La auditoría no es un día,
sino un sistema que funciona a diario.

La KVKK impone a todo responsable del tratamiento la obligación de inscribirse en el Sistema de Información del Registro de Responsables del Tratamiento (VERBİS). Se aplica a las empresas con más de 50 empleados al año o con un balance anual superior a 100 millones de TL; por debajo de ese umbral existen algunas exenciones, pero quien trate categorías especiales de datos (salud, antecedentes penales, biometría, etc.) debe inscribirse en todo caso. La inscripción no es puntual: debe actualizarse cuando cambian las finalidades del tratamiento. No inscribirse conlleva multas administrativas de entre 100 000 y 1,5 millones de TL.

Comparten la misma lógica, pero no son idénticos. La KVKK entró en vigor en Turquía en 2016 y el RGPD, en la UE en 2018. Muchos principios básicos coinciden: limitación de la finalidad, minimización de datos y responsabilidad proactiva. Sin embargo, el RGPD es mucho más estricto: exige cláusulas contractuales tipo (CCT) para las transferencias internacionales, la obligación de designar un DPO se activa con más frecuencia, el plazo de respuesta a los interesados es de 30 días, la notificación de brechas es de 72 horas y las multas pueden alcanzar el 4 % de la facturación anual global. Una empresa turca con presencia en la UE o que venda a residentes en la UE debe aplicar ambas normas. Nuestro consejo práctico: diseñe conforme al RGPD y adapte después a la KVKK, nunca al revés.

Si no vende directamente bienes o servicios en la UE ni supervisa el comportamiento de residentes en la UE, es posible que el RGPD no le afecte de forma directa. Pero el alcance indirecto es mucho más amplio: basta con que un cliente de la UE complete un formulario en su sitio web, con que trate los datos de un proveedor de la UE o con que tenga un empleado en la UE. Además, sus clientes B2B pueden exigir por contrato un nivel de cumplimiento propio del RGPD. Diseñar al nivel del RGPD mientras cumple la KVKK facilita mucho las futuras evaluaciones de impacto (EIPD) de sus clientes. El “todavía no lo necesitamos” suele salir más caro a largo plazo.

Sí. Tanto el art. 5/1 de la KVKK como el art. 6 del RGPD, junto con la Directiva ePrivacy, prohíben instalar cookies sin consentimiento explícito. Existe una excepción para las cookies estrictamente necesarias (sesión, carrito), pero las cookies analíticas, de marketing y de perfilado requieren un consentimiento activo. Un banner que carga cookies antes de hacer clic en “Aceptar”, un enlace “Continuar” que se cuenta como consentimiento o rastreadores que siguen activos tras el rechazo son motivos de sanción. En Turquía, decenas de marcas fueron multadas en 2024 exactamente por esto. La configuración correcta: CMP, modo de consentimiento de GTM y todos los rastreadores activados únicamente tras el consentimiento.

Según el RGPD, designar un delegado de protección de datos (DPO) es obligatorio en tres casos: si se trata de un organismo público, si la actividad principal consiste en la supervisión sistemática a gran escala o si la actividad principal consiste en tratar categorías especiales de datos a gran escala. Fuera de estos casos es recomendable, pero no obligatorio. La KVKK exige una “persona de contacto”: toda empresa inscrita en VERBİS debe comunicar una al regulador. La función de DPO o de persona de contacto puede cubrirse internamente o contratarse como DPO-as-a-Service; nosotros aplicamos con frecuencia el segundo modelo. La ausencia de conflictos de intereses, la independencia dentro de la organización y la relación directa con la alta dirección son fundamentales.

Dentro de la UE, la transferencia es libre. Fuera de la UE se necesita un mecanismo de transferencia: o bien un país con decisión de adecuación (Reino Unido, Suiza, Japón, etc.), o bien cláusulas contractuales tipo (CCT) firmadas. Para Estados Unidos puede utilizar proveedores certificados en el EU-US Data Privacy Framework (2023); con proveedores estadounidenses no certificados se requieren CCT y una evaluación de impacto de la transferencia (TIA). De Turquía a la UE no existe una decisión de “protección adecuada” conforme al art. 9 de la KVKK; la transferencia se realiza mediante compromiso escrito y aprobación del regulador, o mediante consentimiento explícito. Configurar bien estos mecanismos es el punto que más se pasa por alto en la mayoría de las auditorías.

Según el RGPD, la notificación a la autoridad de control es obligatoria en un plazo de 72 horas. Si existe un “alto riesgo” para los interesados, también debe informárseles sin dilación indebida. La KVKK habla de “lo antes posible”; en la práctica, el regulador lo interpreta como 72 horas. Incumplir el plazo conlleva una multa distinta de la que corresponde a la propia brecha, que en la mayoría de los casos equivale a la mitad de la multa principal. Nuestro runbook: sospecha de brecha → triaje en 1 h → alcance confirmado en 4 h → texto oficial redactado en 24 h → notificación y comunicación a los interesados en 72 h. Sin textos preparados, lista de contactos y árbol de decisiones, el plazo no alcanza.

Las multas administrativas de la KVKK se actualizan cada año con la tasa de revalorización. Para 2024: incumplir el deber de información, de 47 000 a 940 000 TL; incumplir la seguridad de los datos, de 141 000 a 9,4 millones de TL; incumplir una decisión del regulador, de 235 000 a 9,4 millones de TL. El RGPD tiene dos niveles: infracciones leves, hasta el 2 % de la facturación anual global o 10 millones de euros; infracciones graves, hasta el 4 % o 20 millones de euros (lo que sea mayor). A esto se suman la pérdida de clientes, las penalizaciones contractuales y el daño a la marca, que pueden multiplicar esa cifra muchas veces. A British Airways se le propuso inicialmente una multa de 183 millones de libras por su brecha de 2019, que se redujo a 20 millones: las empresas pequeñas no sobreviven a algo así.