RGPD et KVKK pour les sociétés turques : maîtriser la double conformité
Oui, le RGPD de l'UE peut s'appliquer à une société établie uniquement en Turquie, et vous devez en même temps respecter la loi turque sur la protection des données, la KVKKKVKKLoi n° 6698 sur la protection des données personnellesLa loi turque sur la protection des données — collecte, conservation et transfert des données personnelles, et l'autorité qui les fait respecter.Lexique → (loi n° 6698). Si vous vendez à des personnes situées dans l'UE ou suivez leur comportement, vous relevez des deux régimes simultanément et devez vous aligner sur le plus strict des deux. Ce guide explique où le RGPD et la KVKK se recoupent, où ils divergent, ce que la réforme du 12 mars 2024 (loi n° 7499) a changé pour les transferts transfrontaliers, et les amendes en vigueur en 2026, afin qu'une entreprise à capitaux étrangers établie en Turquie sache exactement quoi faire.
Pourquoi le RGPD atteint les sociétés turques
Le Règlement général sur la protection des données de l'UE (RGPD, règlement (UE) 2016/679) ne s'arrête pas aux frontières de l'Europe. Sa portée extraterritoriale au titre de l'article 3 signifie qu'une société établie en Turquie peut relever directement du RGPD bien que la Turquie soit en dehors de l'UE.
Une société turque est visée par le RGPD dans deux situations principales :
- Offrir des biens ou des services à des personnes situées dans l'UE — par exemple une boutique en ligne établie à Istanbul, une plateforme logicielle ou un hôtel qui démarche et sert des clients de l'UE, accepte les euros ou utilise des langues de l'UE.
- Suivre le comportement de personnes situées dans l'UE — par exemple le pistage des visiteurs d'un site web, le profilage ou la publicité comportementale ciblant des utilisateurs de l'UE.
Si l'une ou l'autre s'applique, les obligations du RGPD s'attachent quel que soit l'emplacement de vos serveurs ou de votre personnel. De nombreuses entreprises à capitaux étrangers qui s'immatriculent en Turquie sont surprises d'apprendre qu'elles répondent aux régulateurs de l'UE en plus de l'autorité turque.
Déclencheurs courants que les fondateurs étrangers négligent
Vous pouvez vous placer sous le RGPD sans le vouloir. Les déclencheurs habituels sont :
- Un site web tourné vers l'UE en anglais, en allemand ou en français comportant des cookies, des outils d'analyse ou des pixels publicitaires qui profilent les visiteurs de l'UE.
- Des campagnes marketing, des newsletters ou des annonces payantes ciblant des clients situés dans l'UE.
- L'emploi ou l'engagement de personnel à distance résidant dans l'UE et le traitement de ses données personnelles.
- L'exploitation de services sur une infrastructure cloud ou SaaS basée dans l'UE qui traite les données de clients de l'UE.
La KVKK : la loi turque sur la protection des données (n° 6698)
La loi turque sur la protection des données personnelles n° 6698 (Kişisel Verilerin Korunması Kanunu, KVKK) est entrée en vigueur en 2016 et s'inspirait à l'origine de l'ancienne directive européenne sur la protection des données de 1995 (95/46/CE). Elle est appliquée par l'autorité turque de protection des données et son organe décisionnel, le Conseil (le Kurul).
La KVKK n'est pas figée aux normes de 1995. La réforme du 12 mars 2024 l'a rapprochée du RGPD, en particulier sur les transferts transfrontaliers et les données sensibles, de sorte qu'aujourd'hui les deux régimes sont plus proches qu'auparavant, mais toujours pas identiques (voir ci-dessous).
Toute société traitant des données personnelles en Turquie doit respecter les principes fondamentaux de la loi, qui reflètent ceux du RGPD sur le fond :
- Licéité, loyauté et transparence du traitement.
- Traitement uniquement à des fins déterminées, explicites et légitimes.
- Minimisation des données, exactitude et conservation limitée.
- Une base légale pour chaque activité de traitement — soit le consentement explicite, soit l'une des exceptions prévues par la loi.
Inscription au VERBİS et personne de contact
La plupart des responsables de traitement opérant en Turquie doivent s'inscrire au VERBİS, le registre des responsables de traitement, et désigner une personne de contact (irtibat kişisi). Le caractère obligatoire de l'inscription dépend de seuils fixés par des décisions du Conseil, principalement votre nombre de salariés et le montant de votre bilan financier annuel, avec certaines exemptions sectorielles. Vous devriez vérifier votre situation précise plutôt que de présumer que vous y êtes soumis ou non.
RGPD et KVKK : les différences clés qui piègent les sociétés
Bien que les deux régimes partagent un même ADN, les différences comptent en pratique. Traiter la KVKK comme une simple copie du RGPD est une erreur courante et coûteuse. Le tableau ci-dessous montre où ils s'accordent et où ils divergent.
| Question | RGPD (UE) | KVKK (Turquie, loi n° 6698) |
|---|---|---|
| Bases légales | Six bases, dont une base souple d'intérêt légitime (art. 6) | Consentement explicite plus une liste plus étroite d'exceptions légales (art. 5) ; la réforme de 2024 l'a rapprochée mais la formulation diffère |
| Données sensibles | Conditions de l'art. 9 pour les catégories particulières | Art. 6, remanié en 2024 — l'ancienne distinction santé/vie sexuelle supprimée, conditions de traitement élargies |
| Transferts transfrontaliers | Adéquation / garanties / dérogations (art. 45 à 49) | Adéquation / garanties (CCT, BCR) / exceptions (art. 9), plus une déclaration de CCT sous 5 jours ouvrables |
| Notification de violation | À l'autorité de contrôle sous 72 heures (art. 33) | Au Conseil sous 72 heures (décision du Conseil 2019/10) |
| Amendes | Jusqu'au plus élevé de 20 M€ ou 4 % du chiffre d'affaires mondial (art. 83) | Amendes en livres, réindexées chaque janvier ; jusqu'à environ 17,09 M TL pour 2026 pour les manquements à la sécurité, au VERBİS ou aux décisions du Conseil |
Bases légales du traitement
Le RGPD propose six bases légales, dont l'intérêt légitime. La KVKK reposait historiquement de façon marquée sur le consentement explicite et un ensemble plus étroit d'exceptions légales, laissant aux sociétés moins de marge pour invoquer l'intérêt légitime. Les modifications de 2024 ont réduit l'écart, mais la formulation n'est pas identique, de sorte qu'une base qui fonctionne sous le RGPD peut ne pas correspondre exactement à la KVKK.
Données sensibles (catégories particulières)
La réforme de 2024 a sensiblement modifié l'article 6 de la KVKK. Elle a supprimé l'ancienne distinction qui traitait les données de santé et de vie sexuelle différemment des autres catégories sensibles, et a élargi les conditions dans lesquelles les données de catégorie particulière (santé, biométrie, croyances religieuses, antécédents judiciaires, etc.) peuvent être traitées, rapprochant la structure de l'article 9 du RGPD. Le traitement reste strict, de sorte que le consentement explicite ou une condition légale spécifique demeure la voie sûre.
Transferts transfrontaliers
Il s'agit de la divergence la plus importante et du domaine où les sociétés étrangères enfreignent le plus souvent la KVKK — traité en détail dans la section suivante.
La réforme KVKK de 2024 et les transferts de données transfrontaliers
Le 12 mars 2024, la loi n° 7499 (le huitième paquet judiciaire) a été publiée au Journal officiel n° 32487 et a modifié la KVKK, notamment ses articles 6 et 9. Le règlement d'application relatif au transfert transfrontalier de données personnelles a suivi le 10 juillet 2024. Ensemble, ils ont remplacé l'ancien modèle de transfert restrictif fondé sur le consentement par un cadre à plusieurs niveaux qui suit de près le chapitre V du RGPD.
Les données personnelles peuvent désormais être transférées à l'étranger de trois manières :
- Décision d'adéquation — transfert vers un pays, un secteur ou une organisation internationale que le Conseil a formellement déclaré adéquat.
- Garanties appropriées — en l'absence de décision d'adéquation, le transfert est autorisé en recourant à l'un des éléments suivants : clauses contractuelles types (CCT) publiées par le Conseil, règles d'entreprise contraignantes (BCR) pour les transferts intragroupe, un engagement écrit, ou d'autres instruments approuvés.
- Cas exceptionnels — transferts limités et occasionnels fondés sur le consentement explicite ou des motifs légaux spécifiques (par exemple l'exécution d'un contrat, ou la constatation et l'exercice de droits en justice).
Quelle garantie une société à capitaux étrangers doit-elle choisir ?
Il n'y a pas de réponse universelle, mais un parcours de décision simple aide :
- Une filiale turque unique qui envoie des données RH ou clients à une seule société mère ou filiale dans l'UE. Les CCT du Conseil constituent généralement le choix pratique — signez-les, utilisez le texte turc inchangé et déclarez sous cinq jours ouvrables.
- Un groupe multinational qui déplace des données entre de nombreuses entités et pays. Les BCR peuvent valoir l'effort d'approbation plus lourd, car une fois approuvées, elles couvrent l'ensemble du groupe au lieu d'un enchevêtrement de contrats distincts.
- Un transfert rare et ponctuel (par exemple pour faire valoir un droit en justice à l'étranger). Un motif de cas exceptionnel peut s'appliquer, mais ne vous y appuyez pas pour des flux routiniers et continus.
Le problème des deux directions
Comme l'UE n'a pas adopté de décision d'adéquation pour la Turquie, les transferts en sens inverse — de l'UE vers la Turquie sous le RGPD — nécessitent toujours leurs propres garanties, généralement les CCT de la Commission européenne. De nombreux groupes maintiennent donc deux jeux de contrats parallèles. Le tableau rend la distinction concrète :
| Sens des données | Régime applicable | Ce dont vous avez besoin |
|---|---|---|
| Sortie de Turquie (vers l'UE ou ailleurs) | KVKK (art. 9) | CCT du Conseil (texte turc, non modifié) + notification à l'autorité sous 5 jours ouvrables ; ou BCR |
| Entrée en Turquie depuis l'UE | RGPD (art. 46) | CCT de la Commission européenne (ou BCR) mises en place par l'expéditeur de l'UE |
Pour la rédaction et la révision des accords qui sous-tendent ces flux, voyez comment nous traitons les accords de traitement des données et les clauses contractuelles types.
Une feuille de route pratique vers la conformité
Pour une société à capitaux étrangers opérant en Turquie ou depuis la Turquie, un programme de double conformité défendable comprend généralement les étapes suivantes :
- Cartographiez vos flux de données. Identifiez quelles données personnelles vous collectez, d'où elles proviennent (résidents de l'UE ? résidents turcs ?), où elles sont stockées et avec qui elles sont partagées — y compris les fournisseurs cloud et les sociétés du groupe à l'étranger.
- Confirmez quels régimes s'appliquent. Évaluez la portée extraterritoriale de l'article 3 du RGPD en parallèle de la KVKK. Lorsque les deux s'appliquent, alignez-vous sur la norme la plus stricte.
- Fixez vos bases légales et vos mentions. Préparez des textes d'information (aydınlatma) conformes à la KVKK et, le cas échéant, des formulaires de consentement explicite, ainsi que des mentions de confidentialité conformes au RGPD pour les utilisateurs de l'UE.
- Inscrivez-vous au VERBİS si vous atteignez les seuils, et tenez à jour l'inscription au registre.
- Mettez en place des mécanismes de transfert. Adoptez les CCT du Conseil ou des BCR pour les transferts sortants de Turquie, effectuez la notification sous cinq jours ouvrables, et adoptez les CCT de l'UE pour les transferts entrants depuis l'UE.
- Désignez des responsables identifiés. Une personne de contact VERBİS en Turquie et, lorsque le RGPD l'exige, un délégué à la protection des données ou un représentant dans l'UE.
- Préparez-vous aux incidents. La KVKK et le RGPD exigent tous deux la notification d'une violation sous 72 heures ; maintenez donc une procédure de réponse aux incidents que vous pouvez réellement exécuter sous la pression du temps.
Cookies et information du site web (aydınlatma)
Les sites web sont une source fréquente de difficultés au regard de la KVKK. Si votre site utilise des cookies, des outils d'analyse ou des pixels de pistage, vous avez généralement besoin d'une mention claire sur les cookies, de la bonne base légale pour les cookies non essentiels, et d'un texte d'information KVKK qui indique aux visiteurs ce que vous collectez et pourquoi. Pour une entreprise dont le site est tourné vers l'UE, la même bannière doit aussi satisfaire aux règles de consentement du RGPD ; concevez-la donc une seule fois pour la norme la plus stricte.
Là où un cabinet d'avocats apporte généralement de la valeur
Un fondateur inquiet a rarement besoin de tout à la fois. En pratique, un conseil externe est le plus utile pour : la cartographie des flux de données, le choix et la rédaction du bon mécanisme de transfert, la notification de CCT sous cinq jours ouvrables, la réalisation ou la mise à jour du VERBİS, et la préparation des mentions doubles KVKK et RGPD. Ce travail recoupe aussi la création de société : si vous créez une société à capitaux étrangers en Turquie, il est moins coûteux d'intégrer la conformité des données dès le premier jour que de la rajouter ensuite.
La protection des données est rarement isolée. Dans une acquisition ou une coentreprise, elle constitue un élément central de la due diligence en matière de protection des données dans les opérations de fusion-acquisition turques, et elle s'inscrit aux côtés d'autres vérifications réglementaires telles que la conformité au droit turc de la concurrence et les seuils de notification du contrôle des concentrations. Pour un examen sur mesure de vos obligations, réservez une évaluation de double conformité avec notre équipe d'Istanbul.
Sanctions en cas de manquement (chiffres 2026)
Le non-respect entraîne des conséquences au titre de chaque régime de manière indépendante. Les amendes KVKK sont des sanctions maktu (à fourchette fixe) réindexées chaque janvier ; les chiffres ci-dessous correspondent aux fourchettes publiées pour 2026 (taux de réévaluation de 25,49 %, Journal officiel du 27 novembre 2025, applicable au 1er janvier 2026).
| Manquement KVKK (fourchette 2026) | Fourchette d'amende |
|---|---|
| Obligation d'information (aydınlatma) | 85 437 – 1 709 200 TL |
| Mesures de sécurité des données (art. 12) | 256 357 – 17 092 242 TL |
| Défaut d'inscription au VERBİS | 341 809 – 17 092 242 TL |
| Défaut de notification d'une CCT transfrontalière | 90 308 – 1 806 377 TL |
- Au titre de la KVKK : amendes administratives prononcées par le Conseil (réindexées chaque année comme indiqué ci-dessus), injonctions correctives et atteinte à la réputation. Un traitement illicite grave ou un transfert illicite de données personnelles peut également engager le code pénal turc (loi n° 5237, articles 135 à 140), qui couvrent l'enregistrement, le partage ou l'obtention illicites de données personnelles et le défaut de destruction de celles-ci.
- Au titre du RGPD : amendes pouvant atteindre le plus élevé de 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (art. 83), ainsi que des mesures d'exécution par les autorités de contrôle de l'UE et d'éventuelles actions civiles des personnes concernées.
Questions fréquentes
Le RGPD s'applique-t-il à une société établie uniquement en Turquie ?
C'est possible. En vertu de l'article 3 du RGPD, une société turque qui offre des biens ou des services à des personnes situées dans l'UE, ou qui suit le comportement de personnes situées dans l'UE, relève du champ d'application du RGPD même sans établissement dans l'UE. Dans ce cas, elle doit se conformer au RGPD et à la KVKK turque en même temps.
La KVKK est-elle la même chose que le RGPD ?
Non. La KVKK (loi n° 6698) s'inspirait à l'origine du droit européen de la protection des données et partage les mêmes principes fondamentaux, mais les bases légales, les règles relatives aux données sensibles, les mécanismes de transfert et les niveaux d'amende diffèrent. La réforme de 2024 (loi n° 7499) a réduit l'écart, en particulier sur les transferts transfrontaliers et les données sensibles, mais les régimes ne sont pas identiques.
Qu'est-ce qui a changé pour les transferts de données transfrontaliers en 2024 ?
La loi n° 7499, publiée le 12 mars 2024, et le règlement d'application du 10 juillet 2024 ont remplacé l'ancien modèle fondé sur le consentement par un système à plusieurs niveaux : décisions d'adéquation, garanties appropriées (clauses contractuelles types, règles d'entreprise contraignantes, engagements) et cas exceptionnels limités. L'ancienne voie du consentement pour les transferts continus n'a été autorisée que jusqu'au 1er septembre 2024. Les transferts reposant sur les clauses contractuelles types du Conseil doivent être notifiés à l'autorité dans les cinq jours ouvrables suivant la signature.
Puis-je transférer des données personnelles de l'UE vers ma société turque ?
L'UE n'a pas accordé de décision d'adéquation à la Turquie ; les transferts de l'UE vers la Turquie sous le RGPD requièrent donc généralement leurs propres garanties, le plus souvent les clauses contractuelles types de la Commission européenne. Cela est distinct des CCT turques nécessaires pour les transferts sortants de Turquie, de sorte que les groupes maintiennent souvent deux jeux de contrats parallèles.
Devons-nous nous inscrire au VERBİS ?
De nombreux responsables de traitement qui traitent des données personnelles en Turquie doivent s'inscrire au VERBİS, le registre des responsables de traitement, et désigner une personne de contact. Le fait que votre société atteigne les seuils dépend de facteurs tels que le nombre de salariés et le montant de votre bilan financier annuel, avec certaines exemptions ; cela doit donc être vérifié au regard de votre situation précise.
Quelle est l'amende en cas de non-inscription au VERBİS en Turquie ?
Pour 2026, le défaut d'inscription au VERBİS, une inscription comportant des informations erronées ou son défaut de mise à jour dans les délais peuvent entraîner une amende administrative d'environ 341 809 à 17 092 242 TL. Ces fourchettes maktu sont réindexées chaque janvier ; confirmez donc le chiffre en vigueur avant de vous y fier.
À quelle vitesse devons-nous signaler une violation de données en Turquie ?
Vous devez notifier le Conseil de la KVKK dans les 72 heures suivant la prise de connaissance d'une violation de données personnelles (décision du Conseil 2019/10), et les personnes concernées doivent également être informées dans un délai raisonnable. Le RGPD fixe le même délai de 72 heures pour la notification à l'autorité de contrôle au titre de l'article 33 ; une société relevant des deux régimes devrait donc mettre en œuvre un processus unique de réponse aux incidents conçu pour la norme la plus stricte.
