Voldoen aan de Turkse wet op de bescherming van persoonsgegevens (KVKK)

Wat is de KVKK?

KVKK is de Turkse wet nr. 6698 op de bescherming van persoonsgegevens (Kişisel Verilerin Korunması Kanunu), in het Engels vaak PDPL genoemd. De wet werd op 7 april 2016 gepubliceerd in het Staatsblad en regelt hoe persoonsgegevens van mensen mogen worden verzameld, gebruikt, bewaard en doorgegeven. De wet wordt gehandhaafd door de Autoriteit voor de Bescherming van Persoonsgegevens en haar besluitvormend orgaan, de Raad voor de Bescherming van Persoonsgegevens.

De KVKK is gebaseerd op het Europese gegevensbeschermingsrecht en heeft veel gemeen met de AVG. De belangrijkste beginselen zijn:

• Persoonsgegevens alleen verwerken op een rechtsgrond, met uitdrukkelijke toestemming als de belangrijkste. Uitdrukkelijke toestemming moet vrij, specifiek en geïnformeerd worden gegeven.
• Mensen op het moment dat hun gegevens worden verzameld informeren over wie de verwerkingsverantwoordelijke is, waarom de gegevens worden verwerkt, met wie ze worden gedeeld en welke rechten ze hebben.
• Mensen het recht geven om te weten of hun gegevens worden verwerkt, die gegevens in te zien, ze te laten corrigeren of wissen, en bezwaar te maken tegen bepaalde uitkomsten van geautomatiseerde analyse.
• Persoonsgegevens beveiligen en datalekken melden bij de Raad en bij de getroffen personen.
• Persoonsgegevens alleen naar het buitenland doorgeven onder de voorwaarden van de wet.

Wet nr. 7499 wijzigde de KVKK per 1 juni 2024, waardoor de regels voor doorgifte naar het buitenland dichter bij de AVG kwamen. Doorgifte kan nu steunen op een adequaatheidsbesluit, op passende waarborgen zoals de standaardcontracten van de Raad (die binnen vijf werkdagen na ondertekening bij de Autoriteit moeten worden gemeld) of bindende bedrijfsvoorschriften, of op beperkte, incidentele uitzonderingen. De wijzigingen verruimden ook de rechtsgronden voor het verwerken van gevoelige gegevens.

Wat gebeurt er als ik me niet aan de KVKK houd?

Overtredingen van de KVKK kunnen leiden tot:

• Bestuurlijke boetes: de boetes in artikel 18 worden elk jaar geïndexeerd. Voor 2026 lopen de hoogste boetes op tot TRY 17.092.242, bijvoorbeeld voor het niet nakomen van verplichtingen rond gegevensbeveiliging, het negeren van besluiten van de Raad of het niet inschrijven in VERBIS.
• Boetes voor gebrekkige transparantie: het niet nakomen van de informatieplicht kan in 2026 worden beboet met maximaal TRY 1.709.200.
• Boetes voor niet-gemelde doorgifte: sinds de wijzigingen van 2024 staat er ook een boete op het niet melden bij de Autoriteit van een standaardcontract dat voor doorgifte naar het buitenland wordt gebruikt.
• Besluiten van de Raad: de Raad kan een verwerkingsverantwoordelijke opdragen een overtreding te herstellen of onrechtmatige verwerking te stoppen.
• Strafrechtelijke aansprakelijkheid: het onrechtmatig vastleggen, openbaar maken of niet verwijderen van persoonsgegevens kan worden vervolgd onder het Turkse Wetboek van Strafrecht.

Aan de KVKK voldoen

Verkoopt je onlinewinkel aan klanten in Turkije, dan kan de KVKK gelden voor de persoonsgegevens die je van hen verzamelt, ook gegevens die worden verzameld via cookies en trackingtools.

Voor cookies en tracking zijn dit de belangrijkste punten:

• Toestemming: de cookierichtlijn van de Autoriteit uit 2022 verwacht uitdrukkelijke toestemming voordat cookies worden gebruikt voor doelen als advertenties, marketing en het volgen van gedrag. Strikt noodzakelijke cookies, zoals cookies die een winkelwagen laten werken, mogen zonder toestemming worden gebruikt. Toestemming moet een actieve keuze zijn, dus vooraf aangevinkte vakjes of doorklikken tellen niet.
• Informatie: vertel bezoekers welke cookies je gebruikt, wat elke cookie doet, hoe lang hij bewaard blijft en of hij door jou of door een derde wordt geplaatst.
• Doorgifte naar het buitenland: veel analyse- en advertentietools sturen gegevens naar servers buiten Turkije. Controleer hoe elke aanbieder doorgifte regelt onder het gewijzigde artikel 9, bijvoorbeeld via standaardcontracten.
• Verzoeken van betrokkenen: zorg dat je verzoeken om persoonsgegevens in te zien, te corrigeren of te wissen kunt beantwoorden. De wet verplicht verwerkingsverantwoordelijken binnen 30 dagen te reageren.

Om dit behapbaar te houden, kun je een Consent Management Platform (CMP) gebruiken zoals Pandectes GDPR Compliance. Het toont een cookiebanner die niet-essentiële cookies blokkeert tot de bezoeker toestemming geeft, scant je winkel om cookies automatisch te detecteren en in te delen, en maakt een cookieverklaring voor je beleidspagina. Het houdt toestemmingslogs bij als bewijs van de keuze van elke bezoeker, helpt je verzoeken van betrokkenen af te handelen en gebruikt geolocatie om bezoekers uit verschillende landen bannerinstellingen per regio te tonen. Pandectes GDPR Compliance is speciaal gemaakt voor Shopify-winkels.

De KVKK heeft eigen definities en procedures, dus laat je instellingen waar nodig door een jurist controleren, vooral voor doorgifte naar het buitenland en de inschrijving in VERBIS.