L'audit non è un giorno,
ma un sistema che funziona ogni giorno.

La KVKK obbliga ogni titolare del trattamento a iscriversi al sistema informativo del registro dei titolari del trattamento (VERBİS). L'obbligo riguarda le aziende con più di 50 dipendenti all'anno o con un bilancio annuo superiore a 100 milioni di lire turche; sotto questa soglia esistono alcune esenzioni, ma chi tratta categorie particolari di dati (salute, dati penali, biometria ecc.) deve comunque iscriversi. L'iscrizione non è una tantum: va aggiornata quando cambiano le finalità del trattamento. La mancata iscrizione comporta sanzioni amministrative da 100.000 a 1,5 milioni di lire turche.

Condividono la stessa logica, ma non sono identici. La KVKK è entrata in vigore in Turchia nel 2016, il GDPR nell'UE nel 2018. Molti principi fondamentali coincidono: limitazione della finalità, minimizzazione dei dati, responsabilizzazione. Il GDPR però è molto più rigoroso: per i trasferimenti transfrontalieri servono le clausole contrattuali standard (SCC), l'obbligo di nominare un DPO scatta più spesso, il termine per le richieste degli interessati è di 30 giorni, la notifica delle violazioni è di 72 ore e le sanzioni possono arrivare al 4% del fatturato annuo globale. Un'azienda turca presente nell'UE o che vende a residenti nell'UE deve applicare entrambi. Il nostro consiglio pratico: progetti in base al GDPR e poi adegui alla KVKK — mai il contrario.

Se non vende direttamente beni o servizi nell'UE e non monitora il comportamento dei residenti nell'UE, il GDPR potrebbe non applicarsi direttamente alla sua azienda. L'ambito indiretto però è molto più ampio: un cliente dall'UE che compila un modulo sul suo sito, un fornitore nell'UE di cui tratta i dati, un dipendente nell'UE — ognuno di questi casi tocca il GDPR. Inoltre i suoi clienti B2B possono imporre per contratto un livello di conformità da GDPR. Progettare a livello GDPR mentre ci si adegua alla KVKK semplifica molto le future valutazioni d'impatto (DPIA) dei clienti. «Per ora non serve» di solito costa di più nel lungo periodo.

Sì. Sia l'art. 5/1 della KVKK sia l'art. 6 del GDPR, insieme alla direttiva ePrivacy, vietano di installare cookie senza consenso esplicito. C'è un'eccezione per i cookie strettamente necessari (sessione, carrello), ma i cookie analitici, di marketing e di profilazione richiedono un consenso attivo. Un banner che carica i cookie prima del clic su «Accetta», un link «Continua» conteggiato come consenso, tracker che restano attivi dopo il rifiuto: sono tutti motivi di sanzione. In Turchia, nel 2024 decine di brand sono stati sanzionati proprio per questo. La configurazione corretta: CMP, consent mode di GTM e ogni tracker attivato solo dopo il consenso.

Secondo il GDPR la nomina di un responsabile della protezione dei dati (DPO) è obbligatoria in tre casi: quando si è un organismo pubblico, quando l'attività principale è il monitoraggio sistematico su larga scala, oppure quando è il trattamento su larga scala di categorie particolari di dati. Negli altri casi è consigliata ma facoltativa. La KVKK richiede invece una «persona di contatto»: ogni azienda iscritta a VERBİS deve comunicarne una all'autorità. Il ruolo di DPO o di persona di contatto può essere coperto internamente o acquisito come DPO-as-a-Service; noi applichiamo spesso questo secondo modello. Sono fondamentali l'assenza di conflitti di interesse, l'indipendenza nell'organizzazione e il riporto diretto al vertice aziendale.

All'interno dell'UE il trasferimento è libero. Fuori dall'UE serve un meccanismo di trasferimento: un paese con decisione di adeguatezza (Regno Unito, Svizzera, Giappone ecc.) oppure clausole contrattuali standard (SCC) firmate. Per gli Stati Uniti può utilizzare fornitori certificati nell'EU-US Data Privacy Framework (2023); per i fornitori statunitensi non certificati servono SCC e una valutazione d'impatto sul trasferimento (TIA). Dalla Turchia verso l'UE, ai sensi dell'art. 9 della KVKK non esiste una decisione di «protezione adeguata»: il trasferimento avviene tramite impegno scritto più approvazione dell'autorità, oppure con consenso esplicito. Impostare correttamente questi meccanismi è il punto più trascurato nella maggior parte degli audit.

Secondo il GDPR la notifica all'autorità di controllo è obbligatoria entro 72 ore. Se c'è un «rischio elevato» per gli interessati, occorre informare anche loro senza ingiustificato ritardo. La KVKK parla di «il prima possibile»; in pratica l'autorità lo interpreta come 72 ore. Il mancato rispetto del termine comporta una sanzione separata rispetto alla violazione stessa, che nella maggior parte dei casi equivale alla metà della sanzione principale. Il nostro runbook: sospetta violazione → triage entro 1 ora → perimetro definito entro 4 ore → testo ufficiale redatto entro 24 ore → notifica e comunicazione agli interessati entro 72 ore. Senza testi già pronti, elenco dei contatti e albero decisionale, il termine non si rispetta.

Le sanzioni amministrative della KVKK vengono aggiornate ogni anno in base al tasso di rivalutazione. Per il 2024: violazione dell'obbligo di informativa da 47.000 a 940.000 lire turche, violazione della sicurezza dei dati da 141.000 a 9,4 milioni di lire turche, inosservanza di una decisione dell'autorità da 235.000 a 9,4 milioni di lire turche. Il GDPR prevede due livelli: violazioni meno gravi fino al 2% del fatturato annuo globale o 10 milioni di euro; violazioni gravi fino al 4% o 20 milioni di euro (se superiore). A questo si aggiungono perdita di clienti, penali contrattuali e danni al brand, che possono valere molte volte tanto. Per la violazione del 2019, a British Airways fu inizialmente proposta una sanzione di 183 milioni di sterline, poi ridotta a 20 milioni — le piccole aziende non sopravvivono a tanto.