Право в сфере технологий, защита персональных данных (KVKK) и регулирование криптовалют в Турции

Право в сфере технологий, защита персональных данных (KVKK) и регулирование криптовалют. Serka Law Firm консультирует международные технологические компании, операторов платформ, издателей и дистрибьюторов игр, поставщиков SaaS, финтех-компании, команды машинного обучения и криптовалютные платформы по вопросам турецкого законодательства о защите данных, электронной коммерции, интернете и рынках капитала. Мы выстраиваем структуры комплаенса, позволяющие иностранной платформе законно обслуживать пользователей в Турции, и защищаем эту платформу, когда регулятор предпринимает против неё меры.

Срок установлен законом: 1 ноября 2026 года. Закон № 7578, опубликованный в «Resmi Gazete» от 1 мая 2026 года, выпуск 33240, вводит Дополнительную статью 5 в Закон об интернете № 5651 и излагает Дополнительную статью 4 в новой редакции. С 1 ноября 2026 года игровая платформа иностранного происхождения, ежедневное число обращений к которой из Турции превышает сто тысяч, обязана назначить представителя в Турции и уведомить об этом Управление; административный штраф за повторное нарушение достигает тридцати миллионов турецких лир. До 1 мая 2026 года такой обязанности не существовало. Критерий, пороговые значения и перечень того, что необходимо выстроить, изложены непосредственно ниже.

Адвокат Av. Serkan KARA, Serka Law Firm. В юридической профессии с 2015 года.

Обязанность назначить представителя для иностранных игровых платформ с 1 ноября 2026 года

С 1 ноября 2026 года игровая платформа иностранного происхождения, ежедневное число обращений к которой из Турции превышает сто тысяч, обязана назначить в Турции представителя, физическое или юридическое лицо, и уведомить Управление о таком назначении. Платформа также обязана опубликовать сведения о личности и контактные данные представителя на собственном сайте в легко заметной и непосредственно доступной форме. Обязанности по возрастной классификации контента и обеспечению родительского контроля закреплены в той же статье. Нормативный источник: Дополнительная статья 5 Закона об интернете № 5651, введённая статьёй 23 Закона № 7578, опубликованного в «Resmi Gazete» от 1 мая 2026 года, выпуск 33240. Статья 27 этого закона устанавливает вступление в силу через шесть месяцев после опубликования, то есть 1 ноября 2026 года. Административный штраф за повторное нарушение достигает тридцати миллионов турецких лир.

Для внутренней юридической службы важны два следствия. Первое: обязанность новая, поэтому по ней нет ни действующего консультанта, ни внутреннего прецедента, который можно было бы взять за образец. Второе: архитектура возрастной классификации и родительского контроля представляет собой разработку, а не подачу документа; шесть месяцев между опубликованием и вступлением в силу и были окном для этой разработки, и большая его часть уже прошла.

Что именно требует статья, по пунктам

• Назначить представителя в Турции. Статья допускает как физическое, так и юридическое лицо.
• Уведомить Управление о таком назначении.
• Опубликовать сведения о личности и контактные данные представителя на собственном сайте платформы, в легко заметной и непосредственно доступной форме.
• Соблюдать режим возрастной классификации контента и обеспечить функции родительского контроля; обе обязанности закреплены в той же статье.

Статья называет орган, подлежащий уведомлению, «Управлением», не раскрывая его наименование далее в опубликованном тексте. Именно поэтому мы пишем «Управление» и не строим догадок. Какой именно орган им обозначен и какую процедуру он установит, определяется подзаконным актом либо собственным объявлением этого органа, и мы отслеживаем «Resmi Gazete» на предмет обоих.

Распространяется ли эта обязанность на вашу платформу?

Решают четыре условия. Три из них проверяются публично, а четвёртое представляет собой ваш собственный показатель, и именно поэтому критерий изложен здесь для самостоятельного применения, а не утверждается о ком-либо со стороны.

Если выполняются все четыре условия, назначение и уведомление должны состояться до 1 ноября 2026 года, а архитектура возрастной классификации и родительского контроля должна быть готова к этому же сроку. После этой даты та же компания оказывается уже не в стадии подготовки, а в стадии правоприменения, и это существенно худшая позиция для старта.

Отдельный вопрос для компаний, перенёсших структуру в Турцию

Для русскоязычных технологических групп, которые в последние годы перевели в Турцию персонал, юридические лица или отдельные продуктовые направления, критерий «иностранного происхождения» из статьи 23 требует отдельного анализа, а не общего ответа. Учреждённая в Турции компания находится вне действия правила о представителе, установленного Дополнительной статьёй 5, однако само по себе это не выводит группу из-под регулирования: турецкое юридическое лицо становится оператором персональных данных по KVKK со всеми вытекающими обязанностями, а вопрос о том, кто именно эксплуатирует платформу и обращается к пользователям в Турции, решается по фактическим обстоятельствам, а не по месту регистрации в реестре. Наличие турецкой компании в структуре меняет распределение обязанностей, но не отменяет их.

Режим поставщика социальной сети при превышении десяти миллионов ежедневных обращений

Статья 22 Закона № 7578 излагает в новой редакции Дополнительную статью 4 Закона об интернете № 5651, то есть норму, регулирующую поставщиков социальных сетей, и добавляет более строгий уровень требований для поставщиков, ежедневное число обращений к которым из Турции превышает десять миллионов. Она вступает в силу в ту же дату, 1 ноября 2026 года. Представитель, назначенный несколько лет назад в порядке формального уведомления, не то же самое, что юридическая функция, способная обслуживать новый уровень требований, поэтому поставщику, у которого уже есть назначенный представитель, следует сопоставить новую редакцию статьи с тем, что фактически охватывает это назначение, и с тем, кто внутри организации за него отвечает.

Кого вы нанимаете

Serka Law Firm. Основатель: адвокат Serkan Kara, в юридической профессии с 2015 года. Обладатель профессионального удостоверения адвоката CCBE. Он получил степень бакалавра права (LLB) на юридическом факультете Университета Улудаг в 2015 году, а право Соединённых Штатов изучал по программе CUSL на юридическом факультете Кёльнского университета, с оценками vollbefriedigend. Следствие из этого и есть то, что важно руководителю юридической службы технологической компании: эта фирма владеет обеими великими правовыми традициями, континентальной и англо-американской, а не одной из них, обращающейся к другой через границу. Трансграничная работа здесь является обычным, а не исключительным случаем, и ведётся и оценивается соответственно.

Он также разработчик. Программное обеспечение и аппаратные средства, практическая работа со времён MS-DOS, с одиннадцати лет, и уровень Premium в Google Developer Program. Машинное обучение входит в число заявленных специализаций фирмы. Практический смысл этого узок и объясняет, почему эта страница написана именно так: вашу архитектуру, ваши потоки данных, ваш лицензионный файл, вашу модельную документацию и ваши пользовательские соглашения читает сам юрист, а не выслушивает их пересказ, и ваших инженеров не заставляют переводить собственную систему на другой язык, прежде чем по ней можно будет дать заключение.

Это также означает, что фирма использует новейшие и лучшие технологии в полном объёме, опираясь на собственный технологический опыт и экспертизу, а не на поставщика. Это одно из серьёзных преимуществ, которые выделяют её где бы то ни было в мире, и опирается оно на изложенную выше квалификацию.

Что такое право в сфере технологий и защиты персональных данных для компаний, работающих в Турции?

Право в сфере технологий и защиты персональных данных в Турции регулирует то, как компания собирает, хранит, передаёт и монетизирует персональные данные и цифровые услуги. Базовым законом является Закон о защите персональных данных № 6698 (KVKK), который повторяет европейский GDPR, но устанавливает более строгие условия передачи данных за пределы Турции. Технологическая компания, обслуживающая турецких пользователей, связана этими правилами независимо от того, где расположены её серверы. Наряду с KVKK Закон о регулировании электронной коммерции № 6563, Закон об интернете № 5651 и Закон о рынках капитала № 6362 (для криптоактивов) совместно образуют регуляторный периметр, который должна соблюдать любая иностранная платформа.

Что следует проверить в первую очередь в технологическом или информационном проекте?

Технологический проект следует начинать с карты потоков данных: кто является субъектами данных, какие персональные данные обрабатываются, с какой целью, где они хранятся и какие третьи стороны или поставщики имеют к ним доступ. На основе этой карты юрист может определить юридические обязательства, привязанные к каждому потоку, включая согласие или иное правовое основание, контроль трансграничной передачи, обязанности по обеспечению безопасности, договорные условия в отношении потребителей и любое отраслевое лицензирование. Разрешение этих вопросов на этапе проектирования продукта, а не после запроса регулятора, и есть то, что не даёт одному коммерческому решению превратиться позднее в нарушение требований комплаенса.

Что такое KVKK и чем он отличается от GDPR?

KVKK (Закон о защите персональных данных № 6698) представляет собой общий турецкий закон о защите данных, структурно близкий к GDPR по своим принципам, правам субъектов данных и обязанностям по подотчётности. Решающее различие касается трансграничной передачи данных. В то время как GDPR допускает передачу на основании решений об адекватности и стандартизированных гарантий, KVKK исторически требовал либо явного согласия субъекта данных, либо того, чтобы страна назначения фигурировала в списке стран с надлежащим уровнем защиты, который ведёт Совет по защите персональных данных (Personal Data Protection Board). Поскольку этот список адекватности на практике оставался ограниченным, большинство международных компаний полагаются на письменные обязательства, одобренные Советом, или стандартные договорные гарантии, а не рассматривают страну назначения как автоматически безопасную.

Регистрация в VERBIS для операторов данных

Компании, отвечающие установленным пороговым критериям, или те, чья основная деятельность заключается в обработке специальных категорий персональных данных, должны зарегистрироваться в VERBIS, публичном Реестре операторов данных (Data Controllers’ Registry), который ведёт Управление по защите персональных данных (Personal Data Protection Authority). Регистрация документирует инвентаризацию данных оператора, цели обработки, сроки хранения и меры безопасности. Иностранный оператор данных, не имеющий представительства в Турции, обязан назначить Представителя оператора данных (Data Controller Representative) в Турции, роль, которую наша фирма выполняет для международных клиентов. Отсутствие регистрации или регистрация недостоверных сведений подвергает оператора административным штрафам.

Управление формулирует эту обязанность в собственном опубликованном разъяснении о Реестре: оператор данных, являющийся юридическим лицом, зарегистрированным за рубежом, обязан назначить представителя оператора данных в Турции. Это критерий, привязанный к статусу оператора, а не к размеру какого-либо присутствия в Турции, и именно поэтому он охватывает существенно более широкий круг иностранных технологических компаний, чем любой из двух платформенных режимов, описанных выше. Вопрос о том, подпадает ли конкретный оператор также под пороговые критерии регистрации, решается по его собственным показателям, и оценить это стоит до проверки, а не после неё.

Трансграничная передача данных

В соответствии с KVKK персональные данные пользователей в Турции не могут передаваться на серверы за рубежом исключительно из соображений удобства. Явное согласие является одним из путей, но он ненадёжен, поскольку пользователь может отозвать его в любой момент. Более устойчивый путь представляет собой письменное обязательство или стандартный договорный механизм, одобренный Советом по защите персональных данных и подкреплённый реальной технической и организационной эквивалентностью мер безопасности. Мы готовим и подаём эти документы, чтобы глобальная компания могла хранить данные на своей существующей облачной инфраструктуре, оставаясь при этом в рамках турецкого законодательства.

Как Турция регулирует криптовалюты и платформы криптоактивов?

Поставщики услуг в сфере криптовалют и криптоактивов в Турции регулируются Законом о рынках капитала № 6362 с поправками, включившими криптоактивы в сферу надзора Совета по рынкам капитала (SPK). Поставщики услуг в сфере криптоактивов, включая биржи и кастодиальные платформы, должны иметь разрешение на осуществление деятельности от SPK и соблюдать требования к капиталу, корпоративному управлению, кастодиальному хранению и противодействию отмыванию денег. Эксплуатация биржи, ориентированной на пользователей в Турции, без такого разрешения рассматривается как несанкционированная деятельность на рынке капитала и может повлечь уголовную ответственность для ответственных руководителей, а также блокировку доступа к платформе.

Если после P2P-обмена криптовалюты банк заблокировал ваш личный счет в Турции, это уже вопрос не лицензии, а уголовного процесса: блокировка банковского счета в Турции после P2P держится на одной из трех мер, и у каждой свой срок и свой путь снятия.

Лицензирование криптобиржи

Иностранной бирже, которая привлекает турецких пользователей, размещает рекламу на турецком языке или предлагает торговые пары с турецкой лирой, как правило, необходимо учредить турецкое акционерное общество и получить разрешение SPK. Лицензирование включает соответствие требованиям к минимальному капиталу, внедрение средств контроля противодействия отмыванию денег и идентификации клиентов в соответствии с требованиями MASAK (Совет по расследованию финансовых преступлений, Financial Crimes Investigation Board), а также организацию соответствующих кастодиальных механизмов. Мы ведём заявку на получение разрешения от начала до конца и формируем корпоративную структуру, держащую лицензию.

Выпуск токенов и структурирование Web3

Выпуск токенов несёт риск признания их ценными бумагами. Токен, который ведёт себя как инструмент участия в прибыли или дивидендный инструмент, может быть признан ценной бумагой, что влечёт обязательства по проспекту эмиссии и раскрытию информации. Мы предоставляем юридические заключения, разграничивающие утилитарные токены и токены-ценные бумаги, структурируем эмитента и применяем географические ограничения (geo-fence) для розничных предложений, чтобы основатели не подвергались претензиям о несанкционированном публичном предложении в Турции.

Какие правила электронной коммерции применяются к иностранным онлайн-платформам?

Иностранные онлайн-платформы, продающие товары потребителям в Турции, должны соблюдать Закон о регулировании электронной коммерции № 6563 и положение о договорах дистанционной продажи. Наибольшее значение имеют два обязательства. Во-первых, любая продажа от бизнеса потребителю (business-to-consumer) должна предоставлять потребителю четырнадцатидневное право отказа без штрафных санкций вместе с подробной формой предварительной информации до покупки. Во-вторых, коммерческие электронные сообщения, такие как маркетинговые SMS, электронные письма или автоматизированные звонки, требуют предварительного согласия, зафиксированного в центральной Системе управления сообщениями (IYS); отказ потребителя от рассылки должен исполняться автоматически. Отправка нежелательных маркетинговых сообщений без одобрения IYS или отказ в законном возврате средств влекут административные штрафы и потребительские жалобы, которые могут нарушить локальную обработку платежей.

Могут ли турецкие власти заблокировать или замедлить иностранную платформу?

Да. В соответствии с Законом об интернете № 5651 иностранный поставщик социальной сети с большой ежедневной турецкой пользовательской базой должен назначить локального представителя для получения юридических уведомлений и реагирования на них, а с 1 ноября 2026 года та же архитектура распространяется на игровые платформы с числом ежедневных обращений свыше ста тысяч в силу Дополнительной статьи 5. Когда суд выносит постановление об удалении контента на основании прав личности или иных установленных законом оснований, поставщик обязан принять меры в установленный законом срок. Отказ может привести к тому, что Управление по информационным и коммуникационным технологиям (BTK) введёт запреты на рекламу, штрафы и прогрессирующее замедление пропускной способности, ухудшающее работу сервиса. Мы выступаем в качестве назначенного представителя, оцениваем действительность каждого постановления, подаём возражения там, где постановление является ошибочным, и осуществляем узконаправленное исполнение требований, чтобы один спор не поставил под угрозу общую доступность платформы.

Каковы основные юридические риски для технологических компаний и какие существуют исключения?

Повторяющимися рисками являются незаконная трансграничная передача данных, отсутствие регистрации в VERBIS, оказание криптоуслуг без разрешения SPK, нежелательный маркетинг без одобрения IYS и игнорирование обязательств по удалению контента или назначению представителя в рамках Закона об интернете. Каждый из них влечёт административные штрафы, а некоторые уголовную ответственность или блокировку доступа. Основные исключения и средства защиты включают правовые основания, отличные от согласия, в рамках KVKK, подлинную анонимизацию, выводящую данные из сферы действия понятия персональных данных, одобренные Советом инструменты передачи, а также структурирование криптовалютной или токенной деятельности таким образом, чтобы она не была ориентирована на турецких розничных пользователей. Применимость исключения зависит от конкретных фактов и должна оцениваться до, а не после действий регулятора.

Нужен ли мне юрист по вопросам технологий и защиты персональных данных?

Юрист необходим всякий раз, когда технологический продукт затрагивает турецких пользователей в больших масштабах, обрабатывает специальные категории или биометрические данные, передаёт данные за рубеж, предлагает крипто- или токенные услуги, подпадает под обязанность назначить представителя либо получил уведомление от регулятора. Эти вопросы сочетают в себе право в области защиты данных, рынков капитала, защиты прав потребителей и интернет-право, и ошибка в одной из областей может привести к блокировке платёжных шлюзов или всего сервиса. Привлечение юриста на этапе проектирования продукта обходится значительно дешевле, чем защита в рамках мер принудительного исполнения после запуска.

Часто задаваемые вопросы

Мы игровая платформа с турецкими пользователями. Что именно требуется к 1 ноября 2026 года?

Если ваша платформа имеет иностранное происхождение и ежедневное число обращений к ней из Турции превышает сто тысяч, Дополнительная статья 5 Закона № 5651 требует назначенного в Турции представителя, уведомления Управления об этом назначении и публикации сведений о личности и контактных данных представителя на вашем собственном сайте в легко заметной и непосредственно доступной форме. Возрастная классификация контента и родительский контроль закреплены в той же статье. Административный штраф за повторное нарушение достигает тридцати миллионов турецких лир.

У нас уже есть турецкая дочерняя компания. Достаточно ли этого для исполнения обязанности о представителе?

Само по себе нет. Статья требует представителя, который назначен и о котором уведомлено, а также публикации сведений о личности этого представителя на сайте платформы. Юридическое лицо, занимающееся продажами или маркетингом и не наделённое мандатом на комплаенс, назначением не является и не ставит никого в положение, позволяющее получать и отрабатывать то, ради чего это назначение существует. Правильный вопрос звучит так: какое именно физическое или юридическое лицо назначается, что говорит его мандат и было ли направлено уведомление.

Применяется ли KVKK к компании, не имеющей офиса в Турции?

Да. KVKK применяется исходя из обработки персональных данных физических лиц в Турции, а не из того, где компания зарегистрирована или где расположены её серверы. Иностранный оператор данных, обрабатывающий данные турецких пользователей, как правило, обязан зарегистрироваться в VERBIS и назначить Представителя оператора данных в Турции.

Можем ли мы хранить данные клиентов на облачной инфраструктуре за пределами Турции?

Часто да, но не автоматически. Хранение персональных данных турецких пользователей на иностранной облачной инфраструктуре является трансграничной передачей в соответствии с KVKK. Она должна быть обеспечена либо действительным явным согласием, либо, что более устойчиво, одобренным Советом письменным обязательством или стандартным договорным механизмом плюс адекватными мерами безопасности. Мы готовим и подаём документы, разрешающие такую передачу.

Законно ли управлять криптобиржей для турецких пользователей из-за рубежа?

Ориентация на турецких пользователей с нелицензированной офшорной биржи рассматривается как несанкционированная деятельность на рынке капитала в соответствии с Законом № 6362 и может повлечь уголовную ответственность и блокировку доступа. Платформа, желающая обслуживать турецких пользователей, как правило, должна учредить турецкую компанию и получить разрешение SPK, включая средства контроля противодействия отмыванию денег, соответствующие требованиям MASAK.

Что произойдёт, если мы отправим маркетинговые сообщения без одобрения IYS?

Каждое неодобренное коммерческое электронное сообщение может повлечь административный штраф, а повторные нарушения привлекают жалобы со стороны регуляторов и потребителей. Маркетинговые SMS, электронные письма и автоматизированные звонки турецким потребителям должны быть зарегистрированы в системе IYS, а отказы от рассылки должны применяться автоматически.

Турецкий суд обязал нас удалить контент. Каков срок?

В соответствии с Законом об интернете № 5651 поставщики обязаны исполнить действительное постановление об удалении контента в установленный законом срок, применимый к данному типу постановления. Пропуск срока может привести к тому, что BTK введёт запреты на рекламу, штрафы и замедление пропускной способности. Мы оцениваем действительность постановления, исполняем его там, где это требуется, и оспариваем ошибочные постановления.

Как быстро следует привлекать юриста после запроса регулятора?

Немедленно. Привлечённый на раннем этапе юрист может приостановить несоответствующий требованиям конвейер обработки данных, сохранить средства защиты, такие как анонимизация или альтернативное правовое основание, и начать структурированный диалог с регулятором до окончательного утверждения штрафов и постановлений об уничтожении данных. Промедление сужает доступные средства защиты.

Что можно проверить и где

Каждое утверждение на этой странице, которое читатель вправе проверить, названо вместе с местом проверки, так что единственным оставшимся действием остаётся ввести номер.

Смежные юридические услуги

Технологические вопросы часто связаны с другими сферами практики. Работа в сфере технологий и данных координируется с учреждением компаний в Турции для корпоративной структуры, держащей лицензию SPK или мандат представителя, с корпоративным и коммерческим правом для соглашений SaaS и платформенных соглашений, со структурированием прямых иностранных инвестиций для входящего технологического капитала, с налоговым правом и таможенным регулированием для налогообложения цифровых услуг и с уголовной защитой и вопросами юрисдикции при возникновении ответственности в сфере рынков капитала или киберпреступности.

Платформа, данные или токены: что сообщить нам

Если ваша платформа подпадает под обязанность о представителе, вступающую в силу 1 ноября 2026 года, обрабатывает данные турецких пользователей, предлагает крипто- или токенные услуги турецким пользователям либо получила уведомление от регулятора, напишите нам на info@serkalaw.com или через страницу контактов. Нужны название продукта и страна регистрации компании, сколько у вас пользователей из Турции, где хранятся их данные и что именно потребовал регулятор, если уведомление уже пришло. Позицию бюро излагает письменно, после поручения.

Прямая связь: WhatsApp +90 530 127 59 35 или info@serkalaw.com.

Правовая оговорка

Эта страница предоставляет общую информацию о турецком праве в сфере технологий, защиты данных и рынков капитала и не является юридической консультацией. Её прочтение не создаёт отношений между адвокатом и клиентом. Отношения между адвокатом и клиентом возникают только при подписании соглашения об оказании услуг. Для получения консультации по конкретной ситуации обратитесь к квалифицированному адвокату.