トルコのKVKKにおけるデータ主体の請求への対応

貴社がトルコに関連する個人データを取り扱っている場合、個人は貴社に対して、自らに関して保有しているデータの内容を尋ね、それについて対応を求めることができます。トルコの個人データ保護法（Kişisel Verilerin Korunması Kanunu 第6698号、「KVKKKVKK個人データ保護法（第6698号）トルコのデータ保護法——個人データの収集・保管・移転の規律と、それを執行する当局。用語集 →」）第11条は、すべてのデータ主体（ilgili kişi）に一連の権利——自らのデータが処理されているかを知る権利、情報および写しを請求する権利、訂正・削除を求め、または異議を述べる権利——を与えています。そして第13条は、データ管理者（veri sorumlusu）である貴社に対し、その申請を受け付け、法律が定める期間内に回答する義務を課しています。本ガイドでは、貴社が運用すべき手続、遵守すべき期限、そして本人が個人データ保護委員会（Kişisel Verileri Koruma Kurulu）へ申立てを進めた場合に何が起こるかを説明します。

KVKK第11条に基づき、データ主体はどのような権利を有するか

法律第6698号第11条は、個人が貴社に対して行使できる権利を列挙しています。平易に言えば、貴社がデータを処理しているすべての人は、貴社に対して次のことを求めることができます。

• 自らのデータを処理しているかどうかの確認——単純な「はい」か「いいえ」の回答。
• 処理が存在する場合、その情報の請求——処理の目的、およびデータがその目的に沿って用いられているかを含みます。
• 提供先を知ること——トルコ国内または国外を問わず、データが移転された相手先。
• データが不完全または不正確な場合の訂正の請求、および貴社がそれを提供した第三者への通知の請求。
• 処理の法的根拠が消滅した場合の消去または廃棄の請求——これも提供先への通知を伴います。
• 専ら自動化された分析によって本人に不利益に生じた結果への異議。
• 違法な処理によって生じた損害に対する賠償請求（この部分は貴社の内部窓口ではなく裁判所を通じて行われます）。

「データ主体」（ilgili kişi）という語は、単にそのデータが対象とする生存する個人——顧客、従業員、ウェブサイト訪問者、求職者——を意味します。これらの権利は貴社ではなく本人に帰属するものであり、契約によって放棄させることはできません。

第13条に基づき申請が貴社に届く経路

第13条はその経路を定めています。データ主体はデータ管理者への書面による申請——すなわち貴社への申請——を行うか、登録済み管理者について委員会が承認した他の方法を用います。法律および委員会のガイダンスが他の方法を認めている場合、請求が特定の形式によることを貴社が強要することはできません。重要なのは、本人を特定でき、その求めるところを理解できることです。

貴社の最初の務めは本人確認です。いかなる個人データも開示する前に、申請者が名乗るとおりの人物であることを確認してください。他人のデータを詐称者に引き渡すこと自体が違反にあたります。本人確認は比例的に——確信を得るのに十分でありつつ、正当な請求を妨げるほど過重にならないように——保ってください。

第13条は申請をまず管理者に向けるものである点に注意してください。データ主体は通常、貴社に対応の機会を与えることなく直接委員会へ進むことはできません。そのため、貴社の内部手続がコンプライアンスの最前線となります。

回答期限——法定期間内に回答する

これは企業が最も誤りやすい部分です。第13条は、原則として無償で、可及的速やかに、遅くとも30日以内に請求を処理することを貴社に求めています。回答に別途費用を要する場合、委員会が定める料金表により手数料が認められることがあります。

「処理する」とは、真の回答を与えること——請求を受け入れて対応するか、理由を付して拒否すること——を意味します。沈黙は選択肢ではありません。拒否する場合は、その拒否の法的根拠を書面で説明しなければなりません。遅延した、曖昧な、または理由のない回答は、回答がないのとほぼ同様に扱われ、申立てのリスクにさらされます。

実務上の助言：有効な申請が届いた日付を記録し、直ちに期限をカレンダーに登録し、その十分前に回答することを目指してください。本人確認、およびシステムや委託先からのデータ抽出のための時間を織り込んでください——これらの作業はしばしばスケジュールを圧迫します。

各種類の請求に実務でどう対応するか

行使される権利によって、貴社の回答は形づけられます。

アクセスおよび情報の請求

システムを検索し、本人のデータを保有しているかを確認し、目的、法的根拠、および提供先（国内および国外）を説明してください。当該個人自身のデータは開示しますが、その過程で第三者の個人データを明かさないよう注意してください。

訂正の請求

請求が正当である場合、不正確または不完全なデータを訂正し、第11条が求める場合には、以前にそれを共有した第三者に通知してください。

消去および廃棄の請求

処理の適法な根拠が依然として存在するかを評価してください。根拠が残っている場合——たとえば税務、商事、または労働関連の法律に基づく法定の保存義務——は、適法に拒否することができ、その旨を理由とともに述べなければなりません。根拠が残っていない場合は、データを削除または廃棄し、提供先に通知してください。

請求が機微データ（健康、生体情報、宗教的または政治的情報）に触れる場合、または国外移転の確認を求める場合、2024年改正後の分析はより繊細になります。それらは定型的な窓口対応ではなく、法的検討を要する案件として扱ってください。

データ主体が委員会へ申立てを行う場合

貴社が請求を拒否し、期限を徒過し、または不十分な回答を行った場合、データ主体の次の手段は個人データ保護委員会（Kişisel Verileri Koruma Kurulu）への申立てです。法律は、本人がまず貴社に申請し、その後に申立てへ進むこと——通常、貴社の回答（または回答が期限を迎えた時点）から起算される所定の期間内——を予定しています。委員会は申立てを審査し、貴社に説明および文書を求め、貴社が遵守したか否かを判断することができます。

委員会が違反を認定した場合、その是正を命じることができ、行政制裁金を科すことができます。制裁金の区分は法律に定められており、定期的に更新されます。

貴社にとっての教訓は予防的なものです。清潔で、文書化され、期限内の回答こそが最善の防御です。委員会が申立てを審査する際、日付入りの受付記録、本人確認の手順、そして書面による理由は、貴社が第13条の義務を果たしたことの証拠となります。

外国企業が整備すべきこと

貴社がトルコ国外に拠点を置いていても、トルコにいる人々に関連するデータを処理している場合、KVKKの適用範囲の外にあるわけではありません。請求が届く前に、以下を整備してください。

• 営業日に監視される、データ主体の申請のための指定された受付窓口。
• 厳格でありつつ比例的な本人確認の手順。
• 受領時に起算を開始し、法定の日数制限を早期に警告する期限管理ツール。
• 受諾、一部受諾、拒否の回答のための回答テンプレート——それぞれ理由を付すもの。
• システムおよび委託先全体で本人のデータを実際に見つけ出し取得できるようにするデータマップ。
• 機微データおよび国外移転に関する問題を法的検討へ送るエスカレーションのルール。

登録済み管理者は、より広範なKVKK上の義務も最新に保たなければなりません——プライバシー通知、適法な根拠、移転の仕組み、そして該当する場合には管理者登録簿（VERBİS）への登録です。貴社の処理が登録の基準に該当するかどうか、そして2024年改正後の現行ルールが何を求めるかは、推測ではなくトルコのデータ保護弁護士に確認すべきです。

よくあるご質問