"KVKK（土耳其数据保护法）对企业是否强制？"简短的回答取决于您是否处理个人数据。几乎所有保存员工工资记录、客户名单、访客登记或监控录像的公司，都属于第6698号《个人数据保护法》（以下简称"该法"）的适用范围。但并非每项义务都以同样方式适用于所有人；尤其是，个人数据保护委员会（Kurul，以下简称"委员会"）通过决定引入了VERBİS（数据控制者登记信息系统）登记豁免。
本文依据一手资料，概述该法对企业规定的核心义务、VERBİS豁免，以及违规时依据哪一条款适用何种行政罚款。发生数据泄露时向委员会通报的期限和程序，详见关于KVKK数据泄露通报的文章。
该法适用于谁？
根据第6698号法律第2条，该法适用于其个人数据被处理的自然人，以及以全部或部分自动化方式、或作为数据归档系统一部分以非自动化方式处理这些数据的自然人和法人。对企业而言，关键概念是"数据控制者"：该法第3条将其定义为确定个人数据处理目的和手段、并建立和管理数据归档系统的自然人或法人。而代表公司处理数据的服务提供商则被视为"数据处理者"。
该法第28条将某些情形排除在适用范围之外，例如个人仅涉及其本人及同住家庭成员的活动，或以匿名形式进行的官方统计处理。这些例外并不涵盖商业活动中的一般数据处理。因此，对于拥有员工或客户的公司来说，根据该法条文，"KVKK是否强制？"这一问题的答案是肯定的。
企业的核心义务
告知义务（第10条）。 在获取个人数据时，数据控制者有义务告知数据主体控制者的身份、处理目的、数据可能向谁以及出于何种目的转移、收集的方式和法律依据，以及第11条规定的各项权利。
数据主体申请（第11条和第13条）。 个人可以通过向数据控制者提出申请，行使了解其数据是否被处理以及要求更正、删除和赔偿损失等权利。根据第13条，申请必须根据请求的性质，尽快且最迟在三十天内办结，原则上免费。如何跟踪这一流程，见关于KVKK申请流程自动化的文章。
数据安全（第12条）。 数据控制者必须采取一切必要的技术和管理措施，防止数据被非法处理和访问，并确保数据得到保护。如果数据由他人处理，控制者与该人就这些措施承担连带责任，并且必须在其自身机构内开展或委托开展适用该法所需的审计。员工和数据处理者的保密义务在其离职后仍然有效。发生泄露时的通报义务也规定在该条第5款中。
遵守委员会决定（第15条）。 委员会在审查期间要求提供的信息和文件必须在十五天内送交。如果委员会认定存在违法行为并决定必须予以纠正，则必须毫不迟延地、最迟自决定送达之日起三十天内执行该决定。
境外转移的通报（第9条）。 根据经2024年修正而重新起草的第9条，如果境外转移使用标准合同，须在合同签署后五个工作日内向个人数据保护局（Kurum，以下简称"保护局"）通报。
使用生成式人工智能工具或生物识别考勤等具体做法是上述义务的具体示例；相关内容见关于企业内部人工智能政策和生物识别考勤的文章。
VERBİS登记是否对所有人强制？
该法第16条规定，处理个人数据的自然人和法人"必须在开始数据处理之前在数据控制者登记处登记"，并授权委员会根据客观标准设立豁免。登记信息如有任何变更，也必须立即报告。根据本文查阅的保护局资料，豁免框架形成过程如下：
- 第2018/87号决定（2018年7月19日）： 年度员工人数少于50人、年度资产负债表总额低于决定所规定金额、且主要活动不是处理特殊类别个人数据的自然人或法人数据控制者，免于在登记处登记。该决定是在此前第2018/32号决定所豁免对象的基础上作出的补充。
- 第2023/1154号决定（2023年7月6日）： 员工人数标准保持不变，而年度资产负债表总额门槛以经济形势为由被提高。
- 第2025/1572号决定（2025年9月4日）： 在主要活动为处理特殊类别个人数据的数据控制者中，年度员工人数少于10人、年度资产负债表总额低于决定所规定金额的，也被纳入豁免范围。
- 第2025/2393号决定（2025年12月25日）： 对按资产负债表制记账者，员工人数和资产负债表标准同时适用；对不按资产负债表制记账者，由于不存在资产负债表信息，仅采用员工人数标准。
关于现行资产负债表门槛的金额，请参阅相关决定的文本。有一项重要区别：这些决定仅涉及在登记处登记和通报的义务。其中不包含对告知、数据安全保障或处理申请等义务的任何豁免；豁免VERBİS的公司仍须遵守该法的其他规定。
行政罚款：第18条列出了哪些违规行为？
该法第18条在五项中列出了规定行政罚款的违规行为：
- (a) 未履行第10条规定的告知义务，
- (b) 未履行第12条规定的数据安全义务，
- (c) 未执行委员会根据第15条作出的决定，
- (ç) 违反第16条规定的在登记处登记和通报的义务，
- (d) 根据2024年增加的一项，未进行第9条第5款规定的境外转移通报。
每一项的下限和上限均由该法分别规定。根据经2024年修正的该条第2款，(a)至(ç)项的罚款对数据控制者处以，而(d)项的罚款则对作为数据控制者或数据处理者的自然人和私法法人处以。同样于2024年增加的第3款规定，可就委员会处以的行政罚款向行政法院提起诉讼。
罚款金额并非固定不变。根据保护局2025年12月31日的公告，第18条规定的罚款根据Kabahatler Kanunu（《轻罪法》）第17条第7款，在每个日历年初进行重估。因此，本文不列出具体金额；现行金额表应在保护局页面上跟踪。
除行政处罚外，该法第17条就与个人数据有关的犯罪援引了《土耳其刑法典》（Türk Ceza Kanunu，TCK）第135至140条；对于违反第7条未删除或匿名化数据者，还指向TCK第138条。
从哪里开始？
以下步骤是根据上述规定归纳的一般框架：
- 清单： 梳理哪个部门出于何种目的、在哪个系统中处理哪些个人数据，以及将数据转移给谁。这份清单既是隐私告知的输入，也是可能的VERBİS申报的输入。
- VERBİS评估： 根据员工人数、记账方式以及主要活动是否为处理特殊类别个人数据，以书面形式记录您在现行委员会决定下的地位。
- 隐私告知： 针对员工、应聘者、客户和访客等每类人群，准备涵盖第10条各项内容的文本。
- 申请渠道： 建立记录系统，以便在三十天期限内跟踪申请。
- 安全与供应商： 规划技术和管理措施、与数据处理者的合同以及定期内部审计。
常见问题
KVKK对小公司也是强制的吗？ 该法的适用并不存在基于公司规模的门槛。规模标准仅在委员会关于VERBİS登记豁免的决定中出现。
未在VERBİS登记会受到什么处罚？ 在存在登记义务的情况下，违反在登记处登记和通报的义务，属于第18条(ç)项规定行政罚款的违规行为之一。
KVKK罚款对谁处以？ (a)至(ç)项的罚款对数据控制者处以；(d)项的罚款对作为数据控制者或数据处理者的自然人和私法法人处以。
结论
每家处理个人数据的公司都属于KVKK的适用范围；委员会决定中的规模豁免仅涉及VERBİS登记。从Orient Global的角度看，从个人数据清单入手是最有效的一步，因为它使隐私告知、VERBİS评估和安全措施建立在同一基础之上。
为什么物流经验在此很重要。 个人数据是物流或分销企业日常流转的一部分：配送单上的收件人姓名、地址和电话号码，司机和仓库员工的记录，大门处的访客登记以及月台上的监控录像。一个仓库通常会涉及上述隐私告知步骤中提到的全部四类人群（员工、应聘者、客户和访客），而清单步骤对个人数据提出的问题，正是物流团队对每批货物提出的问题：它存放在哪里，下一步交给谁。对于任何管理过承运商网络的人来说，安全与供应商步骤也不会陌生：书面条款、每个合作伙伴处的指定联系人，以及定期检查约定的控制措施是否真正落实。Orient Global的一位顾问在运营、物流和供应链领域拥有30多年经验：他曾在一家大型科技分销企业端到端负责物流、仓储、技术服务和行政运营，组建并领导100多人的团队，并通过KPI驱动的项目实现了运营绩效的持续提升。他还曾在多家领先的零售、物流和分销机构设计并主导大规模物流和分销网络，负责全国性的仓储和运输业务以及网络和产能规划。作为一名工业工程师，他如今借助人工智能和自动化将这种供应链管理规范带给中小企业。了解我们的顾问。
本文仅供一般参考，不构成法律或财务建议。请就您的具体情况咨询您自己的专业人士。
#interimmanagement #forwarddeployedengineering