注册VERBİS：土耳其数据控制者完整指南

如果您的企业在土耳其收集、存储或使用个人数据——无论是安塔利亚的初创企业、拥有土耳其分支机构的外资公司，还是面向土耳其客户的电子商务运营商——您可能需要在处理任何一条记录之前先在VERBİS系统完成注册。忽视这一步骤并非小事；根据土耳其《个人数据保护法》（KVKK，Kişisel Verilerin Korunması Kanunu），这类疏漏可触发最高一百万土耳其里拉的行政罚款。

什么是VERBİS？

VERBİS是Veri Sorumluları Sicil Bilgi Sistemi的缩写，意为"数据控制者注册信息系统"。这是由个人数据保护局（Kişisel Verileri Koruma Kurumu）维护的在线平台，数据控制者须在此声明其身份、所处理的数据内容、处理目的及保护措施。

依据KVKK第16条，该注册系统向公众开放。任何人均可查询某公司处理了哪些类别的个人数据、保存期限为多久，以及是否将数据传输至境外。透明度是该系统的核心设计原则。

哪些主体须注册？

基本规则明确：任何决定个人数据处理目的和手段的自然人或法人——即KVKK意义上的"数据控制者"（veri sorumlusu）——均须在开始处理个人数据之前完成VERBİS注册。这涵盖土耳其公司、设有土耳其分支机构或代表机构的外国公司，以及系统性面向土耳其居民开展业务的线上企业。零售、房地产、医疗健康、科技等各行业均在适用范围之内。

KVKK委员会（Kurul）有权依据客观标准豁免特定数据控制者的注册义务，相关因素包括：所处理数据的性质与规模、所属行业、是否向第三方传输数据，以及机构规模。仅出于内部目的处理有限数据类别的小型运营主体可能符合豁免条件。如存在疑虑，较为稳妥的做法是主动注册，而非自行推断豁免适用。

在土耳其无实体经营场所的外国公司，若系统性处理土耳其境内人员的个人数据，同样处于KVKK的管辖范围之内。无本地机构的企业须在土耳其指定代表（temsilci），代为办理注册相关事宜。我们的KVKK合规概述详细介绍了这些义务所属的整体框架。

注册须提交哪些信息？

KVKK第16条规定了VERBİS注册须包含的信息：

• 数据控制者的身份与地址；如总部位于土耳其境外，还须提供土耳其代表的详细信息
• 处理个人数据的目的
• 数据主体类别及所持有的数据类型
• 数据可能被转移的接收方或接收方类别
• 是否存在境外数据传输及传输目的国
• 为保护数据而采取的安全措施
• 各类别数据的最长保存期限

在提交上述信息之前，须预先编制内部个人数据处理清单（Kişisel Veri İşleme Envanteri），对所有数据处理活动进行系统梳理。VERBİS申报内容直接依据该清单填写。注册信息发生任何变更，须在变更发生后七日内通过VERBİS完成更新。

时限要求：何时必须完成注册？

法律对此规定严格：数据控制者须在开始处理个人数据之前完成VERBİS注册。若某机构此后才满足注册义务的触发条件——例如业务规模超出豁免门槛——实施条例赋予其自该时点起三十日内完成申报的期限。

许多企业，尤其是在土耳其设立的外资企业，往往将注册视为日后再处理的事项。这种做法存在切实风险。KVKK委员会会主动开展检查并受理投诉，而注册违规是最易被认定的违法情形之一。

不注册将产生何种后果？

KVKK第18条第1款（ç）项明确规定：违反VERBİS注册及变更通知义务，可处以20,000土耳其里拉至1,000,000土耳其里拉的行政罚款，直接向数据控制者追缴。依据2024年KVKK修正案，委员会作出的行政罚款决定可向行政法院提出异议。

罚款并非唯一后果。未在VERBİS注册往往向监管机构传递出更广泛的KVKK合规薄弱信号。例如，针对未回应数据访问请求的投诉，可能促使委员会全面审查合规状况——包括是否完成了VERBİS注册。我们关于跨境数据传输规则的指南详细说明了外资控制主体所面临的叠加义务。

常见问题解答

问：在土耳其无办事机构的外国公司是否须注册VERBİS？

若外国公司系统性处理土耳其境内人员的个人数据——例如拥有土耳其客户的电子商务平台——通常处于KVKK管辖范围之内。注册须通过土耳其代表办理，由其代为处理相关流程。

问：注册是否需要每年续期？

注册无年度续期要求。但须始终保持注册信息的时效性。声明的处理目的、数据类别、安全措施或其他注册事项发生任何变更，均须在变更发生后七日内更新VERBİS信息。

问：数据处理清单是什么？豁免VERBİS注册的主体是否仍需编制？

个人数据处理清单（Kişisel Veri İşleme Envanteri）是一份内部文件，用于梳理机构所有个人数据处理活动。该清单是VERBİS申报及更广泛KVKK合规工作的基础。即使委员会豁免了注册义务，其他KVKK义务——数据安全、数据主体权利、保存期限限制——仍然有效，而数据处理清单是履行这些义务的实践基础。关于与VERBİS并存的知情同意及透明度义务，请参阅我们关于KVKK隐私声明与明确同意的文章。

问：委员会如何在20,000至1,000,000土耳其里拉的范围内确定具体罚款金额？

委员会依据多项因素自由裁量，包括违法行为的性质与范围、是否具有主观故意、持续时长，以及数据控制者的规模。目前无固定计算公式。

Mona Hukuk如何为您提供帮助

Mona Hukuk为安塔利亚及土耳其各地企业提供KVKK合规法律服务，包括VERBİS注册、数据处理清单编制，以及在个人数据保护局面前的代理事务。我们为土耳其本地企业及在土耳其经营或处理土耳其居民数据的外资控制主体提供专业服务。

请发送电子邮件至 contact@monahukuk.com 或拨打 +90 (242) 606 14 32 安排安塔利亚咨询。