土耳其科技法、数据隐私（KVKK）与加密货币监管

土耳其科技法、数据隐私（KVKK）与加密资产监管。Serka Law Firm 为国际科技企业、平台运营者、游戏发行商与游戏分发商、SaaS 服务商、金融科技公司、机器学习团队以及加密资产平台，提供土耳其数据保护法、电子商务法、互联网法与资本市场法方面的法律服务。我们为外国平台搭建合规架构，使其得以合法向土耳其用户提供服务；当监管机关对该平台采取措施时，我们负责抗辩。

有明确期限的强制义务：2026年11月1日。2026年5月1日《官方公报》（Resmi Gazete）第33240期公布的第7578号法律，在第5651号互联网法中新增附加条款第5条，并重写附加条款第4条。自2026年11月1日起，来自土耳其的日访问量超过十万的境外来源游戏平台，必须在土耳其指定代表人并向主管机关备案；第二次违反的行政罚款可达三千万土耳其里拉。该义务在2026年5月1日之前并不存在。判定标准、门槛数值以及需要建设的内容，见下文。

律师 Serkan Kara，伊斯坦布尔律师协会注册号 53770 / 土耳其律师协会联合会 121348。自2015年起执业。
最后更新：2026年8月

2026年11月1日生效：境外游戏平台的代表人指定义务

自2026年11月1日起，来自土耳其的日访问量超过十万的境外来源游戏平台，必须在土耳其指定一名代表人，可以是自然人也可以是法人，并将该项指定向主管机关备案。平台还必须在其自有网站上公布该代表人的身份与联系方式，且须以易于查见、可直接访问的形式呈现。年龄分级合规与家长控制功能的义务，规定在同一条文之中。法律依据是第7578号法律第23条在第5651号互联网法中新增的附加条款第5条，公布于2026年5月1日《官方公报》第33240期。该法第27条将生效时间定为公布之日起六个月后，即2026年11月1日。第二次违反的行政罚款可达三千万土耳其里拉。

对企业法务部门而言，有两点结论值得明确写出。第一，该义务系新设，因此没有任何顾问已在为这类企业执行它，公司内部也没有可以照抄的先例。第二，年龄分级与家长控制的架构属于开发工作而非备案手续：公布至生效之间的六个月就是留给这项开发的窗口期，而其中大部分已经过去。

条文的具体要求

• 在土耳其指定代表人。条文允许自然人或法人担任。
• 将该项指定向主管机关备案。
• 在平台自有网站上公布代表人的身份与联系方式，须易于查见并可直接访问。
• 遵守年龄分级制度并提供家长控制功能。两项均规定于同一条文。

条文将备案对象表述为”主管机关”，在已公布的条文中未作进一步指明。我们据此写作”主管机关”，不作推测。究竟指向哪一机关，以及该机关将公布何种程序，须由实施性下位立法或该机关自身的公告确定。我们持续关注《官方公报》。

该义务是否触及贵司平台

四项要件决定结论。其中三项可以公开核查，一项属于贵司自有数据。因此本页将其列为供贵司自行适用的判定标准，而不是从外部对任何公司作出断言。

四项要件全部成立的，指定与备案应当在2026年11月1日之前完成，年龄分级与家长控制架构也须同时到位。该日期之后，同一家公司所处的将不再是准备阶段而是执法阶段，这是一个明显更为不利的起点。

日访问量超过一千万的社交网络提供者制度

第7578号法律第22条重写了第5651号互联网法的附加条款第4条，即规范社交网络提供者的条文，并针对来自土耳其的日访问量超过一千万的提供者增设了一层更重的义务。其生效日期同为2026年11月1日。多年前作为形式备案而指定的代表人，与一个能够真正运行这一新层级义务的法务职能并不是一回事。已经备案代表人的提供者，应当对照重写后的条文，重新审视该项指定实际涵盖的范围，以及公司内部由谁对此负责。

您所委托的是谁

律师 Serkan Kara。伊斯坦布尔律师协会注册号 53770，土耳其律师协会联合会 121348，自2015年起执业。持有 CCBE（欧洲律师公会理事会）律师职业身份证。他在科隆大学法学院 CUSL 项目修习美国法，成绩获 vollbefriedigend 评价。对科技企业法务负责人而言，其中最重要的一点是：本所同时驾驭大陆法与英美法这两大法系，而不是由其中一方跨境向另一方咨询。跨境事务在本所属于常规而非例外，我们据此办理，也据此报价。

他同时是一名开发者。自 MS-DOS 时代起、自十一岁起就动手接触软件与硬件，现为 Google Developer Program 的 Premium 等级成员。机器学习是本所明确列出的专业领域之一。这一点为贵司带来的价值范围明确而具体，也正是本页如此撰写的原因：贵司的系统架构、数据流、许可证文件、模型文档与服务条款，是由律师本人阅读，而不是由他人向律师转述；贵司的工程师无需先把自己的系统翻译一遍，才能获得法律意见。

这也意味着，本所以自身的技术经验与技术能力，而非供应商的能力，最大限度地运用最新与最好的技术。这是本所在全球范围内得以与众不同的重要优势之一，而上述资历正是其依据。

在土耳其经营的企业适用哪些科技法与数据隐私法

土耳其的科技法与数据隐私法，规范企业如何收集、存储、传输并商业化个人数据与数字服务。核心法律是第6698号《个人数据保护法》（KVKK）。该法在原则上与欧盟 GDPR 相互对应，但对将数据传输至土耳其境外设定了更为严格的条件。向土耳其用户提供服务的科技企业，无论其服务器位于何处，均受这些规则约束。除 KVKK 之外，第6563号《电子商务规范法》、第5651号《互联网法》以及涉及加密资产的第6362号《资本市场法》，共同构成任何外国平台都必须遵守的监管边界。

科技或数据项目应当最先审查什么

科技项目应当从数据流图开始：数据主体是谁，处理哪些个人数据，出于何种目的，存储在何处，以及哪些第三方或供应商会接触到这些数据。依据这张图，律师可以识别附着于每一条数据流的法律义务，包括同意或其他合法性基础、跨境传输管控、安全义务、面向消费者的合同条款，以及可能涉及的行业许可。在产品设计阶段而非监管机关问询之后解决这些问题，正是使一项商业决定不至于在日后演变为合规失败的关键。

KVKK 是什么，与 GDPR 有何不同

KVKK（第6698号《个人数据保护法》）是土耳其的一般性数据保护法律，其原则、数据主体权利与问责义务在结构上与 GDPR 相近。决定性的差异在于跨境数据传输。GDPR 允许在充分性认定与标准化保障措施之下进行传输，而 KVKK 长期以来要求取得数据主体的明示同意，或者要求接收国被列入个人数据保护委员会认定的具备充分保护水平的国家名单。由于该充分性名单在实务中始终有限，多数国际企业依赖委员会批准的书面承诺或标准合同保障措施，而不是把某个接收地默认为安全。

VERBIS 登记与数据控制者代表

达到法定门槛的企业，或核心业务为处理敏感个人数据的企业，必须在个人数据保护局所维护的公共数据控制者登记簿 VERBIS 中办理登记。登记记录控制者的数据清单、处理目的、保存期限与安全措施。在土耳其没有营业场所的外国数据控制者，必须在土耳其指定数据控制者代表，本所即为国际客户担任这一角色。未办理登记，或者登记了不准确的信息，控制者将面临行政罚款。

主管机关在其关于登记簿的公开说明中明确了这项义务：作为境外设立法人的数据控制者，必须在土耳其指定数据控制者代表。这是针对控制者身份的判定，而不是针对其在土耳其存在规模的判定。正因如此，这项义务所触及的外国科技企业范围，远比上文两项平台制度更广。至于某一特定控制者是否同时落入登记门槛，须依据该控制者自身的数据判断，并且值得在接受检查之前而不是之后完成判断。

跨境数据传输

依据 KVKK，土耳其境内用户的个人数据不得仅因便利而传输至境外服务器。明示同意是一条路径，但因用户可随时撤回而并不稳固。更为持久的路径，是由个人数据保护委员会批准的书面承诺或标准合同机制，并辅以真实的技术与组织安全对等措施。我们负责起草并提交这些文件，使全球性企业得以将数据保留在既有云基础设施之上，同时在土耳其法下保持合法。

土耳其如何监管加密货币与加密资产平台

土耳其的加密货币与加密资产服务提供商，依据经修订、将加密资产纳入资本市场委员会（SPK）监管范围的第6362号《资本市场法》受到监管。包括交易所与托管平台在内的加密资产服务提供商，必须取得 SPK 的营业许可，并遵守资本、治理、托管与反洗钱方面的义务。在未取得该许可的情况下经营面向土耳其用户的交易所，将被视为未经许可的资本市场活动，可能导致相关负责人承担刑事责任，并导致平台被封锁访问。

加密资产交易所的牌照申请

招揽土耳其用户、以土耳其语投放广告，或提供土耳其里拉交易对的外国交易所，通常需要设立土耳其股份有限公司并取得 SPK 许可。牌照申请涉及满足最低资本要求、实施与 MASAK（金融犯罪调查委员会）相衔接的反洗钱与客户身份识别控制，以及建立合规的托管安排。我们全程管理许可申请，并搭建持牌主体的公司架构。

代币发行与 Web3 架构设计

代币发行带有证券风险。表现为利润分配或分红工具的代币可能被认定为证券，从而触发招股说明书与信息披露义务。我们出具区分实用型代币与证券型代币的法律意见，设计发行主体，并对面向零售投资者的发售实施地域屏蔽，以避免创始人在土耳其面临未经许可公开发售的指控。

外国在线平台适用哪些电子商务规则

向土耳其消费者销售的外国在线平台，必须遵守第6563号《电子商务规范法》与《远程销售合同条例》。其中两项义务最为重要。第一，任何面向消费者的销售，都必须在购买前提供详细的预先信息表，并赋予消费者十四天无违约金的撤回权。第二，营销短信、电子邮件或自动语音呼叫等商业电子讯息，须取得在中央讯息管理系统（IYS）中登记的事先同意，且消费者的退订必须被自动执行。未取得 IYS 同意即发送未经请求的营销讯息，或者拒绝合法退款，将招致行政罚款与消费者投诉，并可能干扰本地支付处理。

土耳其主管机关能否封锁或限速外国平台

能够。依据第5651号《互联网法》，在土耳其拥有较大日活跃用户基数的外国社交网络提供者，必须指定本地代表人以接收法律通知并作出回应；自2026年11月1日起，依附加条款第5条，同一套机制也将触及日访问量超过十万的游戏平台。法院基于人格权或其他法定事由命令删除内容的，提供者必须在法定期限内采取措施。拒绝执行的，信息与通信技术管理局（BTK）可以处以广告禁令、罚款，以及逐级加重、致使服务质量下降的带宽限速。本所以获指定的代表人身份行事，评估每一项命令的效力，在命令存在瑕疵时提出异议，并执行范围严格限定的合规措施，以免单一争议危及平台的整体可用性。

科技企业的主要法律风险及其例外

反复出现的风险包括：非法的跨境数据传输、遗漏 VERBIS 登记、未取得 SPK 许可即经营加密资产服务、未取得 IYS 同意即发送营销讯息，以及无视《互联网法》项下的内容删除义务或代表人指定义务。上述各项均伴随行政罚款，其中若干项还伴随刑事风险或访问封锁。主要的例外与抗辩包括：KVKK 项下同意之外的其他合法性基础、使数据脱离个人数据范畴的真正匿名化、经委员会批准的传输文件，以及将加密资产或代币业务设计为不以土耳其零售用户为对象。例外能否适用取决于具体事实，并且应当在监管机关采取措施之前而非之后作出评估。

科技与数据隐私事务是否需要律师

凡是科技产品大规模触及土耳其用户、处理敏感数据或生物识别数据、将数据传输至境外、提供加密资产或代币服务、落入代表人指定义务，或者已经收到监管机关通知的情形，都需要律师。这类事务同时牵涉数据保护法、资本市场法、消费者法与互联网法，任一领域的失误都可能冻结支付网关或封锁整项服务。在产品设计阶段聘请律师，其成本远低于上线之后再去应对执法程序。

常见问题

我们是拥有土耳其用户的游戏平台。2026年11月1日之前究竟要做什么

如果贵司平台属于境外来源，且来自土耳其的日访问量超过十万，第5651号法律附加条款第5条要求：在土耳其指定代表人、将该项指定向主管机关备案，并在贵司自有网站上以易于查见、可直接访问的形式公布该代表人的身份与联系方式。年龄分级与家长控制义务规定在同一条文之中。第二次违反的行政罚款可达三千万土耳其里拉。

我们已经设有土耳其子公司，这样是否满足代表人义务

仅有子公司并不足够。条文要求的是一名经指定并已备案的代表人，且该代表人的身份须公布于平台网站。一家未被赋予合规授权的销售或市场职能实体并不构成指定，也没有让任何人处在能够接收并回应这项指定所要接收和回应之事的位置上。应当追问的是：被指名的是哪一个自然人或法人，其授权内容为何，以及备案是否已经完成。

在土耳其没有办公场所的企业是否也适用 KVKK

适用。KVKK 的适用基础是对土耳其境内个人之个人数据的处理，而不是企业在何处注册或服务器位于何处。处理土耳其用户数据的外国数据控制者，通常须在 VERBIS 登记，并在土耳其指定数据控制者代表。

我们能否把客户数据保存在土耳其境外的云基础设施上

多数情况下可以，但并非自动获准。将土耳其用户的个人数据存储于境外云基础设施，在 KVKK 项下构成跨境传输，必须以有效的明示同意为依据，或者更为稳妥地，以委员会批准的书面承诺或标准合同机制并辅以充分的安全措施为依据。我们负责起草并提交批准该项传输所需的文件。

从境外向土耳其用户经营加密资产交易所是否合法

通过未取得牌照的离岸交易所面向土耳其用户，在第6362号法律项下被视为未经许可的资本市场活动，可能导致刑事责任与访问封锁。希望获得土耳其用户的平台，通常必须设立土耳其公司并取得 SPK 许可，其中包括符合 MASAK 要求的反洗钱控制。

未取得 IYS 同意即发送营销讯息会有什么后果

每一条未获同意的商业电子讯息都可能触发行政罚款，重复违反还会招致监管与消费者投诉。面向土耳其消费者的营销短信、电子邮件与自动语音呼叫，必须在 IYS 系统中登记，退订必须被自动执行。

土耳其法院命令我们删除内容，期限是多久

依据第5651号《互联网法》，提供者必须在适用于该类命令的法定期限内，对有效的内容删除命令采取措施。逾期可能导致 BTK 处以广告禁令、罚款与带宽限速。我们评估命令的效力，在必要时予以执行，并对存在瑕疵的命令提出异议。

收到监管机关问询后应当多快让律师介入

应当立即介入。律师及早介入，可以暂停不合规的数据管线，保全匿名化或替代性合法性基础等抗辩手段，并在罚款与销毁命令定案之前与监管机关展开有条理的沟通。拖延只会压缩可用的抗辩空间。

哪些内容可供核查，以及在何处核查

本页中读者有权核查的每一项陈述，都与核查地点一并列出，使读者剩下要做的只是输入一个号码。

相关法律服务

科技事务常常与其他业务领域相互衔接。我们将科技与数据业务，与持有 SPK 牌照或代表人授权所需主体的土耳其公司设立、SaaS 与平台合同所涉的公司法与商法、引入科技资本所涉的外国直接投资架构、数字服务课税所涉的税务与海关法，以及在产生资本市场或网络犯罪责任时所涉的刑事辩护与管辖协同办理。

申请保密的案件评估

如果贵司平台落入2026年11月1日的代表人指定义务，或者处理土耳其用户数据、向土耳其用户提供加密资产或代币服务，又或者已经收到监管机关通知，请申请一次保密的案件评估。请说明产品、数据流向、访问量情况以及任何在办的命令，我们将确定适用的义务，以及能够使贵司既保持合规又持续运营的架构。意见以书面形式交付：我们的交付物是分析本身，而不是一次会面。

直接联系：WhatsApp +90 530 127 59 35 或 info@serkalaw.com。

延伸阅读：土耳其数据隐私法：KVKK合规指南。

法律声明

本页仅就土耳其科技法、数据保护法与资本市场法提供一般性信息，不构成法律意见。阅读本页不产生律师与委托人关系。律师与委托人关系仅因签署的委托合同而成立。就具体情形获取意见，请咨询具备资格的律师。