KVKK : les règles turques sur les cookies et le consentement

Qu’est-ce que la KVKK ?

La loi nº 6698 sur la protection des données personnelles, connue par les initiales de l’Autorité qui la fait appliquer, KVKK, a été publiée au Journal officiel turc le 7 avril 2016. Elle a été calquée sur la directive européenne de 1995 sur la protection des données plutôt que sur le RGPD, ce qui explique certaines différences : un rôle plus fort du consentement explicite, un registre public des responsables de traitement (VERBİS) et un Conseil qui publie décisions et amendes. La loi nº 7499, en vigueur depuis le 1er juin 2024, a modernisé les règles sur les catégories particulières de données, les transferts internationaux (décisions d’adéquation, contrats types, règles d’entreprise contraignantes) et les recours contre les décisions du Conseil, rapprochant la loi du RGPD. Le guide de l’Autorité sur les pratiques en matière de cookies, publié le 20 juin 2022 et réédité dans une version mise à jour en juillet 2025, est la référence pour les sites.

À qui s’applique la KVKK ?

La loi s’applique aux personnes physiques dont les données personnelles sont traitées et aux personnes physiques et morales qui les traitent, sans seuil de taille. Elle ne contient pas de clause territoriale explicite, mais le Conseil l’applique aux responsables de traitement étrangers qui traitent les données de personnes en Turquie, lesquels doivent désigner un représentant et s’inscrire au VERBİS, et il a sanctionné des sociétés étrangères, dont l’entité turque d’Amazon en 2020 et plusieurs plateformes mondiales depuis.

Qu’exige la KVKK pour les cookies et le consentement ?

L’article 3 définit le consentement explicite comme un consentement libre, spécifique et éclairé. L’article 5 en fait la condition par défaut du traitement, avec des exceptions à l’article 5, paragraphe 2 lorsque la loi prévoit le traitement, lorsqu’il est nécessaire à un contrat avec la personne concernée, pour respecter une obligation légale, lorsque les données ont été rendues publiques par la personne concernée, pour constater ou protéger un droit, ou lorsqu’il est nécessaire aux intérêts légitimes du responsable sans porter atteinte aux droits fondamentaux de la personne concernée. L’article 10 impose au responsable d’informer les personnes concernées, lors de l’obtention des données, de son identité, des finalités, des destinataires, de la méthode et de la base légale de la collecte, et de leurs droits.

Le guide cookies traduit cela pour les sites. Les cookies qui traitent des données personnelles ont besoin d’une condition de traitement, et le guide emprunte deux critères d’exemption au cadre européen ePrivacy :

• Critère A : le cookie sert uniquement à effectuer la transmission d’une communication sur un réseau de communications électroniques (les cookies de session de répartition de charge, par exemple).
• Critère B : le cookie est strictement nécessaire pour fournir un service de la société de l’information expressément demandé par l’utilisateur. Le guide cite les cookies de saisie utilisateur, d’authentification, de sécurité centrés sur l’utilisateur, de session de lecteur multimédia, de personnalisation de l’interface, ceux utilisés par la plateforme de gestion du consentement elle-même, les cookies de mesure d’audience internes et les cookies de sécurité du site comme exemples pouvant remplir le critère B et donc se passer de consentement explicite, à condition de ne rien faire au-delà de cette finalité.

Tout ce qui ne remplit ni le critère A ni le critère B exige un consentement explicite, et le guide nomme les deux cas principaux : les cookies de suivi des modules sociaux (social plug-ins) déposés pour des personnes non connectées ou qui n’ont pas demandé le module, et les cookies de publicité comportementale en ligne, y compris ceux utilisés pour le plafonnement de fréquence, l’attribution, la détection de fraude au clic et les études de marché, parce qu’aucun de ces usages n’est un service demandé par l’utilisateur.

Le consentement explicite doit être spécifique, éclairé et libre. Le guide précise qu’une déclaration générale du type « J’accepte le traitement de mes données personnelles » n’est pas un consentement explicite, que la simple visite d’un site n’exprime pas de consentement, que la finalité, la durée de vie et la nature interne ou tierce de chaque cookie doivent être expliquées, que le consentement doit être aussi facile à retirer qu’à donner, avec une petite icône ou un bandeau pour rouvrir le panneau, et que redemander à chaque visite crée une lassitude du consentement : le choix doit donc être mémorisé et renouvelé en proportion de la durée de vie des cookies. Un cookie wall qui bloque le contenu tant que tous les cookies ne sont pas acceptés peut invalider le consentement, sauf alternatives équitables. Le modèle du guide est un panneau à l’entrée du site avec des boutons Accepter, Refuser et Préférences de même taille, couleur et police, plus l’information de l’article 10.

Que doit faire un bandeau conforme ?

• Ne déposer aucun cookie non essentiel avant le choix actif du visiteur.
• Présenter Accepter, Refuser et Préférences avec la même visibilité dès le premier niveau, en turc pour les visiteurs en Turquie.
• Expliquer la finalité et la durée de vie de chaque cookie, et s’il est interne ou tiers, et renvoyer à la notice d’information de l’article 10.
• Mémoriser le choix, offrir le retrait par une icône visible et conserver des enregistrements de consentement.
• Couvrir les transferts internationaux : la plupart des prestataires de mesure d’audience et de publicité traitent les données à l’étranger, ce qui exige depuis le 1er juin 2024 une décision d’adéquation, un contrat type notifié à l’Autorité sous cinq jours ouvrés, ou une autre garantie au titre de l’article 9.

Contrôles et sanctions

L’article 18 fixe des amendes administratives par tranches que l’Autorité réévalue chaque année selon le taux officiel de réévaluation : les montants de 2016 allaient de 5 000 à 100 000 TRY pour les manquements à l’obligation d’information, de 15 000 à 1 000 000 TRY pour les manquements à la sécurité des données, de 25 000 à 1 000 000 TRY pour le non-respect des décisions du Conseil et de 20 000 à 1 000 000 TRY pour les manquements au registre. Avec le taux de 25,49 % publié pour 2026, les plafonds sont de 1 709 200 TRY pour l’obligation d’information et de 17 092 242 TRY pour la sécurité des données, les décisions du Conseil et le registre. Les amendes sont prononcées par manquement, et le Conseil publie des résumés de décisions.

La décision de référence sur les cookies est la décision 2020/173 du Conseil du 27 février 2020 concernant Amazon Turquie, que le guide lui-même analyse. Le Conseil a infligé 1 200 000 TRY au total : 1 100 000 TRY pour ne pas avoir pris les mesures de sécurité des données exigées par l’article 12 (le consentement aux e-mails marketing et aux transferts à l’étranger n’avait pas été valablement obtenu) et 100 000 TRY pour manquement à l’obligation d’information de l’article 10, parce que le site ne donnait aucune information sur le traitement par cookies et ne demandait aucun consentement par une fenêtre ou un moyen similaire. Le Conseil a depuis publié de nombreuses décisions sur les messages marketing illicites et les transferts, et le guide mis à jour de 2025 signale que la conformité des cookies reste à son programme.

Comment Cookiequiet gère la KVKK

La Turquie figure dans la liste des pays réglementés de Cookiequiet : avec le ciblage géographique activé, les visiteurs turcs voient le bandeau de consentement avec des textes en turc choisis selon la langue du navigateur. La disposition par défaut correspond au modèle du guide : « Tout accepter » et « Tout refuser » de même taille et de même poids, un bouton « Personnaliser » qui ouvre des interrupteurs par catégorie désactivés par défaut, rien de précoché, et un retour vers le centre de préférences sur chaque page. Les scripts et contenus embarqués sont retenus jusqu’au consentement pour leur catégorie, et le registre des consentements enregistre chaque choix. Les modèles de politiques de Cookiequiet sont rédigés pour le RGPD et d’autres lois, pas spécifiquement pour la notice de l’article 10 de la KVKK : préparez la notice d’information en turc et les documents de transfert avec votre conseiller. Voir aussi migrer depuis CookieYes si vous remplacez un bandeau existant.