Abogado de protección de datos (KVKK) en Estambul, Turquía

Esta página está dirigida a empresas en Turquía y a empresas extranjeras que tratan datos de personas en Turquía. Como abogado de protección de datos en Turquía, realizamos análisis de brechas de cumplimiento de la KVKK, redactamos avisos de privacidad, textos de consentimiento y políticas de conservación, gestionamos las transferencias internacionales, VERBİS y las violaciones de datos, y representamos a los clientes ante la Autoridad de Protección de Datos y los tribunales.

La ley turca de protección de datos es la Ley n.º 6698 de Protección de Datos Personales, conocida como KVKK. A primera vista se parece al RGPD. Los detalles difieren, y en esas diferencias se encuentran la mayoría de las brechas de cumplimiento.

Cuándo necesita un abogado de cumplimiento de la KVKK en Turquía

Los expedientes que vemos suelen empezar en una de estas situaciones:

• Está creando o adquiriendo un negocio en Turquía y necesita que los datos de empleados, clientes y proveedores se traten lícitamente desde el primer día, o quiere saber qué hereda en una compraventa de participaciones.
• Es una empresa extranjera con usuarios o clientes turcos, como una tienda en línea, una aplicación o un proveedor SaaS, y no está seguro de si la KVKK le alcanza.
• Su grupo ya cumple el RGPD y da por hecho que los mismos documentos servirán en Turquía. Algunos sí. Varios no.
• Envía datos al extranjero, por ejemplo a una sociedad matriz, a un proveedor de servicios en la nube o a un CRM alojado fuera de Turquía, y necesita adaptar esas transferencias a las normas de 2024.
• Algo ha salido mal: una violación de datos, una reclamación de un cliente o empleado, o una carta de la Autoridad de Protección de Datos Personales (Kişisel Verileri Koruma Kurumu).

La KVKK no tiene una cláusula territorial expresa como el artículo 3 del RGPD. Sin embargo, en la práctica, la Junta considera que los responsables extranjeros que tratan datos de personas en Turquía están dentro de su ámbito, y las normas del registro prevén que los responsables extranjeros se inscriban a través de un representante en Turquía.

Qué exige la KVKK a una empresa

Responsable y encargado del tratamiento

El responsable del tratamiento (veri sorumlusu) decide por qué y cómo se tratan los datos personales y asume la mayoría de las obligaciones. El encargado del tratamiento (veri işleyen) trata datos por cuenta del responsable, como un proveedor de nóminas o una empresa de alojamiento web. Según el artículo 12, el responsable y el encargado responden solidariamente de adoptar las medidas de seguridad de los datos. Sus contratos con los encargados deberían indicarlo.

Una base jurídica para cada actividad de tratamiento

El artículo 5 permite el tratamiento con consentimiento explícito (açık rıza) o al amparo de alguna de las demás condiciones enumeradas: tratamiento previsto expresamente por la ley, ejecución de un contrato, obligación legal del responsable, datos hechos públicos por el propio interesado, constitución o defensa de un derecho, e interés legítimo del responsable. El consentimiento explícito debe ser específico, informado y libre. Es la base más débil cuando encaja otra, porque puede retirarse en cualquier momento.

Categorías especiales tras las reformas de 2024

La Ley n.º 7499, en vigor desde el 1 de junio de 2024, reescribió el artículo 6 sobre las categorías especiales de datos (özel nitelikli kişisel veriler), que incluyen los datos de salud, biométricos y genéticos, la religión, la afiliación sindical y los antecedentes penales. Antes de la reforma, muchos empleadores solo podían basarse en el consentimiento explícito para estos datos. El nuevo texto añade condiciones más cercanas al artículo 9 del RGPD, como las obligaciones legales en materia de empleo, salud laboral y seguridad social, y el tratamiento con fines de salud por personas sujetas a un deber de confidencialidad. Las medidas de seguridad adicionales de la Junta para las categorías especiales siguen aplicándose.

Avisos de privacidad y seguridad de los datos

El artículo 10 le obliga a informar a las personas en el momento en que se recogen sus datos: quién es el responsable, los fines, a quién se transfieren los datos y por qué, el método y la base jurídica de la recogida, y sus derechos según el artículo 11. El artículo 12 exige medidas técnicas y administrativas adecuadas. Los responsables obligados a inscribirse en VERBİS deben además mantener una política de conservación y destrucción de datos personales.

Transferencia de datos personales al extranjero tras las reformas de 2024

La reforma de 2024 modificó sobre todo el artículo 9. El consentimiento explícito ya no es la vía general para las transferencias al extranjero. La estructura funciona ahora por niveles:

1. Decisión de adecuación: la transferencia es posible cuando la Junta ha adoptado una decisión de adecuación (yeterlilik kararı) para el país, el sector o la organización internacional, y concurre alguna de las condiciones del artículo 5 o del artículo 6.
2. Salvaguardas adecuadas: sin decisión de adecuación, puede basarse en salvaguardas como los contratos tipo publicados por la Junta, las normas corporativas vinculantes aprobadas por la Junta o un compromiso escrito autorizado por la Junta.
3. Transferencias ocasionales: sin ninguna de las anteriores, solo se aplica una lista limitada de excepciones a transferencias ocasionales y no recurrentes.

Los contratos tipo deben utilizarse en la forma publicada por la Junta y, según el artículo 9.4, comunicarse a la Autoridad dentro de los cinco días hábiles siguientes a su firma. No hacer esa comunicación puede dar lugar por sí solo a una multa administrativa. En la práctica, la mayoría de las transferencias a sociedades del grupo y a proveedores extranjeros se basan actualmente en contratos tipo, por lo que conviene comprobar qué módulo corresponde a cada relación.

Inscripción en VERBİS y Registro de Responsables del Tratamiento

VERBİS es el Registro de Responsables del Tratamiento en línea que lleva la Autoridad. La inscripción no es una mera formalidad: usted declara sus fines de tratamiento, categorías de datos, grupos de destinatarios, plazos de conservación, transferencias al extranjero y medidas de seguridad.

La Junta ha eximido de la inscripción a algunos responsables en función del número de empleados, el total anual del balance y la naturaleza de su actividad. Esos umbrales y categorías se fijan mediante decisiones de la Junta y han cambiado con el tiempo, por lo que conviene confirmar su situación en el sitio web de la Autoridad antes de concluir que está exento. Un responsable extranjero se inscribe a través de un representante del responsable del tratamiento (veri sorumlusu temsilcisi) residente en Turquía.

Violaciones de datos, solicitudes de los interesados y la Junta

Según el artículo 12, el responsable debe notificar al interesado y a la Junta lo antes posible cuando los datos se han obtenido ilícitamente. La decisión de la Junta sobre esta cuestión fija un plazo de 72 horas desde que se conoce la violación para notificarla a la Junta, tal como se aplica en general la norma. Las personas afectadas deben ser informadas en un plazo razonable.

Las personas pueden ejercer sus derechos del artículo 11 mediante una solicitud al responsable. El artículo 13 le concede como máximo 30 días para responder, por regla general sin coste alguno para el solicitante. Si la respuesta se deniega, es insuficiente o llega tarde, la persona puede presentar una reclamación ante la Junta.

El artículo 18 establece multas administrativas por el incumplimiento de los deberes de información, seguridad, registro y comunicación de transferencias, y por no acatar las decisiones de la Junta. Los importes se revalorizan cada año, por lo que conviene comprobar las cifras vigentes al evaluar la exposición. Desde la reforma de 2024, las multas de la Junta se impugnan ante los tribunales administrativos, en general dentro de los 60 días siguientes a la notificación. Algunos tratamientos ilícitos son además delito según el Código Penal turco.

KVKK frente al RGPD: las diferencias que importan

Un programa de cumplimiento del RGPD es un buen punto de partida. Aun así, necesita avisos en turco, VERBİS, instrumentos de transferencia turcos y plazos de conservación turcos.

Cómo construir un programa de cumplimiento de la KVKK paso a paso

1. Inicio y delimitación del alcance: identificamos las entidades, los departamentos, los sistemas y los flujos de datos incluidos.
2. Inventario de datos: entrevistas y cuestionarios con recursos humanos, ventas, marketing, informática y finanzas para mapear cada actividad de tratamiento, su base jurídica y su plazo de conservación.
3. Informe de análisis de brechas: una lista escrita de las brechas, ordenadas por riesgo, con la corrección de cada una.
4. Documentos: avisos de privacidad, textos de consentimiento cuando el consentimiento es realmente necesario, una política de conservación y destrucción, contratos de encargo del tratamiento y contratos de transferencia.
5. Inscripción y comunicaciones: las entradas en VERBİS y la comunicación de los contratos tipo a la Autoridad.
6. Procedimientos para violaciones y solicitudes: un procedimiento interno para las violaciones de datos y para las solicitudes de los interesados, con formación para las personas que lo utilizarán.

Para una empresa pequeña o mediana con una estructura clara, los cinco primeros pasos suelen llevar entre cuatro y diez semanas. Un grupo con varias entidades y muchos proveedores extranjeros puede necesitar más tiempo. Nuestra lista de verificación legal para el cumplimiento de la KVKK trata los mismos puntos en un formato más breve.

Documentos e información que le pedimos

• Documentos societarios, organigrama y lista de las sociedades del grupo.
• Avisos de privacidad, formularios de consentimiento, textos del sitio web y de cookies vigentes, y su política de privacidad.
• Contratos de trabajo, formularios de recursos humanos y cualquier sistema de videovigilancia, control de acceso o supervisión.
• Contratos con proveedores de servicios que tienen acceso a datos personales, incluidos los proveedores de nube e informática.
• Dónde se almacenan los datos y a qué países se envían.
• Sus políticas de seguridad informática y cualquier incidente o reclamación anterior.

Si va a redactar su política de privacidad desde cero, nuestra guía sobre qué incluir en la política de privacidad de su empresa es una primera lectura útil.

Qué hace nuestro bufete

• Evaluación: análisis de brechas de cumplimiento de la KVKK, inventario de datos y un informe de riesgos por escrito.
• Redacción: avisos de privacidad (aydınlatma metinleri), textos de consentimiento explícito, políticas de conservación y destrucción, contratos de encargo del tratamiento, contratos de transferencia de datos y procedimientos internos.
• Presentaciones: inscripción y actualizaciones en VERBİS, y comunicación de los contratos tipo a la Autoridad.
• Respuesta ante violaciones: evaluación del incidente, notificación a la Junta y comunicación a las personas afectadas.
• Representación: respuestas a requerimientos y reclamaciones ante la Junta, y acciones contra las decisiones y multas de la Junta ante los tribunales administrativos.
• Seguimiento: actualizaciones cuando cambian la ley, las decisiones de la Junta o sus tratamientos.

Los clientes en el extranjero no necesitan viajar. Trabajamos a distancia y, cuando las presentaciones o el trabajo judicial lo requieren, mediante un poder firmado ante un notario o consulado turco, o en el extranjero con apostilla. Los trabajos relacionados para su empresa forman parte de nuestros servicios de derecho informático y de derecho mercantil. Para hablar de su situación, contacte con nuestra oficina.

Errores frecuentes en el cumplimiento de la KVKK

• Pedir consentimiento para todo. Si el tratamiento se basa en un contrato o en una obligación legal, pedir además el consentimiento genera confusión y un problema cuando se retira. Elija la base adecuada para cada actividad.
• Fusionar el aviso y el consentimiento. La Junta espera que estén separados. Una única casilla de «He leído y acepto» suele fallar en ambos aspectos.
• Copiar textos del RGPD. Un aviso europeo traducido a menudo omite los puntos del artículo 10 o cita bases del RGPD que no existen en la KVKK.
• Olvidar la comunicación en cinco días. Firmar un contrato tipo y archivarlo deja la transferencia expuesta.
• No tener un plan para violaciones de datos. En nuestra práctica, los expedientes de violaciones más tensos son aquellos en los que nadie sabe quién decide sobre la notificación, y las 72 horas se agotan mientras se busca una política.

Para más información sobre la exposición de las empresas, consulte nuestros artículos sobre la privacidad de datos: obligaciones y responsabilidades de las empresas, la gestión legal de las violaciones de datos y los puntos clave de la KVKK turca.

Preguntas frecuentes

¿Se aplica la KVKK a una empresa extranjera sin oficina en Turquía?

Puede aplicarse. La KVKK no tiene una cláusula territorial expresa, pero la Junta la aplica en la práctica a los responsables extranjeros que tratan datos de personas en Turquía, por ejemplo al vender en línea a clientes turcos. Las normas del registro prevén también que los responsables extranjeros se inscriban a través de un representante en Turquía.

¿Basta con cumplir el RGPD para cumplir la KVKK?

No por sí solo. Cubre gran parte del contenido, pero la KVKK tiene su propio contenido para los avisos, el registro VERBİS, instrumentos de transferencia turcos con un deber de comunicación y no reconoce el derecho a la portabilidad de los datos. Cuente con tener que adaptar, no con empezar de cero.

¿Necesitamos consentimiento explícito para enviar datos a nuestra sociedad matriz en el extranjero?

En general no, desde las reformas de 2024. Las transferencias al extranjero se basan ahora en una decisión de adecuación o en salvaguardas adecuadas como los contratos tipo de la Junta, que deben comunicarse a la Autoridad dentro de los cinco días hábiles. El consentimiento solo subsiste entre las excepciones limitadas para transferencias ocasionales.

¿Están obligadas todas las empresas a inscribirse en VERBİS?

No. La Junta ha eximido a determinados responsables en función del número de empleados, el total anual del balance y el tipo de actividad. Los criterios se fijan mediante decisiones de la Junta y pueden cambiar, por lo que conviene consultar la decisión vigente en el sitio web de la Autoridad.

¿Con qué rapidez debemos notificar una violación de datos?

La KVKK dice «lo antes posible». Según la decisión de la Junta, en general debe notificarse a la Junta dentro de las 72 horas siguientes a conocer la violación, y a las personas afectadas en un plazo razonable después.

¿Cuánto tiempo tenemos para responder a la solicitud de un interesado?

El artículo 13 fija un máximo de 30 días desde su recepción, y la respuesta es, por regla general, sin coste alguno para el solicitante. Una respuesta denegada, incompleta o tardía puede dar lugar a una reclamación ante la Junta.

¿Puede impugnarse una multa de la KVKK?

Sí. Desde la reforma de 2024, las multas administrativas impuestas por la Junta se impugnan ante los tribunales administrativos, en general dentro de los 60 días siguientes a la notificación. Los importes de las multas del artículo 18 se revalorizan cada año.

¿Necesitamos un delegado de protección de datos en Turquía?

La KVKK no exige un DPD al estilo del RGPD. Los responsables que se inscriben en VERBİS designan una persona de contacto, y los responsables extranjeros nombran un representante del responsable del tratamiento en Turquía.