トルコにおけるサイバー犯罪：法律、刑罰、そしてサイバーセキュリティ戦略

トルコにおけるサイバー犯罪は、情報システムに対する犯罪については主にトルコ刑法（TCK第5237号、第243条から第246条）に基づき、個人データが関係する場合には個人データ保護法（KVKK第6698号）に基づいて訴追されます。本ガイドでは、犯罪類型、刑罰、企業が見落としがちな期限、そして外国人および外国企業が自らを守り、あるいは攻撃を受けた後に回復するために取り得る実務上の手順を解説します。

トルコにおけるサイバー犯罪の状況

トルコはこの地域で最も接続度の高い市場の一つであり、その露出度の高さゆえに、しばしば標的とされてきました。外国人投資家、在留外国人、国際企業が狙われることが多いのは、一つには、現地の通報窓口やトルコ語による詐欺注意喚起に馴染みが薄い場合があるためです。

実務で最もよく見られる事案は次のとおりです。

• フィッシングおよびソーシャルエンジニアリング — 偽の銀行メール、SMS（スミッシング）、認証情報を盗むために複製されたログインページ。
• アカウント乗っ取りおよび決済カード詐欺 — 無断送金、複製カード、オンラインバンキングの不正利用。
• ランサムウェアおよび恐喝 — 企業システムの暗号化に続く金銭要求。
• データ漏えい — 顧客、従業員、または患者の記録の窃取または流出。
• ビジネスメール詐欺（BEC） — 不正な請求書と送金先を変更した電信送金。国境を越えた取引で繰り返し発生する問題です。
• 個人情報の窃取 — パスポート、税務（vergi）番号、または滞在許可データの不正利用。

事案がどの類型に該当するかは重要です。というのも、それぞれがトルコ法の異なる規定と異なる救済手段に対応するからです。例えば、仕入先への支払いの送金先を変更する行為は、通常、コンピューターを用いて行われたトルコ法上の詐欺として扱われる一方、企業のサーバーを暗号化する行為はシステム妨害罪に当たります。

トルコ法におけるサイバー犯罪の分類

トルコ法はサイバー犯罪を二つの群に分けています。直接的サイバー犯罪は情報システムそのものに対して行われる犯罪であり、トルコ刑法（Türk Ceza Kanunu、第5237号）に定められています。間接的サイバー犯罪は、詐欺、脅迫、恐喝といった通常の犯罪であって、単に技術を手段として用いるものです。

情報システム犯罪（TCK第243条～第246条）

• 第243条 — 不正アクセス。他人のシステムに権限なく侵入し、またはこれにとどまる行為は、1年以下の拘禁刑または司法罰金により処罰されます。標的が銀行または金融システムである場合、刑は加重されます。
• 第244条 — システム妨害およびデータ改変。システムの動作を妨害し、またはデータを破壊、改変、もしくはアクセス不能とする行為はより重く処罰され、標的が銀行、信用機関、または公的機関に属する場合には刑が加重されます。ランサムウェアや妨害行為は通常ここに該当します。
• 第245条 — 銀行カードまたはクレジットカードの不正利用。他人のカードまたはカードデータを使用する行為は3年以上6年以下の拘禁刑に加えて司法罰金が科され、偽造カードの製造または販売は3年以上7年以下、偽造カードの使用は4年以上8年以下の刑が科されます。
• 第245条A — 禁止されている装置およびプログラム。これらの犯罪を行う目的で設計された装置、プログラム、パスワード、または安全コードを製造、輸入、販売し、または単に所持する行為は、1年以上3年以下の拘禁刑に加えて5000日以下の司法罰金により処罰されます。これはマルウェアおよびハッキングツールを最も直接的に対象とする規定です。
• 第246条 — 法人に対する保安処分。これらの犯罪が企業に利益をもたらす場合、個人の責任とは別に、法人自体に対して特定の保安処分（güvenlik tedbirleri）を科すことができます。

個人データ犯罪（TCK第135条～第140条）

個人データの違法な記録（第135条）、その違法な取得または開示（第136条）、および法律が要求する場合にデータを消去しないこと（第138条、1年以上2年以下の拘禁刑）は、それぞれ別個の犯罪です。これらの規定は、以下で説明するデータ保護制度と並行して機能します。だからこそ、一つの漏えいが刑事上および規制上の結果を同時に生じさせ得るのです。

会社の取締役については、第246条およびより広く経営者が個人として責任を問われるのはどのような場合かという問題を、トルコ法における取締役の刑事責任に関する解説で取り上げています。

サイバー犯罪の概観：条文、刑罰、通報先

この表は簡易な目安であって法的助言ではありません。適用される刑は、事実関係、加重事由の有無、および前科によって左右されます。

データ保護：KVKK第6698号

トルコの個人データ保護法（Kişisel Verilerin Korunması Kanunu、第6698号、「KVKKKVKK個人データ保護法（第6698号）トルコのデータ保護法——個人データの収集・保管・移転の規律と、それを執行する当局。用語集 →」）は、EUのGDPRと整合していますが、同一ではありません。適法化根拠、明示的同意への強い重点、そして新たな移転規則は、いずれも部分的に異なります。KVKKは刑事法ではありませんが、漏えいは通常、並行する責任を生じさせます。すなわち、データ保護機関（Kişisel Verileri Koruma Kurumu）による行政罰金、TCK第135条から第140条に基づく刑事責任、そして民事上の損害賠償請求です。

トルコで個人データを取り扱うあらゆる事業者にとっての中核的な義務には、次のものが含まれます。

• 必要な場合にVERBİSへ登録し、各処理活動について適法化根拠を特定すること。
• 適切な技術的および組織的な安全管理措置を実施すること。
• 漏えいについて機関および影響を受ける個人に通知すること（下記の期限を参照）。
• 適法な保存期間が終了した後は、データを消去、破壊、または匿名化すること。

罰金は多額に上ります。十分なデータセキュリティ措置を講じなかった場合、KVKK第18条に基づく罰金は、毎年、公式の再評価率によって改定される下限額から上限額までの範囲となります（2026年については、下限で数十万トルコリラ、上限で数千万トルコリラの水準でした。金額は毎年更新されるため、最新の数値をご確認ください）。KVKK措置を十分に文書化しておくことは、罰金を下限にとどめるうえでしばしば決定的です。データ保護罰金と金融部門の制裁との相互関係については、フィンテックの行政上および刑事上の責任に関するガイドで扱っています。

国境を越えるデータ移転：外国企業が知っておくべき2024年改正

外国企業にとって最も重大なKVKKの論点は、トルコの個人データを国外へ移転すること、すなわち親会社、クラウド事業者、またはグループの人事システムへの移転です。この分野は、KVKK第9条を全面的に改めた第7499号法によって再構築され、2024年半ばに施行されました。同法は、従来の個別ごとの明示的同意への依存を、GDPR型の構造化された階層構造に置き換えました。

• 十分性認定。委員会が十分であると認定した国（または分野・組織）への移転は、追加の保護措置なしに行うことができます。
• 適切な保護措置。十分性認定がない場合、委員会が承認した標準契約、企業グループのための拘束的企業準則、その他の承認された保護措置を用いて移転することができます。
• 例外規定。限定的かつ明確に定められた場合（例えば、単発の移転についての明示的同意や契約の履行）には、移転は例外規定に依拠することができます。

KVKKには域外適用もあります。トルコ国外の管理者であっても、トルコ国内にいる人々の個人データを処理する場合には、同法の適用範囲に入り得ます。移転メカニズムとベンダー契約を当初から適切に整えておくことは、苦情申立て後に是正するよりもはるかに低コストです。当事務所のチームは、あらゆる国境を越えたデータフローの背後にあるデータ処理およびベンダーのセキュリティ条項とあわせて、この問題に対応します。

知っておくべきインターネット、証拠、サイバーセキュリティに関する法律

トルコにおいてサイバー犯罪およびオンライン上の被害がどのように扱われるかは、さらにいくつかの法令が形づくっています。

• インターネット出版物に関する第5651号法は、コンテンツの削除、ブロッキング、ならびにホスティングおよびアクセスプロバイダーの責任を規律します。名誉毀損、流出コンテンツ、削除要請に関わります。
• 刑事訴訟法（Ceza Muhakemesi Kanunu、第5271号）は、デジタル証拠がどのように押収、検査、保全されるか、および被害者がどのように刑事告訴（şikâyet）を行うかを定めています。
• サイバーセキュリティ法第7545号は、2025年3月19日に施行され、金融、医療、エネルギー、電気通信といった重要分野の事業者に義務を課す国家的枠組みを創設しました。同法は、監査および執行の権限を有するサイバーセキュリティ庁（Siber Güvenlik Başkanlığı）が所管します。同法が適用されるか否か、およびその態様は、貴社の分野および活動によって決まります。
• 債務法（第6098号）は、過失によるデータ取扱いまたは契約上のセキュリティ上の約束の違反から生じる損害賠償請求の根拠となります。

これらの制度は重なり合うため、適切な戦略は、貴社が救済を求める被害者であるのか、それとも事案後に自らの責任を管理する事業者であるのかによって異なります。

サイバー犯罪の被害に遭った場合に取るべき対応

迅速に行動することが、証拠と法的選択肢の双方を保全します。実務上の初動は次のとおりです。

1. アカウントを保護する。パスワードを変更し、二要素認証を有効にし、直ちに取引銀行に連絡してください。銀行は、数時間以内に行動すれば、特にBECおよびカード詐欺の事案において、不正な送金を取り消しまたは凍結できることがあります。
2. 証拠を保全する。スクリーンショットを撮り、メールを完全なヘッダー付きで保存し、取引の照会番号およびタイムスタンプを記録してください。何も削除しないでください。
3. 刑事告訴を行う。şikâyetは検察庁（Cumhuriyet Başsavcılığı）または警察のサイバー犯罪部門に提出できます。検察官は、銀行、プラットフォーム、プロバイダーに対してデータの提出を命じることができます。一部の犯罪は職権により自動的に訴追される一方、他の犯罪は期限内の告訴を要する点に留意し、遅滞しないでください。
4. 個人データが露出した場合にはデータ保護機関に通知する。
5. 民事上の回復を進める。刑事の経路とは別に、第6098号法に基づき責任者に損害賠償を求めて提訴し、トルコの執行手続を通じて判決を執行することができます。

外国人はこれらすべての救済をトルコで求めることができ、通訳を受ける権利があります。弁護士は委任状に基づいて告訴を提出し追行できるため、貴殿が国内にとどまる必要はありません。損害が送金先を変更された支払いまたは未払いの債務である場合、当事務所の資金回収および判決執行のチームが、刑事告訴と並行して金銭の回収を進めることができます。

トルコで事業を行う企業のためのサイバーセキュリティ戦略

予防は訴訟よりもはるかに低コストです。トルコに事業所または顧客を有する企業は、擁護可能なコンプライアンスおよびセキュリティ態勢を構築すべきです。

• データを把握し最小化する。保有している個人データおよび財務データの内容、その所在、保存期間を把握してください。
• アクセスを強化する。強力な認証、最小権限アクセス、重要システムの分離を徹底してください。
• 従業員を教育する。ほとんどの漏えいはクリックから始まります。定期的なフィッシングおよびBECの啓発研修は、リスクを実質的に低減します。
• インシデント対応計画を準備する。誰がインシデントを宣言し、誰が72時間以内に機関へ通知し、誰が弁護士に連絡するかを、インシデントの発生時ではなく事前に決めておいてください。
• 契約を慎重に行う。ベンダーおよび処理者との間でセキュリティおよび漏えい通知の義務を明確に配分し、国境を越えた移転メカニズムが文書化されていることを確認してください。
• コンプライアンスを文書化する。KVKK措置の記録を保持してください。文書化は行政罰金を低減するうえでしばしば決定的です。

これらの犯罪が企業に利益をもたらし得る場合、第246条の保安処分および取締役の責任により、これは取締役会レベルの問題となります。当事務所は、これを企業コンプライアンスおよび取締役の義務の一環として取り扱います。サイバーセキュリティ法第7545号の対象となる分野については、追加的な義務が適用されるため、個別に評価すべきです。

Lexin Legalによるサポート

当事務所は、サイバーインシデントの両当事者について、外国人個人および企業に助言します。すなわち、情報システム犯罪で訴追された人々の弁護、および被害者が損害を回復し加害者を追及するための支援です。当事務所の業務は、刑事告訴、デジタル証拠、KVKKコンプライアンスおよび漏えい対応、国境を越えた移転の設計、ならびに関連する民事請求を対象とし、いずれも英語で対応します。ハッキングまたはカード不正利用の犯罪で訴追された場合には、当事務所のトルコ刑事弁護士が弁護を行います。

すべての案件は、資格を有するトルコの弁護士が確認します。本稿は一般的な情報であって法的助言ではなく、結果は各事案の具体的な事実関係によって異なります。貴殿の状況についてご相談いただくには、当事務所チームまでご連絡ください。

よくあるご質問