Direito Tecnológico, Proteção de Dados (KVKK) e Regulamentação de Criptomoedas na Turquia

Direito Tecnológico, Proteção de Dados (KVKK) e Regulamentação de Criptomoedas na Turquia. A Serka Law Firm assessora empresas tecnológicas internacionais, operadores de plataformas, editoras e distribuidoras de jogos, fornecedores de SaaS, fintechs, equipas de aprendizagem automática e plataformas de criptomoedas em matéria de proteção de dados, comércio eletrónico, direito da internet e direito do mercado de capitais na Turquia. Construímos as estruturas de conformidade que permitem a uma plataforma estrangeira servir licitamente utilizadores turcos, e defendemos essa plataforma quando um regulador atua contra ela.

Prazo fixado por lei: 1 de novembro de 2026. A Lei n.º 7578, publicada no «Resmî Gazete» de 1 de maio de 2026, número 33240, adita o artigo adicional 5 à Lei da Internet n.º 5651 e dá nova redação ao artigo adicional 4. A partir de 1 de novembro de 2026, uma plataforma de jogos de origem estrangeira cujo acesso diário a partir da Turquia exceda cem mil deve designar um representante na Turquia e notificar a Autoridade, sob pena de coima administrativa que atinge trinta milhões de liras turcas em caso de segunda infração. Este dever não existia antes de 1 de maio de 2026. O teste, os limiares e o que tem de ser construído são expostos imediatamente a seguir.

Advogado Serkan Kara, Serka Law Firm. Ordem dos Advogados de Istambul, n.º de inscrição 53770; União das Ordens de Advogados da Turquia (TBB) n.º 121348. Em exercício desde 2015.

O dever de representante para plataformas de jogos estrangeiras a partir de 1 de novembro de 2026

A partir de 1 de novembro de 2026, uma plataforma de jogos de origem estrangeira cujo acesso diário a partir da Turquia exceda cem mil deve designar um representante na Turquia, pessoa singular ou pessoa coletiva, e notificar a Autoridade dessa designação. A plataforma deve ainda publicar a identidade e os contactos do representante no seu próprio sítio web, de forma facilmente visível e diretamente acessível. Os deveres de classificação etária de conteúdos e de controlo parental constam do mesmo artigo. O instrumento é o artigo adicional 5 da Lei da Internet n.º 5651, aditado pelo artigo 23 da Lei n.º 7578, publicada no «Resmî Gazete» de 1 de maio de 2026, número 33240. O artigo 27 dessa lei fixa a entrada em vigor seis meses após a publicação, ou seja, 1 de novembro de 2026. A coima administrativa atinge trinta milhões de liras turcas em caso de segunda infração.

Duas consequências merecem ser ditas com clareza a um departamento jurídico interno. Primeira: a obrigação é nova, pelo que não há um assessor instalado que já a execute nem precedente interno para copiar. Segunda: a arquitetura de classificação etária e de controlo parental é um desenvolvimento e não uma entrega documental; os seis meses entre a publicação e a entrada em vigor eram a janela desse desenvolvimento, e a maior parte já decorreu.

O que o artigo exige, ponto por ponto

• Designar um representante na Turquia. O artigo admite pessoa singular ou pessoa coletiva.
• Notificar a Autoridade dessa designação.
• Publicar a identidade e os contactos do representante no próprio sítio web da plataforma, de forma facilmente visível e diretamente acessível.
• Cumprir o regime de classificação etária de conteúdos e disponibilizar controlos parentais, deveres que constam do mesmo artigo.

O artigo designa o organismo a notificar como a Autoridade, sem o identificar em maior detalhe no texto publicado. É por esse motivo que escrevemos «a Autoridade» e não adivinhamos. Que organismo é visado, e que procedimento esse organismo virá a publicar, será determinado pela legislação de execução ou pelo anúncio do próprio organismo, e acompanhamos o «Resmî Gazete» quanto a ambos.

O dever alcança a sua plataforma?

Decidem-no quatro condições. Três são verificáveis publicamente e uma é o seu próprio número, razão pela qual o teste é aqui exposto para que o apliquem, e não afirmado do exterior a respeito de quem quer que seja.

Se as quatro se verificarem, a designação e a notificação são devidas antes de 1 de novembro de 2026, e a arquitetura de classificação etária e de controlo parental tem de estar instalada na mesma data. Depois dessa data a mesma empresa está em fase sancionatória e não em fase de preparação, o que constitui uma posição de partida sensivelmente pior.

O limiar é baixo à escala europeia, e mede acesso e não receita

Para uma equipa jurídica em Portugal, o erro previsível não é desconhecer a norma turca mas calibrá-la pela escala a que está habituada. O limiar do artigo adicional 5 não é uma medida de dimensão da empresa: são cem mil acessos diários vindos exclusivamente da Turquia, contados em acesso e não em receita, em utilizadores pagantes ou em quota de mercado. Uma editora independente com uma equipa pequena, um único título com boa retenção e uma comunidade turca ativa pode estar confortavelmente dentro do limiar enquanto continua a ser, por qualquer critério europeu, uma empresa pequena. A consequência prática é que a triagem não deve começar pela pergunta «somos suficientemente grandes», que quase sempre produz um falso negativo, mas pela leitura direta dos números de acesso por país que a própria plataforma já possui.

O regime de fornecedor de rede social acima de dez milhões de acessos diários

O artigo 22 da Lei n.º 7578 dá nova redação ao artigo adicional 4 da Lei da Internet n.º 5651, a disposição que rege os fornecedores de redes sociais, e acrescenta um patamar mais exigente para aqueles cujo acesso diário a partir da Turquia exceda dez milhões. Entra em vigor na mesma data, 1 de novembro de 2026. Um representante designado há anos a título de notificação formal não é o mesmo que uma função jurídica capaz de sustentar o novo patamar, pelo que um fornecedor que já disponha de representante notificado deve confrontar o artigo reescrito com aquilo que essa designação efetivamente cobre, e com quem na organização responde por ela.

Quem está a mandatar

Advogado Serkan Kara. Advogado da Ordem dos Advogados de Istambul, número de inscrição 53770, União das Ordens de Advogados da Turquia n.º 121348, em exercício desde 2015. Titular do Cartão Profissional de Advogado do CCBE. Estudou Direito dos Estados Unidos no programa CUSL da Faculdade de Direito da Universidade de Colónia, com classificações vollbefriedigend. A consequência é exatamente a que interessa a uma direção jurídica de uma empresa tecnológica: este escritório domina as duas grandes tradições jurídicas, a continental e a anglo-americana, em vez de uma delas consultar a outra do outro lado de uma fronteira. O trabalho transfronteiriço é aqui o caso corrente, e é conduzido e orçamentado como tal.

É também programador. Software e hardware, com trabalho prático desde a era MS-DOS, a partir dos onze anos, e nível Premium no Google Developer Program. A aprendizagem automática figura entre as especialidades declaradas do escritório. O que isso lhe traz é preciso e explica por que razão esta página está escrita assim: a sua arquitetura, os seus fluxos de dados, o seu ficheiro de licenças, a documentação dos seus modelos e os seus termos de serviço são lidos pelo advogado em vez de lhe serem descritos, e não se pede aos seus engenheiros que traduzam o próprio sistema antes de ser possível emitir parecer sobre ele.

Significa também que o escritório utiliza a tecnologia mais recente e melhor em toda a sua extensão, com experiência e competência tecnológicas próprias e não de um fornecedor. É uma das vantagens sérias que o distinguem em qualquer parte do mundo, e assenta nas qualificações acima.

O que é o direito tecnológico e de proteção de dados para empresas que operam na Turquia?

O direito tecnológico e de proteção de dados na Turquia rege a forma como uma empresa recolhe, armazena, transfere e monetiza dados pessoais e serviços digitais. O diploma central é a Lei de Proteção de Dados Pessoais n.º 6698 (KVKK), que espelha o RGPD da União Europeia mas impõe condições mais estritas à transferência de dados para fora da Turquia. Uma empresa tecnológica que sirva utilizadores turcos fica vinculada a estas regras independentemente do local onde estejam os seus servidores. A par da KVKK, a Lei de Regulação do Comércio Eletrónico n.º 6563, a Lei da Internet n.º 5651 e a Lei do Mercado de Capitais n.º 6362 (quanto aos criptoativos) formam em conjunto o perímetro regulatório que qualquer plataforma estrangeira tem de respeitar.

O que deve um projeto tecnológico ou de dados analisar em primeiro lugar?

Um projeto tecnológico deve começar por um mapa de fluxo de dados: quem são os titulares dos dados, que dados pessoais são tratados, com que finalidade, onde são armazenados e que terceiros ou fornecedores lhes acedem. A partir desse mapa, o advogado pode identificar as obrigações legais associadas a cada fluxo, incluindo o consentimento ou outro fundamento de licitude, os controlos de transferência transfronteiriça, os deveres de segurança, as cláusulas contratuais perante o consumidor e qualquer licenciamento setorial. Resolver estas questões durante a conceção do produto, e não depois de uma averiguação do regulador, é o que impede que uma única decisão comercial se transforme mais tarde numa falha de conformidade.

O que é a KVKK e em que difere do RGPD?

A KVKK (Lei de Proteção de Dados Pessoais n.º 6698) é o diploma geral turco de proteção de dados, estruturalmente próximo do RGPD nos seus princípios, nos direitos dos titulares e nos deveres de responsabilização. A diferença decisiva é a transferência transfronteiriça de dados. Enquanto o RGPD permite transferências ao abrigo de decisões de adequação e de garantias padronizadas, a KVKK exigia historicamente ou o consentimento explícito do titular ou que o país de destino constasse da lista de países com proteção adequada elaborada pelo Conselho de Proteção de Dados Pessoais. Uma vez que essa lista de adequação se manteve limitada na prática, a maioria das empresas internacionais apoia-se em compromissos escritos aprovados pelo Conselho ou em garantias contratuais tipo, em vez de tratar um destino como automaticamente seguro.

Registo no VERBIS e o representante do responsável pelo tratamento

As empresas que atinjam limiares definidos, ou cuja atividade principal seja o tratamento de dados pessoais sensíveis, devem inscrever-se no VERBIS, o registo público de responsáveis pelo tratamento mantido pela Autoridade de Proteção de Dados Pessoais. O registo documenta o inventário de dados do responsável, as finalidades do tratamento, os prazos de conservação e as medidas de segurança. Um responsável pelo tratamento estrangeiro sem estabelecimento na Turquia deve designar um Representante do Responsável pelo Tratamento na Turquia, função que o nosso escritório desempenha para clientes internacionais. Não se inscrever, ou inscrever informação inexata, expõe o responsável a coimas administrativas.

A Autoridade enuncia este dever na orientação que publicou sobre o registo: um responsável pelo tratamento que seja pessoa coletiva residente no estrangeiro deve designar um representante do responsável pelo tratamento na Turquia. Trata-se de um teste sobre o estatuto do responsável e não sobre a dimensão de uma presença turca, razão pela qual alcança um conjunto de empresas tecnológicas estrangeiras muito mais vasto do que qualquer um dos dois regimes de plataforma descritos acima. Se um determinado responsável cai também dentro dos limiares de registo, isso afere-se pelos seus próprios números, e vale a pena aferi-lo antes de uma inspeção e não depois.

Transferência transfronteiriça de dados

Ao abrigo da KVKK, os dados pessoais de utilizadores na Turquia não podem ser transferidos para servidores no estrangeiro por mera conveniência. O consentimento explícito é uma via, mas é frágil porque o utilizador o pode retirar a qualquer momento. A via mais duradoura é um compromisso escrito ou um mecanismo contratual tipo aprovado pelo Conselho de Proteção de Dados Pessoais, sustentado por uma equivalência genuína de segurança técnica e organizativa. Preparamos e submetemos estes instrumentos para que uma empresa global possa manter os dados na infraestrutura de nuvem que já utiliza permanecendo lícita à luz do direito turco.

Como regula a Turquia as criptomoedas e as plataformas de criptoativos?

Os prestadores de serviços de criptomoedas e criptoativos na Turquia são regulados pela Lei do Mercado de Capitais n.º 6362, na redação que colocou os criptoativos sob a supervisão do Conselho do Mercado de Capitais (SPK). Os prestadores de serviços de criptoativos, incluindo plataformas de negociação e de custódia, devem deter autorização de funcionamento do SPK e cumprir obrigações de capital, governação, custódia e prevenção do branqueamento de capitais. Explorar uma plataforma de negociação dirigida a utilizadores na Turquia sem essa autorização é tratado como atividade não autorizada no mercado de capitais e pode gerar responsabilidade criminal dos dirigentes responsáveis e bloqueio de acesso à plataforma.

Licenciamento de uma plataforma de negociação de criptomoedas

Uma plataforma estrangeira que angarie utilizadores turcos, faça publicidade em turco ou ofereça pares de negociação em liras turcas necessita, em regra, de constituir uma sociedade anónima turca e de obter autorização do SPK. O licenciamento implica cumprir requisitos de capital mínimo, implementar controlos de prevenção do branqueamento de capitais e de identificação do cliente alinhados com o MASAK (o Conselho de Investigação de Crimes Financeiros) e estabelecer mecanismos de custódia conformes. Conduzimos o pedido de autorização de ponta a ponta e estruturamos o veículo societário que detém a licença.

Emissão de tokens e estruturação Web3

A emissão de tokens comporta risco em matéria de valores mobiliários. Um token que se comporte como instrumento de participação nos lucros ou de dividendos pode ser tratado como valor mobiliário, o que desencadeia obrigações de prospeto e de divulgação. Emitimos pareceres jurídicos que distinguem os tokens de utilidade dos tokens de valor mobiliário, estruturamos a entidade emitente e delimitamos geograficamente as ofertas a retalho para que os fundadores não fiquem expostos a alegações de oferta pública não autorizada na Turquia.

Que regras de comércio eletrónico se aplicam às plataformas estrangeiras em linha?

As plataformas estrangeiras em linha que vendem a consumidores na Turquia devem cumprir a Lei de Regulação do Comércio Eletrónico n.º 6563 e o regulamento sobre contratos de venda à distância. Duas obrigações são as mais relevantes. Primeira, qualquer venda de empresa a consumidor deve conceder ao consumidor um direito de livre resolução de catorze dias sem penalização, acompanhado de um formulário detalhado de informação pré-contratual antes da compra. Segunda, as mensagens eletrónicas comerciais, como SMS de marketing, correio eletrónico ou chamadas automatizadas, exigem aprovação prévia registada no Sistema Central de Gestão de Mensagens (IYS); o pedido de cessação por parte do consumidor deve ser respeitado automaticamente. Enviar marketing não solicitado sem aprovação no IYS, ou recusar um reembolso devido, acarreta coimas administrativas e queixas de consumidores suscetíveis de perturbar o processamento local de pagamentos.

Podem as autoridades turcas bloquear ou abrandar uma plataforma estrangeira?

Sim. Ao abrigo da Lei da Internet n.º 5651, um fornecedor estrangeiro de rede social com uma grande base diária de utilizadores turcos deve designar um representante local para receber notificações legais e responder-lhes, e a partir de 1 de novembro de 2026 a mesma arquitetura alcança as plataformas de jogos acima de cem mil acessos diários por força do artigo adicional 5. Quando um tribunal ordena a remoção de conteúdos por motivos de direitos de personalidade ou outros fundamentos legais, o fornecedor deve atuar dentro do prazo legal. A recusa pode levar a Autoridade de Tecnologias da Informação e Comunicação (BTK) a impor proibições de publicidade, coimas e um estrangulamento progressivo da largura de banda que degrada o serviço. Atuamos na qualidade de representante designado, avaliamos a validade de cada ordem, deduzimos oposição quando uma ordem é deficiente e executamos uma conformidade estritamente delimitada para que um único litígio não comprometa a disponibilidade global da plataforma.

Quais são os principais riscos jurídicos para empresas tecnológicas, e as exceções?

Os riscos recorrentes são a transferência transfronteiriça ilícita de dados, a falta de registo no VERBIS, explorar um serviço de criptoativos sem autorização do SPK, o marketing não solicitado sem aprovação no IYS e ignorar as obrigações de remoção de conteúdos ou de representante ao abrigo da Lei da Internet. Cada um acarreta coimas administrativas, e vários acarretam exposição criminal ou bloqueio de acesso. As principais exceções e defesas incluem fundamentos de licitude distintos do consentimento ao abrigo da KVKK, uma anonimização genuína que retira os dados do âmbito dos dados pessoais, instrumentos de transferência aprovados pelo Conselho e a estruturação da atividade de criptoativos ou tokens de modo a não visar utilizadores de retalho turcos. A aplicabilidade de uma exceção depende dos factos concretos e deve ser apreciada antes, e não depois, de o regulador atuar.

Preciso de um advogado para questões de tecnologia e proteção de dados?

Um advogado é necessário sempre que um produto tecnológico toque utilizadores turcos em escala, trate dados sensíveis ou biométricos, transfira dados para o estrangeiro, ofereça serviços de criptoativos ou tokens, caia dentro de um dever de representante, ou tenha recebido uma notificação de um regulador. Estas matérias combinam proteção de dados, mercado de capitais, direito do consumo e direito da internet, e um passo em falso numa das áreas pode congelar as passarelas de pagamento ou bloquear todo o serviço. Contratar assessoria durante a conceção do produto é muito menos oneroso do que defender uma ação sancionatória depois do lançamento.

Perguntas frequentes

Somos uma plataforma de jogos com utilizadores turcos. O que é exatamente devido em 1 de novembro de 2026?

Se a vossa plataforma for de origem estrangeira e o acesso diário a partir da Turquia exceder cem mil, o artigo adicional 5 da Lei n.º 5651 exige um representante designado na Turquia, essa designação notificada à Autoridade, e a identidade e os contactos do representante publicados no vosso próprio sítio web de forma facilmente visível e diretamente acessível. A classificação etária de conteúdos e os controlos parentais constam do mesmo artigo. A coima administrativa atinge trinta milhões de liras turcas em caso de segunda infração.

Já temos uma subsidiária turca. Isso satisfaz o dever de representante?

Por si só, não. O artigo exige um representante designado e notificado, e a identidade desse representante publicada no sítio da plataforma. Uma entidade de vendas ou marketing sem mandato de conformidade associado não é uma designação, e não coloca ninguém em posição de receber e tratar aquilo que a designação existe para receber e tratar. A pergunta correta é que pessoa singular ou coletiva está a ser nomeada, o que diz o seu mandato, e se a notificação foi feita.

A KVKK aplica-se a uma empresa sem escritório na Turquia?

Sim. A KVKK aplica-se em função do tratamento de dados pessoais de pessoas que se encontram na Turquia, e não do local de constituição da empresa ou da localização dos seus servidores. Um responsável pelo tratamento estrangeiro que trate dados de utilizadores turcos está, em regra, obrigado a inscrever-se no VERBIS e a designar um Representante do Responsável pelo Tratamento na Turquia.

Podemos manter dados de clientes em infraestrutura de nuvem fora da Turquia?

Frequentemente sim, mas não automaticamente. Armazenar dados pessoais de utilizadores turcos em infraestrutura de nuvem estrangeira constitui uma transferência transfronteiriça ao abrigo da KVKK. Tem de estar suportada por consentimento explícito válido ou, de forma mais duradoura, por um compromisso escrito ou mecanismo contratual tipo aprovado pelo Conselho, acompanhado de medidas de segurança adequadas. Preparamos e submetemos os instrumentos que autorizam a transferência.

É lícito explorar uma plataforma de criptomoedas para utilizadores turcos a partir do estrangeiro?

Visar utilizadores turcos a partir de uma plataforma offshore não licenciada é tratado como atividade não autorizada no mercado de capitais ao abrigo da Lei n.º 6362 e pode gerar responsabilidade criminal e bloqueio de acesso. Uma plataforma que pretenda utilizadores turcos deve normalmente constituir uma sociedade turca e obter autorização do SPK, incluindo controlos de prevenção do branqueamento de capitais conformes com o MASAK.

O que acontece se enviarmos mensagens de marketing sem aprovação no IYS?

Cada mensagem eletrónica comercial não aprovada pode desencadear uma coima administrativa, e as infrações repetidas atraem queixas regulatórias e de consumidores. As SMS de marketing, o correio eletrónico e as chamadas automatizadas para consumidores turcos têm de estar registados no sistema IYS, e os pedidos de cessação têm de ser aplicados automaticamente.

Um tribunal turco ordenou-nos a remoção de conteúdos. Qual é o prazo?

Ao abrigo da Lei da Internet n.º 5651, os fornecedores devem dar cumprimento a uma ordem válida de remoção de conteúdos dentro do prazo legal aplicável ao tipo de ordem. Falhar o prazo pode levar a BTK a impor proibições de publicidade, coimas e estrangulamento de largura de banda. Avaliamos a validade da ordem, cumprimos onde é devido e impugnamos ordens deficientes.

Com que rapidez devemos envolver assessoria jurídica após uma averiguação do regulador?

De imediato. Uma assessoria precoce pode suspender um circuito de dados não conforme, preservar defesas como a anonimização ou um fundamento de licitude alternativo, e abrir um diálogo estruturado com o regulador antes de as coimas e as ordens de destruição serem definitivas. A demora estreita as defesas disponíveis.

O que pode ser verificado, e onde

Cada afirmação desta página que o leitor tenha o direito de verificar é indicada juntamente com o local onde a verificar, de modo a que o único gesto que resta seja escrever um número.

Serviços jurídicos relacionados

As questões tecnológicas ligam-se frequentemente a outras áreas de prática. Coordenamos o trabalho de tecnologia e dados com a constituição de sociedades na Turquia para o veículo societário que detém uma licença do SPK ou um mandato de representante, com o direito societário e comercial para os contratos de SaaS e de plataforma, com a estruturação do investimento direto estrangeiro para o capital tecnológico entrante, com o direito fiscal e a regulamentação aduaneira para a tributação de serviços digitais, e com a defesa penal e a competência jurisdicional quando surge responsabilidade de mercado de capitais ou de cibercriminalidade.

Solicite uma avaliação confidencial do seu caso

Se a vossa plataforma cai dentro do dever de representante de 1 de novembro de 2026, trata dados de utilizadores turcos, oferece serviços de criptoativos ou tokens a utilizadores turcos, ou recebeu uma notificação de um regulador, solicite uma avaliação confidencial do seu caso. Descreva o produto, os fluxos de dados, a posição de acessos e qualquer ordem pendente, e identificaremos as obrigações aplicáveis e a estrutura que vos mantém em conformidade e em funcionamento. Recebe a posição por escrito: o produto é a análise, não a reunião.

Direto: WhatsApp +90 530 127 59 35 ou info@serkalaw.com.

Aviso legal

Esta página fornece informação geral sobre o direito tecnológico, de proteção de dados e do mercado de capitais da Turquia e não constitui aconselhamento jurídico. A sua leitura não cria uma relação advogado-cliente. A relação advogado-cliente forma-se apenas por contrato de mandato assinado. Para aconselhamento sobre uma situação concreta, consulte um advogado qualificado.