同意とバナー

トルコでビジネスを行う？KVKKとVERBISについて知っておくべきこと

2026年7月7日 · 15 分で読める

クイックアンサー: トルコの主要なデータ保護法であるKVKK（法第6698号）は、トルコにおいて個人データを処理する国内外のすべての組織に適用されます。VERBISはKVKKに基づく必須のデータ管理者登録簿です。中規模から大規模の組織は、VERBISに登録する必要があり、登録しない場合は行政罰金が科されます。2026年現在、登録プロセスはトルコのe-Devletプラットフォームを通じてアクセス可能であり、小規模企業の免除基準が明確化されました。

主なポイント

KVKK（Kişisel Verilerin Korunması Kanunu）は、2016年に施行されたトルコのデータ保護法で、GDPRの原則を部分的にモデルにしていますが、独自のローカル要件があります。
VERBISは、データ管理者が処理を開始する前にデータ処理活動を宣言しなければならないオンライン登録簿です。
トルコの居住者のデータを処理する外国企業もKVKKの対象となり、企業の所在地に関係なく適用されます。
2026年1月12日現在、従業員数が10人未満で、年間バランスシートが1000万TL未満の小規模データ管理者は、特定の活動が特別カテゴリーのデータを含む場合、VERBIS登録が免除されます。[4]
VERBISの登録期限は、2025年の財務諸表に基づいて資格を持つ組織に対して2026年6月5日まで延長されました。[1]
2026年7月1日現在、VERBISサービスはトルコのe-Devlet（電子政府）プラットフォームと完全に統合されています。[3]
KVKK第18条に基づく非遵守の罰則は、かなりの行政罰金に達する可能性があり、KVKK当局はこれを積極的に施行しています。
KVKKに基づく同意は自由に与えられ、特定され、情報に基づき、明確でなければならず、同意管理プラットフォーム（CMP）はウェブベースのコンプライアンスのための実用的なツールです。

KVKKとは？トルコのデータ保護法の説明

KVKK（Kişisel Verilerin Korunması Kanunu、法第6698号）は、2016年4月7日に施行されたトルコの包括的な個人データ保護法です。この法律は、トルコで活動するデータ管理者および処理者が個人データをどのように収集、保存、処理、転送、削除するかを規定しています。

この法律は、施行、指導、VERBIS登録簿の管理を担当する独立した監視機関である個人データ保護機関（Kişisel Verileri Koruma Kurumu、略称KVKK）を設立しました。

KVKKの下での基本原則は以下の通りです：

合法性、公正性、透明性
目的の制限（特定の明示的な目的のためにのみ収集されたデータ）
データ最小化
正確性とデータの最新性の保持
保存の制限（必要以上にデータを保持しない）
完全性と機密性

個人データの処理の目的と手段を決定するいかなる団体も、KVKKの下で「データ管理者」として資格を持ち、主なコンプライアンス義務を負います。

KVKKとGDPR：主な違いとコンプライアンスの重複

KVKKはEUのGDPRと構造的なDNAを共有していますが、運用上重要な点でいくつかの違いがあります。すでにGDPRに準拠している組織は、自動的にKVKKに準拠しているとは限りません。

次元	KVKK（トルコ）	GDPR（EU）
施行年	2016	2018（施行）
監視機関	KVKK当局	各加盟国の国家DPA
データ登録簿	VERBIS（ほとんどの組織に必須）	同等の必須登録簿なし
海外へのデータ転送	明示的な同意または適合性が必要	適合性決定またはSCC
DPO要件	公式なDPO義務なし	特定の場合に必須
違反通知	当局への72時間	当局への72時間

主な違い: KVKKはデータ管理者にVERBISに登録し、処理活動を事前に宣言することを要求します。GDPRには同等の公的登録義務はありません。さらに、KVKKの国境を越えたデータ転送ルールは実際にはより制限的であり、データ主体の明示的な同意または正式な適合性決定が必要であり、トルコはEUの適合性ステータスを取得していません。

「GDPRコンプライアンスは有用な基盤ですが、トルコでビジネスを行うには、特にVERBIS登録と国境を越えた転送ルールに関して、別のKVKKコンプライアンス層が必要です。」

VERBISとは何か、どのように機能するのか？

VERBIS（Veri Sorumluları Sicil Bilgi Sistemi）は、データ管理者が処理を開始する前に個人データ処理活動を登録し宣言しなければならないKVKK当局が維持するオンライン登録簿です。これは、誰がどのデータを、何の目的で、どのような保持ポリシーの下で処理しているかの公的なインベントリと考えることができます。

VERBISの実際の機能：

データ管理者はVERBISポータルにアカウントを作成します（2026年7月1日現在、トルコのe-Devletプラットフォームを通じてアクセス可能です）。[3]
管理者は処理される各カテゴリーの個人データ、処理の目的、法的根拠、データカテゴリー、受取人グループ、保持期間を宣言します。
宣言は提出され、公開登録簿の一部となります。
処理活動に変更があった場合は、VERBISに迅速に更新する必要があります。
登録または更新を怠ると、KVKK第18条に基づく罰則が発生します。[5]

2026年7月1日、KVKK当局はデータ管理者が登録義務をナビゲートするための「Sorularla VERBİS」ガイダンス文書と公式VERBİS Kılavuzu（ユーザーガイド）の更新版を発表しました。[2]

外国企業はKVKKコンプライアンスが必要か？

はい。KVKKは、トルコに所在する個人の個人データを処理するデータ管理者に適用され、管理者がどこに設立されているかに関係なく適用されます。トルコの顧客を持つドイツのSaaS企業、トルコに出荷する米国のeコマースプラットフォーム、トルコの消費者をターゲットにしたキャンペーンを実施する英国のマーケティング代理店は、すべてKVKKの範囲内に含まれます。

外国企業に対する実務的な影響：

物理的な存在がない場合、トルコに現地代表者を任命する必要があります（この点に関する法律の実施は進化し続けているため、現地の法律顧問に相談してください）。
特定の免除が適用されない限り、VERBIS登録要件に従う必要があります。
トルコからの国境を越えたデータ転送には、データ主体の明示的な同意または正式な適合性メカニズムが必要であり、これはほとんどの非EUの目的地にとって簡単ではありません。

一般的な誤り: 外国企業がGDPRコンプライアンスまたは一般的なプライバシーポリシーがトルコのユーザーベースをカバーしていると仮定すること。KVKKは、特定の管轄区域に基づく開示、同意メカニズム、および登録の宣言を要求します。

VERBIS登録要件：誰が登録し、どのように行うか

小規模ビジネスの免除基準を超えるほとんどのデータ管理者は、VERBISに登録する必要があります。この義務は、民間部門の団体と公共機関の両方に適用されます。[6]

データ管理者が登録を必要とする場合：

従業員数が50人以上（フルタイム換算）、または
年間財務バランスシート合計が2500万TLを超える、または
特別カテゴリーの個人データ（健康、バイオメトリック、犯罪記録など）を処理する場合、規模に関係なく、ただし小規模免除が適用される場合を除きます（下記参照）。

スタートアップや成長企業の場合: この閾値は、年間の従業員数とバランスシートの数値に基づいています。特定の年に50人の従業員を超えたり、バランスシートの閾値を超えたりしたスタートアップは、登録義務が生じます。新しい閾値の下で処理を開始する前に登録を完了する必要があり、年末に遡って行うことはできません。

ステップバイステップのVERBIS登録プロセス：

KEP（登録電子メール）アドレスまたは権限のある署名者の資格を使用して、e-Devlet（電子政府ゲートウェイ）を介してVERBISポータルにログインします。[3]
データ管理者プロファイルを完成させます（会社名、法的形態、連絡先、権限のある代表者）。
処理される各異なるカテゴリーの個人データについて「処理活動」エントリを作成します。
各活動について、データカテゴリー、目的、法的根拠、データ主体グループ、受取人、および保持期間を宣言します。
提出し、VERBIS登録番号を受け取ります。
処理活動が実質的に変更されるたびに登録を更新します。

KVKKの免除：小規模ビジネスと対象外のデータ

すべての組織がVERBISに登録する必要があるわけではありません。2026年1月12日、KVKK当局は小規模データ管理者の免除基準を明確にしました。[4]

免除が適用されるのは、すべての3つの条件が満たされる場合です：

従業員数が10人未満
年間バランスシート合計が1000万TL未満
主な活動が特別カテゴリーの個人データの処理を含む（この免除は特に小規模な医療提供者、クリニック、同様の団体を対象に設計されています）

CMS法務が発表した法的分析によれば、この免除は初見よりも狭いものであり、単なる小規模ビジネスの抜け道ではなく、敏感なデータカテゴリーを扱うコアビジネスを持つ団体を特に対象としています。[7] エルデム＆エルデムは、これらの新しい免除の適用原則をさらに明確にしました。[8]

KVKKで対象外となるデータカテゴリー：

匿名化されたデータ（再識別が不可能なもの）
個人的または家庭用の目的で純粋に処理されたデータ（商業活動なし）
刑事訴訟のために司法当局によって処理されたデータ（別の法律に基づく）

エッジケース: 偽名化されたデータは、管理者が個人を再識別する手段を保持している場合、KVKKの下で個人データと見なされます。コンプライアンスの目的で、偽名化を匿名化と同等に扱わないでください。

KVKKの顧客データに対する同意要件

KVKKの下では、有効な同意は自由に与えられ、特定され、情報に基づき、明確でなければなりません。同意はサービス利用の受諾と束ねることはできず、事前にチェックされたボックスは有効な同意とは見なされません。

同意は以下のようにする必要があります：

自由に与えられる: 同意に基づくサービスアクセスの強制や条件付けはないこと
特定的: 定義された目的に結びついていること、包括的な承認ではないこと
情報に基づく: データ主体は誰がデータを収集しているか、なぜ収集しているかを知っていること
明確: 積極的な行動（クリック、署名、チェックボックス）が必要

ウェブサイトやデジタルプラットフォームにおいて、コンプライアントな同意管理プラットフォームを実装することが最も実用的なアプローチです。Biscotti CMPは、ウェブサイトの所有者や企業がKVKKおよび他のデータ保護フレームワークに沿った方法で同意収集を管理するのを支援するように設計されており、監査証跡や詳細な同意記録を提供します。

明示的な同意は、特別カテゴリーの個人データ（健康、バイオメトリック、遺伝、犯罪記録など）および適合性メカニズムが存在しない国境を越えたデータ転送に対しても必要です。

KVKKの非遵守に対する罰則と罰金

KVKKの施行は理論的なものではありません。KVKK当局は、国内外の団体に対して罰金を科しています。罰則は法律第18条に基づいています。

第18条に基づく行政罰金のカテゴリー：

開示義務を履行しなかった場合: 9,027 TLから180,536 TL（2024年の約束金額；金額は毎年インフレに応じて更新されます）
データセキュリティを確保しなかった場合: 45,135 TLから9,027,000 TL
KVKK当局の決定に従わなかった場合: 45,135 TLから9,027,000 TL
VERBISに登録しなかった場合またはVERBISを更新しなかった場合: 39,337 TLから1,966,862 TL

注意: 罰金の金額は毎年インデックス化されており、上記の数字は2024年の公表された範囲を反映しています。2026年の施行に関する現在の数字はKVKK当局またはトルコの法律顧問に確認してください。

特定の違反に対する刑事責任（違法処理、データ削除の失敗）は、トルコ刑法の下で懲役刑を科される可能性があり、これはGDPRの施行ツールキットには含まれていない次元です。

KVKKのデータ侵害通知ルール

KVKKの下では、データ管理者は個人データ侵害を認識した時点から72時間以内にKVKK当局に通知しなければなりません。侵害がデータ主体に悪影響を及ぼす可能性がある場合、影響を受ける個人にも迅速に通知する必要があります。

侵害通知チェックリスト：

侵害を特定し、封じ込める
データ主体への影響の範囲と可能性を評価する
公式通知フォームを通じて72時間以内にKVKK当局に通知する
内部で侵害を文書化する（何が起こったか、どのデータが影響を受けたか、是正措置）
高いリスクがある場合は影響を受けたデータ主体に通知する

必要な時間内に通知を行わなかった場合、それ自体が第18条に基づく制裁可能な違反となります。

ビジネスが犯しがちな一般的なKVKKコンプライアンスの誤り

1. VERBISを一度限りのタスクと見なすこと。 VERBISのエントリは、処理活動が変更されるたびに更新する必要があります。新しいCRMを取得したり、異なるデータカテゴリーを持つ新しいマーケティングキャンペーンを開始したり、新しいデータ処理者をオンボーディングしたりすることは、すべてVERBISの更新を必要とする可能性があります。

2. トルコのユーザーに対するGDPRの同意に依存すること。 KVKKの同意要件にはローカルなニュアンスがあります。GDPRに最適化された同意バナーは、KVKKの下で必要な特定の開示をキャッチできない可能性があります。

3. 国境を越えた転送ルールを無視すること。 トルコの顧客データを米国の分析プラットフォームやクラウドプロバイダーに送信することは、無効な転送メカニズムなしに行う一般的で頻繁に罰せられる違反です。

4. 確認なしに小規模ビジネスの免除を仮定すること。 2026年1月の明確化により、免除はすべての3つの基準が同時に満たされることが条件であることが明確になりました。[4]

5. データ保持ポリシーがないこと。 KVKKは、処理の目的がもはや存在しない場合、データを削除、破棄、または匿名化することを要求します。多くのビジネスは、文書化された保持スケジュールなしにデータを無期限に収集しています。

FAQ

Q: KVKKはトルコで事業を行うすべての企業に必須ですか？ はい、トルコにおいて個人データを処理するすべての団体はKVKKの対象となります。企業の規模や国籍に関係なく、VERBIS登録は小規模ビジネスの免除基準を超えるほとんどの団体に必須です。

Q: 2026年のVERBIS登録期限はいつですか？ KVKK当局は、2025年の財務諸表に基づいて資格を持つ組織に対してVERBIS登録期限を2026年6月5日まで延長しました。[1] すでに以前の閾値を満たしている組織は、すでに登録されているはずです。

Q: 外国企業はKVKKの下で罰金を科されることがありますか？ はい。KVKK当局は、トルコの居住者のデータを処理するデータ管理者に対して管轄権を持っています。外国企業に対する施行は進化している分野ですが、法的なリスクは現実のものです。

Q: データ処理活動を宣言するためのVERBISの代替手段はありますか？ いいえ。VERBISはKVKKの下で唯一の必須登録簿です。データ管理者登録義務を果たすための代替メカニズムはありません。

Q: VERBIS登録にはどのくらいの時間がかかりますか？ 2026年7月1日現在、e-Devlet統合により、技術的なプロセスは簡単なケースで数時間で完了できます。[3] ただし、すべてのデータ処理活動をマッピングし、法的根拠を特定し、保持期間を文書化する準備作業には、中規模の組織にとって通常数週間かかります。

Q: KVKKはデータ保護責任者（DPO）を必要としますか？ KVKKはGDPRの要件に相当する正式なDPOの役割を義務付けていません。ただし、KVKK当局はデータ管理者が内部でコンプライアンスを管理する責任者を指定することを推奨しています。

Q: KVKKの下で特別カテゴリーの個人データとは何ですか？ 特別カテゴリーには、民族、政治的意見、哲学的信念、宗教、宗派、健康データ、性的生活、犯罪歴、バイオメトリックデータ、遺伝データが含まれます。これらのカテゴリーを処理するには、明示的な同意または特定の法的根拠が必要です。

Q: KVKKはウェブサイトのクッキー同意をどのように扱いますか？ 個人データを収集するクッキー（分析、広告識別子）は、KVKKの下で有効な同意が必要です。Biscotti CMPのようなコンプライアントなCMPは、ウェブサイトの所有者がKVKKの義務に沿ってクッキー同意を取得、保存、管理するのを支援できます。

Q: 公共機関はVERBISに登録する必要がありますか？ はい。公共機関および組織はVERBISに登録する必要があります。公共団体の登録期間は2019年4月1日に始まり、2020年6月30日までに完了する必要があります。[6]

Q: 企業が処理活動を更新したがVERBISを更新しなかった場合、どうなりますか？ VERBISを現在の処理活動に反映させるために更新しなかった場合、それはコンプライアンス違反と見なされ、KVKK第18条に基づく行政罰金が科される可能性があります。[5]

結論：KVKKおよびVERBISコンプライアンスのための実行可能な次のステップ

トルコでビジネスを行うには、構造化された管轄区域特有のデータ保護アプローチが必要です。KVKKは積極的に施行されており、VERBIS登録はほとんどの組織にとってオプションではなく、2026年1月の免除の明確化は小規模ビジネスの抜け道を拡大するのではなく狭めました。[4]

トルコで事業を行う組織のための即時の行動：

データマッピング演習を実施する。 処理されるすべての個人データのカテゴリー、その目的、法的根拠、受取人を特定します。
VERBISの義務を確認する。 従業員数とバランスシートの閾値を適用して、登録が必要かどうかを確認します。疑問がある場合は、登録してください。
VERBISを登録または更新する。 e-Devlet統合されたVERBISポータルを使用して、データ管理者登録を完了または更新します。[3]
同意メカニズムを監査する。 ウェブサイトの同意バナーやデータ収集フォームがKVKKの特定の要件を満たしていることを確認します。構造化された監査可能な同意管理のためにBiscotti CMP（www.biscotti-cmp.com）の導入を検討してください。
国境を越えた転送の取り決めを見直す。 トルコの個人データを受け取るすべての第三者処理者およびクラウドサービスを特定し、各転送の法的根拠を評価します。
侵害対応プロトコルを確立する。 72時間の通知手続きを文書化し、内部の責任を割り当てます。
現地の法律顧問に相談する。 KVKKの解釈は進化し続けており、トルコのデータ保護弁護士が提供する管轄区域特有のガイダンスは、一般的なコンプライアンスフレームワークでは代替できません。