トルコ KVKK への対応

KVKK とは

個人データ保護法第6698号は、トルコの包括的な個人データ保護法です。その目的は、とりわけプライバシーの権利を含む基本的権利および自由を保護しつつ、個人データを取り扱う者および組織に適用される原則と義務を定めることにあります。

同法は、全部または一部が自動的な手段による取扱いと、データファイルシステムの一部を構成する一定の非自動的な取扱いに適用されます。次の役割を定めています。

• データ管理者（Veri Sorumlusu）— 取扱いの目的および方法を決定します。
• データ処理者（Veri İşleyen）— データ管理者のために個人データを取り扱います。
• データ主体 — 個人データを取り扱われる本人です。
• 個人データ保護委員会 — 規制上の意思決定機関です。
• 個人データ保護機構 — 規制枠組みを担う機関です。

KVKK は2016年3月24日に制定され、2016年4月7日に官報で公布されました。その後も改正が行われており、とくに特別カテゴリの個人データおよび国際的なデータ移転に関する重要な改正が2024年に施行されています。

KVKK の対象となる組織

KVKK は、その適用範囲に含まれ、同法の対象となる個人データを取り扱う組織および個人に適用されます。たとえば次のとおりです。

• トルコ企業
• 雇用主
• EC 事業者
• 銀行および金融機関
• 医療機関
• 教育機関
• テクノロジー企業
• SaaS 事業者
• 広告・マーケティング事業者
• 通信事業者
• オンラインマーケットプレイス
• モバイルアプリ
• ウェブサイトおよびデジタルプラットフォーム
• 公的機関
• 従業員データを取り扱う組織
• 顧客または見込み客のデータベースを利用する組織

トルコ国外に設立された組織も、その取扱いの内容およびトルコのデータ主体との関係によっては KVKK 上の義務を負うことがあります。

トルコでウェブサイト、モバイルアプリ、SaaS プラットフォーム、EC サービスその他のデジタル製品を運営する企業にとって、KVKK への対応には、同意管理、プライバシー通知、取扱い要件の評価、安全管理措置、データ主体からの請求対応、VERBİS 上の義務、国際移転に関する保護措置が含まれ得ます。

KVKK が保護するデータ

KVKK は、識別された、または識別され得る個人に関する個人データを対象とします。例：

• 氏名
• メールアドレス
• 電話番号
• 住所
• 識別情報
• 顧客アカウント情報
• 従業員情報
• 個人データに当たる場合の IP アドレス
• オンライン識別子
• 位置情報
• 取引情報
• 端末に関する情報
• 認証情報
• 顧客記録
• マーケティングプロファイル
• 一定の Cookie およびトラッキング情報

特定の技術的識別子が個人データに当たるかは、それが識別された、または識別され得る自然人に関係するかによって決まります。

KVKK は、特別カテゴリの個人データについて追加の要件も定めています。

KVKK の取扱い原則

第4条は個人データの取扱いに関する基本原則を定めています。個人データは、法および関連する法原則に従って取り扱われなければならず、これには次のものが含まれます。

• 適法性および公正性 — 取扱いは適用法令の要件に従い、公正に行われなければなりません。
• 正確性 — 個人データは正確であり、必要な場合には最新に保たれるべきです。
• 目的の限定 — データは特定され、明示された正当な目的のために取り扱われるべきです。
• データの最小化 — 個人データは取扱いの目的に照らして関連性があり、限定され、相当なものであるべきです。
• 保存期間の限定 — データは適用法令が定める期間、または取扱いの目的に必要な期間保存されるべきです。

これらの原則は、収集および同意から保存、利用、提供、削除に至るデータのライフサイクル全体で考慮されるべきです。

KVKK における明示的な同意とは

KVKK は明示的な同意を、自由に与えられ、特定され、情報に基づくものと定義しています。したがって同意は、データ主体の意思の積極的かつ意味のある表明であるべきです。

同意管理では次のことを避けるべきです。

• あらかじめ選択された同意の選択肢
• 曖昧または包括的な同意
• 不明確な目的
• 隠された同意の仕組み
• 関連のない取扱いと不必要に束ねられた同意
• 拒否を不必要に難しくする画面設計

KVKK 当局は、明示的な同意の三つの中核要素として、特定された対象、情報提供、自由な選択を強調しています。

同意の撤回

取扱いが明示的な同意に基づく場合、組織はその同意関係を管理する実務的な仕組みを用意すべきです。同意管理システムは、次のことを可能にすべきです。

• 同意が与えられた時点を記録する
• 同意が何を対象としていたかを記録する
• 該当する目的を記録する
• 利用者の選択を記録する
• 同意の証跡を保持する
• 同意設定の変更に対応する
• 撤回の記録を保持する
• 同意が適用される法的根拠であり、それが撤回された場合には以後の取扱いを止める

ConsentX は、こうした技術的な仕組みの実装を支援できます。

KVKK における特別カテゴリの個人データ

KVKK は特別カテゴリの個人データに追加の保護を定めています。これには次の事項に関するデータが含まれます。

• 人種
• 民族的出身
• 政治的意見
• 哲学的信条
• 宗教
• 宗派その他の信条
• 外見
• 団体、財団または労働組合への所属
• 健康
• 性生活
• 有罪判決および保安処分
• 生体データ
• 遺伝データ

第6条の重要な改正が2024年に施行されました。従来の枠組みは、明示的な同意のみに依拠せずに特別カテゴリを取り扱える、より広い法定要件の集合に置き換えられました。一定の法令上の要請、公衆衛生上の目的、雇用および社会保障上の義務、権利の保護、その他所定の事情が含まれます。

したがって2024年改正により、特別カテゴリのデータに関する従来の同意フローを見直すことが特に重要になります。機微なデータの取扱いがすべて同一の同意の仕組みを用いるべきだと考えるべきではありません。

特別カテゴリの個人データの取扱い

特別カテゴリのデータを取り扱う場合、組織は次の点を判断すべきです。

• どのカテゴリのデータが関係するか。
• 取扱いの目的は何か。
• 第6条のどの要件が適用されるか。
• 明示的な同意が必要か。
• どのような追加の安全管理措置が適用されるか。
• 誰が情報にアクセスできるか。
• どれだけの期間保存すべきか。
• 情報は他の当事者に提供されるか。
• トルコ国外へ移転されるか。
• どのような証跡を保持すべきか。

KVKK は、特別カテゴリの個人データを取り扱う際に委員会が定める十分な措置も求めています。

プライバシー通知と透明性

KVKK 第10条は、個人データを取得する際にデータ主体へ情報を提供することをデータ管理者に求めています。その情報には次の事項が含まれます。

• データ管理者の名称
• 該当する場合はその代理人の名称
• 取扱いの目的
• 移転先および移転の目的
• 収集の方法および法的根拠
• 関係するデータ主体の権利

ウェブサイトやアプリでは、プライバシー通知は明確でアクセスしやすく、データの収集地点と適切に結び付いているべきです。

同意バナーを完全なプライバシー通知の代替として扱うべきではありません。

KVKK における Cookie とトラッキング技術

KVKK は、あらゆる Cookie が自動的に明示的な同意を要するという意味ではありません。適切な法的取扱いは次の点によって決まります。

• その Cookie またはトラッカーがどの情報を収集するか
• その情報が個人データに当たるか
• なぜ利用されるか
• 第5条の他の要件が適用されるか
• データが第三者に提供されるか
• その活動が国際移転を伴うか
• 特別カテゴリの情報が関係するか

分析、広告その他の必須でないトラッキングについて、組織は適用される KVKK の取扱い要件を評価し、必要な場合には適切な同意または通知の仕組みを実装すべきです。

ConsentX は、Cookie やトラッカーの特定と、地域別の制御の適用を支援できます。

KVKK におけるデータ主体の権利

第11条はデータ主体に複数の権利を認めています。本人は次のことを求めることができます。

• 自らの個人データが取り扱われているかの確認
• 取扱いに関する情報
• 取扱いの目的に関する情報
• データの提供先である第三者に関する情報
• 不正確または不完全なデータの訂正
• 法定の要件を満たす場合の消去または破棄
• 訂正または削除の関係第三者への通知
• 自動化された取扱いのみによって生じた一定の不利な結果に対する異議
• 違法な取扱いにより生じた損害の賠償

KVKK に基づくデータ主体からの請求

データ主体は、KVKK に定める手続に従ってデータ管理者に請求を行うことができます。管理者は原則として、可能な限り速やかに、かつ最長30日以内に請求への対応を完了しなければなりません。請求は原則として無償ですが、適用規則が定める場合には手数料が認められることがあります。

ConsentX は次の業務フローを支援できます。

• 請求の受付
• 本人確認のフロー
• 請求の進捗管理
• 証跡の収集
• 社内での担当割当
• 期限の監視
• 回答の記録
• 監査証跡

KVKK におけるデータセキュリティ

第12条は、適切な水準のセキュリティを確保するため、必要な技術的および組織的措置を講じることをデータ管理者に求めています。これらの措置は次の事態の防止を目的とします。

• 違法な取扱い
• 違法なアクセス
• 個人データの喪失または毀損

データ管理者は、データセキュリティ要件の遵守について適切な監査を自ら実施し、または実施させなければなりません。

取扱いをデータ処理者が行う場合でも、適切な安全管理措置についての責任はデータ管理者に残ります。

KVKK における侵害通知

管理者が取り扱う個人データが他者により違法に取得された場合、管理者は最短の期間内にデータ主体および委員会へ通知しなければなりません。KVKK の委員会は、法律上の「最短の期間」を、侵害を認識した後遅くとも72時間以内と解釈しています。72時間以内に通知を完了できない場合には、遅延の理由を示すべきです。

組織は次のものを整備すべきです。

• 侵害の検知手順
• インシデント対応プロセス
• 侵害の記録
• 社内エスカレーション手順
• 当局への通知フロー
• データ主体への連絡手順

データ管理者とデータ処理者

KVKK は、個人データの取扱いの目的および方法を決定する組織であるデータ管理者と、データ管理者のために個人データを取り扱う者または組織であるデータ処理者を区別しています。

データ処理者の例：

• クラウドサービス事業者
• ホスティング事業者
• CRM 事業者
• メール配信プラットフォーム
• アナリティクス事業者
• マーケティングテクノロジー事業者
• カスタマーサポート基盤

データ管理者は処理者を適切に監督し、取扱い関係の全期間にわたり安全管理およびプライバシー上の義務が果たされるようにすべきです。

KVKK における国際的なデータ移転

国際的なデータ移転は KVKK 対応の主要領域です。第9条は2024年に大きく改正され、個人データの国外移転に関する新たな枠組みが導入されました。この枠組みのもとで、移転は次のような仕組みに依拠できます。

• 十分性の決定
• 承認された拘束的企業準則
• 委員会が公表する標準契約
• 承認された一定の書面による約束
• 定められた例外的な移転事由

標準契約は、国際移転に利用できる保護措置の一つです。法律は、署名後5営業日以内に標準契約を当局へ届け出ることを求めており、KVKK 当局は管理者と処理者のさまざまな関係に対応する標準契約のモデルを公表しています。

これは、国際的に次のものを利用する組織にとってとくに重要です。

• クラウドインフラ
• SaaS ツール
• CRM プラットフォーム
• アナリティクスサービス
• 広告テクノロジー
• メール配信事業者
• カスタマーサポートシステム

国際移転と同意

明示的な同意は個人データを国外へ移転する例外的な仕組みの一つになり得ますが、改正第9条の枠組みは、通常の国際移転について同意を既定の解決策としているわけではありません。

例外的な移転事由に依拠する場合には、法定の要件および制限を慎重に評価しなければなりません。継続的な国際移転については、原則として十分性の決定や適切な保護措置が利用できるかを検討すべきです。

VERBİS — データ管理者登録簿

KVKK は、VERBİS として知られるデータ管理者登録簿を設けています。登録義務の対象となるデータ管理者は登録を行い、取扱いに関する情報を提供しなければなりません。登録の枠組みでは次のような情報が求められることがあります。

• 管理者の名称
• 取扱いの目的
• データ主体の区分
• データの区分
• 提供先
• 国際移転
• 安全管理措置
• 最長の保存期間

ただし法律は、客観的な基準に基づく免除を委員会が定めることを認めています。KVKK の委員会は、データの性質や量、取扱いの内容、組織の特性などの基準を用いて免除を定めています。

2025年の重要な委員会決定は、主たる事業が特別カテゴリの個人データの取扱いを含む一定の小規模管理者について、従業員数および貸借対照表の基準を用いて免除の枠組みを拡大しました。

したがって事業者は、古い資料に掲載された従業員数や売上高のしきい値に依拠せず、現在の VERBİS 登録状況および適用される免除基準を確認すべきです。

データの保存と削除

KVKK は、個人データを関連法令が定める期間、または取扱いの目的に必要な期間保存することを求めています。取扱いを必要とする理由が存在しなくなった場合、個人データは該当するところに従い、消去、破棄または匿名化されるべきです。

トルコには、個人データの消去、破棄または匿名化に関する専用の規則もあり、これらの手続が定められています。したがって組織は、次の事項を含む、文書化された保存期間の一覧および削除手順を整備すべきです。

• 法令が定める保存期間
• 取扱いの目的に結び付いた保存期間
• 消去の手順
• 破棄の手順
• 匿名化の手順
• 保存データの定期的な見直し
• 削除が実施されたことの証跡

自動化された意思決定

KVKK は、専ら自動化されたシステムによって取り扱われた個人データの分析から生じた、本人に不利な結果に異議を述べる権利を認めています。これは次のものを利用する事業者に関係します。

• AI システム
• 自動化されたプロファイリング
• 自動化された顧客スコアリング
• 不正検知
• 採用関連テクノロジー
• パーソナライズのシステム
• 自動化された適格性判定

AI や自動意思決定システムを利用する組織は、関連する KVKK の取扱い要件、透明性義務、データ主体の権利、安全管理要件を評価すべきです。

KVKK におけるダイレクトマーケティング

マーケティング活動は、次のような複数の区分の個人データ取扱いを伴い得ます。

• メールアドレス
• 電話番号
• 顧客プロファイル
• 購買履歴
• 行動に関する情報
• 広告識別子
• サイト上の行動

組織は適切な法的根拠を判断し、マーケティングに関わる取扱いが KVKK の透明性および取扱い要件に適合していることを確認すべきです。

明示的な同意が必要な場合、その同意は特定され、情報に基づき、自由に与えられたものであるべきであり、同意の記録を証跡として保持すべきです。

KVKK におけるプライバシー・バイ・デザイン

KVKK は GDPR の用語をそのまま踏襲しているわけではありませんが、組織はプライバシーおよびセキュリティの観点を、当初からシステムと業務に組み込むべきです。プライバシーに配慮した実装には次のものが含まれ得ます。

• データの最小化
• 目的に基づく収集
• アクセス制御
• 同意管理
• プライバシー通知
• 保存期間の管理
• データ主体からの請求対応のフロー
• 委託先の評価
• 国際移転の評価
• 安全管理措置
• 監査ログ

取扱いの記録とガバナンス

組織は次の点を把握しておくべきです。

• どの個人データを取り扱っているか
• なぜ取り扱っているか
• どこに保存されているか
• 誰がアクセスできるか
• どの委託先が受領するか
• トルコ国外に出ているか
• どれだけの期間保存されるか
• どの法定要件が取扱いを支えているか
• 明示的な同意が必要か
• 同意はどのように撤回されるか
• データ主体からの請求はどのように処理されるか

VERBİS 登録の対象となる組織では、登録簿の情報が組織の取扱い活動と結び付いているため、正確な取扱い情報を維持することがとくに重要です。

KVKK を執行するのはどこか

KVKK は個人データ保護機構（Kişisel Verileri Koruma Kurumu）が監督し、執行します。

個人データ保護委員会は、苦情の処理、違反の調査、行政上の制裁の賦課を含む、重要な規制・監督・執行の機能を担っています。

KVKK において同意管理が重要な理由

デジタル事業では、プライバシー対応はプライバシーポリシーの公開だけでは終わりません。ウェブサイトでは、情報を収集または送信する技術が数十件動作していることもあります。たとえば次のとおりです。

• アナリティクスツール
• 広告ピクセル
• ソーシャルメディアのスクリプト
• セッション記録ツール
• パーソナライズ技術
• マーケティングタグ
• 埋め込みコンテンツ
• CRM 連携

しっかりした同意管理の仕組みは、組織がこれらの技術を把握し、該当する取扱いを制御し、利用者の選択の証跡を保持することを助けます。

ConsentX は、Cookie の検出、同意管理、事前スクリプトブロック、同意の記録、地域別ルール、DSAR のワークフローを組み合わせ、デジタル資産全体でプライバシー管理を実務に落とし込むことを支援します。

KVKK 対応チェックリスト

このチェックリストを、対応プログラムの出発点としてご利用ください。

• 個人データの取扱い活動を洗い出す
• データ管理者と処理者を特定する
• 取扱いの目的を可視化する
• 適用される第5条の取扱い要件を判断する
• 特別カテゴリの個人データを特定する
• 該当する場合は第6条の要件を評価する
• 適切なプライバシー通知を用意する
• Cookie およびトラッキング技術を点検する
• 明示的な同意が必要な箇所を判断する
• 同意が自由に与えられ、特定され、情報に基づくことを確保する
• 同意に関する判断を記録する
• 同意撤回の手段を用意する
• データ主体からの請求手順を整備する
• 30日の回答期限を管理する
• 適切な安全管理措置を実施する
• データ侵害対応プロセスを維持する
• 国際移転を評価する
• 該当する場合は標準契約の要件を確認する
• 該当する標準契約について5営業日の届出要件を管理する
• VERBİS 登録要件を評価する
• 取扱いの台帳を維持する
• 保存期間を定める
• 削除および匿名化の手順を整える
• 委託先および処理者との関係を点検する
• 適切な監査証跡を維持する
• KVKK 委員会のガイダンスおよび規制動向を注視する