Conformité à la loi turque sur la protection des données personnelles (KVKK)
Pandectes GDPR Compliance aide les boutiques Shopify à respecter les exigences de la KVKK en bloquant les cookies non essentiels jusqu'au consentement des visiteurs, en scannant et classant les cookies et en conservant les registres de consentement.
Commencer gratuitement
L'application de consentement aux cookies n° 1 sur Shopify, adoptée par 185k boutiques
Qu’est-ce que la KVKK ?
La KVKK est la loi turque n° 6698 sur la protection des données personnelles (Kişisel Verilerin Korunması Kanunu), souvent appelée PDPL en anglais. Publiée au Journal officiel le 7 avril 2016, elle fixe les règles relatives à la collecte, à l’utilisation, à la conservation et au transfert des données personnelles des personnes. Elle est mise en œuvre par l’Autorité de protection des données personnelles et son organe de décision, le Conseil de protection des données personnelles.
La KVKK s’inspire du droit européen de la protection des données et partage de nombreuses idées avec le RGPD. Ses principaux principes sont les suivants :
- Ne traiter des données personnelles que sur une base légale, le consentement explicite étant la base centrale. Le consentement explicite doit être libre, spécifique et éclairé.
- Informer les personnes, au moment de la collecte de leurs données, de l’identité du responsable du traitement, des raisons du traitement, des destinataires des données et de leurs droits.
- Donner aux personnes le droit de savoir si leurs données sont traitées, d’y accéder, de les faire rectifier ou effacer, et de s’opposer à certains résultats d’une analyse automatisée.
- Assurer la sécurité des données personnelles et signaler les violations de données au Conseil et aux personnes concernées.
- Ne transférer des données personnelles à l’étranger qu’aux conditions fixées par la loi.
La loi n° 7499 a modifié la KVKK à compter du 1er juin 2024, rapprochant ses règles sur les transferts transfrontaliers de celles du RGPD. Les transferts peuvent désormais reposer sur une décision d’adéquation, sur des garanties appropriées comme les contrats types du Conseil (qui doivent être notifiés à l’Autorité dans les cinq jours ouvrables suivant leur signature) ou les règles d’entreprise contraignantes, ou sur des exceptions occasionnelles limitées. Ces modifications ont aussi élargi les bases légales du traitement des données sensibles.
À qui s’applique la KVKK ?
La KVKK s’applique aux personnes et aux organisations qui traitent les données personnelles de personnes physiques, que ce soit par des moyens automatisés ou dans le cadre d’un système de classement. La loi ne comporte pas de clause d’extraterritorialité explicite, mais l’Autorité l’applique au traitement des données personnelles de personnes se trouvant en Turquie, et les responsables du traitement établis à l’étranger peuvent devoir désigner un représentant en Turquie et s’inscrire au Registre des responsables du traitement (VERBIS).
Que se passe-t-il si je ne respecte pas la KVKK ?
Les manquements à la KVKK peuvent entraîner :
- Des amendes administratives : les amendes prévues à l’article 18 sont réévaluées chaque année. Pour 2026, les amendes les plus élevées atteignent 17 092 242 TRY, par exemple en cas de manquement aux obligations de sécurité des données, de non-respect des décisions du Conseil ou de défaut d’inscription au VERBIS.
- Des amendes pour manquement à la transparence : le non-respect de l’obligation d’informer les personnes est passible d’une amende pouvant atteindre 1 709 200 TRY en 2026.
- Des amendes pour transferts non déclarés : depuis les modifications de 2024, le fait de ne pas notifier à l’Autorité un contrat type utilisé pour un transfert transfrontalier est aussi passible d’une amende.
- Des décisions du Conseil : le Conseil peut ordonner à un responsable du traitement de remédier à une infraction ou de cesser un traitement illicite.
- Une responsabilité pénale : l’enregistrement ou la divulgation illicites de données personnelles, ou le défaut de suppression de celles-ci, peuvent faire l’objet de poursuites en vertu du Code pénal turc.
Quand la KVKK est-elle entrée en vigueur ?
La KVKK est entrée en vigueur le 7 avril 2016, jour de sa publication. Les dispositions relatives aux transferts, aux droits des personnes concernées, aux plaintes, au registre et aux sanctions s’appliquent depuis le 7 octobre 2016, six mois plus tard. Les modifications de 2024 sont entrées en vigueur le 1er juin 2024.
Se conformer à la KVKK
Si votre boutique en ligne vend à des clients en Turquie, la KVKK peut s’appliquer aux données personnelles que vous collectez auprès d’eux, y compris les données collectées par des cookies et des outils de suivi.
Pour les cookies et le suivi, les points essentiels sont les suivants :
- Consentement : les lignes directrices de l’Autorité sur les cookies, publiées en 2022, exigent un consentement explicite avant l’utilisation de cookies à des fins de publicité, de marketing ou de suivi comportemental. Les cookies strictement nécessaires, comme ceux qui assurent le fonctionnement du panier, peuvent être utilisés sans consentement. Le consentement doit être un choix actif : des cases pré-cochées ou la poursuite de la navigation ne comptent pas.
- Information : indiquez aux visiteurs quels cookies vous utilisez, à quoi sert chacun d’eux, combien de temps il est conservé et s’il est déposé par vous ou par un tiers.
- Transferts transfrontaliers : de nombreux outils d’analyse et de publicité envoient des données vers des serveurs situés hors de Turquie. Vérifiez comment chaque prestataire encadre les transferts au regard de l’article 9 modifié, par exemple au moyen de contrats types.
- Demandes des personnes concernées : soyez prêt à répondre aux demandes d’accès, de rectification ou d’effacement des données personnelles. La loi impose aux responsables du traitement de répondre dans un délai de 30 jours.
Pour garder la maîtrise de tout cela, pensez à utiliser une plateforme de gestion du consentement (CMP) comme Pandectes GDPR Compliance. Elle affiche une bannière de cookies qui bloque les cookies non essentiels jusqu’au consentement du visiteur, scanne votre boutique pour détecter et classer automatiquement les cookies, et génère une déclaration de cookies pour votre page de politique. Elle conserve des registres de consentement comme preuve du choix de chaque visiteur, vous aide à traiter les demandes des personnes concernées et utilise la géolocalisation pour afficher des paramètres de bannière propres à chaque région aux visiteurs de différents pays. Pandectes GDPR Compliance est conçue spécialement pour les boutiques Shopify.
La KVKK a ses propres définitions et procédures : faites vérifier votre configuration par un conseiller juridique si nécessaire, en particulier pour les transferts transfrontaliers et l’inscription au VERBIS.