KVKKに基づく個人データの適法な処理：法的根拠
貴社がトルコに関連する個人データを処理している場合、すべての処理活動はトルコ個人データ保護法（Kişisel Verilerin Korunması Kanunu 第6698号、以下「KVKKKVKK個人データ保護法（第6698号）トルコのデータ保護法——個人データの収集・保管・移転の規律と、それを執行する当局。用語集 →」）に定められた適法な根拠に基づいている必要があります。通常の個人データについては、本人の明示的同意（açık rıza）、または第5条第2項に列挙された代替的な法的根拠のいずれか（法的義務、契約の履行、正当な利益など）を意味します。特別カテゴリーの個人データ（özel nitelikli kişisel veri）は第6条のより厳格な制度に従い、この制度は2024年の法律第7499号によって大幅に拡大されました。本ガイドでは、貴社がデータフローを防御可能な法的基盤に対応づけられるよう、各根拠を平易な言葉で説明します。
KVKKにおける「適法な処理」の意味
トルコ個人データ保護法（Kişisel Verilerin Korunması Kanunu 第6698号）に基づき、適法な根拠がない限り個人データを処理することはできません。「処理」は非常に広く定義されており、データの収集、記録、保存、整理、移転、開示、さらには削除までもがこれに含まれます。したがって問題となるのは、個人データを処理するか否かではありません。特定された、または特定可能な人物に関する情報を取り扱っているのであれば、貴社は処理を行っています。真に問われるのは、どの法的根拠が各活動を支えているかということです。
ここでは二つの役割が重要です。データ管理者（veri sorumlusu）は、データを処理する理由と方法を決定する当事者であり、通常は貴社です。データ処理者（veri işleyen）は、管理者の指示のもと、その代わりにデータを処理する当事者で、クラウドホストや給与計算業者などが該当します。適法な根拠を特定する義務は管理者にあります。
法律の構造。第4条はあらゆる処理活動が遵守しなければならない一般原則を定めています。第5条は通常の個人データに関する法的根拠を規律します。第6条は特別カテゴリーの個人データについてより厳格な制度を定めています。これらは一体として読む必要があります。第5条または第6条に基づく有効な根拠が必要であると同時に、第4条の原則にもあわせて従わなければなりません。
すべての根拠に適用される第4条の原則
法的根拠に進む前に、第4条は依拠する根拠が何であれすべての処理を拘束する原則を課しています。適法な根拠を選んだからといって、これらの原則が免除されるわけではありません。平易に言えば、貴社の処理は次のものでなければなりません。
- 適法かつ公正であること（hukuka ve dürüstlük kurallarına uygun）。誠実に、法の範囲内で、本人が合理的に予期できる方法で処理します。
- 正確であり、必要な場合には最新の状態に保たれていること。誤ったデータを訂正するための合理的な措置を講じます。
- 特定され、明示された正当な目的のために処理されること（目的の限定）。収集前に目的を決定し、後になって密かにデータを別の目的に転用しないようにします。
- 目的に関連し、限定され、比例的であること（データの最小化）。「念のため何でも」ではなく、実際に必要なものだけを収集します。
- 必要な期間に限って保持されること（保存の限定）。法的または業務上の理由が終了したときは、データを削除、破棄、または匿名化します。
有用な検証方法があります。特定のデータ項目をなぜ保持しているのか、そしてどれくらいの期間保持するのかを一文で説明できないのであれば、その項目は、記載した法的根拠が何であれ、おそらく第4条を満たしていません。
明示的同意（açık rıza）——そしてなぜそれがしばしば最も弱い根拠なのか
人々が最初に思い浮かべる根拠は明示的同意（açık rıza）です。KVKKに基づき、有効な明示的同意は、(1)特定の対象に結びついていること、(2)事前に提供された十分な情報に基づいていること、(3)自由な意思で与えられていること、を満たす必要があります。あらかじめチェックの入ったボックス、包括的な「すべてに同意します」という条項、または無関係な規約に埋め込まれた同意は、一般に有効とはみなされません。
同意には、日常的な業務処理の根拠として脆弱にする二つの特徴があります。
- 撤回できること。本人は同意を撤回することができ、いったん撤回されると、その活動に対する適法な根拠は失われます。同意のみに依拠していた場合、処理を停止しなければなりません。
- サービスの条件とすることができないこと。その処理がサービスに真に必要でない場合、同意をサービス提供の条件とすることはできません。本人に与える以外の現実的な選択肢がなかった同意は「自由な意思で与えられた」ものではなく、したがって有効ではありません。
このため、管理者は通常、他に位置づけようのない処理（例えば任意のマーケティング）にのみ同意を用い、関係を運営するうえで必ず行わなければならない処理については、まず第5条第2項の代替的根拠を検討します。
「念のため」に他の有効な根拠の上に同意を重ねてはいけません。本人にデータが同意を根拠に処理されると伝えたうえで本人がこれを撤回した場合、契約上または法的義務の根拠が存在していたとしても、処理を停止しなければならなくなるおそれがあります。真に適合する根拠を選び、それ一つに依拠してください。
第5条第2項における代替的な法的根拠
第5条第2項は、列挙された条件のいずれかが該当する場合、同意なしに通常の個人データを処理することを認めています。これらは日々のコンプライアンスの主力です。平易に言えば、次の場合に個人データを処理できます。
- 法律に明示的に規定されている場合。法令が処理を直接に授権または要求している場合です。
- 同意を与えることができない者の生命または身体の完全性を保護するために必要な場合。身体的な能力の欠如などにより同意を与えられない者、またはその同意が法的に有効でない者について該当します。
- 契約の履行のために必要な場合。本人との契約の締結または履行に直接関連する場合です。注文を配送するために顧客の住所を処理することが典型例です。
- 管理者が法的義務を遵守するために必要な場合。税務、雇用、記帳の義務が一般にここに該当します。
- 本人自身によって公開されたデータである場合。その開示の目的に沿って処理することができます。
- 法的請求の確定、行使または保護のために必要な場合。例えば、将来の紛争に備えて記録を保持する場合です。
- 管理者の正当な利益のために必要な場合（meşru menfaat）。ただし、これが本人の基本的な権利および自由を害さないことを条件とします。
最後の根拠——正当な利益——は柔軟ですが、真の利益衡量を必要とします。貴社の事業上の利益を本人の権利および期待と比較衡量し、なぜ自社の利益がそれらを上回らないのかを文書化しなければなりません。これは万能の受け皿ではなく、正当化され、記録された判断です。
各処理活動を、複数ではなく一つの具体的な第5条第2項の根拠に対応づけてください。「請求書の送付」は契約上の必要性または法的義務であり、「不正防止ログの保持」は正当な利益である可能性がより高いです。明確な対応づけこそが、当局から尋ねられたときに示すものです。
2024年法律第7499号後の特別カテゴリーデータ（第6条）
特別カテゴリーの個人データ（özel nitelikli kişisel veri）は、その濫用がより大きな損害を引き起こすため、より厳格に扱われます。KVKKに基づき、これには健康および性生活、人種または民族的出身、政治的意見、哲学的信条、宗教または宗派、外見、団体・財団・組合への加入、刑事上の有罪判決および保安処分、ならびに生体データおよび遺伝データに関するデータが含まれます。
このデータに関する制度は、第6条を改正した2024年法律第7499号によって実質的に変更されました。改正前は、明示的同意なしに特別カテゴリーデータを処理することは、狭い、カテゴリー別の状況においてのみ可能でした。改正は代替的な法的根拠を拡大し、特別カテゴリーデータを明示的同意なしに、より広い範囲の定められた状況で処理できるようにしました——例えば、法律が明示的に許可する場合、同意を得られない状況で生命または身体の完全性を保護する場合、本人が公開したデータに関する場合、法的請求の確定または保護のため、そして同条に定められた一定の雇用、公衆衛生などの目的のためであり、それぞれが独自の条件、また場合によっては個人データ保護委員会が定める保護措置に服します。
2024年の拡大後も、第6条は第5条より厳格であり続けます。利用可能な根拠はより狭く、いくつかには追加の保護措置が伴い、委員会は特別カテゴリーデータの処理について追加の適切な措置を要求することがあります。あらゆる健康、生体、または信条に関連するデータは高リスクとして扱い、処理する前に具体的な根拠を確認してください。
改正後の条文、その施行日、および許可された根拠の正確な一覧は詳細であり、また最近改革されたものであるため、一般的な要約に依拠するのではなく、貴社の具体的な用途について、統合された法令に照らして第6条の現行の文言を確認するべきです。
トルコに関連するデータを処理する外国企業のための実務的ステップ
貴社が海外で設立されていても、トルコの人々または業務に関連する個人データを処理している場合、KVKKが依然として適用されることがあり、適法な根拠を確立する義務は同じです。実行可能なアプローチは次のとおりです。
- 処理を棚卸しする。各活動——オンボーディング、給与計算、マーケティング、サポート、分析——と、それが扱うデータを一覧化します。
- 活動ごとに一つの法的根拠を割り当てる。大半の業務上の処理については、同意より前に第5条第2項（契約上の必要性、法的義務、正当な利益）を検討します。
- 特別カテゴリーデータを別に区別する。健康、生体、または信条に関連する項目には第6条の根拠、そしてしばしば追加の保護措置が必要です。
- 全体を通じて第4条を遵守する。収集するものを最小化し、保存期間を定め、目的を書き記します。
- 移転および登録義務を確認する。越境移転規則や、データ管理者登録簿（VERBİS）への登録は、それぞれ独自の条件と基準を有しており——これらは技術的であり改革されているため、現在貴社に何が適用されるかを確認してください。
適法性を証明する負担は、管理者である貴社にあります。「どこかに同意があった」というだけでは、まず十分ではありません。短い書面の記録——活動、法的根拠、目的、保存期間——こそが、防御可能な立場と無防備な立場とを分ける実務上の違いです。
よくあるご質問
KVKKに基づき、個人データを処理するには常に同意が必要ですか。
いいえ。明示的同意（açık rıza）は適法な根拠の一つにすぎません。通常の個人データについては、KVKK第6698号の第5条第2項が代替的な根拠——法的義務、契約の履行、管理者の正当な利益など——を定めており、条件が満たされれば同意なしに処理できます。多くの日常的な業務処理においては、これらの代替的根拠は、撤回されうる同意よりも強固な基盤となります。
トルコにおいて、何が特別カテゴリーの個人データに該当しますか。
KVKKに基づき、特別カテゴリー（özel nitelikli kişisel veri）には、健康および性生活、人種または民族的出身、政治的意見、哲学的信条、宗教または宗派、外見、団体・財団・組合への加入、刑事上の有罪判決および保安処分、ならびに生体データおよび遺伝データに関するデータが含まれます。このデータはより厳格な第6条の制度に従い、一般に追加の注意と保護措置が必要です。
2024年に法律第7499号は特別カテゴリーデータについて何を変更しましたか。
法律第7499号はKVKK第6条を改正し、特別カテゴリーデータの処理に関する法的根拠を拡大しました。従前は、明示的同意なしにそのようなデータを処理することは狭い状況においてのみ許可されていました。改正は、特別カテゴリーデータを明示的同意なしに処理できる、より広い範囲の定められた条件を追加し、それぞれに独自の要件が伴います。文言および施行日は最近改革されたものであるため、正確な現行の根拠は統合された法令に照らして確認するべきです。
トルコにおいてデータを処理する際、正当な利益に依拠できますか。
はい。通常の個人データについては、KVKK第5条第2項が管理者の正当な利益（meşru menfaat）を適法な根拠として認めています——ただし、処理が本人の基本的な権利および自由を害さない場合に限ります。これには、貴社の利益を本人の権利および合理的な期待と比較衡量する、文書化された衡量作業が必要です。これは万能の受け皿ではなく、第6条によって規律される特別カテゴリーデータには適用されません。
KVKKは、トルコに事務所を持たない外国企業にも適用されますか。
適用されることがあります。KVKKの義務は、トルコの人々または活動に関連する個人データを処理する外国の管理者にまで及ぶことがあります。KVKKが貴社の処理に適用される場合、第5条または第6条に基づく適法な根拠を確立し、第4条の原則を遵守し、移転および登録の規則を守らなければなりません。この法律が貴社の具体的な体制にどのように適用されるか、また適用されるか否かは、事実に依拠する問題であり、トルコの法律顧問に確認する価値があります。
