LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

トルコの個人データ保護法（KVKK、法律第6698号）は、2024年3月2日の法律第7499号によって改正されました*1。もっとも大きく変わったのが、第9条の越境移転です*1。

改正前は限られた根拠しかありませんでしたが、改正後は十分性決定、適切な保護措置、付随的な移転という三段構造になっています*1。EUのGDPRに近い形です。

トルコに開発拠点や販売拠点を持つ企業、トルコの担当者や利用者の情報を日本側で保持している企業に向けて、条文から読み取れる要件を整理します。制度の当てはめは事情によりますので、現地の専門家の確認を経て進めてください。

越境移転は三段の階段になった

第9条を上から読みます*1。

1段目は十分性決定です*1。第9条第1項は、データ管理者およびデータ処理者が、第5条または第6条の条件のいずれかを満たし、かつ移転先の国、その国の特定の分野、または国際機関について十分性決定があることを条件に、個人データを国外へ移転できるとしています*1。

十分性決定は個人データ保護委員会（Board）が出し、官報で公表されます*1。必要と認めるときは、委員会は関係する機関・組織の意見を求めることができるとされています*1。決定は4年に1回以上評価されるとされ、評価の結果その他必要と認める事情に基づき、委員会は決定を将来に向かって変更、停止、または撤回できるとされています*1。

決定を出すにあたって主に考慮される要素も列挙されています*1。トルコと移転先との間の相互主義の状況、移転先の関係法令と実務、独立して実効的なデータ保護当局が存在するかと行政的・司法的な救済が利用できるか、個人データ保護に関する国際条約の締約国かまたは国際機関の構成員か、トルコが加盟する世界的・地域的な組織の構成員か、そしてトルコが締約国である国際条約です*1。

2段目は適切な保護措置です*1。第9条第4項は、十分性決定がない場合でも、第5条または第6条の条件のいずれかを満たし、かつ移転先の国において本人が執行可能な権利と実効的な法的救済を保持していることを前提に、次のいずれかの保護措置が確保されていれば移転できるとしています*1。

3段目は付随的な移転です*1。第9条第6項は、十分性決定がなく、第4項の適切な保護措置のいずれも確保できない場合、当該移転が付随的（incidental）であることを条件に、次のいずれかに該当するときに限り移転できるとしています*1。

本人が、伴いうるリスクについて説明を受けたうえで移転に明示的な同意を与えた場合*1。本人とデータ管理者との間の契約の履行、または本人の求めに応じた契約締結前の措置の実施のために必要な場合*1。データ管理者と他の自然人または法人との間の、本人の利益のための契約の締結または履行に必要な場合*1。優越する公益のために必要な場合*1。権利の確立、行使、または保護のために必要な場合*1。身体的障害により同意を表明できない、または同意が法的に有効とみなされない者本人または他人の生命もしくは身体の完全性の保護のために必要な場合*1。そして、公にアクセス可能な登録簿または正当な利益を有する者がアクセスできる登録簿からの移転であって、関係法令上のアクセス条件が満たされ、正当な利益を有する者が移転を求めた場合です*1。

「付随的」という限定が置かれているため、定常的なデータ連携をこの段で正当化するのは難しいと読めます*1。日常的にトルコから日本へデータを流す構成であれば、2段目までで組み立てる必要があります。

5営業日という短い期限

実務でもっとも見落としやすいのが、第9条第5項です*1。

標準契約は、署名後5営業日以内に、データ管理者またはデータ処理者が当局（Authority）へ届け出ることとされています*1。

四つの保護措置のうち、標準契約だけが「委員会の承認は要らないが届出が要る」という位置づけです*1。承認を待たずに使えるかわりに、事後の届出が課される組み立てになっています*1。

この届出を怠った場合の制裁も、2024年改正で新設されました*1。第18条第1項(d)は、第9条第5項の届出義務を果たさない者に対し、5万トルコリラ以上100万トルコリラ以下の過料を科すとしています*1。この規定は法律第7499号第35条によって追加されたものです*1。

加えて、この過料の名宛人は少し広く取られています*1。第18条第2項は、第1項(a)から(ç)までの過料はデータ管理者に科されるとする一方、(d)の過料はデータ管理者または、私法上の自然人および法人であってデータを処理する者に科されるとしています*1。処理者側も直接の名宛人になりうるという書き方です*1。

5営業日は短い期間です。契約書に署名した時点で担当者が届出のことを知らなければ、間に合いません。契約の締結フローに届出の工程を組み込んでおくことが、実務上の備えになります。GDPRの越境移転とSCCと似た仕組みに見えますが、GDPRの標準契約条項には当局への届出義務が置かれていない点が異なります*1。同じ感覚で運用すると漏れます。

もう一つ、再移転（onward transfer）にも規定があります*1。第9条第8項は、データ管理者およびデータ処理者が、国外へ移転された個人データのさらなる移転や国際機関への移転についても、この法律に基づく保護措置とこの条の規定が適用されることを確保するとしています*1。日本で受け取ったデータを第三国のクラウドへ置く、といった構成は、この項の射程に入ります*1。

そして第9条第9項です*1。国際条約の規定を妨げることなく、トルコまたは本人の利益が重大に害されるおそれがある場合、個人データは委員会の承認を得て、かつ関係する公的機関・組織の意見を聴取したうえでのみ国外へ移転できるとされています*1。

特別な種類のデータと、過料の全体像

2024年改正のもう一つの柱が、第6条です*1。

第6条第1項は、特別な種類の個人データを列挙しています*1。人種、民族的出自、政治的意見、哲学的信条、宗教、宗派その他の信条、外見、団体・財団・労働組合への加入、健康に関するデータ、性生活、有罪判決および保安処分、そして生体データと遺伝データです*1。

第2項は改正で削除され、第3項が改正されました*1。改正後の第3項は、特別な種類の個人データの処理を原則として禁止したうえで、次の条件の下で認めるとしています*1。

本人が明示的な同意を与えた場合*1。法律に明文の定めがある場合*1。身体的障害により同意を表明できない、または同意が法的に有効とみなされない者本人または他人の生命もしくは身体の完全性の保護のために必要な場合*1。本人自身が公にしたデータに関するもので、処理が公にする意図と整合する場合*1。権利の確立、行使、または保護のために必要な場合*1。公衆衛生の保護、予防医療、医学的診断、治療およびケアの提供、ならびに医療サービスの計画・管理・財政のために、法律上の守秘義務を負う者または権限ある公的機関・組織によって行われる場合*1。雇用、労働安全衛生、社会保障、社会サービス、社会扶助の分野における法的義務の履行のために必要な場合*1。そして、政治的・哲学的・宗教的・労働組合的な目的で設立された財団、団体その他の非営利組織の現在または過去の構成員や関係者、あるいはこれらと定期的に接触する個人に関するもので、当該組織を規律する法令とその目的に適合し、活動分野に限定され、第三者への開示を伴わない場合です*1。

七番目の例外は、企業にとって実務的な意味があります*1。雇用や労働安全衛生の文脈で健康データを扱う場面に、明文の根拠が用意された形です*1。従業員の健康診断や産業医の記録をトルコ側で扱っている場合、この条項の位置づけを確認しておく価値があります。

第6条第4項は、特別な種類の個人データの処理においては委員会が定める十分な措置も実施することとしています*1。

過料の全体像も見ておきます*1。第18条第1項は次のとおりです*1。

これらは条文に書かれた額です*1。実際に適用される金額の水準は、現地の運用を確認する必要があります。

不服申立てについても2024年改正で規定が加わりました*1。第18条第3項は、委員会が科した過料に対して行政裁判所へ不服を申し立てることができるとしています*1。経過規定である暫定第3条は、2024年6月1日時点で治安判事裁判所に係属している申立てについて、引き続き当該裁判所で扱う旨を定めています*1。

刑事の側面も条文にあります*1。第17条は、個人データに関する犯罪についてトルコ刑法（法律第5237号）第135条から第140条までが適用されるとし、第7条に反して個人データを消去または匿名化しない者は同法第138条に従って処罰されるとしています*1。

着手の順序と、受託で進めるときの要点

順序をつけます。

第一に、移転の実態を洗い出すことです。トルコから日本へ、あるいはトルコから第三国のクラウドへ。どのデータが、どの経路で、どのくらいの頻度で動いているかを一覧にします*1。第9条第8項が再移転も射程に入れている以上、日本で止まらない構成は最後まで追う必要があります*1。

第二に、どの段で組み立てるかを決めることです。十分性決定があるか、なければどの保護措置を使うか*1。定常的な連携であれば、付随的な移転の段では組み立てられません*1。

第三に、標準契約を使うなら届出の工程を作ることです。署名から5営業日*1。誰が署名を検知し、誰が届け出るのか。契約管理と法務の間で決めておきます。

第四に、特別な種類のデータの棚卸しです。第6条第1項の列挙に当たるデータを持っていないか*1。とくに健康データと生体データは、認証や勤怠の仕組みに紛れ込んでいることがあります。

第五に、第12条の安全維持措置の確認です。過料の幅がもっとも広い層の一つです*1。何をしているかを説明できる状態にしておくことです。

受託で進める場合の要点も挙げます。

処理者も名宛人になりうる前提で設計することです。第18条第2項は、第9条第5項の届出義務違反の過料について、データ管理者だけでなく私法上の自然人・法人であってデータを処理する者にも科されうるとしています*1。受託側が「委託元の問題」と整理できる話ではありません*1。

移転の目的と受領者を仕様に書くことです。標準契約に含まれる情報として、データの類型、移転の目的、受領者と受領者の類型、データ輸入者が講じる技術的・組織的措置が挙げられています*1。これらは設計書から拾えるべき項目です。後から聞き取ると時間がかかります。

再移転の経路を図にすることです。マネージドサービスやSaaSを挟むと、実際の保存先が意識されないまま増えます*1。構成図に国名を書き込んでおくだけで、判断が速くなります。

他の法域と管理項目を揃えることです。越境移転の論点は中国PIPLの越境移転や台湾の個人資料保護法でも問われます。求められる手続きは違いますが、洗い出す元の情報は同じです。共通の台帳を先に決めておくほうが後で楽です。

体制としては、契約の実務を知る人と、データの流れを図にできる人が同じ場にいるかが分かれ目になります。5営業日という期限は、法務だけでも技術だけでも守れません。両方に触れられる進め方ができる委託先かどうかを、選定の観点に入れておくとよいでしょう。

まとめ：トルコKVKKの越境移転で押さえる3つの視点

トルコの個人データ保護法（KVKK、法律第6698号）は2024年3月2日の法律第7499号で改正され、第9条の越境移転が三段構造になりました。押さえたい視点は三つです。第一に、判断の順序。まず移転先の国、その国の特定の分野、または国際機関について個人データ保護委員会の十分性決定があるかを見ます。なければ、公的機関間の合意と委員会の承認、委員会が承認した拘束的企業準則、委員会が公表する標準契約、十分な保護を約する書面の誓約と委員会の承認という四つの保護措置のいずれかを確保します。いずれも確保できない場合は、移転が付随的であることを条件に、明示的同意や契約の履行など七つの事由に限られます。第二に、5営業日という期限。標準契約を用いる場合、署名後5営業日以内に当局へ届け出ることとされ、怠ると第18条第1項(d)により5万トルコリラ以上100万トルコリラ以下の過料の対象になります。この過料はデータ管理者だけでなく、私法上の自然人・法人であってデータを処理する者にも科されうるとされています。第三に、第6条の改正。特別な種類の個人データの処理は原則禁止とされ、明示的同意や法律の明文のほか、雇用・労働安全衛生・社会保障・社会サービス・社会扶助の分野における法的義務の履行といった例外が置かれました。まずはデータの移転経路の洗い出しから着手するのが堅実でしょう。

よくある質問

出典

1. *1　参考：Kişisel Verileri Koruma Kurumu（トルコ個人データ保護庁）「Personal Data Protection Law（法律第6698号 英訳）」（https://www.kvkk.gov.tr/Icerik/6649/Personal-Data-Protection-Law）。第3条（明示的同意、匿名化、本人、個人データ、処理、委員会、当局、データ処理者、データファイリングシステム、データ管理者の定義）、第4条（一般原則）、第6条（特別な種類の個人データの列挙、2024年3月2日の法律第7499号第33条による第2項の削除と第3項の改正、原則禁止と例外の列挙、雇用・労働安全衛生・社会保障・社会サービス・社会扶助の分野における法的義務の履行という例外、第4項の十分な措置）、第9条（2024年3月2日の法律第7499号第34条による改正。第1項の十分性決定、第2項の官報公表と4年ごとの評価および変更・停止・撤回、第3項の考慮要素、第4項の四つの適切な保護措置と標準契約に含む情報、第5項の署名後5営業日以内の届出、第6項の付随的な移転に限る七つの事由、第7項の公的機関の公法上の活動への不適用、第8項の再移転、第9項のトルコまたは本人の利益が重大に害されるおそれがある場合の委員会承認、第10項・第11項）、第17条（トルコ刑法第135条から第140条の適用と第7条違反への第138条の適用）、第18条（第1項(a)から(ç)の過料の額、2024年改正で追加された(d)の5万から100万トルコリラ、第2項の名宛人、第3項の行政裁判所への不服申立て、第4項の公務員等への懲戒）、暫定第3条（2024年9月1日までの旧第9条第1項の効力と2024年6月1日時点の係属事件の扱い）の一次情報として（2026年8月確認）
2. *2　参考：EUR-Lex「規則(EU)2016/679（GDPR）」（https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32016R0679）。第5章（第44条から第50条）の越境移転の枠組みが、十分性決定、適切な保護措置、特定の状況における例外という構成をとっており、標準契約条項の利用にあたって監督機関への届出を求める規定を置いていないことの確認として（2026年8月確認）

Tweet