KVKK対GDPR：外国企業が知っておくべきこと

すでにGDPRをご存じであれば、トルコの個人データ保護法（KVKKKVKK個人データ保護法（第6698号）トルコのデータ保護法——個人データの収集・保管・移転の規律と、それを執行する当局。用語集 →、法律第6698号）についても一歩リードしていることになります——ただし、それは免除券ではありません。両制度は同じ枠組みを共有しています。すなわち、いずれも権利を基礎とし、いずれもデータ管理者／データ処理者のモデルで運用され、いずれも同じ中核原則に立脚しています。しかし、その相違は現実に存在し、外国企業を落とし穴に陥れます。KVKKは明示的同意の文化から生まれ、GDPRには対応物のない登録手続き（VERBİS）を伴い、GDPRの意味でのデータ保護責任者（DPO）の義務を課さず、2024年3月の改正（法律第7499号）以降はその越境移転規則が大きく変わりました。最も重要な要点はこれです。GDPRを遵守していても、それによってKVKKを遵守していることにはなりません。本ガイドは、両者の重複を、そしてより有益な点として、そのギャップを整理します。

端的な答え：同じ設計図、異なる建物

すでにGDPRプログラムを運用している外国企業にとって、率直な要約はこうです。考え方の大部分は再利用できますが、遵守そのものをコピー＆ペーストすることはできません。トルコの個人データ保護に関する法律第6698号——すなわちKişisel Verilerin Korunması Kanunu、略してKVKK——は、GDPRと同じヨーロッパの基盤の上に構築されました。同じ権利を保護し、同じ用語を用い、多くの同じことを求めます。

しかしKVKKは主権国家であるトルコの法律であり、トルコの当局によって執行され、独自の手続き、独自の登録簿、そしてトルコ・リラで表示される独自の罰則を備えています。GDPRとKVKKが分かれるところでは、トルコ国内ではトルコ版が優先します——そして両者が互換可能だと想定することは、外国企業が犯す最も一般的で最も高くつく誤りです。

KVKKとGDPRが一致するところ

まずは良い知らせから始めましょう。というのも、それは相当なものだからです。組織がGDPRに成熟していれば、枠組みの大部分は直接そのまま応用できます。

いずれも権利を基礎とする制度

KVKKは、GDPRと同様に、個人データ保護を単なる遵守上の形式ではなく個人の基本的権利として扱います。トルコではこの権利は憲法に根拠を持ち、法律第6698号によって具体化されています。個人（KVKKの用語ではilgili kişi——「データ主体」または「関係者」）は、行使可能な権利を有します。すなわち、自らのデータが処理されているかを知る権利、情報を請求する権利、訂正または消去を求める権利、そして異議を申し立てる権利です。これらはGDPRのデータ主体の権利と十分に近く対応しているため、GDPRの権利対応プロセスは有力な出発点となります。

管理者／処理者のモデルは同じ

KVKKは、GDPRでご存じの二当事者構造をそのまま用います。

• データ管理者（veri sorumlusu）——処理の目的および手段を決定する当事者。これはGDPRの「管理者」に当たります。
• データ処理者（veri işleyen）——管理者の代わりに、その指示のもとでデータを処理する当事者。これはGDPRの「処理者」に当たります。

役割の割り当て、処理者との関係の書面化、そして誰が何について責任を負うかを確定することは、すべてお手元のGDPRプログラムと同じように機能します。

中核原則は重複する

両法とも、個人データが適法かつ公正に、特定され正当な目的のために処理され、正確かつ最新に保たれ、必要な範囲に限定され、必要以上に長く保持されないことを求めます。GDPRの「設計によるデータ保護」の考え方は、KVKKの原則にきれいに対応します。到達点は似ています。異なるのは、そこに至る経路と書類作業です。

KVKKとGDPRが分かれるところ——外国企業が引っかかる部分

ここが重要な章です。類似点は安心を与えますが、相違点こそ遵守が破綻する場所です。以下の表は概観的な地図であり、続く各項では、外国企業が最も頻繁につまずく四つの相違を説明します。

1. 明示的同意の遺産

最も重要な文化的相違は、各法が適法根拠をどう考えるかにあります。GDPRは意図的に六つの根拠を提供し、最も適切なものを選ばせます。実務上、多くのEUの管理者は契約、法的義務、または正当利益に依拠し、同意は最後の手段として残しています。

KVKKはその逆の方向から発展しました。長年にわたり、それは明示的同意を中心とするものと読まれてきました。すなわち、明示的同意（açık rıza）が中心に置かれ、その周囲に定められた法定例外の一覧があり、GDPRの「正当利益」に類するものに依拠する余地はより狭かったのです。2024年の改正はKVKKを適法根拠に関するGDPRの手法へと近づけましたが、その文言は独自のものであり、トルコの規制当局や取引相手の実務上の慣行は依然としてその同意優先の歴史を反映しています。

2. VERBİS——GDPRに対応物のない登録簿

VERBİS（Veri Sorumluları Sicili、データ管理者登録簿）にはGDPRの対応物がありません。GDPRは規制当局への一般的な届出制度を数年前に廃止しましたが、トルコは登録簿を維持しました。トルコで事業を行う多くのデータ管理者は、VERBİSに登録し、その登録内容を最新に保たなければなりません。

組織が登録義務を負うかどうかは、委員会が定める閾値によります——典型的には従業員数や年間財務数値といった要素に連動し、業種別の例外があります。ここでは閾値が定性的に設定され、時とともに変化するため、自社が該当するか否かを想定するのではなく、自社の具体的な立場を確認すべきです。GDPRを完全に遵守している外国企業であっても、単に一度も登録していないという理由だけでトルコでは違反状態にあり得ます。

3. DPO義務はない——ただし「連絡担当者」がある

GDPRは、定められた状況においてデータ保護責任者（DPO）を求めます——これは法定の職務と保護を備えた独立した役割です。KVKKにはその意味でのDPO義務はありません。

KVKKが代わりに求めるのは、VERBİSに登録された管理者について、連絡担当者（irtibat kişisi）です。これはより狭い役割であり、会社と当局の間の連絡窓口であって、会社の処理を独立して監督する者ではありません。トルコ国外に設立された外国の管理者は、加えてトルコ国内に代理人を指定する必要がある場合もあります。実務上の要点は次のとおりです。既存のDPOがKVKKを満たすと想定してはならず、VERBİSの連絡担当者がGDPRのDPO義務を果たすと想定してもなりません。それらは異なる問題を解決する異なる役割です。

4. 越境移転——2024年に全面的に見直された

ここは両制度が最も接近した領域でありながら、外国企業が最も頻繁にKVKKに違反する領域でもあります。これは独立した章に値するため、以下で扱います。

2024年の改正と越境移転

2024年3月12日、法律第7499号がKVKKを改正し、続いて施行された実施規則とあわせて、個人データを国外へ送るためのトルコの旧来の同意に大きく依存したモデルを、GDPR利用者がすでに見慣れた構造をなぞる段階的枠組みへと置き換えました。

概括的には、個人データは現在、次の三つの経路のいずれかを通じてトルコから出ることができます。

1. 十分性決定——委員会が十分な保護を提供すると正式に認めた国、業種、または国際機関への移転。
2. 適切な保護措置——十分性決定がない場合に、委員会の標準契約条項（SCC）、グループ内の流れのための拘束的企業準則（BCR）、または承認された誓約といった手段に基づく移転。
3. 例外的場合——明示的同意または特定の法定根拠に立脚する、限定的で臨時の移転。

GDPR第V章をご存じであれば、この形は見覚えがあるでしょう。しかしその手段はトルコのものです。委員会のSCCはEU委員会のSCCではなく、トルコ語の本文が支配し、そして——委員会のSCC署名後の定められた短期間内における当局への届出を含む——GDPRに対応物のない手続き上の段階があります。

二方向の問題

GDPRに成熟したグループが計画に組み込まなければならない構造上の非対称性もあります。EUはトルコを認める十分性決定を出していないため、EUからトルコへと流入するデータは、依然として独自のGDPR上の保護措置（典型的にはEUの送り手が用意するEU委員会のSCC）を必要とします——これはトルコから流出するデータに必要なトルコの手段とはまったく別のものです。したがって多くのグループは、二組の移転契約を並行して運用しています。

これらの流れの背後にある契約については、当事務所がデータ処理契約および契約条項を取り扱う方法と重なります。

GDPRに成熟した企業のための実務的マッピング作業

ゼロから作り直すのではなく、KVKK対応を既存のGDPRプログラムに対するギャップ分析として扱ってください。妥当な進め方は通常、以下のようになります。

• 適法根拠を再整理する。各処理活動を取り上げ、その根拠を法律第6698号第5条に照らして確認してください——GDPRの根拠（特に正当利益）がそのまま引き継がれると想定してはなりません。
• VERBİSを確認する。登録閾値を満たすかどうかを判断し、満たす場合は登録し、連絡担当者を任命し、登録内容を最新に保ってください。
• 通知文書をローカライズする。KVKKは独自の説明文書（aydınlatma metni）を、そして依拠する場合には明示的同意書を求めます——これらはGDPRのプライバシー通知と同じ文書ではありません。
• 移転を再構築する。トルコから出るすべての流れを特定し、現行の2024年制度の手段を選択し、必要な届出を完了してください。別途、トルコへ入る流れについてはGDPRの保護措置を確認してください。
• 役割を整理する。GDPRのDPO、VERBİSの連絡担当者、トルコの代理人——あるいはそれらの組み合わせが必要かどうかを確認してください。
• インシデント対応を整合させる。両制度とも侵害通知を求めます。両者のうち厳しい方の期限を満たす一つの手続きを構築し（現行のトルコの要件を確認してください）、現実的な時間的制約のもとで運用してください。

罰則：二つの制度、二つの別個の責任

不遵守は各制度のもとで独立して評価され、両者が同時に効いてくることがあります。

KVKKのもとでは、当局の委員会は行政罰金を科すことができます——例えばセキュリティ上の不備、登録の不備、またはその決定への違反に対して——是正命令とあわせてです。これらの罰金はトルコ・リラで設定され、毎年再指数化されるため、特定の数値はすぐに古くなります。依拠する前に現行の区分を確認してください。重大な違法処理は、さらにトルコ刑法（法律第5237号）の刑事規定を発動させ得ます。

GDPRのもとでは、EUの監督機関が独自の罰金と執行措置を科すことができ、データ主体は民事上の請求を提起し得ます。国際的なグループにとって、真の危険は並行する責任です。すなわち、一つの設定を誤った移転、あるいは一つの欠けた通知が、トルコとEUの双方で同時に結果を引き起こし得るのです。

個人データ保護が単独で存在することはめったにありません。トルコで外国資本の会社を設立するのであれば、KVKKを初日から組み込む方が、後付けするよりもはるかに安上がりです。また取引においては、それはデータ保護デューデリジェンスの一部を構成します。体系的なKVKK対GDPRのギャップ・レビューについては、イスタンブールの当チームにご相談ください。

よくあるご質問