Inscription au VERBİS selon la KVKK : qui doit s'enregistrer et comment
Si votre société traite des données personnelles en lien avec la Türkiye, vous pouvez être tenu de vous inscrire au VERBİS — le Registre des responsables de traitement (Veri Sorumluları Sicili) tenu par l'autorité turque de protection des données. Cette obligation découle de l'article 16 de la loi n° 6698 sur la protection des données personnelles (Kişisel Verilerin Korunması Kanunu, « KVKKKVKKLoi n° 6698 sur la protection des données personnellesLa loi turque sur la protection des données — collecte, conservation et transfert des données personnelles, et l'autorité qui les fait respecter.Lexique → »). En bref : la plupart des organisations agissant comme « responsable de traitement » (veri sorumlusu) doivent s'enregistrer avant de commencer à traiter des données, sauf si elles relèvent d'une exemption publiée — et le défaut d'inscription peut entraîner une amende administrative. Nous expliquons ci-dessous qui doit s'enregistrer, qui est exempté, quelles informations le registre demande, comment l'inscription est liée à la désignation d'une personne de contact ou d'un représentant, et ce qui se passe si vous y manquez.
Qu'est-ce que le VERBİS et d'où vient l'obligation
VERBİS désigne le Veri Sorumluları Sicil Bilgi Sistemi — le système d'information qui fait fonctionner le Registre des responsables de traitement (Veri Sorumluları Sicili). Il s'agit d'un registre en ligne tenu par l'Autorité de protection des données personnelles (Kişisel Verileri Koruma Kurumu, « l'Autorité KVKK »), sous le contrôle du Conseil de protection des données personnelles (Kişisel Verileri Koruma Kurulu, le « Conseil »).
Le fondement juridique est l'article 16 de la loi n° 6698 sur la protection des données personnelles. Cet article impose aux personnes et organisations qui ont la qualité de responsable de traitement (veri sorumlusu — la partie qui décide pourquoi et comment les données personnelles sont traitées) de s'inscrire au registre avant de commencer à traiter des données personnelles, sauf si une exemption s'applique. Le Conseil est habilité à fixer les critères qui déterminent qui doit s'enregistrer et à publier les exemptions.
Loi applicable : Kişisel Verilerin Korunması Kanunu n° 6698, article 16 (Veri Sorumluları Sicili). Le Conseil prend également des décisions et adopte une réglementation secondaire qui précisent le détail de ce qui doit être enregistré, les catégories d'exemption et les délais d'inscription.
S'enregistrer n'est pas la même chose que « se conformer à la KVKK ». Même un responsable de traitement exempté du VERBİS reste tenu de respecter le reste de la loi — licéité du traitement, mentions d'information, sécurité des données et réponse aux demandes des personnes concernées. Le VERBİS est une obligation de transparence spécifique, et non l'ensemble de vos obligations.
Qui doit s'inscrire au VERBİS ?
La réponse brève : les responsables de traitement qui remplissent les critères fixés par le Conseil doivent s'enregistrer. Le Conseil détermine ces critères en examinant des facteurs tels que la nature et le volume des données personnelles traitées, le fait que le traitement relève ou non de l'activité principale du responsable et — point important pour les entreprises — des mesures de la taille du responsable telles que le nombre de salariés et les chiffres financiers/bilan annuels.
En pratique, cela donne lieu à trois situations courantes :
- Vous devez clairement vous enregistrer — par exemple les sociétés plus importantes dépassant les seuils de taille, ainsi que certains responsables (comme ceux dont l'activité principale implique le traitement de catégories particulières de données) quelle que soit leur taille.
- Vous êtes probablement exempté — beaucoup de petites organisations se situent en dessous des seuils fixés par le Conseil, et plusieurs exemptions fondées sur l'activité existent (voir la section suivante).
- Le cas est réellement incertain — vous vous situez près d'un seuil, ou votre traitement a changé au cours de l'année. C'est là qu'un responsable se trompe le plus souvent.
Le nombre exact de salariés et les chiffres de bilan/chiffre d'affaires annuel qui déclenchent l'obligation sont des seuils précis fixés par le Conseil, et ils ont été révisés au fil du temps. Nous les avons délibérément décrits de manière qualitative ici. N'agissez pas sur la base d'un chiffre mémorisé — les chiffres actuels doivent être vérifiés au regard des décisions en vigueur du Conseil pour votre année d'inscription.
Pour une société étrangère, le déclencheur est généralement le fait qu'elle traite des données personnelles en Türkiye en tant que responsable de traitement — par exemple en exploitant une succursale turque, en employant du personnel en Türkiye, en opérant une plateforme tournée vers la Türkiye, ou en traitant de toute autre manière les données personnelles de personnes en Türkiye d'une façon qui la fait entrer dans le champ de la loi. Dans ce cas, le responsable est en général tenu de s'inscrire au VERBİS de la même manière qu'un responsable national, sous réserve des mêmes critères et exemptions.
Exemptions : qui n'est pas tenu de s'enregistrer
L'article 16 permet au Conseil d'exempter certaines catégories de responsables de traitement de l'inscription. Les exemptions sont définies dans des décisions du Conseil et dans la réglementation secondaire, et elles se répartissent en deux grands types.
Exemption fondée sur la taille
Les responsables situés en dessous des critères de taille du Conseil sont fréquemment exemptés. C'est là que les seuils de nombre de salariés et de bilan/chiffre d'affaires annuel entrent en jeu : si vous vous situez en dessous — et que vous n'êtes pas visé par une règle fondée sur l'activité — vous pourriez ne pas avoir besoin de vous enregistrer.
Exemptions fondées sur l'activité
Le Conseil a également exempté certains responsables en raison de ce qu'ils sont ou de ce qu'ils font, plutôt que de leur taille. Parmi les catégories ayant figuré au fil du temps sur la liste des exemptions, on trouve par exemple certains professionnels ainsi que des associations et organismes similaires qui ne traitent des données qu'à des fins internes et définies qui leur sont propres. La liste précise, et ses conditions, est fixée par le Conseil.
Les catégories d'exemption et leur formulation sont définies par décision du Conseil et peuvent changer. Traitez toute liste que vous lisez — y compris celle-ci — comme une invitation à vérifier, et non comme le dernier mot. Une exemption qui s'appliquait l'an dernier peut avoir été restreinte, et une exemption peut être perdue dès que votre traitement ou votre taille change.
Être exempté du VERBİS ne vous exempte pas du reste de la KVKK. Vous restez tenu aux obligations de base légale, de transparence, de sécurité et de respect des droits des personnes concernées. Conservez une preuve écrite des raisons pour lesquelles vous avez conclu être exempté, au cas où l'Autorité le demanderait.
Quelles informations le registre exige-t-il
Le VERBİS est structuré autour d'un inventaire des traitements de données personnelles (kişisel veri işleme envanteri). Pour vous enregistrer, vous déclarez — et tenez à jour — une description structurée de vos traitements. Les catégories d'informations demandées par le registre comprennent généralement :
- L'identité et les coordonnées du responsable de traitement, ainsi que de la personne de contact ou du représentant.
- Les catégories de personnes concernées (par exemple salariés, clients, fournisseurs, utilisateurs du site web).
- Les catégories de données personnelles traitées, les catégories particulières (telles que les données de santé, biométriques ou relatives aux antécédents judiciaires) étant signalées séparément car elles relèvent de règles plus strictes.
- Les finalités pour lesquelles les données sont traitées.
- Les destinataires ou catégories de destinataires auxquels les données peuvent être communiquées.
- Les transferts à l'étranger — le fait que des données personnelles soient ou puissent être transférées à des destinataires situés hors de Türkiye.
- Les durées de conservation maximales pour chaque catégorie de données.
- Les mesures de sécurité techniques et organisationnelles prises pour protéger les données.
L'inventaire que vous tenez en interne et la déclaration VERBİS doivent concorder. Une inscription qui ne correspond pas à la manière dont votre entreprise traite réellement les données est en soi un problème.
La réforme de 2024 de la KVKK (loi n° 7499) a remanié le régime des transferts de données personnelles à l'étranger (article 9), en introduisant un ensemble structuré de mécanismes de transfert. Comme votre déclaration VERBİS indique si vous transférez des données hors de Türkiye, votre position en matière de transfert transfrontalier (yurt dışına aktarım) et votre inscription au registre doivent être examinées ensemble. Les conditions précises de transfert et les éventuelles garanties associées doivent être vérifiées au regard du régime actuel de l'article 9 et des règles d'application du Conseil.
La personne de contact et le représentant pour les responsables étrangers
L'inscription est étroitement liée à la désignation d'une personne chargée de traiter avec l'Autorité et avec les personnes concernées.
Personne de contact (irtibat kişisi)
Un responsable de traitement établi en Türkiye qui s'inscrit au VERBİS désigne une personne de contact (irtibat kişisi). La personne de contact est le point de communication avec l'Autorité. Point important, le fait d'être la personne de contact ne transfère pas la responsabilité juridique — le responsable de traitement demeure responsable de la conformité.
Représentant pour les responsables établis à l'étranger
Lorsque le responsable de traitement n'est pas résident en Türkiye, il est attendu qu'il désigne un représentant en Türkiye (une personne morale résidente en Türkiye ou un citoyen turc) qui puisse être joint par l'Autorité et par les personnes concernées, et qui effectue l'inscription au VERBİS pour le compte du responsable. Les pouvoirs du représentant doivent être dûment documentés.
Pour une entreprise étrangère, déterminer qui est votre représentant en Türkiye — et faire documenter ses pouvoirs — est généralement l'étape préalable qui conditionne toute possibilité de vous enregistrer. Prévoyez du temps pour cela.
La forme exacte, l'étendue des pouvoirs et la documentation requise pour le représentant relèvent du détail de la réglementation secondaire ; la désignation doit donc être mise en place pour satisfaire aux règles actuelles plutôt qu'à un modèle générique.
Ce qui se passe si vous ne vous enregistrez pas
Si vous êtes tenu de vous enregistrer et que vous ne le faites pas — ou si vous traitez des données personnelles sans avoir effectué une inscription à laquelle vous étiez obligé — vous exposez la société à une amende administrative. Le régime de sanctions pour manquement à l'obligation d'inscription figure à l'article 18 de la KVKK n° 6698, qui énumère les contraventions (kabahatler) et les amendes administratives que le Conseil peut prononcer.
Nous n'avons volontairement indiqué aucun montant d'amende. Les montants des amendes administratives de l'article 18 sont fixés en livres turques et sont réévalués chaque année en vertu du mécanisme légal de réévaluation. Tout chiffre doit être vérifié au regard des montants en vigueur pour l'année concernée avant que vous ne vous y fiiez.
Au-delà de l'amende elle-même, une situation VERBİS non déclarée ou inexacte est souvent le premier élément qui ressort lors d'une plainte ou d'un audit, et elle peut teinter la manière dont l'Autorité perçoit le reste de votre conformité. S'enregistrer correctement — et tenir l'inscription à jour — est la voie la moins coûteuse.
Les dispositions clés en un seul endroit : obligation d'inscription — article 16 ; transferts transfrontaliers (tels que modifiés en 2024 par la loi n° 7499) — article 9 ; amendes administratives — article 18 ; le tout au sein de la Kişisel Verilerin Korunması Kanunu n° 6698. Les délais, seuils, exemptions et montants d'amende sont fixés par le Conseil et par la réévaluation annuelle, et évoluent dans le temps.
Une marche à suivre pratique pour les sociétés étrangères
Si vous êtes une société étrangère cherchant à déterminer votre situation, une approche posée et ordonnée donne généralement les meilleurs résultats :
- Confirmez votre rôle. Êtes-vous responsable de traitement (vous décidez du pourquoi et du comment) ou sous-traitant (veri işleyen) agissant pour le compte d'un tiers ? L'obligation d'inscription incombe au responsable.
- Cartographiez vos traitements en Türkiye. Quelles données, les données de qui, à quelles fins, qui les reçoit, et certaines partent-elles à l'étranger ?
- Vérifiez les critères et exemptions pour l'année en cours au regard des règles en vigueur du Conseil — seuils de taille et éventuelle exemption fondée sur l'activité.
- Réglez la question de votre personne de contact ou de votre représentant en Türkiye et documentez leurs pouvoirs.
- Préparez votre inventaire des traitements et mettez en cohérence votre position en matière de transfert transfrontalier avec le régime de l'article 9 issu de la réforme de 2024.
- Inscrivez-vous au VERBİS dans le délai applicable, puis tenez l'inscription à jour chaque fois que vos traitements changent.
Aucune de ces étapes ne devrait être tranchée sur la base d'un chiffre mémorisé ou d'un modèle générique. Chacune dépend de règles que le Conseil fixe et révise, et des faits propres à la manière dont votre entreprise gère les données liées à la Türkiye.
Questions fréquentes
Une société étrangère doit-elle vraiment s'inscrire au VERBİS ?
C'est possible. Si votre société agit comme responsable de traitement et traite des données personnelles en Türkiye — par exemple via une succursale, du personnel turc ou un service tourné vers la Türkiye — il est en général attendu que vous vous inscriviez au VERBİS selon les mêmes critères qu'un responsable national, et que vous désigniez un représentant en Türkiye. Le fait que l'obligation s'applique réellement dépend des seuils et exemptions du Conseil, de sorte que votre situation particulière doit être vérifiée.
Nous sommes une petite société. Sommes-nous automatiquement exemptés ?
Pas automatiquement. Beaucoup de petites organisations se situent en dessous des seuils de taille du Conseil et sont exemptées, mais ces seuils sont des chiffres précis fixés par le Conseil, et certaines activités déclenchent l'inscription quelle que soit la taille. Vous devriez confirmer votre statut au regard des critères actuellement en vigueur plutôt que de présumer.
Quelle est la différence entre une personne de contact et un représentant ?
Une personne de contact (irtibat kişisi) est désignée par un responsable de traitement établi en Türkiye comme point de communication avec l'Autorité — sans assumer la responsabilité juridique du responsable. Un représentant est ce qu'un responsable établi hors de Türkiye est tenu de désigner : une personne ou une entité résidant en Türkiye, joignable par l'Autorité et les personnes concernées, qui peut effectuer l'inscription pour le compte du responsable étranger.
Quelle est l'amende en cas de défaut d'inscription ?
Le défaut d'inscription lorsqu'elle est requise peut entraîner une amende administrative en vertu de l'article 18 de la KVKK n° 6698. Nous n'avons pas indiqué de montant ici car les chiffres sont fixés en livres turques et réévalués chaque année, de sorte que le montant actuel doit être vérifié pour l'année concernée avant que vous ne vous y fiiez.
La réforme de 2024 de la KVKK a-t-elle modifié le VERBİS ?
La réforme de 2024 (loi n° 7499) a principalement remanié les règles relatives au transfert de données personnelles à l'étranger en vertu de l'article 9. Cela importe pour le VERBİS car votre déclaration au registre indique si vous transférez des données hors de Türkiye ; vos dispositifs de transfert transfrontalier et votre inscription au registre doivent donc être examinés ensemble au regard du régime actuel.
Si nous sommes exemptés du VERBİS, avons-nous encore des obligations au titre de la KVKK ?
Oui. Être exempté de l'inscription ne vous exempte pas du reste de la loi. Vous restez tenu d'obligations telles que disposer d'une base légale, fournir des mentions d'information, sécuriser les données et répondre aux demandes des personnes concernées. Le VERBİS est une obligation de transparence, et non l'ensemble de la conformité.
