBIS, l’exploitation d’un service de cryptomonnaies sans autorisation du SPK, le marketing non sollicité sans approbation IYS, et le non-respect des obligations de retrait de contenu ou de représentant en vertu de la loi sur l’internet. Chacun entraîne des amendes administratives, et plusieurs comportent une exposition pénale ou un blocage d’accès. Les principales exceptions et moyens de défense comprennent des bases légales autres que le consentement au titre de la KVKK, une anonymisation véritable qui retire les données du champ des données personnelles, des instruments de transfert approuvés par l’Autorité, et la structuration de l’activité de cryptomonnaies ou de jetons de sorte qu’elle ne vise pas les consommateurs turcs. La question de savoir si une exception s’applique dépend des faits et doit être appréciée avant, et non après, qu’un régulateur agisse.

Ai-je besoin d’un avocat pour les questions de technologie et de protection des données ?

Un avocat est nécessaire dès lors qu’un produit technologique touche des utilisateurs turcs à grande échelle, traite des données sensibles ou biométriques, transfère des données à l’étranger, propose des services de cryptomonnaies ou de jetons, relève d’une obligation de représentant, ou a reçu une notification d’un régulateur. Ces questions combinent le droit de la protection des données, le droit des marchés de capitaux, le droit de la consommation et le droit de l’internet, et un faux pas dans un domaine peut geler les passerelles de paiement ou bloquer l’ensemble du service. Recourir à un conseil dès la conception du produit est bien moins coûteux que de défendre une action en répression après le lancement.

Foire aux questions

Nous sommes une plateforme de jeux vidéo comptant des utilisateurs turcs. Qu’est-ce qui est exigible au 1er novembre 2026 ?

Si votre plateforme est d’origine étrangère et que l’accès quotidien depuis la Turquie dépasse cent mille connexions, l’article additionnel 5 de la loi n° 5651 impose un représentant désigné en Turquie, cette désignation notifiée à l’Autorité, et l’identité ainsi que les coordonnées du représentant publiées sur votre propre site web sous une forme aisément visible et directement accessible. La classification des contenus par âge et les contrôles parentaux figurent au même article. L’amende administrative atteint trente millions de livres turques en cas de seconde infraction.

Notre filiale turque existe déjà. Cela satisfait-il l’obligation de représentant ?

Pas en soi. L’article exige un représentant désigné et notifié, ainsi que la publication de l’identité de ce représentant sur le site de la plateforme. Une entité de vente ou de marketing dépourvue de mandat de conformité n’est pas une désignation, et elle ne met personne en position de recevoir et de traiter ce que la désignation existe précisément pour recevoir et traiter. La bonne question est de savoir quelle personne physique ou morale est nommée, ce que dit son mandat, et si la notification a été effectuée.

La KVKK s’applique-t-elle à une entreprise sans bureau en Turquie ?

Oui. La KVKK s’applique en fonction du traitement des données personnelles de personnes se trouvant en Turquie, et non du lieu de constitution de l’entreprise ou de l’emplacement de ses serveurs. Un responsable de traitement étranger qui traite les données d’utilisateurs turcs est généralement tenu de s’enregistrer auprès du VERBIS et de désigner un représentant du responsable de traitement en Turquie.

Pouvons-nous conserver les données des clients sur une infrastructure cloud hors de Turquie ?

Souvent oui, mais pas automatiquement. Le stockage des données personnelles d’utilisateurs turcs sur une infrastructure cloud étrangère constitue un transfert transfrontalier au titre de la KVKK. Il doit être soutenu soit par un consentement explicite valide, soit, de manière plus durable, par un engagement écrit ou un mécanisme contractuel type approuvé par l’Autorité, assorti de mesures de sécurité adéquates. Nous préparons et soumettons les instruments qui autorisent le transfert.

Est-il légal d’exploiter une bourse de cryptomonnaies pour des utilisateurs turcs depuis l’étranger ?

Viser des utilisateurs turcs depuis une bourse d’échange offshore non agréée est traité comme une activité non autorisée sur les marchés de capitaux en vertu de la loi n° 6362 et peut entraîner une responsabilité pénale et un blocage d’accès. Une plateforme qui souhaite des utilisateurs turcs doit généralement constituer une société turque et obtenir l’autorisation du SPK, y compris des contrôles de lutte contre le blanchiment de capitaux conformes au MASAK.

Que se passe-t-il si nous envoyons des messages marketing sans approbation IYS ?

Chaque message électronique commercial non approuvé peut déclencher une amende administrative, et les violations répétées attirent des plaintes réglementaires et de consommateurs. Les SMS marketing, les courriels et les appels automatisés adressés aux consommateurs turcs doivent être enregistrés dans le système IYS, et les désabonnements doivent être appliqués automatiquement.

Un tribunal turc nous a ordonné de retirer un contenu. Quel est le délai ?

En vertu de la loi n° 5651 sur l’internet, les fournisseurs doivent donner suite à une ordonnance valide de retrait de contenu dans le délai légal applicable au type d’ordonnance. Le non-respect du délai peut conduire la BTK à imposer des interdictions de publicité, des amendes et un ralentissement de la bande passante. Nous évaluons la validité de l’ordonnance, nous nous y conformons lorsque cela est requis et nous contestons les ordonnances viciées.

À quelle vitesse devons-nous faire appel à un conseil après une enquête d’un régulateur ?

Immédiatement. Un conseil précoce peut suspendre un pipeline de données non conforme, préserver des moyens de défense tels que l’anonymisation ou une base légale alternative, et engager un dialogue structuré avec le régulateur avant que les amendes et les ordres de destruction ne soient finalisés. Le retard réduit les moyens de défense disponibles.

Ce qui peut être vérifié, et où

Chaque affirmation de cette page qu’un lecteur est en droit de vérifier est énoncée avec l’endroit où la vérifier, de sorte que le seul geste restant consiste à saisir un numéro.

Services juridiques connexes

Les questions technologiques sont fréquemment liées à d’autres domaines de pratique. Nous coordonnons le travail en matière de technologie et de données avec la création de sociétés en Turquie pour le véhicule sociétaire détenant une licence du SPK ou un mandat de représentant, avec le droit des sociétés et le droit commercial pour les accords de SaaS et de plateforme, avec la structuration des investissements directs étrangers pour les capitaux technologiques entrants, avec le droit fiscal et la réglementation douanière pour la fiscalité des services numériques, et avec la défense pénale et la compétence juridictionnelle lorsqu’une responsabilité au titre des marchés de capitaux ou de la cybercriminalité est en cause.

Demander une évaluation confidentielle de votre dossier

Si votre plateforme relève de l’obligation de représentant du 1er novembre 2026, traite des données d’utilisateurs turcs, propose des services de cryptomonnaies ou de jetons à des utilisateurs turcs, ou a reçu une notification d’un régulateur, demandez une évaluation confidentielle de votre dossier. Décrivez le produit, les flux de données, votre position en matière d’accès et toute ordonnance en cours, et nous identifierons les obligations applicables ainsi que la structure qui vous maintient conforme et en activité. Vous recevez la position par écrit : le produit est l’analyse, pas la réunion.

Direct : WhatsApp +90 530 127 59 35 ou info@serkalaw.com.

Avertissement juridique

Cette page fournit des informations générales sur le droit turc des technologies, de la protection des données et des marchés de capitaux et ne constitue pas un conseil juridique. Sa lecture ne crée pas de relation avocat-client. Une relation avocat-client ne se forme que par un mandat signé. Pour un conseil sur une situation particulière, consultez un avocat qualifié.