VERBİS : le registre turc des responsables de traitement

Si votre entreprise traite des données personnelles en Turquie — que vous soyez une société établie à Antalya, une filiale d'un groupe étranger ou une boutique en ligne desservant des clients turcs —, vous êtes probablement tenu de vous inscrire dans VERBİS avant toute opération de traitement. Négliger cette obligation expose à une amende administrative pouvant atteindre un million de livres turques en vertu de la loi turque sur la protection des données personnelles (KVKK, Kişisel Verilerin Korunması Kanunu).

Qu'est-ce que VERBİS ?

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) est un registre public en ligne géré par l'Autorité KVKK. L'article 16 du KVKK oblige tous les responsables de traitement à s'y inscrire et à y déclarer les catégories de données qu'ils traitent, les finalités de ce traitement, les destinataires éventuels, les mesures de sécurité mises en place et les durées de conservation.

Ce registre est librement consultable. La transparence constitue ici un choix délibéré de politique publique : tout individu peut vérifier comment une organisation utilise ses données, ce qui renforce la confiance dans l'économie numérique.

Qui doit s'inscrire ?

L'obligation pèse sur tout « responsable de traitement » : toute personne physique ou morale qui détermine les finalités et les moyens du traitement de données personnelles. Cela concerne des entreprises de presque tous les secteurs — commerce, immobilier, hôtellerie, santé, finance, technologie — quelle que soit leur taille.

Les entreprises étrangères sans présence physique en Turquie peuvent également être concernées dès lors qu'elles traitent de manière systématique des données de personnes résidant en Turquie. Elles doivent alors désigner un représentant établi en Turquie pour procéder à l'inscription et assurer la communication avec le régulateur. Notre article sur le cadre de conformité au KVKK en Turquie présente l'ensemble du dispositif normatif dans lequel s'inscrit cette obligation.

L'Autorité KVKK peut dispenser certains responsables de l'inscription sur la base de critères objectifs : nature et volume des données, secteur d'activité, transferts à des tiers, effectifs, chiffre d'affaires annuel. Les petites structures qui traitent des catégories limitées de données pour des besoins purement internes peuvent bénéficier d'une telle dispense. En cas de doute, l'inscription reste le choix le plus sûr.

Quelles informations faut-il déclarer ?

L'article 16 du KVKK énumère les éléments obligatoires de la demande d'inscription :

• Identité et adresse du responsable de traitement ; si ce dernier n'est pas établi en Turquie, les coordonnées de son représentant turc
• Finalités du traitement des données personnelles
• Catégories de personnes concernées et catégories de données traitées
• Destinataires ou catégories de destinataires auxquels les données peuvent être transmises
• Transferts internationaux de données et pays de destination
• Mesures de sécurité techniques et organisationnelles en place
• Durées maximales de conservation pour chaque catégorie de données

Avant de déposer la demande dans VERBİS, le responsable doit établir en interne un inventaire des activités de traitement (Kişisel Veri İşleme Envanteri) recensant toutes ses opérations de traitement. L'inscription dans VERBİS s'appuie sur cet inventaire. Toute modification des informations enregistrées doit être signalée via VERBİS dans un délai de sept jours à compter du changement.

Quand s'inscrire ?

La règle de timing est sans ambiguïté : avant le début du traitement. Si une entreprise devient soumise à l'obligation après le lancement de son activité — parce que son activité s'est développée et dépasse un seuil d'exemption, par exemple —, la réglementation lui accorde trente jours à compter de ce moment pour finaliser son inscription.

De nombreux ressortissants étrangers qui créent une structure en Turquie remettent cette formalité à plus tard. C'est une prise de risque : l'Autorité KVKK réalise des contrôles proactifs et instruit les plaintes, et l'absence d'inscription dans VERBİS est l'un des manquements les plus aisément détectables.

Que risque-t-on en cas d'absence d'inscription ?

L'article 18(1)(ç) du KVKK est explicite : manquer à l'obligation d'inscription et de déclaration dans VERBİS expose à une amende administrative comprise entre 20 000 et 1 000 000 de livres turques. La sanction est infligée directement au responsable de traitement. Depuis un amendement législatif de 2024, les amendes prononcées par l'Autorité KVKK peuvent être contestées devant les tribunaux administratifs.

Au-delà de la sanction financière, une absence d'inscription est souvent interprétée par le régulateur comme le signe d'une conformité au KVKK insuffisante sur d'autres points. Une plainte relative à une demande d'accès sans réponse ou à un transfert international de données insuffisamment encadré peut déboucher sur un contrôle global qui inclura l'examen du statut VERBİS. Notre article sur les règles de transfert transfrontalier de données détaille les obligations connexes à ne pas négliger.

Questions fréquentes

Q : Une société étrangère sans établissement en Turquie doit-elle s'inscrire dans VERBİS ?

Si une société étrangère traite de manière systématique des données de personnes résidant en Turquie — par exemple une plateforme de commerce en ligne s'adressant à des clients turcs —, elle tombe en principe dans le champ d'application du KVKK. Elle doit alors désigner un représentant établi en Turquie pour procéder à l'inscription en son nom.

Q : Faut-il renouveler l'inscription chaque année ?

Il n'existe pas de renouvellement annuel. En revanche, les informations enregistrées doivent toujours être à jour ; toute modification doit être signalée dans le délai de sept jours.

Q : Les entreprises dispensées d'inscription doivent-elles quand même établir un inventaire des activités de traitement ?

La dispense d'inscription dans VERBİS ne supprime pas les autres obligations découlant du KVKK. Les exigences de sécurité, les droits des personnes concernées et les durées de conservation restent pleinement applicables, et l'inventaire des activités de traitement en constitue le socle pratique. Pour les obligations de transparence qui accompagnent l'inscription, voir notre article sur les avis de confidentialité et le consentement explicite sous le KVKK.

Q : Comment l'Autorité KVKK fixe-t-elle le montant de l'amende dans la fourchette prévue ?

L'Autorité exerce son pouvoir d'appréciation en tenant compte de la nature et de l'ampleur du manquement, de son caractère intentionnel, de sa durée et de la taille du responsable de traitement. Il n'existe pas de formule prédéterminée.

Comment Mona Hukuk peut vous aider

Notre cabinet à Antalya accompagne les entreprises opérant en Turquie dans toutes leurs démarches de conformité au KVKK : inscription dans VERBİS, élaboration de l'inventaire des activités de traitement et représentation devant l'Autorité KVKK. Nous intervenons pour des sociétés établies en Turquie comme pour des ressortissants étrangers ayant des intérêts commerciaux dans le pays.

Contactez-nous à contact@monahukuk.com ou appelez le +90 (242) 606 14 32 pour prendre rendez-vous à Antalya.