KVKKに基づくVERBİS登録：誰が登録しなければならないか、その方法

貴社がトルコに関連する個人データを取り扱う場合、VERBİS — トルコのデータ保護当局が管理するデータ管理者登録簿（Veri Sorumluları Sicili）— への登録が求められることがあります。この義務は、個人データ保護法第6698号（Kişisel Verilerin Korunması Kanunu、以下「KVKKKVKK個人データ保護法（第6698号）トルコのデータ保護法——個人データの収集・保管・移転の規律と、それを執行する当局。用語集 →」）の第16条に由来します。要するに、「データ管理者」として行動するほとんどの組織は、公表された適用除外に該当しない限り、処理を開始する前に登録しなければならず、登録を怠ると制裁金につながる可能性があります。以下では、誰が登録しなければならないか、誰が適用除外となるか、登録簿がどのような情報を求めるか、登録が連絡担当者または代理人の選任とどのように結びつくか、そして登録を省略した場合に何が起こるかを説明します。

VERBİSとは何か、その義務はどこに由来するか

VERBİSは Veri Sorumluları Sicil Bilgi Sistemi の略で、データ管理者登録簿（Veri Sorumluları Sicili）を運用する情報システムです。これは、個人データ保護委員会（Kişisel Verileri Koruma Kurulu、以下「委員会」）の監督のもと、個人データ保護庁（Kişisel Verileri Koruma Kurumu、以下「KVKK庁」）が管理するオンライン登録簿です。

法的根拠は 個人データ保護法第6698号の第16条 です。同条は、データ管理者（veri sorumlusu — 個人データがなぜ、どのように処理されるかを決定する当事者）に該当する個人および組織に対し、適用除外に該当しない限り、個人データの処理を開始する前に登録簿へ登録することを求めています。委員会は、誰が登録しなければならないかを決定する基準を定め、適用除外を公表する権限を有します。

登録は「KVKKの遵守」と同一ではありません。VERBİSの適用を除外された管理者であっても、法のその他の部分 — 適法な処理、情報通知、データセキュリティ、データ主体からの請求への対応 — には従わなければなりません。VERBİSは一つの特定の透明性義務であって、貴社の義務のすべてではありません。

誰がVERBİSに登録しなければならないか

端的に言えば、委員会が定める基準を満たすデータ管理者は登録しなければなりません。委員会は、処理される個人データの性質と量、当該処理が管理者の主たる活動の一部であるか、そして — 事業者にとって重要な点として — 従業員数 や 年間の財務・貸借対照表上の数値 といった管理者の規模の指標などの要素を考慮して、これらの基準を決定します。

実務上、これは一般に三つの状況を生じさせます：

• 明らかに登録が必要な場合 — 例えば、規模の閾値を超える大企業や、規模にかかわらず一定の管理者（例えば主たる事業が特別な種類のデータの処理を含む者）。
• おそらく適用除外となる場合 — 多くの小規模組織は委員会が定めた閾値を下回り、活動に基づくいくつかの適用除外も存在します（次のセクションを参照）。
• 本当に不明確な場合 — 閾値の近くに位置している、または年度の途中で処理内容が変わった。管理者が最も間違えやすいのがこの場面です。

外国企業 の場合、義務を発生させる要因は通常、その企業がデータ管理者として トルコ国内で 個人データを処理していることです — 例えば、トルコ支店を運営する、トルコで従業員を雇用する、トルコ向けのプラットフォームを運営する、あるいはその他の形で法の適用範囲に入るような形でトルコにいる人々の個人データを取り扱う場合です。そうした場合、当該管理者は一般に、国内の管理者と同じ基準および適用除外に従って、同様にVERBİSへ登録することが求められます。

適用除外：登録しなくてよいのは誰か

第16条は、委員会に対し、一定の区分のデータ管理者を登録から除外する権限を認めています。適用除外は委員会の決定および二次規制に定められており、大きく二つの類型に分かれます。

規模に基づく適用除外

委員会の規模基準を下回る管理者は、一般に適用除外となります。ここで 従業員数 と 年間の貸借対照表・売上高 の閾値が意味を持ちます。すなわち、これらを下回り — かつ活動に基づく規則に該当しない — 場合、登録が不要となることがあります。

活動に基づく適用除外

委員会はまた、規模ではなく その者が何であるか、または何をするか に基づいて一定の管理者を除外してきました。時とともに適用除外リストに現れてきた区分には、例えば、一定の専門職や、専ら自らの内部的・限定的な目的のためにのみデータを処理する団体および類似の組織が含まれます。正確なリストとその条件は委員会が定めます。

登録簿が求める情報

VERBİSは 個人データ処理台帳（kişisel veri işleme envanteri）を中心に構成されています。登録するには、貴社の処理について構造化された記述を申告し、最新の状態に保つ必要があります。登録簿が求める情報の区分には、一般に次のものが含まれます：

• データ管理者、および連絡担当者または代理人の 身元および連絡先。
• データ主体の区分（例えば従業員、顧客、供給業者、ウェブサイト利用者）。
• 処理される 個人データの区分。より厳格な規則の対象となるため、特別な種類のデータ（健康、生体、または犯罪歴に関するデータなど）は別途明示されます。
• データが処理される 目的。
• データが開示されうる 受領者または受領者の区分。
• 国外移転 — 個人データがトルコ国外の受領者に移転されているか、または移転されうるか。
• 各データ区分についての 最長保存期間。
• データを保護するために講じられた 技術的および組織的なセキュリティ対策。

社内で維持する台帳とVERBİSの申告は一致していなければなりません。貴社が実際にどのようにデータを処理しているかと合致しない登録は、それ自体が問題となります。

連絡担当者と、外国管理者のための代理人

登録は、当庁およびデータ主体に対応する者を指名することと密接に結びついています。

連絡担当者（irtibat kişisi）

トルコに設立され、VERBİSに登録するデータ管理者は、連絡担当者（irtibat kişisi）を指定します。連絡担当者は当庁との連絡窓口です。重要な点として、連絡担当者になっても法的責任は移転しません — データ管理者 が引き続き遵守の責任を負います。

国外に拠点を置く管理者のための代理人

データ管理者が トルコに居住していない 場合、当庁およびデータ主体が連絡を取れるよう、また管理者に代わってVERBİS登録を完了できるよう、トルコ国内に代理人（トルコ居住の法人またはトルコ国民）を選任することが確立された要請となっています。代理人の権限は適切に文書化されるべきです。

代理人に求められる正確な形式、権限の範囲、必要な文書は二次規制における詳細事項ですので、選任は一般的なひな型ではなく現行の規則を満たすように整えるべきです。

登録を怠った場合に何が起こるか

登録が求められているのにこれを行わない場合 — または行うべき登録を完了せずに個人データを処理する場合 — 貴社は 制裁金 のリスクにさらされます。登録義務違反に対する制裁制度は KVKK第6698号の第18条 にあり、同条は違反行為（kabahatler）と委員会が科しうる制裁金を列挙しています。

制裁金そのものを別としても、未登録または不正確なVERBİSの状態は、しばしば苦情や監査で最初に表面化するものであり、当庁が貴社のその他の遵守状況をどう見るかにも影響を及ぼしかねません。正しく登録し、記載を最新に保つことが、より安価な道です。

外国企業のための実務的な手順

外国企業として自らの立場を見極めようとする場合、落ち着いた順序立てたアプローチが通常最も効果的です：

• 自らの役割を確認する。 貴社はデータ管理者（なぜ、どのように処理するかを決める）ですか、それとも他者のために行動する処理者ですか。登録義務は管理者に付随します。
• トルコ国内での処理を洗い出す。 どのデータを、誰のデータを、どのような目的で、誰が受領し、そのいずれかが国外に移転されるか。
• 該当年度について、委員会の有効な規則に照らして 基準と適用除外を確認する — 規模の閾値と、活動に基づく適用除外の有無。
• 連絡担当者またはトルコの代理人を整理し、その権限を文書化する。
• 処理台帳を準備し、国境を越える移転に関する立場を2024年以降の第9条制度と整合させる。
• 該当する期限内にVERBİSへ登録し、その後は処理内容が変わるたびに記載を最新に保つ。

これらの手順のいずれも、記憶した数値や一般的なひな型で決めるべきではありません。それぞれが、委員会が定め改定する規則と、貴社がトルコに関連するデータをどのように取り扱うかという具体的な事実に左右されます。

よくあるご質問