Struktura e KVKK-së pas Ndryshimeve të 2024

KVKK-ja është statuti kryesor i mbrojtjes së të dhënave në Turqi, dhe teksti i ndryshuar është tani pika e referencës. Botuesit që kanë punuar me versionin para-2024 po shikojnë një kornizë të vjetëruar.

Çfarë ndryshuan Ndryshimet e 2024

Ndryshimi kryesor ishte rishkrimi i Nenit 9, i cili rregullon transfertat ndërkombëtare të të dhënave. Regjimi para-2024 ishte famëkeq i vështirë për t'u përmbushur — kërkonte ose pëlqim eksplicit ose autorizim rast-pas-rasti nga Bordi për pothuajse çdo rrjedhë ndërkufitare, gjë që ishte e pazbatueshme për çdo pirg modern të teknologjisë reklamuese. Neni 9 i ndryshuar prezanton tre nivele të mekanizmit të transfertës: një vendim mjaftueshmërie nga Bordi, një sërë masash mbrojtëse të përshtatshme duke përfshirë klauzolat standarde kontraktuale, dhe në raste të ngushta, një sërë derogimesh. Kjo përfundimisht përafronte ligjin turk të transfertës me modelin e GDPR-it dhe bën reklamimin programatik ndërkombëtarisht pajtueshëm pa ndonjë aplikim individual te Bordi për çdo shitës.

Çfarë nuk ndryshoi

Përkufizimet bazë, bazat ligjore, të drejtat e subjekteve të të dhënave dhe standardi i pëlqimit eksplicit për të dhënat e ndjeshme mbeten siç ishin. Pragu i pëlqimit eksplicit turk është, nëse gjë, më i rreptë në praktikë se standardi i GDPR-it, dhe këtu qëndrojnë shumica e boshllëqeve të pajtueshmërisë së botuesit.

Regjistri VERBIS

Kontrolluesit e të dhënave mbi pragje të caktuara — duke përfshirë shumicën e kontrolluesve të huaj që përpunojnë të dhëna personale turke në shkallë — duhet të regjistrohen në Regjistrin e Kontrolluesve të të Dhënave (VERBIS). Regjistrimi kërkon zbulimin e aktiviteteve të përpunimit, bazave ligjore dhe mekanizmave të transfertës. Shumë botues të huaj e kanë anashkaluar historikisht regjistrimin VERBIS; Bordi ka sinjalizuar një qëndrim më aktiv në këtë çështje gjatë vitit 2025 dhe 2026.

Çfarë Llogaritet si të Dhëna Personale sipas KVKK-së

Përkufizimi i të dhënave personale të KVKK-së është i gjerë dhe përputhet ngushtë me GDPR-in. Të dhënat personale janë çdo informacion në lidhje me një person natyror të identifikuar ose të identifikueshëm, dhe udhëzimi i Bordit ka trajtuar vazhdimisht cookie-t, identifikuesit e reklamave, adresat IP dhe gjurmët e gishtave të pajisjes si të dhëna personale kur mund të lidhen me një përdorues drejtpërdrejt ose nëpërmjet mjeteve të arsyeshme.

Të Dhëna Personale të Ndjeshme

Lista e KVKK-së e kategorive të ndjeshme është më e gjerë se ajo e GDPR-it: ajo përfshin në mënyrë eksplicite racën, origjinën etnike, opinionin politik, besimin filozofik, fenë, sektin, pamjen, anëtarësinë në shoqata ose fondacione, shëndetin, jetën seksuale, dënimin penal, masat e sigurisë dhe të dhënat biometrike dhe gjenetike. Përpunimi i cilësdo prej këtyre kërkon pëlqim eksplicit — jo llojin e paqartë apo të grupuar, por një pëlqim specifik, të informuar, të dhënë lirisht i lidhur me përpunimin specifik të ndjeshëm.

Pse Kjo Është e Rëndësishme për Cookie-t

Një cookie që ruan vetëm një ID sesioni është të dhëna personale bazë. Një cookie që ushqen një segment audiencë si Votuesit Liberal ose Komuniteti Fetar Besimtar janë të dhëna personale të ndjeshme sipas përkufizimit turk — dhe konfigurimi i pëlqimit i nevojshëm është pëlqim-eksplicit-ose-asgjë. Botuesit që synojnë segmente audiencë që prekin listën e ndjeshme të KVKK-së nuk duhet të ekzekutojnë ato segmente nën pëlqimin e përgjithshëm reklamues.

Pëlqimi i Cookie-ve sipas KVKK-së në 2026

Qëndrimi i Bordit ndaj cookie-ve është shtrënguar gjatë dy viteve të fundit. Udhëzimi aktual është i padyshimtë: cookie-t dhe teknologjitë e gjurmimit që përpunojnë të dhëna personale kërkojnë pëlqim nëse nuk janë rreptësisht të nevojshme për një shërbim që ka kërkuar përdoruesi.

Katër Elementet e Pëlqimit Eksplicit të Vlefshëm

Pëlqimi eksplicit turk duhet të jetë:

• Lidhur me një temë specifike — pëlqimi i përgjithshëm ombrellë që mbulon përpunimin e paspërcaktuar të ardhshëm nuk është i vlefshëm
• I informuar — përdoruesi kupton cilat të dhëna përpunohen, për çfarë qëllimi, nga kush dhe për sa kohë
• Dhënë lirisht — përdoruesi mund të refuzojë pa iu mohuar një shërbim për të cilin ka të drejtë ndryshe
• Shprehur nëpërmjet një akti pozitiv të qartë — kutitë e para-shënuara, pëlqimi i nënkuptuar dhe lëvizja si pëlqim janë të gjitha të pavlefshme

Si Duket një CMP Pajtuese

Një CMP e konfiguruar për trafikun turk në 2026 duhet të paraqesë:

• Një baner të dukshëm para se të aktivizohet çdo cookie jo-thelbësore, me parazgjedhje në turqisht (Türkçe) për përdoruesit turq
• Dukshmëri vizuale të barabartë për Prano, Refuzo dhe Personalizo — Bordi ka kritikuar specifike dizajnet e banerit ku Refuzo është më pak i dukshëm se Prano
• Çelësa granular për çdo qëllim: analitikë, reklamim, personalizim, transfertë ndërkufitare dhe çdo përpunim të kategorisë së ndjeshme
• Një mekanizëm i qëndrueshëm dhe lehtësisht i aksesueshëm për të tërhequr pëlqimin pas zgjedhjes fillestare
• Aydınlatma Metni (Njoftim i Privatësisë) në gjuhën turke duke zbuluar identitetin e kontrolluesit, qëllimet, marrësit, mbajtjen dhe të drejtat
• Një rrjedhë eksplicite e veçantë e etiketuar qartë e pëlqimit (açık rıza) për çdo përpunim të kategorisë së ndjeshme, e bllokuar pas veprimit të vet

Rekordet e Pëlqimit

Kontrollori duhet të mbajë regjistra të pëlqimit — kush dha pëlqimin, kur, për çfarë, nëpërmjet çfarë ndërfaqeje. Bordi i KVKK-së ka cituar regjistrat e pamjaftueshëm të pëlqimit në disa veprime zbatimi, dhe regjistrat e eksportueshëm me vulë kohore janë pritshmëria bazë.

Transfertat Ndërkufitare sipas Nenit 9 të 2024

Ndryshimet e 2024 prezantuan një kornizë transferte me tre nivele që pasqyron qasjen e GDPR-it. Të kuptuarit se cili nivel zbatohet për cilin rrjedhë është boshllëku më i zakonshëm i pajtueshmërisë për botuesit e huaj në 2026.

Niveli 1 — Vendim Mjaftueshmërie

Bordi mund të caktojë një vend, organizatë ndërkombëtare ose sektor të një vendi si duke ofruar mbrojtje të mjaftueshme. Transfertat në destinacione të mjaftueshme lejohen pa mekanizëm shtesë. Që nga fillimi i 2026, Bordi ka lëshuar gradualisht vendime mjaftueshmërie por nuk ka caktuar ende Shtetet e Bashkuara gjerësisht.

Niveli 2 — Masa Mbrojtëse të Përshtatshme

Në mungesë të mjaftueshmërisë, transfertat lejohen mbi bazën e masave mbrojtëse të përshtatshme. Ndryshimet parashikojnë specifike klauzolat standarde kontraktuale të miratuara nga Bordi, rregullat detyruese korporative për transfertat brenda grupit dhe kodet e sjelljes ose mekanizmat e çertifikimit të miratuara nga Bordi. Klauzolat standarde kontraktuale të Bordit u botuan në 2024 dhe janë mekanizmi kryesor i punës për shumicën e botuesve.

Niveli 3 — Derogimet

Ekzistojnë përjashtime të ngushta për transfertat okkazionale, transfertat e nevojshme për ekzekutimin e kontratës ose transfertat për të cilat përdoruesi ka dhënë pëlqim eksplicit. Këto nuk mund të përdoren si bazë ligjore kryesore për rrjedhat programatike të vazhdueshme.

Implikimi Praktik për Botuesit

Një pirg tipik programatik dërgon të dhëna të nxjerra nga cookie-t te dhjetëra shitës jashtë shtetit për çdo ofertë. Secila prej atyre rrjedhjeve është një transfertë ndërkufitare. Qasja e zbatueshme e 2026 është të ekzekutoni klauzolat standarde kontraktuale të miratuara nga Bordi me çdo procesor ndërkombëtar dhe të dokumentoni mekanizmin e transfertës në Aydınlatma Metni dhe regjistrimin VERBIS. Botuesit që kanë ngelur me logjikën e pëlqimit-eksplicit-për-çdo-transfertë para-2024 janë njëkohësisht të ekspozuar shumë ndaj riskut të pajtueshmërisë dhe të nënpërdorur në mundësinë e monetizimit.

Të Drejtat e Subjekteve të të Dhënave

Subjektet turke të të dhënave kanë të gjithë grupin e të drejtave të gjetura në GDPR, të zbatuara nëpërmjet kornizës KVKK:

• E drejta për të mësuar nëse të dhënat e tyre po përpunohen
• E drejta e aksesit në të dhënat e përpunuara
• E drejta e korrigjimit të të dhënave të pasakte
• E drejta e fshirjes ose anonimizimit kur përpunimi nuk justifikohet më
• E drejta për t'u informuar për palët e treta të cilave i janë zbuluar të dhënat
• E drejta e kundërshtimit ndaj vendimeve të automatizuara që prodhojnë efekte negative
• E drejta e kompensimit për dëmet e shkaktuara nga përpunimi i paligjshëm

Afatet Kohore të Përgjigjes

Kontrolluesit duhet t'u përgjigjen kërkesave të subjekteve të të dhënave brenda 30 ditëve. Subjekti i të dhënave mund të eskalojë te Bordi i KVKK-së nëse përgjigja e kontrolluesit është e pamjaftueshme, dhe Bordi ka një dritare 60-ditore për të vendosur. Gatishmëria operacionale për dritaren 30-ditore — me manualet, mjetet dhe modelet e përgjigjes në gjuhën turke — është një boshllëk i zakonshëm për botuesit e huaj.

Gjobat dhe Qëndrimi i Zbatimit në 2026

Bordi i KVKK-së ishte relativisht i qetë gjatë viteve të tij të para, por ka intensifikuar ndjeshëm zbatimin. Totali i gjobave të 2025 ishte më i larti që nga hyrja në fuqi e ligjit, dhe 2026 po ndjek një trajektore të ngjashme.

Gjobat Administrative

Gjobat administrative indeksohen çdo vit ndaj inflacionit. Që nga viti 2026, kufiri për shkeljet më të rënda kalon TRY 40 milion për shkelje, dhe kufij të veçantë zbatohen për dështimet rreth sigurisë së të dhënave, njoftimit, regjistrimit VERBIS dhe vendimeve të Bordit. Kontrolluesit e huaj janë gjobitur në nivelin maksimal në disa veprime të 2025.

Ekspozimi i Reputacionit

Bordi publikon përmbledhje të vendimeve të zbatimit në faqen e tij të internetit. Gjobat e botuesve të huaj kanë bërë rregullisht shtypin teknologjik turk, dhe kostoja e reputacionit e një vendimi publik KVKK është zakonisht më e lartë se vetë gjoba.

Temat e Zbatimit

Veprimet e Bordit të 2025 dhe fillimit të 2026 grumbullohen rreth një grupi të vogël të çështjeve të përsëritura: pëlqim i cookie-ve mungues ose i paqartë, Aydınlatma Metni i pamjaftueshëm, kontrollues të huaj të paregjistruar në VERBIS dhe transferta ndërkufitare të paligjshme duke përdorur kornizën para-2024.

Lista Kontrolluese e Auditimit për Trafikun Turk në 2026

• Baneri CMP shërbehet në turqisht për përdoruesit turq, me Prano, Refuzo dhe Personalizo me dukshmëri vizuale të barabartë
• Qëllimet e pëlqimit janë granulare dhe ndajnë çdo përpunim të kategorisë së ndjeshme pas rrjedhës së vet eksplicite të pëlqimit
• Regjistrat e pëlqimit janë me vulë kohore, të eksportueshëm dhe mbajtur të paktën për kohëzgjatjen e përpunimit plus një marzhin e auditimit
• Aydınlatma Metni është e disponueshme në turqisht me zbulime të plota të kontrolluesit, procesorëve, qëllimeve, mbajtjes dhe të drejtave
• Regjistrimi VERBIS është i plotë dhe i azhurnuar nëse kontrollori kalon pragun
• Transfertat ndërkufitare mbështeten në klauzolat standarde kontraktuale të 2024 ose një mekanizëm tjetër të vlefshëm të Nenit 9, me mekanizmin e dokumentuar në Aydınlatma Metni
• Rrjedha e punës e kërkesës së subjektit të të dhënave mund t'i përgjigjet brenda 30 ditëve nga fundi deri në fund, në turqisht
• Lista e shitësve është rishikuar, me shitësit e papërdorur ose të tepërt të hequr për të reduktuar ekspozimin

Perspektiva e 2026

Regjimi i mbrojtjes së të dhënave të Turqisë ka kapur kornizën evropiane në formë dhe po e arrin shpejt në zbatim. Ndryshimet e 2024 hoqën penguesën më të madhe strukturore ndaj teknologjisë moderne ndërkombëtare reklamuese — regjimi i vjetër i transfertës — dhe Bordi ka përdorur dy vitet që atëherë për t'u fokusuar në zbatimin e pjesës tjetër të ligjit. Botuesit me një pirg të nivelit GDPR të pëlqimit duhet të bëjnë rregullime relativisht të vogla për të qenë gati për Turqinë: CMP dhe njoftim në gjuhën turke, regjistrim VERBIS nëse zbatohet, klauzola transferte të standardit-2024 dhe kujdes me listën më të gjerë të të dhënave të ndjeshme. Botuesit që e kanë trajtuar Turqinë si një treg me prekje të lehtë do ta gjejnë 2026 më të shtrenjtë se 2025, dhe 2027 më të shtrenjtë se 2026. Boshllëku mund të mbyllet në javë nëse prioritizohet — dhe duhet të jetë.