本ページの対象となる方
当事務所は、実店舗ではなくテクノロジーを通じて製品や収益がトルコに及ぶ外国企業を対象としています。次のような方が該当します。
- トルコの顧客にライセンスを提供するソフトウェアベンダーおよびSaaS事業者
- トルコの利用者や販売者を有するオンラインマーケットプレイス、アプリストア、プラットフォーム
- トルコへ、またはトルコからデータが流れるクラウド、ホスティング、インフラ事業者
- トルコの消費者に提供するフィンテック、暗号資産、決済事業者
- トルコの個人データや判断を処理するシステムを有するAIの開発者・展開者
- トルコ市場に販売するハードウェア、IoT、コネクテッドデバイスのメーカー
これらの規則の適用を受けるために、トルコに法人を有している必要はありません。多くの義務は、会社の所在地ではなく、利用者やデータに従います。トルコに居住する者が貴社から購入でき、または貴社にデータをアップロードできるのであれば、トルコ法はすでに貴社に適用されている可能性があります。
貴社に関わるのはどの部分ですか
テクノロジー・AI・サイバーセキュリティに関するトルコの法的枠組み
トルコには単一の「テック法典」は存在しません。貴社の義務は、複数の法律が組み合わさって生じるものであり、正しい答えは通常、複数の法律が交差する地点にあります。
- サイバーセキュリティ法第7545号 — サイバーセキュリティの枠組み、サイバーセキュリティ庁(Siber Güvenlik Başkanlığı)およびサイバーセキュリティ委員会。
- 電子商取引法第6563号(法律第7416号による改正) — 仲介サービス提供者および電子商取引サービス提供者の義務、ETBİS登録、電子商取引ライセンス制度。
- KVKK第6698号 — 個人データの処理および越境移転。KVKK委員会が監督します。
- トルコ債務法第6098号(TBKTBKトルコ債務法（第6098号）トルコのほぼすべての私的合意の土台となる法律——契約、不法行為責任、賃貸借、雇用、委任、不当利得。用語集 →) — ライセンス、開発、サービス契約を支える契約法の基盤。
- トルコ商法第6102号(TTKTTKトルコ商法典（第6102号）商人、会社、有価証券、保険、運送を規律する法律——外国企業が実際に活動する枠組みそのもの。用語集 →) — 会社の義務、不正競争、商業登記に関する規則。
- 分野別規制 — 銀行、決済、資本市場、電気通信、消費者に関する規則が、適用される場面で上乗せされます。
当事務所が作成・交渉するIT・ソフトウェア・SaaS契約
越境テック案件のリスクの多くは、契約において決まります。当事務所は、貴社のトルコ事業の基礎となる契約を作成・レビュー・交渉します——トルコ法の下で有効に機能し、万一トルコの裁判所で争われても耐えうる条項を備えたものです。
- ソフトウェアライセンス、サブスクリプションおよびSaaS規約、エンドユーザー契約
- 明確な検収およびIP譲渡条項を備えた、ソフトウェア開発・統合・保守契約
- KVKKに適合する処理者条項を含む、クラウド、ホスティング、データ処理契約
- サービスレベル契約(SLA)、稼働率のコミットメント、不履行時の救済
- トルコ市場向けの再販、販売店、代理店、パートナー契約
- 技術移転、エスクロー、ホワイトラベルの取決め
当事務所は、準拠法および紛争解決条項、責任制限、IPおよび秘密保持の保護方法に細心の注意を払います。これらに付随するより広範な契約作成については、当事務所の商事・テクノロジー契約のサービスをご覧ください。また、コードやブランドの保護については、ソフトウェアのIP、商標、ライセンスの保護に関する取扱いをご覧ください。
電子商取引・オンラインプラットフォームのコンプライアンス(法律第6563号)
電子商取引法第6563号は、法律第7416号によって大きく再構成され、オンライン事業者を仲介サービス提供者(プラットフォーム)と電子商取引サービス提供者(販売者)に区分し、それぞれに一連の義務を課します。取引量が増えるにつれ、義務は段階的に加重されます。
- 制度の対象となる事業者について、商業省へのETBİS登録。
- 透明性および情報提供の義務 — 明確な価格表示、販売者の身元、苦情処理、契約条件。
- 規模に応じた条件を伴う、大規模プラットフォーム向けの電子商取引ライセンス制度。
- 純取引額および取引件数の増加に応じて拡大する段階的義務——広告費の上限、データ共有、自社ブランド制限などを含みます。
特に市場支配力を有するマーケットプレイスについては、プラットフォーム市場や独占禁止に関する問題が同じ場面で生じることがよくあります。これらは当事務所の競争法・プラットフォーム市場規則のサービスで扱います。決済および暗号資産プラットフォームについては、トルコにおける暗号資産・フィンテックプラットフォーム規制に関する解説をご覧ください。
データ保護と越境データ移転(KVKK第6698号)
ほとんどすべてのテクノロジー事業は個人データを処理しており、そのデータがトルコを離れた瞬間に、KVKK第9条が適用されます。移転規則は法律第7499号(2024年6月1日施行)によって書き換えられ、従来の明示的同意および許可を原則とする制度から、GDPRに類似した構造化された仕組みへと移行しました。
個人データの国外移転は、次の三つの根拠のいずれかにより行うことができます。
- 移転先の国、分野または組織を対象とする十分性決定。
- 適切な保護措置 — 標準契約条項(SCC)、拘束的企業準則(BCR)、または同等の約束。
- 特定の限定された状況に対する例外。
すでに欧州の規則に整合している企業グループについては、KVKKとGDPRは重なり合いますが同一ではなく、同じものと決めつけることが実際の問題を引き起こします。越境データにおけるGDPRとKVKKの整合に関する当事務所の解説が、両者の相違点を詳しく説明しています。
サイバーセキュリティ上の義務とインシデント対応(法律第7545号)
サイバーセキュリティ法第7545号は、2025年3月19日に官報で公布された、トルコ初のサイバーセキュリティ専門の法律です。同法はサイバーセキュリティ庁(Siber Güvenlik Başkanlığı)およびサイバーセキュリティ委員会を創設し、対象となる事業者に対して広範な権限を付与しており、特に重要インフラに重点が置かれています。
枠組みのレベルでは、対象となる事業者は次のような義務を見込むことができます。
- サイバーセキュリティ庁による安全管理措置、監査、検査
- サイバーセキュリティインシデントおよび脆弱性の報告
- サイバーセキュリティ分野における特定の取引および製品についての承認要件
- 協力義務および記録保持
法律第7545号に基づく下位規則の多くは2026年時点でなお整備途上にあるため、一部の義務の実務上の範囲は今後も形成されていきます。当事務所は、これらの動向を追跡し、貴社の事業に向けた具体的な計画へと落とし込みます。平易な概説については、サイバーセキュリティ法第7545号の解説をご覧ください。
AIガバナンス、リスクマッピング、コンプライアンス
2026年半ば時点で、トルコには単一の包括的な「AI法」は施行されていません。これはAIが規制されていないことを意味するのではなく——貴社がすでに従わなければならない諸法律を通じてAIが規律されていることを意味します:KVKKに基づくデータ保護、消費者保護規則、知的財産法、分野別規制です。AI法案および国家戦略が進行中であり、状況は変わりうるものです。
トルコでAIを展開する外国企業にとって、実務上の作業は、単一の法律にチェックを入れることではなく、リスクをマッピングすることです。
- AIが個人データを処理する場面で、透明性や自動化された意思決定に関する懸念を含め、これをKVKKの義務に対応づけること
- ソフトウェアのIP、商標、ライセンスの保護を通じて、モデル、データセット、出力を保護しライセンスすること
- AIがトルコのエンドユーザーに関わる場面での、消費者法および広告法上のリスク
- EU市場にも提供する場合の、EU AI法との整合——一つの製品で双方の制度を満たせるようにすること
当事務所は、現に効力を有する法律に基づいた助言的意見を提供し、審議中の法案が状況を変えうる箇所を指摘します。背景については、トルコにおけるAI規制の動向に関する解説をご覧ください。
「トルコに法人がないのだから、トルコ法は当社には及ばない」
KVKKおよび電子商取引法第6563号に基づく義務は、登記上の所在地ではなく、トルコの利用者と貴社が処理するデータに従うことがあります。トルコに居住する者が貴社から購入でき、または貴社にデータをアップロードできるのであれば、トルコ法上の義務がすでに生じている可能性があります。
「当社のGDPRプログラムでKVKKもカバーできる。両者は同じものだ」
両者は構造を共有していますが、仕組みと時限が異なります。KVKKは署名済みの標準契約条項を5営業日以内に委員会へ通知することを求めており、これにはGDPRに相当するものがありません。またトルコはVERBİSの管理者登録簿を運用しています。
「サイバーセキュリティ対応は、法律第7545号の下位規則が固まるまで待てばよい」
詳細な規制が整備途上であっても、法律第7545号に基づく制裁はすでに効力を有しています。行政制裁金が科され、必要な取引承認を取得しなかった場合にはより高い区分が適用されます。また、一定の違反は刑事犯罪であり、拘禁刑が司法罰金とともに科されます。
越境の実務:委任状、アポスティーユ、遠隔対応
当事務所が代理するために、貴社がトルコにいる必要はありません。本分野のほとんどすべては、書類を宅配便および安全な経路で移動させながら、遠隔で処理されます。
- 委任状(vekaletnameVekâletname公証人が作成する委任状弁護士その他の者があなたに代わって行動することを認める、公証人作成の公式書面。用語集 →) — 公証された委任状により権限を付与していただきます。貴社の案件に必要な特定の届出、登録、規制当局との対応をカバーするよう作成します。
- アポスティーユ — ハーグ・アポスティーユ条約の加盟国については、一つのアポスティーユの押印により、トルコで使用する書類が認証されます。非加盟国については、これに代えて領事認証を用います。
- 遠隔での受任開始 — 指示、本人確認(KYC)、契約レビュー、規制当局との連絡は、すべてメールおよびビデオで処理されます。
貴社の戦略が現地拠点——トルコ法人、支店、または駐在員事務所——を指し示す場合、当事務所はトルコ法人または駐在員事務所の設立を行い、データ、税務、業務上のニーズに合わせて設計することができます。多くのテック事業者は、研究開発の拠点を決める前に、技術開発区域(Teknopark)のインセンティブも比較検討します。
紛争、規制当局の調査、制裁
問題が生じた場合、複数の規制当局から同時にリスクが及び、それぞれが独自の手続と制裁を有します。当事務所は、次の場面にわたって貴社を防御し、代理します。
- データ漏えい、違法な処理、越境移転に関するKVKK委員会の調査——苦情や監査への対応を含みます。
- ETBİSやライセンスの問題を含む、法律第6563号に基づく電子商取引義務についての商業省の執行。
- サイバーセキュリティ庁の検査、および法律第7545号に基づく行政上・刑事上のリスク。
- テクノロジー契約から生じる商事紛争——支払不履行、瑕疵ある納品、IPおよび秘密保持の違反。
共通するのは迅速さです:規制当局の期限は短く、最初の書面回答の質が、しばしば結果全体を左右します。当事務所は、これらの回答を、防御的にではなく、正確かつ完全なものとして準備します。紛争が正式な手続に進む場合には、当事務所の商事・テクノロジー契約チームと連携して権利実現に取り組みます。
外国のテック事業者が犯しやすいリスクと誤り
トルコに初めて進出するテクノロジーの依頼者には、同じ回避可能な誤りが繰り返し見られます。
- 「トルコに法人がない」ことが「トルコ法の適用がない」ことを意味すると思い込むこと。 KVKKおよび法律第6563号に基づく義務は、登記上の所在地ではなく、トルコの利用者に従うことがあります。
- KVKKをGDPRと同一と扱うこと。 仕組みや時限が異なり、5営業日以内のSCC通知にはGDPRに相当するものがありません。
- 米国またはEUの契約をそのままコピーすること。 主要な点でトルコの強行規定が選択された準拠法に優先し、翻訳・適合されていない契約はトルコでの実効性を欠くことがあります。
- 電子商取引の段階の変化を見落とすこと。 成長によりプラットフォームが取引額の基準を超え、事業者が想定していなかった新たな義務が発生します。
- 下位規則が整うまでサイバーセキュリティを無視すること。 詳細な規制が整備途上であっても、法律第7545号に基づく制裁はすでに効力を有しています。
KVKKとGDPR:越境データにおける相違点
当事務所の依頼者の多くは、すでにGDPRプログラムを運用しており、トルコが追加で何を求めるのかを知りたいと考えています。両制度はDNAを共有していますが、互換性はありません。
| 論点 | EU GDPR | KVKK第6698号(トルコ) |
|---|---|---|
| 越境移転の根拠 | 十分性、保護措置(SCC/BCR)、例外 | 十分性、保護措置(SCC/BCR)、例外(法律第7499号、2024年6月1日施行以降) |
| SCCの通知 | 当局への届出要件なし | 署名済みSCCを5営業日以内にKVKK委員会へ通知 |
| 登録簿 | 中央の管理者登録簿なし | 対象となる管理者向けのVERBİSデータ管理者登録簿 |
| 主管規制当局 | 加盟国のデータ保護当局/EDPB | KVKK委員会(Kişisel Verileri Koruma Kurulu) |
GDPRプログラムをKVKKに整合させることは、通常、一から作り直すのではなく、特定のギャップを埋める作業です。越境データにおけるGDPRとKVKKの整合に関する当事務所の解説が、各項目をより詳しく扱っています。
なぜトルコのテクノロジー弁護士に依頼するのか
トルコのテクノロジー法は急速に変化し、トルコ語で書かれており、これには、法律が実際にどのように適用されるかを決定づける下位規則も含まれます。どれほど優秀であっても、外国の社内チームが、サイバーセキュリティ庁の変化する規則、KVKK委員会の決定、商業省の電子商取引ガイダンスをリアルタイムで追い続けることは困難です。
トルコのテクノロジー弁護士は、翻訳では得られない三つのものを提供します:原語による拘束力ある条文、その背後にある規制当局の実務、そしてトルコの当局や裁判所に対して届出・回答・代理を行う資格です。当事務所はこれに商業を第一とする視点を組み合わせ、助言が、それ自体を目的とした抽象的なコンプライアンスではなく、貴社の取引とリスク許容度を軸に組み立てられるようにします。
始め方
着手は簡潔です。貴社が何を構築し、どこでトルコに関わっているかをお聞かせいただければ、これらの法律のうちどれが適用され、何が求められるかをお伝えします。そのうえで、当事務所が代理できるよう、業務範囲と委任状を取り決めます。そこから先は、業務が単一の契約であっても、全面的なコンプライアンス構築であっても、規制当局への対応であっても、それを遠隔で扱う一つの窓口が貴社にはあります。最初の一歩は、以下に記載するご相談です。
2025年3月19日に官報で公布された、トルコ初のサイバーセキュリティ専門の法律です。サイバーセキュリティ庁(Siber Güvenlik Başkanlığı)およびサイバーセキュリティ委員会を創設し、特に重要インフラに重点を置きつつ、安全管理、報告、承認の義務を課します。
オンライン事業者を仲介サービス提供者と電子商取引サービス提供者に区分し、ETBİS登録、透明性の義務、電子商取引ライセンス制度、および純取引額に応じて段階的に加重される義務を定めます。
個人データの処理および越境移転を規律します。法律第7499号(2024年6月1日施行)以降、国外移転は十分性決定、SCCやBCRなどの適切な保護措置、または例外を根拠として、KVKK委員会の監督の下で行われます。
当事務所によるご支援の進め方
初回相談と範囲の確定
まず、貴社の製品、それがどこでトルコに関わるか、そして何が必要のきっかけとなったか——契約、ローンチ、データの流れ、規制当局からの書面か——について、的を絞った打合せから始めます。どの法律が貴社に適用され、次に何をすべきかについて、明確な見通しをお持ち帰りいただきます。
法務およびコンプライアンス評価
当事務所は、貴社の活動を法律第7545号、法律第6563号、KVKKKVKK個人データ保護法（第6698号）トルコのデータ保護法——個人データの収集・保管・移転の規律と、それを執行する当局。用語集 →、および貴社の契約に照らして整理し、義務、ギャップ、リスクの優先順位を付けた一覧を作成します。これにより、何が急を要し、何が待てるのかがわかります。
受任、委任状、アポスティーユの準備
当事務所は、書面による業務範囲と報酬の基礎を取り決め、そのうえで、アポスティーユまたは領事認証を付した公証済み委任状を手配します。これにより、貴社が渡航することなく、当事務所が貴社に代わって届出、登録、規制当局との対応を行えます。
作成、届出、是正
当事務所は、契約を作成または改訂し、ETBİS、KVKKその他の届出を準備し、必要な期間内に標準契約条項を通知し、評価で判明したコンプライアンス上のギャップを解消します。
規制当局との対応とインシデント対応
規制当局が調査を開始し、または安全上・データ上のインシデントが発生した場合、当事務所はスケジュールを管理し、貴社の書面回答を準備し、KVKK委員会、商業省、またはサイバーセキュリティ庁に対して貴社を代理します。
継続的なコンプライアンスとモニタリング
本分野は変化し続けるため、当事務所は、新たな下位規則、基準値の改定、KVKK委員会の決定について貴社に最新情報を提供し、規則の変化に合わせて貴社の契約や届出を調整することができます。
初回のご相談前にご用意いただきたいもの
初期段階の作業の多くは、法的分析ではなく事実の収集です。以下をお手元にご用意いただければ、貴社の活動を法律第7545号、法律第6563号、KVKK、および既存の契約に照らして整理する作業を、追加のやり取りを重ねずに進められます。
よくあるご質問
トルコに事務所がなくても、トルコのテクノロジー法は当社に適用されますか。
適用されることがあります。KVKKおよび電子商取引法第6563号に基づく義務は、登記上の所在地ではなく、貴社のトルコの利用者や貴社が処理するデータに従うことがよくあります。トルコに居住する者が貴社から購入でき、または貴社にデータをアップロードできるのであれば、現地に法人がなくてもトルコ法上の義務を負う可能性があります。短い評価により、貴社が対象となるか、またどのように対象となるかがわかります。
サイバーセキュリティ法第7545号とは何であり、誰に影響しますか。
法律第7545号は、2025年3月19日に官報で公布された、トルコ初のサイバーセキュリティ専門の法律です。同法はサイバーセキュリティ庁(Siber Güvenlik Başkanlığı)およびサイバーセキュリティ委員会を創設し、特に重要インフラに重点を置きつつ、安全管理、報告、承認の義務を課します。詳細な下位規則の多くはなお整備途上にあるため、特定の事業者に対する正確な範囲は、事案ごとに確認すべきです。
個人データをトルコから国外のサーバーへ移転できますか。
できますが、KVKK第9条に基づく有効な法的根拠がある場合に限られます:十分性決定、標準契約条項や拘束的企業準則などの適切な保護措置、または例外です。これらの規則は、2024年6月1日施行の法律第7499号によって書き換えられました。標準契約条項を用いる場合、短い期間内にKVKK委員会へ通知しなければならないため、データが移動する前に仕組みを正しく整えておく必要があります。
KVKKはGDPRとどう異なりますか。
両者は構造を共有していますが、同一ではありません。いずれも十分性、保護措置、例外を通じた越境移転を認めていますが、KVKKでは署名済みの標準契約条項を5営業日以内に委員会へ通知することが求められ、これにはGDPRに相当するものがなく、またトルコはVERBİSの管理者登録簿を運用しています。GDPRプログラムをKVKKに整合させることは、通常、一から作り直すのではなく、特定のギャップを埋める作業です。
トルコにAI法はありますか。
2026年半ば時点で、単一の包括的なAI法は施行されていません。AI法案および国家戦略が進行する一方で、AIは既存の法律——KVKK、消費者保護、知的財産、分野別規制——を通じて規律されています。当事務所は、現在適用される規則の下でAIのリスクについて助言し、審議中の法案が貴社の義務を変えうる箇所を指摘します。EUにも提供している場合、通常、EU AI法が同じ製品に関係します。
ETBİSとは何であり、登録する必要がありますか。
ETBİSは商業省の電子商取引情報システムです。多くの仲介サービス提供者および電子商取引サービス提供者を含め、電子商取引法第6563号の制度の対象となる事業者は登録が求められます。登録の要否は、貴社の役割や活動によって異なり、当事務所はトルコ市場でのローンチ前にこれを評価します。
サイバーセキュリティ法第7545号ではどのような制裁が科されますか。
法律第7545号は数百万リラに達する行政制裁金を定めており、必要な取引承認を取得しなかった場合にはより高い区分が適用されます。また、一定の違反は刑事犯罪であり、拘禁刑が司法罰金とともに科されます。公務員、常習者、組織的な集団については制裁が加重されることがあります。金額の上限は改定されうるため、数字に依拠する前に、その時点の正確な金額を確認すべきです。
トルコに来ることなく、遠隔で対応してもらえますか。
はい。本業務のほとんどすべては遠隔で処理されます。公証済みの委任状により当事務所に権限を付与していただき、これはハーグ条約加盟国についてはアポスティーユで、それ以外の国については領事認証で認証されます。受任開始、契約レビュー、届出、規制当局との連絡は、すべてメールおよびビデオで処理されます。
トルコ法に基づくソフトウェア、SaaS、クラウド契約を作成してもらえますか。
はい。当事務所は、ライセンス、サブスクリプションおよびSaaS規約、開発・保守契約、クラウド・データ処理契約、SLA、再販・販売契約を作成・交渉します。準拠法、責任制限、IP保護、KVKKに適合するデータ条項に重点を置き、契約がトルコ法の下で有効に機能するようにします。
当社のプラットフォームが成長しています——追加の電子商取引義務はいつから発生しますか。
電子商取引法第6563号は、純取引額および取引件数に応じて増加する段階的義務を定めています。リラ建ての基準値は時間とともに改定されるため、プラットフォームは成長に伴って段階を超え、広告費、データ共有、自社ブランド活動、ライセンスに関する新たな義務を負うことになります。当事務所は、段階の変化が不意打ちとならないよう、現行の基準値に照らして貴社の状況をモニタリングします。
トルコの利用者に影響するデータ漏えいが発生した場合はどうなりますか。
KVKK委員会および影響を受けた個人に対して、短い時限で通知する義務を負う可能性があり、これとは別に、法律第7545号に基づくサイバーセキュリティインシデントの側面が生じることもあります。最初の書面回答が結果の多くを左右するため、当事務所は、貴社がインシデントを正しく評価・文書化・報告できるよう支援し、その後の調査において貴社を代理します。
EU AI法は、トルコで事業を営む企業にどのように影響しますか。
EU AI法自体はトルコでの活動を拘束しませんが、貴社がEU市場にもAIシステムを投入し、またはEUの利用者に影響する場合には適用されます。両市場に提供する事業者のために、当事務所は、EU AI法の期待とトルコの既存のAI関連規則を併せて満たす、一つのコンプライアンス手法を設計する支援を行います。これにより、切り離された二つのプログラムを維持せずに済みます。
トルコ法人を設立すべきか、それとも遠隔で販売するだけにすべきですか。
それは、貴社のデータの流れ、税務上の立場、顧客の期待、成長計画によります。一部のテック事業者は純粋に越境で運営し、他方でトルコ法人、支店、または駐在員事務所から利益を得る事業者もあり、また研究開発について技術開発区域のインセンティブを検討する事業者もあります。当事務所は、これらの得失を評価し、妥当であれば、貴社に代わって会社設立を行います。
どのように始め、費用はどのくらいかかりますか。
まず、どの法律が適用され、何が必要かを特定するご相談から始めます。そのうえで、実質的な作業に入る前に、業務——単一の契約であれ、コンプライアンス構築であれ、規制当局への対応であれ——に見合った書面による業務範囲と報酬の基礎を取り決めます。そこから先は、案件を遠隔で扱う一つの窓口が貴社にはあります。
