La loi turque sur la protection des données (KVKK) s'applique-t-elle à votre entreprise ?

La loi turque sur la protection des données peut obliger une entreprise sans aucune implantation en Turquie. Le texte de la loi n° 6698, dite KVKK, est muet sur son champ territorial, mais l'autorité turque l'a interprété largement et a sanctionné des sociétés étrangères pour le traitement de données de personnes se trouvant en Turquie. Les déclencheurs pratiques n'ont rien d'exotique : vendre à des clients en Turquie, exploiter un site ou une application en turc, y employer du personnel, recevoir des données RH ou clients d'une filiale turque. Être conforme au RGPD aide, mais ne répond pas aux questions turques, car la KVKK s'écarte du RGPD précisément là où la conformité est opérationnelle plutôt que conceptuelle.

Quand la KVKK atteint une entreprise étrangère

L'approche de l'autorité est fondée sur les effets. Interface en turc, prix en livres, livraison à des adresses turques, base d'utilisateurs turcs mesurable : chacun de ces éléments a fondé des décisions étendant la loi à des responsables de traitement étrangers. En pratique, le contentieux naît de plaintes : un client mécontent, un ancien salarié, un concurrent. Et la première chose que l'autorité vérifie, ce sont les obligations formelles. C'est pourquoi cette couche formelle, si ingrate soit-elle, décide de la plupart des dossiers.

L'enregistrement VERBİS et le représentant en Turquie

Les responsables de traitement établis à l'étranger doivent s'inscrire au registre turc des responsables de traitement, VERBİS, avant tout traitement, sans bénéficier des seuils d'exemption qui épargnent nombre de petites sociétés turques. L'inscription exige la désignation d'un représentant en Turquie, citoyen turc ou personne morale établie sur place, par une résolution formalisée et apostillée.

Pour les sociétés établies en Turquie, y compris les filiales de groupes étrangers, l'inscription dépend de seuils : à la mi-2026, cinquante salariés ou plus sur l'année, un bilan supérieur au montant réglementaire, ou le traitement de données sensibles à titre d'activité principale. L'inscription est publique, et dans les dossiers de plainte l'autorité compare systématiquement le contenu du registre, les mentions d'information et la réalité des traitements. Un enregistrement inexact est pire qu'un enregistrement tardif.

La réforme de 2024 des transferts hors de Turquie

C'est le point que les praticiens du RGPD lisent le plus souvent de travers. Jusqu'en 2024, le transfert de données hors de Turquie reposait en pratique sur le consentement explicite. La loi n° 7499 a reconstruit l'article 9 de la KVKK selon une architecture d'apparence familière : décisions d'adéquation, garanties appropriées dont des clauses contractuelles types publiées par l'autorité, règles d'entreprise contraignantes, le consentement explicite ne subsistant que pour des transferts occasionnels.

Deux points opérationnels comptent plus que l'architecture. Premièrement, aucune décision d'adéquation n'a été publiée à ce jour : pour les flux intragroupes courants, les clauses types sont l'outil de travail. Deuxièmement, toute clause type signée doit être notifiée à l'autorité dans les cinq jours ouvrés, et l'omission de cette notification est sanctionnée par une amende administrative autonome. Tout groupe étranger dont la filiale turque partage des données RH, CRM ou financières avec le siège devait produire de nouveaux documents après septembre 2024. Beaucoup ne l'ont toujours pas fait.

Là où la KVKK est plus exigeante que le RGPD

La mention d'information, dite aydınlatma, doit être fournie au moment de la collecte, avec un contenu obligatoire, et en turc pour les personnes concernées se trouvant en Turquie. Le consentement doit être spécifique et libre ; un consentement noyé dans des conditions générales est tenu pour nul. La loi turque connaît l'intérêt légitime, mais l'interprète plus étroitement que le RGPD : un traitement confortablement fondé sur l'intérêt légitime en Europe peut exiger ici une autre base. Les violations de données doivent être notifiées à l'autorité dans les soixante-douze heures selon une pratique établie, et aux personnes concernées sans retard ; l'autorité publie une sélection de notifications sur son site, ce qui transforme un problème juridique en problème public. Les amendes sont réévaluées chaque année et leurs plafonds ont largement dépassé le symbolique. Il n'existe pas de DPO : les sociétés établies en Turquie désignent une personne de contact, les sociétés étrangères agissent par leur représentant.

Ce que nous recommandons, dans l'ordre

Cartographier les flux qui touchent la Turquie, y compris les flux silencieux comme un SIRH hébergé à l'étranger. Trancher honnêtement la question de l'enregistrement, première vérification de l'autorité. Adosser les transferts intragroupes aux clauses types et inscrire au calendrier les notifications à effectuer sous cinq jours ouvrés. Mettre les mentions d'information turques en cohérence avec la réalité des traitements. Préparer un plan de réponse aux violations qui suppose que le compteur de soixante-douze heures démarre un vendredi soir. D'expérience, les entreprises en difficulté sont rarement de mauvaise foi : ce sont celles qui ont cru que leur dossier RGPD se traduirait tout seul.

Questions fréquentes

Nous sommes conformes au RGPD : est-ce suffisant ? Non. L'enregistrement VERBİS, le représentant, les mentions en turc et les notifications de transfert n'ont pas d'équivalent RGPD. La parenté des principes ne s'étend pas aux formalités.

Faut-il créer une société turque ? Non. Un représentant enregistré suffit aux exigences formelles. L'opportunité d'une entité est une question commerciale et fiscale, pas une question KVKK.

Quel est le risque réel pour une société sans actifs en Turquie ? Le recouvrement des amendes à l'étranger est difficile, mais là n'est pas l'essentiel. Les partenaires turcs exigent de plus en plus la conformité par contrat, la publication des violations nuit à la réputation, et la sanction arrive généralement au moment où l'entreprise négocie quelque chose d'important en Turquie.

Uçkun Aktaş Öksüm conseille des entreprises internationales sur leurs programmes de conformité KVKK, l'enregistrement VERBİS, la documentation des transferts et la réponse aux violations de données. Cette note constitue une information générale et non un avis juridique sur un cas particulier ; elle reflète le droit en vigueur en juillet 2026.

Consultation

Vous pouvez nous transmettre vos questions et documents ; les demandes sont traitées de manière confidentielle.