本ページの対象となる方
本ページは、所在地を問わず、トルコの個人データに関わる外国の組織を対象としています。次のような方が該当します。
- トルコの顧客・利用者を有し、または電子商取引がトルコに及んでいる外国企業;
- トルコに所在する従業員のデータを取り扱う雇用主;
- すでにGDPR対応を行っており、それがトルコもカバーしていると考えているグループ企業——自動的にはカバーされません;
- KVKK委員会の調査、苦情申立て、またはデータ漏えいに直面しているデータ管理者。
KVKKはGDPRに十分似ているため馴染みやすい一方、罠となりうるほど異なる点もあります。その隙間——VERBİS登録、2024年以降の移転規則、漏えい通知の時限——こそ、外国企業が制裁金を科される箇所です。
貴社は次のいずれかに当てはまりますか。
KVKKとは何か、誰が遵守すべきか
トルコのデータ保護は、2016年4月7日に施行された個人データ保護法第6698号(Kişisel Verilerin Korunması Kanunu、KVKKKVKK個人データ保護法（第6698号）トルコのデータ保護法——個人データの収集・保管・移転の規律と、それを執行する当局。用語集 →)によって規律されます。その執行は個人データ保護庁およびその意思決定機関である委員会(Kurul)が担い、公表される決定が日々の実務を形づくっています。
本法は、トルコに所在する人々の個人データを取り扱うデータ管理者および処理者に適用され、トルコに拠点を持たない外国企業であっても、その処理がトルコ国内の個人に及ぶ場合には適用されます。
KVKKとGDPRが同時に適用される場合
よくある、かつ高くつく思い込みは、GDPR対応を行えば自動的にトルコの要件も満たせるというものです。しかし、そうではありません。多くの外国事業者は両方の制度に同時に服します——EUを対象とするためGDPRに、トルコに所在する人々のデータを処理するためKVKKに、それぞれ服するのです。原則は共通しますが、登録、適法な処理根拠の細部、移転の仕組み、通知期限に関して義務は異なります。当事務所は重なり合う部分を整理し、互いに矛盾する二つの体制ではなく、双方に適合する一貫した一つの対応を運用できるよう支援します。GDPRがトルコと取引する企業に与える影響に関する解説もご覧ください。
適法な処理と明示的同意(açık rıza)
個人データは、適法な根拠に基づく場合にのみ処理することができます。その要件はKVKK第5条および第6条に定められており、特別な種類のデータ(健康、生体情報、宗教的信条など)にはより厳格な規則が適用されます。同意に依拠する場合、それは明示的同意(açık rıza)でなければなりません:十分な情報提供のうえ、自由意思により、特定された目的に限定して与えられるものであり——抱き合わせや事前チェック済みの同意は認められません。これとは別に、データ主体に対して、貴社が何者であり、何を、なぜ処理するのかを説明する情報提供告知(aydınlatma metni)を交付しなければなりません。
VERBİS登録
ほとんどのデータ管理者は、処理を開始する前にKVKK第16条に基づきVERBİS(データ管理者登録簿)に登録し、その登録内容を最新に保たなければなりません。免除および基準——従業員数や年間の財務規模などの要素に基づくもの——は委員会が定めており、外国のデータ管理者には、通常はトルコ所在の代理人を通じた独自の登録経路があります。VERBİSの未登録や放置は、それが可視的かつ明白であるがゆえに、最も頻繁に制裁金の対象となる不備の一つです。
2024年改正後の越境データ移転
トルコの個人データを国外へ——親会社、クラウド事業者、グループのシステムへ——送信することは規制の対象であり、その規則は2024年改正(法律第7499号)および施行のための2024年7月10日付データ移転規則によって大きく変わりました。現在の制度はGDPRの構造を反映しており、三つの経路があります。
| 経路 | 適用される場合 |
|---|---|
| 十分性決定 | 十分な保護を提供すると委員会が判断した国(または分野)への移転 |
| 適切な保護措置 | 標準契約条項(SCC)、拘束的企業準則(BCR)、その他承認された保護措置 |
| 例外 | 個別の事案ごとの限定的な特例(例:明示的同意、契約上の必要性) |
データ主体からの請求と対応義務
個人はKVKKに基づく権利を有します——自己のデータが処理されているか否かを知る権利、これにアクセスし訂正する権利、削除を求める権利、一定の処理に異議を述べる権利です。請求を受けたデータ管理者は、法定の期間内に対応しなければならず、拒否する場合には理由を示さなければなりません。未対応または不適切に処理された請求は、委員会への苦情申立てにつながりやすい経路です。当事務所は、貴社のチームが正確かつ期限内に対応できるよう、請求対応の手続とテンプレートを整備します。
「GDPRに対応しているのだから、トルコも大丈夫だ」
KVKK(法律第6698号)は別個の制度です。GDPRに似てはいますが、VERBİS登録、越境移転、漏えい通知の時限において異なります。そして、両方の制度に同時に服する企業も少なくありません。
「トルコに事務所がないので、KVKKは関係ない」
本法は、トルコに所在する人々の個人データを扱うデータ管理者・処理者に及び、現地に拠点を持たない外国企業も含まれます。外国のデータ管理者には、通常はトルコ所在の代理人を通じた独自の登録経路があります。
「同意さえ取っていればよい。登録時にまとめて取得している」
同意はaçık rıza、すなわち十分な情報提供のうえ、自由意思により、特定された目的に限定して与えられたものでなければなりません。抱き合わせ、事前チェック済み、諾否を迫るだけの同意は認められず、同意は撤回されうるものです。第5条〜第6条の他の適法根拠のほうが、その処理に適している場面は少なくありません。
データ漏えい:72時間ルール
個人データが不正にアクセスされ、または開示された場合、KVKK第12条第5項は「可能な限り最短の時間内」に委員会へ通知することを求めています。委員会の基礎的な決定第2019/10号(2019年1月24日)は、これを漏えいを認識してから72時間以内と解釈し、影響を受けた個人への通知も求めています。
調査、制裁金、刑事責任のリスク
執行は二つの方向から行われます。委員会は第18条に基づく行政制裁金を科します——安全管理上の不備(第12条)、漏えい通知の懈怠、VERBİS未登録などに対してです。リラ建ての金額は毎年上方に改定されるため、実際のリスクは高まり続けます;当事務所は、古くなる数字を挙げるのではなく、その時点の金額に基づき助言します。これとは別に、個人データを不正に記録し、移転し、または取得する行為は犯罪であり、TCK第135条〜第140条により拘禁刑を伴います。したがって、事業内部の個人が、会社の制裁金とは別に、個人としての刑事責任を負う可能性があります。当事務所は、委員会の調査においてデータ管理者を防御し、刑事的側面が生じる場合にはこれを併せて調整します。
国外からの対応
コンプライアンスを実現するために、トルコに拠点を置く必要はありません。委任状——国外で公証・アポスティーユを受けて翻訳したもの、またはトルコ領事館で署名したもの——により、当事務所は貴社をVERBİSに登録し、トルコ法に基づく方針や告知を作成し、移転の仕組みを整え、委員会に対して貴社を代理します。当事務所がトルコ所在の連絡窓口として機能するため、請求や通知が見落とされることはありません。これは会社設立や、データ処理条項を組み込むべき商事契約とも自然につながります。
外国企業が犯しやすいKVKKの誤り
当事務所が最も頻繁に目にする制裁金は、短い一覧に行き着きます:GDPR対応でトルコもカバーできると思い込むこと;VERBİSを省略・失念すること;適法な経路を経ずに(かつ5日以内のSCC通知を行わずに)国外の親会社やクラウド事業者へデータを移転すること;適切な適法根拠ではなく抱き合わせの同意に依拠すること;72時間の漏えい通知期限を逃すこと;そしてトルコ語の情報提供告知(aydınlatma)を備えていないことです。いずれも、検査の前であれば安価に是正でき、検査の後では高くつきます。関連する義務については、トルコの新しいサイバーセキュリティ法および、新たに形成されつつあるAI規制の動向をご覧ください。
なぜトルコのデータ保護弁護士か
KVKKは、条文からは必ずしも直感的に読み取れない、増え続ける委員会決定を通じて解釈されており、2024年の移転改正はなお定着の途上にあります。トルコのデータ保護弁護士は、これらの決定を読み解き、VERBİSの登録や漏えい通知において委員会が実際に何を期待しているかを把握し、調査が開始された際に貴社を防御することができます——馴染みのない制度をGDPRのひな型に当てはめる作業を貴社に委ねるのではなく、です。当事務所は、これに加えて、事案が交差する場面では競争法や会社法務にまたがる支援も併せて提供します。
当事務所によるKVKKコンプライアンス実現の進め方
データ監査とギャップ評価
当事務所は、貴社がどのような個人データを保有し、それがどこへ流れ、どこへ国外移転されるかを整理し、KVKK(および同時に適用される場合はGDPR)に照らして評価し、不備を洗い出します。
義務の整理
当事務所は、KVKKが貴社に求める事項——登録、告知、適法根拠、移転、安全管理——を正確に整理し、優先順位を付けた定額報酬の計画としてご提示します。
VERBİS登録と各種方針
当事務所は貴社をVERBİSに登録し、トルコ法に基づく情報提供告知、同意文、データ処理・保管方針を作成します。
適法な移転の仕組み
当事務所は、適切な越境移転の経路——十分性、SCC、その他の保護措置——を整え、5日以内のSCC通知を委員会に提出します。
漏えい対応と請求対応の手続
当事務所は、貴社のチームが実際に使えるテンプレートとともに、72時間の漏えい対応計画とデータ主体請求の対応フローを構築します。
委員会における代理
苦情申立てや調査が生じた場合、当事務所はKVKK委員会において貴社を代理し、対応および制裁金への対処を管理します。
継続的なコンプライアンスと研修
当事務所は、規則の変化に合わせて貴社の対応を最新に保ち、実務においてコンプライアンスが維持されるよう貴社の従業員を研修します。
整えておきたいこと
検査、苦情申立て、あるいは新しい越境移転の開始を前に、手元に揃えておく価値のある事項です。多くは事前であれば軽い手当てで済み、後からでは負担が大きくなります。
トルコのKVKK・データ保護——よくあるご質問
GDPRへの対応でトルコもカバーできますか?
いいえ。KVKK(法律第6698号)は別個の制度です。GDPRに似ていますが、VERBİS登録、越境移転、漏えい通知の時限に関して異なるため、GDPR対応を行っても自動的にトルコで適合することにはなりません。多くの企業は両方に同時に服しています。
KVKKとは何ですか?
個人データ保護法第6698号であり、2016年4月7日に施行されたトルコのデータ保護法です。個人データ保護庁およびその委員会(Kurul)が執行します。トルコに所在する人々の個人データをどのように処理してよいかを規律します。
トルコに事務所を持たない外国企業にもKVKKは適用されますか?
適用されることがあります。貴社の処理がトルコに所在する人々——トルコの顧客、利用者、従業員——に及ぶ場合、現地に拠点がなくてもKVKKの適用を受けることがあり、通常はトルコ所在の代理人を通じて登録し行動します。
VERBİSとは何ですか、登録は必要ですか?
VERBİSは、KVKK第16条に基づくデータ管理者登録簿です。ほとんどのデータ管理者は、処理の前に登録し、登録内容を最新に保たなければなりません。免除および基準は委員会が定めており、外国のデータ管理者には独自の登録経路があります。未登録は、最も頻繁に制裁金の対象となる不備の一つです。
トルコの個人データを国外の親会社へ移転できますか?
できますが、2024年の移転制度における適法な経路——十分性決定、標準契約条項(SCC)や拘束的企業準則などの適切な保護措置、または個別の例外——を通じてのみ可能です。SCCを用いる場合、署名済みの条項を5営業日以内に委員会へ通知しなければなりません。
2024年のKVKK改正で何が変わりましたか?
法律第7499号(2024年3月)および2024年7月10日付データ移転規則が越境移転を全面的に見直し、従来の同意に偏った方式を、GDPR型の三層構造——十分性、適切な保護措置、限定的な例外——に置き換えました。
データ漏えいはどのくらい迅速に報告しなければなりませんか?
KVKK第12条第5項は「可能な限り最短の時間内」の通知を求めています。2019年1月24日の委員会決定2019/10は、これを漏えいを認識してから72時間以内と解釈し、影響を受けた個人への通知も求めています。
açık rıza(明示的同意)とは何ですか?
十分な情報提供のうえ、自由意思により、特定された目的に限定して与えられる同意です。抱き合わせ、事前チェック済み、または諾否を迫るだけの同意は有効ではありません。同意は撤回されうるため、多くの場合は第5条〜第6条の他の適法根拠のほうが適しています。
KVKKの制裁金はどの程度ですか?
行政制裁金は、安全管理の不備、漏えい通知の遅延、VERBİS未登録などの不備に対して第18条に基づき科されます。リラ建ての金額は毎年上方に改定されるため、当事務所は、すぐに古くなる数字を挙げるのではなく、その時点の金額に基づき助言します。
トルコではデータ漏えいで収監されることがありますか?
個人データを不正に記録し、移転し、または取得する行為は、トルコ刑法第135条〜第140条により拘禁刑を伴う犯罪です。この刑事責任は、会社の行政制裁金とは別に生じ、個人に及ぶことがあります。
データ主体はどのような権利を有し、どのくらい迅速に対応しなければなりませんか?
個人は、自己のデータが処理されているか否かを尋ね、これにアクセスし訂正し、削除を求め、一定の処理に異議を述べることができます。貴社は法定の期間内に対応し、拒否する場合には理由を示さなければなりません。不適切に処理された請求は、委員会への苦情申立てにつながりやすい経路です。
国外に拠点があってもコンプライアンスを実現してもらえますか?
はい。公証・アポスティーユを受けた委任状により、当事務所は貴社をVERBİSに登録し、トルコ法に基づく告知や方針を作成し、適法な移転を整え、委員会に対して貴社を代理します——トルコ所在の連絡窓口として機能します。多くの外国のご依頼者は、この一連の対応をすべて遠隔で進めています。
