トルコ企業のためのGDPRとKVKK：二重コンプライアンスの舵取り
はい、EUのGDPRはトルコにのみ拠点を置く企業にも適用され得ますし、同時にトルコ独自のデータ保護法であるKVKK（第6698号法）にも従わなければなりません。EU域内の人に販売したり、その行動を追跡したりする場合、両制度に同時に直面し、二つのうちより厳格な基準に合わせて体制を構築する必要があります。本ガイドでは、GDPRとKVKKが重なり合う領域、両者が分かれる領域、2024年3月12日の改正（第7499号法）が越境移転について何を変えたか、そして2026年の現行制裁金額を解説し、トルコで事業を営む外資系企業が何をすべきかを正確に把握できるようにします。
なぜGDPRがトルコ企業に及ぶのか
EU一般データ保護規則（GDPR、規則(EU) 2016/679）はヨーロッパの国境で止まりません。第3条に基づく域外適用により、トルコがEU域外にあるにもかかわらず、トルコに設立された企業が直接GDPRの適用対象となり得ます。
トルコ企業がGDPRの適用を受ける主な状況は二つあります。
- EU域内の人に対する商品またはサービスの提供。例えば、EUの顧客に向けて販売・提供し、ユーロで支払いを受け付け、またはEUの言語を使用する、イスタンブールを拠点とする電子商取引ストア、ソフトウェアプラットフォーム、ホテルなど。
- EU域内の人の行動の監視。ウェブサイト訪問者の追跡、プロファイリング、EUユーザーを対象とした行動ターゲティング広告など。
いずれかに該当する場合、GDPRの義務は、サーバーや従業員がどこにあるかにかかわらず付随します。トルコで法人を設立する外資系企業の多くは、トルコ当局と並んでEUの規制当局にも責任を負うことを知って驚きます。
外国人の創業者が見落としがちな典型的なトリガー
意図せずGDPRの適用下に自らを置いてしまうことがあります。よくあるトリガーは次のとおりです。
- EU訪問者をプロファイリングするCookie、アナリティクス、または広告ピクセルを備えた、英語・ドイツ語・フランス語のEU向けウェブサイト。
- EU域内に所在する顧客を対象としたマーケティングキャンペーン、ニュースレター、または有料広告。
- EU居住のリモートスタッフの雇用または業務委託、およびその個人データの取扱い。
- EUの顧客のデータを取り扱う、EUを拠点とするクラウドまたはSaaSインフラ上でのサービス運用。
KVKK：トルコ独自のデータ保護法（第6698号法）
トルコの個人データ保護法第6698号（Kişisel Verilerin Korunması Kanunu、KVKKKVKK個人データ保護法（第6698号）トルコのデータ保護法——個人データの収集・保管・移転の規律と、それを執行する当局。用語集 →）は2016年に施行され、当初はEUの旧1995年データ保護指令（95/46/EC）をモデルとしていました。同法はトルコデータ保護当局とその意思決定機関である委員会（Kurul）によって執行されます。
KVKKは1995年当時の基準に固定されているわけではありません。2024年3月12日の改正により、特に越境移転と機微データについてGDPRに近づいたため、今日では両制度は以前よりも近くなっていますが、なお同一ではありません（詳細は後述）。
トルコで個人データを取り扱うすべての企業は、実質的にGDPRを反映した同法の中核原則を遵守しなければなりません。
- 取扱いにおける適法性、公正性、透明性。
- 特定された、明示的かつ正当な目的のためにのみ取り扱うこと。
- データの最小化、正確性、および限定された保存期間。
- 各取扱い活動について適法な根拠を有すること。明示的同意または法定の例外事由のいずれか。
VERBİS登録と連絡担当者
トルコで事業を行うほとんどのデータ管理者は、データ管理者登録簿であるVERBİSに登録し、連絡担当者（irtibat kişisi）を選任しなければなりません。登録義務があるかどうかは、主に従業員数と年次財務貸借対照表上の数値を基準とする委員会決定により定められた閾値に依存し、一部の業種には免除があります。適用対象内か対象外かを推測するのではなく、貴社の具体的な立場を確認すべきです。
GDPR対KVKK：企業がつまずく主要な相違点
両制度は共通のDNAを持つものの、実務上その相違は重要です。KVKKをGDPRの単なる写しとして扱うことは、よくある高くつく誤りです。以下の表は、両者が一致する点と分かれる点を示しています。
| 論点 | GDPR（EU） | KVKK（トルコ、第6698号法） |
|---|---|---|
| 適法な根拠 | 柔軟な正当な利益の根拠を含む6つの根拠（第6条） | 明示的同意に加え、より狭い法定例外事由の一覧（第5条）。2024年改正でより近づいたが文言は異なる |
| 機微データ | 特別カテゴリーに関する第9条の条件 | 第6条、2024年に再構成。旧来の健康／性生活の区分が撤廃され、取扱い条件が拡大 |
| 越境移転 | 十分性／保護措置／逸脱事由（第45～49条） | 十分性／保護措置（SCC、BCR）／例外（第9条）、加えて5営業日以内のSCC届出 |
| 侵害通知 | 72時間以内に監督当局へ（第33条） | 72時間以内に委員会へ（委員会決定2019/10） |
| 制裁金 | 2,000万ユーロまたは全世界売上高の4%のいずれか高い方まで（第83条） | リラ建ての制裁金、毎年1月に再指数化。2026年はセキュリティ／VERBİS／委員会決定違反について最大約1,709万2,242トルコリラ |
取扱いの適法な根拠
GDPRは正当な利益を含む6つの適法な根拠を提供します。KVKKは歴史的に明示的同意とより狭い法定例外事由に大きく依拠しており、企業が正当な利益に依拠できる余地は小さいものでした。2024年の改正はその差を縮めましたが、文言は同一ではないため、GDPRで機能する根拠がKVKKにきれいに対応するとは限りません。
機微（特別カテゴリー）データ
2024年の改正はKVKK第6条を実質的に変更しました。健康および性生活のデータを他の機微カテゴリーと異なる扱いとしていた旧来の区分を撤廃し、特別カテゴリーデータ（健康、生体情報、宗教的信条、犯罪歴など）を取り扱える条件を拡大して、その構造をGDPR第9条に近づけました。取扱いは依然として厳格であり、明示的同意または特定の法定条件が安全な経路であることに変わりはありません。
越境移転
これが最大の相違点であり、外国企業が最も頻繁にKVKKに違反する領域です。次のセクションで詳しく取り上げます。
2024年KVKK改正と越境データ移転
2024年3月12日、第7499号法（いわゆる第8次司法パッケージ）が官報第32487号に公布され、第6条および第9条を含めてKVKKを改正しました。個人データの越境移転に関する施行規則は2024年7月10日に続きました。両者は相まって、旧来の制限的な同意ベースの移転モデルを、GDPR第5章に近く沿った段階的な枠組みに置き換えました。
個人データは現在、次の三つの方法のいずれかで海外に移転できます。
- 十分性認定。委員会が正式に十分と宣言した国、業種、または国際機関への移転。
- 適切な保護措置。十分性認定がない場合、次のいずれかを用いて移転が認められます。委員会が公表する標準契約条項（SCC）、グループ内移転のための拘束的企業準則（BCR）、書面による誓約、またはその他の承認された手段。
- 例外的な場合。明示的同意または特定の法定事由（例えば契約の履行、または法的請求権の確立と行使）に基づく、限定的かつ随時の移転。
外資系企業はどの保護措置を選ぶべきか
万能の答えはありませんが、単純な判断の道筋が役立ちます。
- 単一のトルコ子会社が人事または顧客データを一つのEU親会社または関連会社に送る場合。委員会のSCCが通常は実務的な選択です。署名し、トルコ語の本文を変更せずに用い、5営業日以内に届け出ます。
- 多国籍グループが多数の事業体と国にまたがってデータを移動させる場合。BCRはより重い承認手続きに見合う価値があり得ます。いったん承認されれば、別々の契約の網ではなくグループ全体をカバーするからです。
- 稀な一回限りの移転（例えば海外で法的請求を追行するため）。例外的な場合の事由が適用され得ますが、日常的で継続的なフローについてこれに依拠してはなりません。
双方向の問題
EUはトルコに対して十分性認定を出していないため、反対方向の移転、すなわちGDPRの下でのEUからトルコへの移転にも、それ自体の保護措置、通常はEU委員会のSCCが必要です。そのため多くのグループは二組の契約を並行して運用しています。次の表がその区分を具体的に示します。
| データの方向 | 適用される制度 | 必要なもの |
|---|---|---|
| トルコから出る（EUまたはその他へ） | KVKK（第9条） | 委員会SCC（トルコ語本文、修正なし）＋5営業日以内に当局へ通知、またはBCR |
| EUからトルコへ入る | GDPR（第46条） | EUの送信者が整備するEU委員会SCC（またはBCR） |
これらのフローの背後にある契約の作成とレビューについては、当事務所がどのようにデータ処理契約および標準契約条項を取り扱っているかをご覧ください。
実務的なコンプライアンス・ロードマップ
トルコで、またはトルコから事業を営む外資系企業にとって、防御可能な二重コンプライアンス・プログラムには通常、次のステップが含まれます。
- データフローをマッピングする。どのような個人データを収集し、それがどこから来て（EU居住者か。トルコ居住者か。）、どこに保存され、誰と共有されるか（海外のクラウドプロバイダーやグループ企業を含む）を特定します。
- どの制度が適用されるかを確認する。GDPR第3条の域外適用をKVKKと並べて評価します。両方が適用される場合は、より厳格な基準に合わせて構築します。
- 適法な根拠と通知を整える。KVKKに準拠した明示（aydınlatma）文書を準備し、必要に応じて明示的同意フォームを、さらにEUユーザー向けにGDPRに準拠したプライバシー通知を準備します。
- 閾値を満たす場合はVERBİSに登録し、登録簿の記載を最新に保ちます。
- 移転の仕組みを整備する。トルコからの域外移転について委員会のSCCまたはBCRを採用し、5営業日以内の通知を提出し、EUからの流入移転についてEUのSCCを採用します。
- 責任者を選任する。トルコにVERBİS連絡担当者を、そしてGDPRが要求する場合はデータ保護責任者またはEU代理人を置きます。
- インシデントに備える。KVKKとGDPRはいずれも72時間以内の侵害通知を要求するため、時間的なプレッシャーの下でも実際に運用できるインシデント対応手順を維持します。
Cookieとウェブサイトの明示（aydınlatma）
ウェブサイトはKVKK上の問題を生じる頻繁な原因です。サイトがCookie、アナリティクス、またはトラッキングピクセルを使用している場合、一般に、明確なCookie通知、必須でないCookieについての適切な法的根拠、そして訪問者に何をなぜ収集するかを伝えるKVKKの明示文書が必要です。EU向けサイトを持つ事業では、同じバナーがGDPRの同意ルールも満たさなければならないため、より厳格な基準に合わせて一度で設計してください。
法律事務所が通常価値を加える場面
不安を抱える創業者がすべてを一度に必要とすることは稀です。実務上、外部の弁護士が最も役立つのは、データフローのマッピング、適切な移転の仕組みの選択と作成、5営業日以内のSCC通知の提出、VERBİSの完了または更新、そしてKVKKとGDPRの二重の通知の準備です。この作業は会社設立とも重なります。トルコで外資系企業を設立する場合、データ・コンプライアンスを初日から組み込む方が、後付けで整備するよりも安価です。
データ保護が単独で存在することは稀です。買収や合弁事業においては、トルコのM&Aにおけるデータ保護デュー・ディリジェンスの中核的な一部であり、トルコ競争法コンプライアンスや企業結合届出の基準値といった他の規制チェックと並びます。貴社の義務についての個別のレビューをご希望の場合は、当事務所のイスタンブールのチームと二重コンプライアンス評価をご予約ください。
違反した場合の制裁（2026年の数値）
不遵守は各制度の下で独立して結果をもたらします。KVKKの制裁金は定額（区分固定）の制裁で毎年1月に再指数化されます。以下の数値は2026年について公表された区分です（再評価率25.49%、2025年11月27日官報、2026年1月1日施行）。
| KVKK違反（2026年の区分） | 制裁金の範囲 |
|---|---|
| 明示／情報提供義務（aydınlatma） | 8万5,437～170万9,200トルコリラ |
| データ・セキュリティ措置（第12条） | 25万6,357～1,709万2,242トルコリラ |
| VERBİS登録の懈怠 | 34万1,809～1,709万2,242トルコリラ |
| 越境SCCの通知の懈怠 | 9万308～180万6,377トルコリラ |
- KVKKの下では：委員会による行政制裁金（上記のとおり毎年再指数化）、是正命令、そして評判上の損害。重大な違法な取扱いまたは個人データの違法な移転は、トルコ刑法（第5237号法、第135～140条）にも及び得ます。これらは個人データの違法な記録、共有もしくは取得、およびその破棄の懈怠を対象としています。
- GDPRの下では：2,000万ユーロまたは全世界の年間売上高の4%のいずれか高い方までの制裁金（第83条）、加えてEU監督当局による執行措置とデータ主体からの民事請求の可能性。
よくあるご質問
GDPRはトルコにのみ拠点を置く企業に適用されますか。
適用され得ます。GDPR第3条の下では、EU域内の人に商品もしくはサービスを提供し、またはEU域内の人の行動を監視するトルコ企業は、EUに拠点がなくてもGDPRの適用範囲に入ります。その場合、GDPRとトルコのKVKKに同時に従わなければなりません。
KVKKはGDPRと同じですか。
いいえ。KVKK（第6698号法）は当初EUのデータ保護法をモデルとしており、同じ中核原則を共有していますが、適法な根拠、機微データのルール、移転の仕組み、制裁金の水準は異なります。2024年の改正（第7499号法）は、特に越境移転と機微データについてその差を縮めましたが、両制度は同一ではありません。
2024年に越境データ移転について何が変わりましたか。
2024年3月12日に公布された第7499号法と、2024年7月10日の施行規則が、旧来の同意ベースのモデルを段階的な仕組みに置き換えました。すなわち、十分性認定、適切な保護措置（標準契約条項、拘束的企業準則、誓約）、そして限定的な例外的な場合です。継続的な移転についての旧来の同意による経路は、2024年9月1日までしか認められませんでした。委員会の標準契約条項に依拠する移転は、署名から5営業日以内に当局へ通知しなければなりません。
EUから自社のトルコ企業に個人データを送ることはできますか。
EUはトルコに十分性認定を与えていないため、GDPRの下でのEUからトルコへの移転には、一般にそれ自体の保護措置、最も一般的にはEU委員会の標準契約条項が必要です。これはトルコからの域外移転に必要なトルコのSCCとは別のものであり、そのためグループは二組の契約を並行して維持することがよくあります。
当社はVERBİSに登録しなければなりませんか。
トルコで個人データを取り扱う多くのデータ管理者は、データ管理者登録簿であるVERBİSに登録し、連絡担当者を選任しなければなりません。貴社が閾値を満たすかどうかは、従業員数や年次財務貸借対照表上の数値などの要素に依存し、一部の免除があるため、貴社の具体的な状況について確認すべきです。
トルコでVERBİSに登録しない場合の制裁金はいくらですか。
2026年については、VERBİSへの登録を怠ること、誤った情報で登録すること、または期限内に更新しないことは、概ね34万1,809～1,709万2,242トルコリラの行政制裁金を招き得ます。これらの定額（maktu）の区分は毎年1月に再指数化されるため、依拠する前に現行の金額を確認してください。
トルコではデータ侵害をどれくらい早く報告しなければなりませんか。
個人データ侵害を認識してから72時間以内にKVKK委員会に通知しなければならず（委員会決定2019/10）、影響を受けた個人にも合理的な期間内に通知しなければなりません。GDPRも第33条の下で監督当局への同じ72時間の期限を定めているため、両制度の適用を受ける企業は、より厳格な基準に合わせて構築された単一のインシデント対応プロセスを運用すべきです。
