Cumplimiento de la Ley de Protección de Datos Personales de Turquía (KVKK)
Pandectes GDPR Compliance ayuda a las tiendas Shopify a cumplir la KVKK bloqueando las cookies no esenciales hasta que el visitante da su consentimiento, analizando y clasificando las cookies y conservando registros de consentimiento.
Empiece gratis
La app de consentimiento de cookies n.º 1 para Shopify, con la confianza de 185k tiendas
¿Qué es la KVKK?
KVKK es la Ley n.º 6698 de Protección de Datos Personales de Turquía (Kişisel Verilerin Korunması Kanunu), a menudo llamada PDPL en inglés. Se publicó en el Boletín Oficial el 7 de abril de 2016 y establece las normas sobre cómo pueden recogerse, usarse, conservarse y transferirse los datos personales de las personas. La hace cumplir la Autoridad de Protección de Datos Personales y su órgano decisorio, el Consejo de Protección de Datos Personales.
La KVKK se inspiró en la legislación de protección de datos de la UE y comparte muchas ideas con el RGPD. Sus principios principales son:
- Tratar datos personales solo con una base jurídica, siendo el consentimiento explícito la principal. El consentimiento explícito debe ser libre, específico e informado.
- Informar a las personas, en el momento en que se recogen sus datos, de quién es el responsable del tratamiento, por qué se tratan los datos, con quién se comparten y cuáles son sus derechos.
- Reconocer a las personas el derecho a saber si se tratan sus datos, a acceder a ellos, a que se rectifiquen o supriman y a oponerse a determinados resultados del análisis automatizado.
- Mantener seguros los datos personales y notificar las brechas de datos al Consejo y a las personas afectadas.
- Transferir datos personales al extranjero solo en las condiciones que establece la ley.
La Ley n.º 7499 modificó la KVKK a partir del 1 de junio de 2024 y acercó sus normas sobre transferencias internacionales al RGPD. Ahora las transferencias pueden basarse en una decisión de adecuación, en garantías adecuadas como los contratos tipo del Consejo (que deben notificarse a la Autoridad en un plazo de cinco días hábiles desde su firma) o las normas corporativas vinculantes, o en excepciones ocasionales limitadas. Las modificaciones también ampliaron las bases jurídicas para tratar datos sensibles.
¿A quién se aplica la KVKK?
La KVKK se aplica a las personas y organizaciones que tratan datos personales de personas físicas, ya sea por medios automatizados o como parte de un sistema de archivo. La ley no tiene una cláusula extraterritorial expresa, pero la Autoridad la aplica al tratamiento de datos personales de personas que se encuentran en Turquía, y los responsables del tratamiento con sede en el extranjero pueden tener que designar un representante en Turquía e inscribirse en el Registro de Responsables del Tratamiento (VERBIS).
¿Qué ocurre si no cumplo la KVKK?
Las infracciones de la KVKK pueden acarrear:
- Multas administrativas: las multas del artículo 18 se revalorizan cada año. En 2026, las multas más altas alcanzan 17.092.242 TRY, por ejemplo por incumplir las obligaciones de seguridad de los datos, desatender las decisiones del Consejo o no inscribirse en VERBIS.
- Multas por falta de transparencia: incumplir la obligación de informar a las personas puede sancionarse con multas de hasta 1.709.200 TRY en 2026.
- Multas por transferencias no notificadas: desde las modificaciones de 2024, no notificar a la Autoridad un contrato tipo utilizado para una transferencia internacional también se sanciona con multa.
- Decisiones del Consejo: el Consejo puede ordenar a un responsable que corrija una infracción o que cese un tratamiento ilícito.
- Responsabilidad penal: registrar o comunicar datos personales de forma ilícita, o no suprimirlos, puede perseguirse en virtud del Código Penal turco.
¿Cuándo entró en vigor la KVKK?
La KVKK entró en vigor el 7 de abril de 2016, el mismo día de su publicación. Las disposiciones sobre transferencias, derechos de los interesados, reclamaciones, el registro y las sanciones se aplicaron desde el 7 de octubre de 2016, seis meses después. Las modificaciones de 2024 entraron en vigor el 1 de junio de 2024.
Cómo cumplir la KVKK
Si su tienda online vende a clientes en Turquía, la KVKK puede aplicarse a los datos personales que recoge de ellos, incluidos los datos recogidos mediante cookies y herramientas de rastreo.
En cuanto a las cookies y el rastreo, los puntos principales son:
- Consentimiento: la guía sobre cookies que publicó la Autoridad en 2022 exige el consentimiento explícito antes de usar cookies con fines como la publicidad, el marketing y el seguimiento del comportamiento. Las cookies estrictamente necesarias, como las que mantienen en funcionamiento el carrito de la compra, pueden usarse sin consentimiento. El consentimiento debe ser una elección activa, por lo que las casillas premarcadas o seguir navegando no cuentan.
- Información: indique a los visitantes qué cookies utiliza, para qué sirve cada una, cuánto dura y si la instala usted o un tercero.
- Transferencias internacionales: muchas herramientas de analítica y publicidad envían datos a servidores situados fuera de Turquía. Compruebe cómo gestiona cada proveedor las transferencias conforme al artículo 9 modificado, por ejemplo mediante contratos tipo.
- Solicitudes de los interesados: prepárese para responder a las solicitudes de acceso, rectificación o supresión de datos personales. La ley obliga a los responsables a responder en un plazo de 30 días.
Para que todo esto resulte manejable, considere usar una plataforma de gestión del consentimiento (CMP) como Pandectes GDPR Compliance. Muestra un banner de cookies que bloquea las cookies no esenciales hasta que el visitante da su consentimiento, analiza su tienda para detectar y clasificar las cookies automáticamente y genera una declaración de cookies para su página de política. Conserva registros de consentimiento como prueba de la elección de cada visitante, le ayuda a gestionar las solicitudes de los interesados y usa la geolocalización para mostrar a los visitantes de distintos países la configuración del banner propia de cada región. Pandectes GDPR Compliance está diseñada específicamente para tiendas Shopify.
La KVKK tiene sus propias definiciones y procedimientos, así que revise su configuración con un asesor legal cuando proceda, sobre todo en lo relativo a las transferencias internacionales y la inscripción en VERBIS.