KVKK 下的 VERBİS 登记：谁必须登记以及如何登记

如果贵公司处理与土耳其相关的个人数据，您可能需要在 VERBİS 中登记——即由土耳其数据保护机构维护的数据控制者登记簿（Veri Sorumluları Sicili）。这项义务源自《个人数据保护法》第 6698 号（Kişisel Verilerin Korunması Kanunu，简称 "KVKKKVKK第6698号《个人数据保护法》土耳其的数据保护法——个人数据的收集、存储与传输规则，以及执行这些规则的机构。词典 →"）第 16 条。简而言之：大多数作为"数据控制者"（veri sorumlusu）行事的组织，必须在开始处理之前完成登记，除非其符合某项已公布的豁免——而未能登记可能导致行政罚款。下文我们将说明谁必须登记、谁可以豁免、登记系统要求哪些信息、登记如何与指定联系人或代表相关联，以及如果您跳过登记会发生什么。

什么是 VERBİS，以及该义务的来源

VERBİS 是 Veri Sorumluları Sicil Bilgi Sistemi 的缩写——即运行数据控制者登记簿（Veri Sorumluları Sicili）的信息系统。它是由个人数据保护机构（Kişisel Verileri Koruma Kurumu，简称"KVKK 机构 / Kurum"）维护的在线登记簿，并接受个人数据保护委员会（Kişisel Verileri Koruma Kurulu，简称"委员会 / Kurul"）的监督。

其法律依据是《个人数据保护法》第 6698 号第 16 条。该条要求符合数据控制者（veri sorumlusu——即决定为何以及如何处理个人数据的一方）资格的个人和组织，在开始处理个人数据之前在登记簿中登记，除非适用某项豁免。委员会（Kurul）有权设定决定谁必须登记的标准，并公布豁免情形。

登记与"遵守 KVKK"并不是一回事。即便某个控制者免于 VERBİS 登记，仍然必须遵守该法律的其余规定——合法处理、告知通知、数据安全，以及回应数据主体的请求。VERBİS 是一项具体的透明度义务，并非您全部义务的总和。

谁必须在 VERBİS 中登记？

简短的答案是：符合委员会（Kurul）所设标准的数据控制者必须登记。委员会通过考量以下因素来决定这些标准，例如所处理个人数据的性质和数量、处理是否属于控制者的主要活动，以及——对企业而言尤为重要的——衡量控制者规模的指标，如员工人数和年度财务/资产负债表数字。

从实际操作来看，这意味着通常会出现三种情形：

• 您显然必须登记——例如，规模超过门槛的较大型公司，以及某些控制者（如其主营业务涉及处理特殊类别个人数据者，özel nitelikli kişisel veri），无论规模大小。
• 您很可能可以豁免——许多小型组织低于委员会设定的门槛，并且存在若干基于活动的豁免（见下一节）。
• 情况确实不明确——您处于某个门槛附近，或者您的处理活动在年度内发生了变化。这正是控制者最常出错的地方。

对于外国公司而言，触发条件通常是其作为数据控制者在土耳其处理个人数据——例如，运营土耳其分支机构、在土耳其雇用员工、运营面向土耳其的平台，或以其他方式处理土耳其境内人员的个人数据，从而使其落入该法律的适用范围。在这种情况下，该控制者通常需要与境内控制者一样在 VERBİS 中登记，并适用相同的标准和豁免。

豁免：谁无需登记

第 16 条允许委员会（Kurul）豁免某些类别的数据控制者免于登记。豁免情形载于委员会的决定和次级法规中，大致可分为两类。

基于规模的豁免

低于委员会规模标准的控制者通常可获豁免。这正是员工人数以及年度资产负债表/营业额门槛起作用之处：如果您低于这些门槛——并且未被某项基于活动的规则所涵盖——则可能无需登记。

基于活动的豁免

委员会还基于某些控制者是什么或做什么而非其规模，对其予以豁免。多年来出现在豁免清单中的类别包括，例如，某些专业人士、协会及类似团体，且其仅为自身内部已界定的目的处理数据。准确的清单及其条件由委员会设定。

登记系统要求哪些信息

VERBİS 以个人数据处理清单（kişisel veri işleme envanteri）为核心构建。为完成登记，您需申报——并持续更新——对您处理活动的结构化描述。登记系统要求的信息类别通常包括：

• 数据控制者以及联系人或代表的身份和联系方式。
• 数据主体类别（例如员工、客户、供应商、网站用户）。
• 所处理的个人数据类别，其中特殊类别个人数据（özel nitelikli kişisel veri，如健康、生物识别或犯罪记录数据）须单独标注，因为它们适用更严格的规则。
• 处理数据的目的。
• 可能向其披露数据的接收方或接收方类别。
• 向境外的转移（yurt dışına aktarım）——个人数据是否或可能转移给土耳其境外的接收方。
• 每一类数据的最长保留期限。
• 为保护数据所采取的技术和组织安全措施。

您内部维护的清单与 VERBİS 申报必须保持一致。与贵公司实际处理数据方式不符的登记本身就是一个问题。

联系人以及境外控制者的代表

登记与指定专人对接机构和数据主体密切相关。

联系人（irtibat kişisi）

在土耳其设立并在 VERBİS 中登记的数据控制者，需指定一名联系人（irtibat kişisi）。联系人是与机构（Kurum）沟通的联络点。重要的是，担任联系人并不转移法律责任——数据控制者仍对合规承担责任。

境外控制者的代表

当数据控制者不在土耳其居住/设立时，既定要求是其指定一名土耳其境内的代表（一家土耳其居民法人实体或一名土耳其公民），以便机构和数据主体可与之联系，并代表控制者完成 VERBİS 登记。代表的授权应得到妥善的书面记录。

代表所需的确切形式、授权范围以及文件要求，属于次级法规中的细节事项，因此该项指定应按照现行规则来设置，而非套用通用模板。

如果未能登记会发生什么

如果您有义务登记却未登记——或者您在本应完成登记的情况下未完成登记便处理个人数据——便会使公司面临行政罚款。针对违反登记义务的处罚制度规定在第 6698 号 KVKK 第 18 条，该条列举了各项违法行为（kabahatler）以及委员会（Kurul）可施加的行政罚款。

除罚款本身外，未登记或登记不准确的 VERBİS 状况，往往是投诉或审计中最先暴露出来的问题，并可能影响机构（Kurum）对您其余合规情况的看法。正确登记——并保持条目时刻更新——是成本更低的途径。

外国公司的实用步骤顺序

如果您是一家试图厘清自身状况的外国公司，采取沉着、有条理的方法通常效果最佳：

• 确认您的角色。您是数据控制者（由您决定为何以及如何处理）还是替他人行事的处理者（veri işleyen，数据处理者）？登记义务附着于控制者。
• 梳理您在土耳其的处理活动。处理哪些数据、谁的数据、用于何种目的、谁接收，以及是否有任何数据流向境外？
• 针对当年核对标准与豁免——对照委员会（Kurul）的现行有效规则，包括规模门槛以及任何基于活动的豁免。
• 理清您的联系人或土耳其代表，并将其授权落实成文件。
• 准备您的处理清单，并使您的跨境转移情况与 2024 年后的第 9 条制度相协调。
• 在适用的截止期限内于 VERBİS 中登记，此后每当您的处理活动发生变化时即更新条目。

这些步骤中没有哪一步应凭记忆中的某个数字或通用模板来决定。每一步都取决于委员会所设定并修订的规则，以及贵公司处理与土耳其相关数据的具体事实情况。

常见问题