KVKKに基づくトルコからの国境を越えるデータ移転：2024年改正後の制度
貴社グループが人事・給与または顧客データをトルコ国外へ送信している場合、現在はGDPRに近い構造を有する段階的な制度に基づき、これを国外へ移転することができます。適用される法律はトルコ個人データ保護法（Kişisel Verilerin Korunması Kanunu、KVKK第6698号）であり、その国際移転に関する規定は法律第7499号によって全面的に改められ、新たな移転制度は2024年6月1日から施行されています。新しい第9条に基づき、まず委員会による十分性認定（yeterlilik kararı）を根拠として国外へデータを移転することができます。それがない場合には、標準契約条項や拘束的企業準則といった適切な保護措置（uygun güvenceler）を根拠として移転することができ、そのいずれも利用できない場合に限り、限定された例外的許容事由を根拠とすることができます。本ガイドでは、各段階が何を意味し、それがトルコに関連するデータを移転する外国企業にどのような影響を及ぼすのかを、平易な言葉で解説します。
誰が影響を受け、なぜ変わったのか
貴社が外国企業または国際グループの一員であり、トルコ国外へ個人データを移転している場合 — 従業員記録を親会社の人事システムへ、顧客情報を国外にホストされたクラウドプラットフォームへ、または取引先・連絡先データを共有CRMへ移す場合 — これらの規定は貴社に適用されます。これらは、貴社がデータ処理の目的と方法を決定するデータ管理者（veri sorumlusu）であるか、管理者の指示に従って行動するデータ処理者（veri işleyen）であるかを問わず適用されます。
2024年改正前は、KVKKの国際移転規定は運用が困難なものでした。実務上、国外へのデータ移転は通常、データ主体の明示的同意（açık rıza）か、書面による誓約と委員会の許可の組合せのいずれかに依存しており、法律が定めていた十分性の仕組みは実際には運用されていませんでした。そのため、多くの多国籍企業は日常的なグループ全体のデータフローを同意に依拠していました — 同意はいつでも撤回できるため、これは脆弱な根拠でした。
法律第7499号は、この枠組みを、EU一般データ保護規則（GDPR）の構造に近い階層的モデルに置き換えました。その狙いは、企業に同意に依拠することを強いるのではなく、実務的で反復利用可能な移転手段を与えることにありました。適用される法令は依然としてKişisel Verilerin Korunması Kanunu第6698号であり、改正を行った法令が法律第7499号で、新たな移転規定は2024年6月1日に施行されました。
適用法令： 法律第7499号により改正されたKVKK第6698号第9条（個人データの国際移転）。改正は関連する諸規定にも及びましたが、第9条が国境を越える制度の中核です。経過規定（Geçici Madde 3）により、従来の同意に基づく移転経路は2024年9月1日までに限り利用可能とされ、その後は失効しました — したがって、同意はもはや国外への日常的な移転の信頼できる根拠ではありません。
新たな段階的構造の概観
第7499号後の制度は、順を追った仕組みとして機能します。上位の段階が特定の移転について利用できない場合にのみ、次の段階へ移ります。
- 第1段階 — 十分性認定（yeterlilik kararı）。 委員会は、ある国、国内の特定の分野、または国際機関が十分な保護水準を提供していると認定することができます。そのような認定が移転先を対象としている場合、それを根拠として（KVKKの通常の適法処理要件とともに）移転することができます。
- 第2段階 — 適切な保護措置（uygun güvenceler）。 十分性認定がない場合でも、当事者が適切な保護措置を講じ、かつデータ主体が移転先国において自らの権利を行使し実効的な法的救済を追求できる場合には、移転することができます。
- 第3段階 — 例外的事由（arızi haller）。 十分性認定も適切な保護措置も存在しない場合、移転は特定の、例外的かつ非日常的な状況においてのみ許容されます。
この順序は重要です。第3段階の許容事由は一回限りの状況のために設けられたものであり、反復するデータフローのために適切な保護措置を構築することの代替手段ではありません。貴社グループが同じ種類のデータを毎月国外へ移転している場合、貴社が拠るべきは第1段階または第2段階です。
第1段階：十分性認定
十分性認定とは、個人データ保護機関（Kişisel Verileri Koruma Kurumu、KVKKKVKK個人データ保護法（第6698号）トルコのデータ保護法——個人データの収集・保管・移転の規律と、それを執行する当局。用語集 →）内の機関である個人データ保護委員会（Kişisel Verileri Koruma Kurulu）による、移転先がトルコと同等の保護水準を提供しているとの判断です。この認定は、国全体、国内の特定分野、または特定の国際機関について行うことができます。
十分性認定が移転先を対象としている場合、その移転は、移転手段の観点からは国内処理と概ね同様に取り扱われます。すなわち、別個の移転保護措置を重ねて講じる必要はありませんが、依然として基礎となる処理について適法根拠が必要であり、KVKKの一般原則を遵守しなければなりません。十分性認定は定期的に見直され、変更されることがあります。
いずれの特定の国も対象とされていると想定してはなりません。十分性認定を受けた移転先の一覧およびそれに付される条件は、委員会によって時とともに定められ更新されます。EU独自の十分性リストとの整合を想定するのではなく、十分性に依拠する前に、貴社の特定の移転先について現在の状況を確認してください。
第2段階：適切な保護措置（グループにとっての日常的な手段）
大半の外国グループにとって、これが実務上の主力となります。移転先について十分性認定がない場合でも、適切な保護措置が講じられ、かつデータ主体が自らの権利を行使し実効的な救済にアクセスできる場合には、移転することができます。KVKKは現在、いくつかの保護措置の仕組みを認めています。
標準契約条項（standart sözleşme）
これは、機関が発行する様式による標準条項であり、トルコ国内のデータ輸出者と国外のデータ輸入者との間で締結されます。これらの条項は、輸入者に対し、トルコ法と整合する水準でデータを保護することを約束させるものです。トルコの制度の特徴的な点は届出義務です。すなわち、標準契約条項に署名した後、当事者は定められた期間内に機関へ届け出ることが求められます。その期間および正確な届出手続は規則によって定められ、施行過程で変更されてきたため、この期限は厳格な遵守事項として取り扱い、現在の期間を確認してください。
拘束的企業準則（bağlayıcı şirket kuralları）
これは、企業グループ全体で採用される内部のデータ保護準則であり、グループ会社間の移転を可能にするものです。これに依拠するためには、事前に委員会の承認を受けなければなりません。人事データやグループ内データを日常的に移転する多国籍企業にとって、拘束的企業準則は効率的な長期的解決策となり得ますが、承認の取得には時間と労力を要します。
その他の認められる保護措置
この枠組みは、当事者間の拘束力があり執行可能な誓約、および公的機関または団体間の取決めといった保護措置も想定しています。どの仕組みが適合するかは、誰がデータを送信し、誰が受領するのか、および当事者が同一グループ内にあるか否かによります。
給与計算、グローバル人事システム、共有顧客データベースといった反復するグループ内フローについては、標準契約条項または拘束的企業準則が、通常、同意に依拠するよりも安定した基盤となります。なぜなら、個々の従業員や顧客が後に許可を撤回しても、これらが崩れることはないからです。
第3段階：例外的な、個別事案ごとの移転
十分性認定も適切な保護措置も利用できない場合、KVKKは定められた例外的状況においてのみ移転を認めます — 例えば、リスクについて説明を受けた後のデータ主体の明示的同意に基づく一定の移転、データ主体との契約もしくはその利益のための契約の履行に必要な移転、優越する公益のために必要な移転、法的請求の確立もしくは保護のための移転、または同意を与えることができない者の生命もしくは身体の完全性を保護するための移転です。
これらの許容事由は意図的に狭く定められています。法律はこれらを付随的または非反復的（arızi）なものと位置づけています — これらは、同じデータを継続的かつ恒常的に国外へ流す仕組みを支えるためのものではありません。反復するフローについて許容事由に依拠している場合、それは通常、代わりに第1段階または第2段階の仕組みを講じるべきことの兆候です。
同意を日常的なフローの恒常的な移転手段として取り扱うことは危険です。同意は撤回され得るものであり、実際には反復する移転であるものを同意で取り繕うことは、執行措置にさらされるおそれがあります。反復するものについては、適切な保護措置を構築してください。
特別な種類のデータおよび留意すべきその他の義務
移転の仕組みは一つの層にすぎません。基礎となる処理についても適法根拠が必要であり、KVKKの一般原則 — 適法性および公正性、正確性、目的の限定、データの最小化、保存の限定 — を遵守しなければなりません。
健康、生体認証、宗教、労働組合に関するデータといった特別な種類の個人データ（özel nitelikli kişisel veri）は、処理および移転についてより厳格な条件が課されます。移転に機微データが含まれる場合、その分析はより厳格なものとなり、慎重に確認する必要があります。
移転プロジェクトでは、いくつかの隣接する義務がしばしば生じ、それぞれが独自の届出義務、期限および行政罰金のリスクを伴い得ます。
- 移転およびその根拠を記載した、データ主体に対する情報提供（プライバシー）通知。
- 該当する場合の、データ管理者登録簿であるVERBİSへの登録 — 登録義務は基準および適用除外に左右されるため、貴組織について確認する必要があります。
- 法律が認める期間内でのデータ主体の申請への対応。
- 規則が要求する期限内での、機関および影響を受ける個人に対する個人データ侵害の通知。
KVKKは、国外への違法な移転を含む違反について行政罰金を定めています。当社は、対応期間、侵害通知の期限、VERBİSの基準、および罰金の水準を意図的に定性的に述べています — 具体的な数値は法律および二次規則によって定められ、定期的に更新されます。これらに依拠する前に、現在の数値を確認してください。
外国グループのための実務的な進め方
適法なデータフローを整理する場合、実務的な手順は次のようになります。
- 移転をマッピングする。 どの個人データが、どの国およびどの事業体へ、どのような目的で、トルコ国外へ出ていくのか、およびそのいずれかが機微なものであるか否かを特定します。
- 十分性認定の有無を確認する。 移転先が対象とされていれば、それが最も明快な根拠となります。
- ない場合は、保護措置を選択する。 反復するグループ内フローについては、標準契約条項と拘束的企業準則を比較検討します。標準契約条項には届出手続が伴い、拘束的企業準則には委員会の承認が必要であることに留意してください。
- 許容事由は真に一回限りのものに限る。 それらが反復する移転の既定の根拠となることを許してはなりません。
- コンプライアンスの他の要素と整合させる。 プライバシー通知、登録義務、データ主体の請求への対応、および侵害手続は、いずれも貴社が選択した移転を反映すべきです。
貴社グループに適合する正確な仕組みは、貴社の構造、移転先、および関係するデータによって異なり、規制上の詳細は機関がガイダンスを発するにつれて発展し続けています。結論が事実および現在の委員会の実務に左右される場合には、一般的なひな型を当てはめるのではなく、個別の助言を受けることが賢明です。
よくあるご質問
トルコからの国境を越えるデータ移転を規律する法律は何ですか。
トルコ個人データ保護法（Kişisel Verilerin Korunması Kanunu第6698号）が個人データの保護および移転を規律します。第9条にある国際移転に関する規定は法律第7499号によって全面的に改められ、新たな移転制度は2024年6月1日から施行されています。
国外へのデータ移転について、依然としてデータ主体の明示的同意に依拠できますか。
同意は依然として認められていますが、現在では既定の経路ではなく、狭い例外的事由の段階に位置づけられています。改正された制度は、日常的で反復する移転については十分性認定または適切な保護措置（標準契約条項や拘束的企業準則など）を用いることを想定しています。継続的なフローについて同意に依拠することは、いつでも撤回され得るため脆弱です。
KVKKに基づく標準契約条項とは何ですか。
これは、個人データ保護機関が発行する様式による標準条項であり、トルコ国内の輸出者と国外の輸入者との間で締結され、輸入者に対しトルコ法と整合する水準でデータを保護することを約束させるものです。特徴的な点は、当事者が署名後、規則が定める期間内に機関へ届け出ることが求められることです — この期限は施行過程で変更されているため、現在の期限を確認してください。
拘束的企業準則には承認が必要ですか。
はい。拘束的企業準則は、グループ会社間の移転を可能にするグループ全体の内部データ保護準則であり、これに依拠するためには事前に個人データ保護委員会の承認を受けなければなりません。大規模な多国籍企業にとって効率的となり得ますが、導入には時間と労力を要します。
米国またはEUは自動的に十分な移転先となりますか。
いかなる移転先も十分であると想定すべきではありません。十分性認定の対象となる国、分野および機関の一覧は委員会によって定められ更新され、トルコの十分性認定はEUのものと同一ではありません。十分性に依拠する前に、常に貴社の特定の移転先について現在の状況を確認してください。
有効な根拠なしにデータを国外へ移転した場合、どうなりますか。
違法な国境を越える移転は、KVKKに基づき行政罰金その他の執行措置を招くおそれがあります。具体的な罰金の水準および手続の詳細は法律および二次規則によって定められ、定期的に更新されるため、リスクは貴社の状況について現在の数値に基づいて評価すべきです。当社は特定の結果を保証するものではありません。
