Технологічне Право, Захист Персональних Даних (KVKK) та Регулювання Криптовалют у Туреччині

Технологічне право, захист персональних даних (KVKK) та регулювання криптовалют. Serka Law Firm консультує міжнародні технологічні компанії, операторів платформ, видавців та дистриб’юторів ігор, постачальників SaaS, фінтех-компанії, команди машинного навчання та криптовалютні платформи з питань турецького права захисту даних, електронної комерції, інтернет-права та права ринків капіталу. Ми вибудовуємо структури комплаєнсу, які дозволяють іноземній платформі законно обслуговувати турецьких користувачів, і захищаємо цю платформу, коли проти неї виступає регулятор.

Строк встановлено законом: 1 листопада 2026 року. Закон № 7578, опублікований у «Resmî Gazete» від 1 травня 2026 року, випуск 33240, вводить Додаткову статтю 5 до Закону про інтернет № 5651 та викладає Додаткову статтю 4 в новій редакції. З 1 листопада 2026 року ігрова платформа іноземного походження, щоденна кількість звернень до якої з Туреччини перевищує сто тисяч, зобов’язана призначити представника в Туреччині та повідомити про це Управління; адміністративний штраф за повторне порушення сягає тридцяти мільйонів турецьких лір. До 1 травня 2026 року такого обов’язку не існувало. Критерій, порогові значення та перелік того, що потрібно вибудувати, викладено безпосередньо нижче.

Адвокат Serkan Kara, Serka Law Firm. Стамбульська колегія адвокатів, реєстровий № 53770; Спілка колегій адвокатів Туреччини (TBB) № 121348. У професії з 2015 року.

Обов’язок призначити представника для іноземних ігрових платформ із 1 листопада 2026 року

З 1 листопада 2026 року ігрова платформа іноземного походження, щоденна кількість звернень до якої з Туреччини перевищує сто тисяч, зобов’язана призначити в Туреччині представника, фізичну або юридичну особу, та повідомити Управління про таке призначення. Платформа також зобов’язана опублікувати відомості про особу та контактні дані представника на власному сайті у формі, що є легко помітною та безпосередньо доступною. Обов’язки щодо вікової класифікації контенту та забезпечення батьківського контролю закріплені в тій самій статті. Нормативним джерелом є Додаткова стаття 5 Закону про інтернет № 5651, введена статтею 23 Закону № 7578, опублікованого у «Resmî Gazete» від 1 травня 2026 року, випуск 33240. Стаття 27 цього закону встановлює набрання чинності через шість місяців після опублікування, тобто 1 листопада 2026 року. Адміністративний штраф за повторне порушення сягає тридцяти мільйонів турецьких лір.

Для внутрішньої юридичної функції важливі два наслідки. Перший: обов’язок новий, тому за ним немає ані наявного радника, ані внутрішнього прецеденту, який можна було б скопіювати. Другий: архітектура вікової класифікації та батьківського контролю є розробкою, а не поданням документа; шість місяців між опублікуванням і набранням чинності й були вікном для цієї розробки, і більшість його вже минула.

Що саме вимагає стаття, за пунктами

• Призначити представника в Туреччині. Стаття допускає як фізичну, так і юридичну особу.
• Повідомити Управління про таке призначення.
• Опублікувати відомості про особу та контактні дані представника на власному сайті платформи, у легко помітній та безпосередньо доступній формі.
• Дотримуватися режиму вікової класифікації контенту та забезпечити функції батьківського контролю; обидва обов’язки закріплені в тій самій статті.

Стаття називає орган, що підлягає повідомленню, «Управлінням», не розкриваючи його найменування далі в опублікованому тексті. Саме тому ми пишемо «Управління» і не будуємо здогадів. Який саме орган ним позначено та яку процедуру він установить, визначається підзаконним актом або власним оголошенням цього органу, і ми відстежуємо «Resmî Gazete» щодо обох.

Чи поширюється цей обов’язок на вашу платформу?

Вирішують чотири умови. Три з них перевіряються публічно, а четверта є вашим власним показником, і саме тому критерій викладено тут для самостійного застосування, а не стверджується про когось ззовні.

Якщо виконуються всі чотири умови, призначення та повідомлення мають відбутися до 1 листопада 2026 року, а архітектура вікової класифікації та батьківського контролю має бути готова до того самого строку. Після цієї дати та сама компанія перебуває вже не на стадії підготовки, а на стадії правозастосування, і це істотно гірша позиція для старту.

Окреме питання для українських продуктових та ігрових студій

Українська індустрія розробки ігор та продуктових ІТ-компаній працює переважно за моделлю глобального видання, і турецький ринок у ній рідко виділяється окремо, доки не з’явиться локалізація або ціноутворення в лірах. Саме тут критерій статті 23 спрацьовує непомітно: рішення додати турецьку мову інтерфейсу або турецьку вітрину ухвалює продуктова команда, а правовий наслідок виникає в юридичної функції, яка про це рішення дізнається пізніше. Якщо студія видає власний продукт самостійно, обов’язок за Додатковою статтею 5 адресовано їй; якщо видавцем є третя сторона, потрібно встановити за договором, хто саме експлуатує платформу та звертається до користувачів у Туреччині, бо саме це, а не місце реєстрації, визначає адресата обов’язку. Розподіл цієї відповідальності у видавничому договорі варто перевірити до 1 листопада 2026 року, а не після першого припису.

Режим постачальника соціальної мережі при перевищенні десяти мільйонів щоденних звернень

Стаття 22 Закону № 7578 викладає в новій редакції Додаткову статтю 4 Закону про інтернет № 5651, тобто норму, що регулює постачальників соціальних мереж, і додає суворіший рівень вимог для постачальників, щоденна кількість звернень до яких з Туреччини перевищує десять мільйонів. Вона набирає чинності в ту саму дату, 1 листопада 2026 року. Представник, призначений кілька років тому в порядку формального повідомлення, не є тим самим, що юридична функція, здатна обслуговувати новий рівень вимог, тому постачальникові, який уже має призначеного представника, слід зіставити нову редакцію статті з тим, що фактично охоплює це призначення, і з тим, хто всередині організації за нього відповідає.

Кого ви наймаєте

Адвокат Serkan Kara. Адвокат Стамбульської колегії адвокатів, реєстровий номер 53770, Спілка колегій адвокатів Туреччини № 121348, у професії з 2015 року. Власник професійного посвідчення адвоката CCBE. Право Сполучених Штатів він вивчав за програмою CUSL на юридичному факультеті Кельнського університету, з оцінками vollbefriedigend. Наслідок із цього саме той, що важливий керівникові юридичної функції технологічної компанії: ця фірма володіє обома великими правовими традиціями, континентальною та англо-американською, а не однією з них, що звертається до іншої через кордон. Транскордонна робота тут є звичайним, а не винятковим випадком, і ведеться та оцінюється відповідно.

Він також розробник. Програмне забезпечення та апаратні засоби, практична робота з часів MS-DOS, з одинадцяти років, і рівень Premium у Google Developer Program. Машинне навчання входить до переліку заявлених спеціалізацій фірми. Практичний зміст цього вузький і пояснює, чому ця сторінка написана саме так: вашу архітектуру, ваші потоки даних, ваш ліцензійний файл, вашу модельну документацію та ваші умови користування читає сам юрист, а не вислуховує їх переказ, і ваших інженерів не змушують перекладати власну систему іншою мовою, перш ніж щодо неї можна буде дати висновок.

Це також означає, що фірма використовує найновіші та найкращі технології в повному обсязі, спираючись на власний технологічний досвід та експертизу, а не на постачальника. Це одна з серйозних переваг, що вирізняють її будь-де у світі, і спирається вона на викладену вище кваліфікацію.

Що таке технологічне право та право захисту персональних даних для компаній, що працюють у Туреччині?

Технологічне право та право захисту персональних даних у Туреччині регулюють те, як компанія збирає, зберігає, передає та монетизує персональні дані й цифрові послуги. Основним статутним актом є Закон про захист персональних даних № 6698 (KVKK), який віддзеркалює GDPR ЄС, але встановлює суворіші умови щодо передачі даних за межі Туреччини. Технологічна компанія, що обслуговує турецьких користувачів, зобов’язана дотримуватися цих правил незалежно від того, де розміщені її сервери. Поряд із KVKK, Закон про регулювання електронної комерції № 6563, Закон про інтернет № 5651 та Закон про ринки капіталу № 6362 (для криптоактивів) разом утворюють регуляторний периметр, який має поважати будь-яка іноземна платформа.

Що технологічний проєкт або проєкт обробки даних має розглянути в першу чергу?

Технологічний проєкт слід починати з карти потоків даних: хто є суб’єктами даних, які персональні дані обробляються, з якою метою, де вони зберігаються та які треті сторони або постачальники мають до них доступ. На основі цієї карти юрист може визначити правові зобов’язання, що прив’язуються до кожного потоку, включно зі згодою чи іншою законною підставою, контролем транскордонної передачі, обов’язками щодо безпеки, умовами споживчих договорів та будь-яким галузевим ліцензуванням. Вирішення цих питань під час проєктування продукту, а не після запиту регулятора, — саме це не дає одному комерційному рішенню перетворитися згодом на провал комплаєнсу.

Що таке KVKK і чим він відрізняється від GDPR?

KVKK (Закон про захист персональних даних № 6698) — це загальний турецький статутний акт із захисту даних, структурно близький до GDPR за своїми принципами, правами суб’єктів даних та обов’язками щодо підзвітності. Вирішальна відмінність — транскордонна передача даних. Тоді як GDPR дозволяє передачу на підставі рішень про адекватність та стандартизованих гарантій, KVKK історично вимагав або явної згоди суб’єкта даних, або того, щоб країна призначення була у списку країн із адекватним рівнем захисту, що веде Рада із захисту персональних даних. Оскільки на практиці цей список адекватності залишається обмеженим, більшість міжнародних компаній покладаються на письмові зобов’язання, схвалені Радою, або стандартні договірні гарантії, замість того щоб вважати країну призначення автоматично безпечною.

Реєстрація VERBIS для контролерів даних

Компанії, що відповідають визначеним пороговим значенням, або основна діяльність яких полягає в обробці чутливих персональних даних, повинні зареєструватися у VERBIS — публічному Реєстрі контролерів даних, який веде Управління із захисту персональних даних. Реєстрація документує інвентаризацію даних контролера, цілі обробки, строки зберігання та заходи безпеки. Іноземний контролер даних без турецького осідку повинен призначити Представника контролера даних у Туреччині — роль, яку наша фірма виконує для міжнародних клієнтів. Нездійснення реєстрації або реєстрація неточної інформації наражає контролера на адміністративні штрафи.

Управління формулює цей обов’язок у власному опублікованому роз’ясненні щодо Реєстру: контролер даних, який є юридичною особою, зареєстрованою за кордоном, зобов’язаний призначити представника контролера даних у Туреччині. Це критерій, прив’язаний до статусу контролера, а не до розміру будь-якої присутності в Туреччині, і саме тому він охоплює істотно ширше коло іноземних технологічних компаній, ніж будь-який із двох платформних режимів, описаних вище. Питання про те, чи підпадає конкретний контролер також під порогові критерії реєстрації, вирішується за його власними показниками, і оцінити це варто до перевірки, а не після неї.

Транскордонна передача даних

Згідно з KVKK, персональні дані користувачів у Туреччині не можуть передаватися на сервери за кордоном лише з міркувань зручності. Явна згода — це один зі шляхів, але він крихкий, оскільки користувач може відкликати її в будь-який час. Більш надійним шляхом є письмове зобов’язання або стандартний договірний механізм, схвалений Радою із захисту персональних даних, підкріплений справжньою технічною та організаційною еквівалентністю безпеки. Ми готуємо та подаємо ці документи, щоб глобальна компанія могла зберігати дані на наявній хмарній інфраструктурі, залишаючись законною за турецьким правом.

Як Туреччина регулює криптовалюти та платформи криптоактивів?

Постачальники послуг із криптовалют та криптоактивів у Туреччині регулюються Законом про ринки капіталу № 6362 зі змінами, що ввели криптоактиви до сфери нагляду Ради ринків капіталу (SPK). Постачальники послуг із криптоактивів, зокрема біржі та платформи зберігання, повинні мати дозвіл на діяльність від SPK і дотримуватися вимог щодо капіталу, корпоративного управління, зберігання та протидії відмиванню коштів. Управління біржею, орієнтованою на користувачів у Туреччині, без такого дозволу розглядається як неавторизована діяльність на ринку капіталу та може призвести до кримінальної відповідальності відповідальних керівників і до блокування доступу до платформи.

Ліцензування криптобіржі

Іноземна біржа, яка залучає турецьких користувачів, рекламується турецькою мовою або пропонує торгові пари в турецьких лірах, як правило, повинна заснувати турецьке акціонерне товариство та отримати дозвіл SPK. Ліцензування передбачає дотримання вимог щодо мінімального капіталу, впровадження контролю протидії відмиванню коштів та ідентифікації клієнтів, узгодженого з MASAK (Радою з розслідування фінансових злочинів), а також запровадження відповідних механізмів зберігання. Ми ведемо заявку на отримання дозволу від початку до кінця та структуруємо корпоративну особу, що володіє ліцензією.

Випуск токенів та структурування Web3

Випуск токенів несе ризик, пов’язаний із цінними паперами. Токен, який поводиться як інструмент розподілу прибутку чи дивідендів, може розглядатися як цінний папір, що зумовлює зобов’язання щодо проспекту та розкриття інформації. Ми надаємо правові висновки, що розмежовують utility-токени та security-токени, структуруємо суб’єкта-емітента та запроваджуємо геообмеження роздрібних пропозицій, щоб засновники не наражалися на претензії щодо неавторизованої публічної пропозиції в Туреччині.

Які правила електронної комерції застосовуються до іноземних онлайн-платформ?

Іноземні онлайн-платформи, що продають товари споживачам у Туреччині, повинні дотримуватися Закону про регулювання електронної комерції № 6563 та регламенту про договори дистанційного продажу. Найбільше значення мають два зобов’язання. По-перше, будь-який продаж від бізнесу до споживача має надавати споживачеві чотирнадцятиденне право на відмову без штрафних санкцій, разом із детальною формою попереднього інформування до купівлі. По-друге, комерційні електронні повідомлення, як-от маркетингові SMS, електронні листи чи автоматизовані дзвінки, потребують попередньої згоди, зафіксованої в центральній Системі управління повідомленнями (IYS); відмову споживача від отримання повідомлень слід виконувати автоматично. Надсилання непрошеного маркетингу без згоди IYS або відмова в законному поверненні коштів тягне адміністративні штрафи та скарги споживачів, які можуть порушити локальну обробку платежів.

Чи можуть турецькі органи влади заблокувати або обмежити швидкість іноземної платформи?

Так. Згідно із Законом про інтернет № 5651, іноземний постачальник соціальної мережі з великою щоденною аудиторією турецьких користувачів повинен призначити місцевого представника для отримання правових повідомлень та реагування на них, а з 1 листопада 2026 року та сама архітектура поширюється на ігрові платформи з кількістю щоденних звернень понад сто тисяч у силу Додаткової статті 5. Коли суд видає наказ про видалення контенту на підставі особистих прав або інших статутних підстав, постачальник повинен діяти в межах встановленого законом строку. Відмова може спонукати Управління з інформаційних та комунікаційних технологій (BTK) запровадити заборони на рекламу, штрафи та прогресивне обмеження пропускної здатності, що погіршує сервіс. Ми діємо як призначений представник, оцінюємо дійсність кожного наказу, подаємо заперечення, коли наказ є дефектним, та виконуємо вузько спрямований комплаєнс, щоб одна суперечка не ставила під загрозу загальну доступність платформи.

Які основні правові ризики для технологічних компаній та винятки з них?

Повторюваними ризиками є незаконна транскордонна передача даних, відсутність реєстрації VERBIS, надання криптопослуг без дозволу SPK, непрошений маркетинг без згоди IYS та ігнорування зобов’язань щодо видалення контенту чи призначення представника за Законом про інтернет. Кожен із них тягне адміністративні штрафи, а декілька несуть кримінальну відповідальність або блокування доступу. До основних винятків та засобів захисту належать законні підстави, відмінні від згоди, за KVKK, справжня анонімізація, що виводить дані за межі поняття персональних даних, схвалені Радою інструменти передачі, а також структурування криптовалютної чи токенової діяльності так, щоб вона не була орієнтована на турецьких роздрібних користувачів. Чи застосовується виняток — питання фактичних обставин, і його слід оцінювати до, а не після того, як діє регулятор.

Чи потрібен мені юрист у питаннях технологій та захисту персональних даних?

Юрист необхідний щоразу, коли технологічний продукт масово охоплює турецьких користувачів, обробляє чутливі чи біометричні дані, передає дані за кордон, пропонує криптовалютні чи токенові послуги, підпадає під обов’язок призначити представника або отримав повідомлення від регулятора. Ці питання поєднують право захисту даних, право ринків капіталу, споживче та інтернет-право, і помилка в одній сфері може заморозити платіжні шлюзи або заблокувати весь сервіс. Залучення юриста під час проєктування продукту обходиться набагато дешевше, ніж захист у справі про правозастосування після запуску.

Поширені запитання

Ми ігрова платформа з турецькими користувачами. Що саме потрібно до 1 листопада 2026 року?

Якщо ваша платформа має іноземне походження і щоденна кількість звернень до неї з Туреччини перевищує сто тисяч, Додаткова стаття 5 Закону № 5651 вимагає призначеного в Туреччині представника, повідомлення Управління про це призначення та публікації відомостей про особу і контактні дані представника на вашому власному сайті у легко помітній та безпосередньо доступній формі. Вікова класифікація контенту та батьківський контроль закріплені в тій самій статті. Адміністративний штраф за повторне порушення сягає тридцяти мільйонів турецьких лір.

У нас уже є турецька дочірня компанія. Чи достатньо цього для виконання обов’язку про представника?

Саме по собі ні. Стаття вимагає представника, якого призначено і про якого повідомлено, а також публікації відомостей про особу цього представника на сайті платформи. Юридична особа, що займається продажами чи маркетингом і не наділена мандатом на комплаєнс, призначенням не є і не ставить нікого в становище, яке дозволяє отримувати та відпрацьовувати те, заради чого це призначення існує. Правильне питання звучить так: яку саме фізичну чи юридичну особу призначають, що каже її мандат і чи було надіслано повідомлення.

Чи застосовується KVKK до компанії, що не має офісу в Туреччині?

Так. KVKK застосовується на підставі обробки персональних даних осіб у Туреччині, а не на підставі того, де компанію зареєстровано чи де розташовані її сервери. Іноземний контролер даних, який обробляє дані турецьких користувачів, як правило, зобов’язаний зареєструватися у VERBIS та призначити Представника контролера даних у Туреччині.

Чи можемо ми зберігати дані клієнтів на хмарній інфраструктурі за межами Туреччини?

Часто так, але не автоматично. Зберігання персональних даних турецьких користувачів на іноземній хмарній інфраструктурі є транскордонною передачею за KVKK. Вона має бути підкріплена або дійсною явною згодою, або, більш надійно, схваленим Радою письмовим зобов’язанням чи стандартним договірним механізмом плюс належними заходами безпеки. Ми готуємо та подаємо документи, що санкціонують передачу.

Чи законно керувати криптобіржею для турецьких користувачів із-за кордону?

Орієнтація на турецьких користувачів із неліцензованої офшорної біржі розглядається як неавторизована діяльність на ринку капіталу за Законом № 6362 і може призвести до кримінальної відповідальності та блокування доступу. Платформа, що хоче мати турецьких користувачів, як правило, повинна заснувати турецьку компанію та отримати дозвіл SPK, включно з контролем протидії відмиванню коштів, що відповідає вимогам MASAK.

Що станеться, якщо ми надсилатимемо маркетингові повідомлення без згоди IYS?

Кожне несхвалене комерційне електронне повідомлення може спричинити адміністративний штраф, а повторні порушення тягнуть регуляторні та споживчі скарги. Маркетингові SMS, електронні листи та автоматизовані дзвінки турецьким споживачам повинні бути зареєстровані в системі IYS, а відмови від отримання повідомлень мають застосовуватися автоматично.

Турецький суд зобов’язав нас видалити контент. Який строк?

Згідно із Законом про інтернет № 5651, постачальники повинні діяти за дійсним наказом про видалення контенту в межах встановленого законом строку, застосовного до типу наказу. Пропуск строку може спонукати BTK запровадити заборони на рекламу, штрафи та обмеження пропускної здатності. Ми оцінюємо дійсність наказу, виконуємо його там, де це потрібно, та оскаржуємо дефектні накази.

Як швидко нам слід залучати юриста після запиту регулятора?

Негайно. Раннє залучення юриста може призупинити невідповідний конвеєр обробки даних, зберегти засоби захисту, як-от анонімізація чи альтернативна законна підстава, та відкрити структурований діалог із регулятором до того, як буде остаточно ухвалено штрафи й накази про знищення. Зволікання звужує доступні засоби захисту.

Що можна перевірити і де

Кожне твердження на цій сторінці, яке читач має право перевірити, названо разом із місцем перевірки, тож єдиною дією, що залишається, є ввести номер.

Пов’язані юридичні послуги

Технологічні питання часто пов’язані з іншими сферами практики. Ми координуємо технологічну роботу та роботу з даними з заснуванням компаній у Туреччині для корпоративної особи, що володіє ліцензією SPK або мандатом представника, з корпоративним та комерційним правом для договорів SaaS і платформ, зі структуруванням прямих іноземних інвестицій для вхідного технологічного капіталу, з податковим правом та митним регулюванням для оподаткування цифрових послуг, а також із кримінальним захистом та юрисдикцією у випадках виникнення відповідальності на ринку капіталу чи за кіберзлочини.

Запитайте конфіденційну оцінку справи

Якщо ваша платформа підпадає під обов’язок про представника, що набирає чинності 1 листопада 2026 року, обробляє дані турецьких користувачів, пропонує криптовалютні чи токенові послуги турецьким користувачам або отримала повідомлення від регулятора, запитайте конфіденційну оцінку справи. Опишіть продукт, потоки даних, стан із кількістю звернень та будь-який наявний наказ, і ми визначимо, які зобов’язання застосовуються та яка структура зберігає вашу відповідність вимогам і працездатність. Позицію ви отримуєте в письмовому вигляді: продуктом є аналіз, а не зустріч.

Прямий зв’язок: WhatsApp +90 530 127 59 35 або info@serkalaw.com.

Правове застереження

Ця сторінка надає загальну інформацію про турецьке технологічне право, право захисту даних та право ринків капіталу і не є юридичною консультацією. Її прочитання не створює відносин адвоката і клієнта. Відносини адвоката і клієнта виникають лише за підписаним договором про надання послуг. За консультацією щодо конкретної ситуації зверніться до кваліфікованого адвоката.