VERBİS: El registro de responsables de datos en Turquía

Si su empresa trata datos personales en Turquía — ya sea un negocio establecido en Antalya, una sociedad extranjera con sucursal turca o una tienda en línea que llega a clientes turcos — es probable que esté obligada a inscribirse en VERBİS antes de procesar un solo registro. Omitir este paso puede acarrear una sanción administrativa de hasta un millón de liras turcas conforme a la Ley turca de protección de datos personales (KVKK, Kişisel Verilerin Korunması Kanunu).

¿Qué es VERBİS?

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) es un registro público en línea gestionado por la Autoridad KVKK. El artículo 16 del KVKK obliga a todos los responsables del tratamiento a inscribirse en él y a declarar qué categorías de datos tratan, con qué fines, a quién pueden transferirlos, qué medidas de seguridad aplican y cuánto tiempo conservan los datos.

El registro es de libre consulta. Esta transparencia no es accidental: permite a los ciudadanos verificar cómo las organizaciones manejan sus datos y constituye uno de los pilares del sistema turco de protección de datos.

¿Quién debe registrarse?

La obligación recae sobre todo "responsable del tratamiento": toda persona física o jurídica que determina los fines y los medios del tratamiento de datos personales. Quedan sujetos empresas de sectores tan diversos como el comercio, el inmobiliario, la hostelería, la sanidad, las finanzas y la tecnología, con independencia de su tamaño.

Las empresas extranjeras sin presencia física en Turquía también pueden quedar obligadas si tratan sistemáticamente datos de personas que se encuentran en ese país. En tal caso deben designar un representante en Turquía que gestione el registro y la comunicación con el regulador en su nombre. Nuestro artículo sobre el marco de cumplimiento del KVKK en Turquía explica el contexto normativo completo en el que se inserta esta obligación.

La Autoridad KVKK puede dispensar de la inscripción a ciertos responsables atendiendo a criterios objetivos: naturaleza y volumen de los datos, sector de actividad, transferencia a terceros, número de empleados y volumen de negocio anual. En caso de duda sobre si le aplica una exención, inscribirse es siempre la opción más prudente.

¿Qué información hay que declarar?

El artículo 16 del KVKK determina el contenido mínimo de la solicitud de inscripción:

• Identidad y dirección del responsable del tratamiento; si no tiene sede en Turquía, los datos de su representante turco
• Fines del tratamiento de los datos personales
• Categorías de interesados y categorías de datos tratados
• Destinatarios o categorías de destinatarios a quienes pueden transferirse los datos
• Transferencias internacionales y países de destino
• Medidas técnicas y organizativas de seguridad adoptadas
• Plazos máximos de conservación de cada categoría de datos

Antes de presentar la solicitud en VERBİS, el responsable debe elaborar internamente un inventario de tratamiento de datos personales (Kişisel Veri İşleme Envanteri) que cartografíe todas las actividades de tratamiento. La información del registro se extrae de ese inventario. Cualquier cambio posterior en los datos inscritos debe notificarse a través de VERBİS en el plazo de siete días desde que se produzca.

¿Cuándo hay que registrarse?

El momento es inequívoco: antes de comenzar a tratar datos. Si una empresa pasa a estar obligada después del inicio de su actividad — por ejemplo, porque su operación crece y supera un umbral de exención —, la normativa le concede treinta días desde ese momento para completar el registro.

Muchos empresarios extranjeros que constituyen sociedades en Turquía postergan este trámite, confiados en que ya lo harán más adelante. Esa actitud genera riesgo real: la Autoridad KVKK realiza inspecciones de oficio y actúa sobre las reclamaciones recibidas, y la ausencia de inscripción en VERBİS es una de las infracciones más sencillas de detectar.

¿Qué consecuencias tiene no inscribirse?

El artículo 18(1)(ç) del KVKK es explícito: incumplir la obligación de inscripción y notificación en VERBİS puede dar lugar a una multa administrativa de entre 20.000 y 1.000.000 de liras turcas. La sanción recae directamente sobre el responsable del tratamiento. Tras una reforma de 2024, las multas impuestas por la Autoridad KVKK pueden recurrirse ante los tribunales contencioso-administrativos.

Más allá de la sanción económica, la ausencia de registro suele indicar al regulador que el cumplimiento del KVKK es deficiente en otros ámbitos. Una reclamación sobre el tratamiento de una solicitud de acceso o sobre transferencias internacionales puede derivar en una inspección que revise el conjunto del cuadro de cumplimiento. Para más información sobre las obligaciones en materia de transferencias transfronterizas, consulte nuestro artículo sobre las reglas de transferencia internacional de datos desde Turquía.

Preguntas frecuentes

P: ¿Está obligada a inscribirse en VERBİS una empresa extranjera sin establecimiento en Turquía?

Si una empresa extranjera trata sistemáticamente datos de personas en Turquía — por ejemplo, una plataforma de comercio electrónico con clientes turcos —, cae en principio bajo el ámbito del KVKK. Debe entonces designar un representante en Turquía que lleve a cabo la inscripción.

P: ¿Es necesario renovar el registro anualmente?

No existe renovación anual. No obstante, la información inscrita debe mantenerse siempre actualizada; cualquier modificación debe comunicarse en el plazo de siete días.

P: Las empresas dispensadas del registro, ¿deben elaborar igualmente el inventario de tratamiento?

La dispensa de inscripción en VERBİS no elimina las demás obligaciones derivadas del KVKK. Los requisitos de seguridad, los derechos de los interesados y los plazos de conservación siguen siendo plenamente aplicables. El inventario de tratamiento es el fundamento práctico para cumplirlos. Para conocer las obligaciones de aviso de privacidad y consentimiento que complementan la inscripción, consulte nuestro artículo sobre avisos de privacidad y consentimiento explícito bajo el KVKK.

P: ¿Cómo calcula la Autoridad KVKK la multa dentro del rango de 20.000 a 1.000.000 TL?

La Autoridad ejercita su discrecionalidad valorando la naturaleza y el alcance de la infracción, si fue intencional, su duración y el tamaño del responsable del tratamiento. No existe una fórmula predeterminada.

Cómo puede ayudarle Mona Hukuk

Nuestro despacho en Antalya asesora a empresas con actividad en Turquía en todas las cuestiones de cumplimiento del KVKK: inscripción en VERBİS, elaboración de inventarios de tratamiento y representación ante la Autoridad KVKK. Atendemos tanto a sociedades constituidas en Turquía como a ciudadanos extranjeros con intereses empresariales en el país.

Contáctenos en contact@monahukuk.com o llámenos al +90 (242) 606 14 32 para concertar una consulta en Antalya.