外国企業のためのトルコKVKK遵守：実務ガイド

貴社がトルコに所在する人々の個人データを処理している場合、たとえトルコ国内に事務所、サーバー、従業員がなくても、トルコのデータ保護法が適用されることがあります。この法律が、トルコ語の頭文字からKVKK（Kişisel Verilerin Korunması Kanunu）として知られる個人データ保護法第6698号です。本ガイドでは、KVKKとは何か、EUのGDPRとどのように比較されるか、誰が対象となるか、そして外国企業が備えるべき主要な義務について、2024年の改正法律第7499号による重要な変更を含めて、平易な言葉で説明します。

KVKKとは何か、何を規制するのか

KVKKは、2016年から施行されているトルコの個人データ保護法第6698号（Kişisel Verilerin Korunması Kanunu）の略称です。これは、個人データがどのように収集、保管、利用、共有、削除されうるかに関する同国の中核的な法律です。

「個人データ」とは、識別された、または識別可能な自然人に関するあらゆる情報を意味します。例えば、氏名、ID番号、メールアドレス、位置情報、オンライン識別子などです。「処理」は広く解釈され、データの収集、記録、保管、変更、共有、移転、削除がすべて該当します。

同法は、あらゆる処理が尊重しなければならない基本原則を定めています。例えば、適法性および公正性、正確性、目的の限定、データの最小化、必要な期間のみの保管などです。また、処理を適法とする法的根拠も列挙しており、本人の明示的同意（açık rıza）から、契約の履行や法的義務の遵守など同意を必要としないいくつかの根拠まで含まれます。

KVKKはGDPRとどのように比較されるか

EUの一般データ保護規則（GDPR）をすでにご存知であれば、KVKKには馴染みを感じられるでしょう。同じ欧州モデルに基づいて構築されており、管理者/処理者の区分、処理の適法根拠、データ主体の権利、独立した規制機関という多くの論理を共有しています。しかし、これは別個のトルコの法律であり、細部は異なります。

外国のチームが気づく実務上の相違点には次のものがあります。

• 同意の文化。 KVKKは歴史的に、処理の根拠として明示的同意（açık rıza）に大きく依拠してきており、トルコの実務では同意が厳格に扱われます。GDPR型の「正当な利益」の分析がKVKKに一対一で対応すると想定すべきではありません。
• 登録簿。 KVKKは公的な管理者登録簿であるVERBİSを運用しており、多くの管理者が登録しなければなりません。GDPRには相当する中央登録簿はありません。
• 独自の規制機関と判例。 KVKKは、トルコ独自の当局および委員会によって解釈・執行され、その決定がトルコ国内における遵守の指針となります。
• 国境を越える移転。 トルコ国外へデータを送る際の規則はKVKK独自のものであり、2024年に改正されました（下記参照）。

誰が遵守すべきか：データ管理者とデータ処理者

KVKKは、データ処理におけるあなたの役割に基づいて義務を割り当てます。二つの主要な役割は、GDPRでご存知かもしれない概念と同じです。

データ管理者（veri sorumlusu）

データ管理者とは、個人データがなぜ、どのように処理されるかを決定する者または組織です。管理者は、個人への通知、データの保護、請求への対応、そして必要な場合のVERBİSへの登録など、KVKKに基づく主要な法的責任を負います。

データ処理者（veri işleyen）

データ処理者とは、管理者に代わり、その指示に基づいてデータを処理する者または組織です。例えば、クラウドホスト、給与計算業者、分析ベンダーなどです。処理者は独自のセキュリティおよび守秘義務を負い、通常は書面による取り決めによって管理者に拘束されます。

この分類を正しく行うことが重要です。なぜなら、どの義務があなたに課されるかを決定するからです。多くの紛争は、実際には誰が管理者であったかについての意見の相違から始まります。

KVKKは外国企業に及ぶのか

及びうるものです。KVKKは、トルコに設立された企業に限定されません。実務上、当局および委員会は、外国企業がトルコ国内にいる人々の個人データを処理する場合、例えばそれらの人々に商品やサービスを提供したり、その行動を監視したりする場合に、同法が適用されうるとの立場を採ってきました。

これは、トルコに販売する電子商取引事業者、トルコ人ユーザーを持つSaaSプラットフォーム、あるいはトルコに従業員や請負業者を持つ外国の雇用者が、いずれもトルコで登記された法人を持たなくてもKVKKの適用範囲に入りうることを意味します。

適用範囲内にある外国の管理者は、トルコ国内の代理人を通じて行動し、現地に向けた義務を果たす必要が生じることもあります。これらの義務が非居住企業にどのように及ぶかは具体的な事実関係によって決まるため、これはトルコの弁護士に最初に確認すべき点の一つです。

規制機関とVERBİS登録簿

KVKKは個人データ保護当局（Kişisel Verileri Koruma Kurumu、「Kurum」）によって監督されています。当局内において、意思決定機関は個人データ保護委員会（Kişisel Verileri Koruma Kurulu、「Kurul」）です。

委員会は、あなたが最も遭遇する可能性の高い部分です。委員会は次のことを行います。

• 苦情を調査し、また自らの職権で行動します。
• 拘束力ある決定および一般的な指針を発し、法の適用のあり方を形作ります。
• 処理の停止またはデータの削除を命じることができます。そして
• 違反に対して行政罰金を科すことができます。

委員会は多くの決定の要旨を公表しており、これらは抽象的な原則が、外国企業や国境を越えるデータの流れに関わるものを含む実際の状況にどのように適用されるかを示しています。

VERBİS、管理者登録簿

VERBİS（Veri Sorumluları Sicil Bilgi Sistemi）は、当局のオンライン上のデータ管理者登録簿です。多くの管理者は処理を開始する前に登録しなければならず、また登録内容を最新に保ち、処理するデータの種類、目的、受領者、保管期間、セキュリティ対策などの情報を申告しなければなりません。すべての管理者が登録しなければならないわけではありません。KVKKおよび委員会は、例えば従業員数や処理の性質・規模に基づく免除および基準を定めており、トルコ国内に拠点を持たない管理者に対する特定の規則もあります。

主要な遵守義務

KVKKが貴社の処理に適用される場合、管理者の中核的な義務には通常、次のものが含まれます。これは完全なチェックリストではなく、方向づけのための地図として捉えてください。

• 適法根拠を持つこと。 あらゆる処理活動には、明示的同意であれ、同意を要しない根拠の一つであれ、KVKKに基づく有効な法的根拠が必要です。
• 個人に通知すること。 収集の時点で、あなたが誰であるか、どのデータを取得するか、その理由、どの根拠に基づくか、誰に開示されうるかを、人々に伝えなければなりません（通知義務、aydınlatma yükümlülüğü）。
• データ主体の権利を尊重すること。 個人は、あなたが自らのデータを保有しているか否かを尋ね、アクセスおよび訂正を請求し、定められた状況において削除を求めることができます。これらの請求を受領し、法律が定める期限内に回答する手続を備えなければなりません。
• データを安全に保つこと。 データを保護するための適切な技術的・組織的措置を講じなければならず、委員会は実務上「適切」が何を意味するかについて指針を発しています。
• 侵害に対処すること。 データ侵害が発生した場合、KVKKは規則が定める期間内に、当局および影響を受ける個人への通知を求めます。
• 必要な場合にはVERBİSに登録し、処理を文書化すること。 目録および保管・破棄の方針を通じて行います。

2024年改正（法律第7499号）と国境を越える移転

2024年、KVKKは法律第7499号によって大幅に改正されました。この改正は、同法の最も慎重を要する二つの領域に触れたため、外国企業にとって重要です。

特別な種類のデータ

KVKKは、健康、宗教、民族、生体情報、労働組合への加入に関するデータなど、「特別な種類」の個人データ（özel nitelikli kişisel veriler）に追加的な保護を与えています。2024年改正は、そのようなデータを処理しうる条件を見直し、明示的同意のみへの依拠を超えて状況を拡大しました。貴社の業務が機微データに触れる場合、従来の分析はもはや正しくないかもしれません。

トルコ国外への移転

改正はまた、個人データを国外へ送る際の規則（yurt dışına aktarım）を再構築しました。改正された制度は、GDPRから馴染みのある階層的アプローチを中心に構築されています。すなわち、十分性認定に基づく移転、それがない場合には適切な保護措置（トルコ語で標準契約条項、standart sözleşme、および拘束的企業準則やそれに類する手段を含みうるもの）に支えられた移転、そして限定的な状況における特定の逸脱です。

これらは、典型的な外国企業が依拠する領域そのもの、すなわち本社、グローバルクラウド、または親会社へのデータの移動であるため、最も安全な方策は、データの流れを図式化し、2024年以降の規則の下で評価を受けることです。

外国企業のための実務上の次のステップ

KVKKが貴社に適用されうると思われる場合、賢明な出発順序は次のとおりです。

• データを図式化する。 トルコにいる人々のどの個人データを、なぜ処理し、どこへ流れるかを特定します。
• 役割を確定する。 各活動について、あなたが管理者か処理者かを決定します。
• 適用範囲と代理を確認する。 KVKKが適用されるか、トルコに代理人が必要かについての見解を得ます。
• VERBİSを確認する。 現行の基準に照らして、登録しなければならないかを評価します。
• 移転と機微データを再確認する。 2024年制度の下で行います。
• 基本を整える。 適法根拠、プライバシー通知、請求対応の手続、セキュリティ対策、侵害対応計画です。

KVKKは、早期に計画する企業に報います。規則は詳細であり、GDPRとは部分的にしか重ならず、いくつかの重要な点が2024年に変更されたため、今のうちに短く焦点を絞った見直しを行うことは、通常、苦情や監査の後に問題を修正するよりもはるかに費用がかかりません。当事務所のチームは、KVKKが貴社の業務に適用されるか、現行法の下での義務が何であるかを評価するお手伝いをいたします。

よくあるご質問