VERBİS: Реестр операторов персональных данных в Турции

Если ваш бизнес работает в Турции или обрабатывает персональные данные граждан и резидентов Турции — будь то стартап в Анталье, иностранная компания с турецким филиалом или онлайн-магазин с турецкими покупателями — вы, вероятно, обязаны зарегистрироваться в VERBİS прежде, чем приступить к обработке хотя бы одной записи. Игнорирование этого требования грозит административным штрафом до одного миллиона турецких лир по Закону Турции о защите персональных данных (KVKK, Kişisel Verilerin Korunması Kanunu).

Что такое VERBİS?

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) — публичный онлайн-реестр операторов персональных данных, который ведётся Советом KVKK. Статья 16 KVKK обязывает каждого оператора внести в реестр сведения о себе, целях обработки, категориях данных, мерах безопасности и сроках хранения.

Реестр открыт для всех желающих. Прозрачность здесь — не формальность, а осознанный политический выбор: любой гражданин вправе проверить, как компания обращается с его данными. Это один из ключевых принципов турецкого закона о защите персональных данных.

Кто обязан регистрироваться?

Регистрация обязательна для всех операторов персональных данных — то есть для физических и юридических лиц, которые определяют цели и способы обработки персональных данных. Под это определение подпадают компании практически в любой отрасли: торговля, недвижимость, гостиничный бизнес, здравоохранение, финансы, технологии.

Иностранные компании без физического присутствия в Турции также могут быть обязаны зарегистрироваться, если они систематически обрабатывают данные лиц, находящихся в Турции. В этом случае необходимо назначить представителя в Турции, который осуществит регистрацию и будет взаимодействовать с регулятором от имени оператора. Общую картину обязательств по KVKK даёт наш обзор законодательства о защите персональных данных в Турции.

Совет KVKK вправе освобождать определённые категории операторов от регистрационной обязанности, ориентируясь на объективные критерии: характер и объём данных, отраслевая деятельность, передача данных третьим лицам, численность сотрудников, годовой финансовый оборот. Малый бизнес, обрабатывающий ограниченные категории данных исключительно для внутренних нужд, может подпасть под исключение. При любом сомнении — регистрация безопаснее предположения об исключении.

Что нужно указывать при регистрации?

Статья 16 KVKK устанавливает перечень обязательных сведений:

• Идентификационные данные и адрес оператора; при отсутствии присутствия в Турции — данные турецкого представителя
• Цели обработки персональных данных
• Категории субъектов данных и соответствующие категории самих данных
• Получатели или группы получателей, которым данные могут передаваться
• Трансграничные передачи данных и страны-получатели
• Принятые технические и организационные меры безопасности
• Максимальные сроки хранения для каждой категории данных

До подачи заявки в VERBİS оператор обязан составить внутренний реестр операций по обработке данных (Kişisel Veri İşleme Envanteri), документирующий все виды обработки. Сведения для VERBİS формируются на его основе. Любые изменения в зарегистрированных данных необходимо вносить в VERBİS в течение семи дней с момента их возникновения.

Когда нужно зарегистрироваться?

Закон устанавливает чёткое правило: до начала обработки персональных данных. Если оператор приобретает статус обязанного после начала деятельности — например, потому что бизнес вырос и превысил пороговое значение для исключения, — у него есть тридцать дней на регистрацию с момента возникновения такой обязанности.

Многие иностранные граждане, открывающие бизнес в Турции, откладывают этот шаг. Это рискованно: Совет KVKK проводит плановые проверки и реагирует на жалобы, а отсутствие VERBİS-регистрации — один из самых простых нарушений для выявления.

Что грозит за нарушение регистрационной обязанности?

Статья 18(1)(ç) KVKK прямо предусматривает: нарушение обязанности регистрации и уведомления в VERBİS влечёт административный штраф в размере от 20 000 до 1 000 000 турецких лир. Штраф налагается непосредственно на оператора данных. После законодательной поправки 2024 года решения Совета KVKK о наложении штрафов можно обжаловать в административных судах.

Помимо самого штрафа, отсутствие VERBİS-регистрации нередко служит для регулятора сигналом о более широком несоответствии KVKK. Жалоба на неответ по запросу на доступ или нарушение при трансграничной передаче может повлечь полноценную проверку, в рамках которой изучается и статус VERBİS. О том, какие обязательства возникают при трансграничной передаче данных, читайте в нашей статье о правилах передачи данных за рубеж.

Часто задаваемые вопросы

В: Должна ли иностранная компания без присутствия в Турции регистрироваться в VERBİS?

Если иностранная компания систематически обрабатывает данные лиц, находящихся в Турции, — например, интернет-магазин с турецкими покупателями — она, как правило, подпадает под действие KVKK. В таком случае необходимо назначить представителя в Турции для целей регистрации.

В: Нужно ли ежегодно обновлять регистрацию?

Ежегодного продления не требуется. Однако данные в реестре должны всегда оставаться актуальными: любые изменения необходимо вносить в течение семи дней.

В: Обязаны ли освобождённые от регистрации компании всё равно составлять реестр операций обработки?

Освобождение от VERBİS-регистрации не отменяет прочих обязательств по KVKK. Требования по безопасности данных, права субъектов и сроки хранения остаются в полной силе. Реестр операций обработки — практическая основа для их соблюдения. Об обязательствах по информированию субъектов данных см. нашу статью об уведомлениях о конфиденциальности и явном согласии.

В: Как Совет KVKK определяет размер штрафа в диапазоне 20 000–1 000 000 TL?

Совет действует по собственному усмотрению, принимая во внимание характер и масштаб нарушения, его умышленность, продолжительность и размер оператора. Фиксированной формулы нет.

Как Mona Hukuk может помочь

Наша юридическая фирма в Анталье консультирует компании по вопросам соответствия требованиям KVKK: регистрация в VERBİS, составление реестра операций по обработке данных, представление интересов перед Советом KVKK. Мы работаем как с компаниями, зарегистрированными в Турции, так и с иностранными гражданами, ведущими деятельность на территории страны.

Свяжитесь с нами по адресу contact@monahukuk.com или по телефону +90 (242) 606 14 32, чтобы записаться на консультацию в Анталье.