KVKKプライバシーガイド：トルコにおけるデータ保護の権利

トルコのKisisel Verilerin Korunmasi Kanunu（KVKK）、すなわち個人データ保護法第6698号は2016年から施行されています。EUのGDPRに相当するもので、個人データに関する重要な権利が認められています。しかし、ほとんどのトルコ国民がこれらの権利を行使したことがなく、多くはその存在すら知りません。

このガイドでは、KVKKがあなたにとって何を意味し、どのように活用し、いつ当局にエスカレートすべきかを解説します。

KVKKが保護するもの

KVKKは「個人データ」すべて — 直接的または間接的にあなたを特定できる情報を対象としています：

データカテゴリ	例
身元情報	TC Kimlik Numarasi、氏名、生年月日、写真
連絡先	電話番号、メール、住所
金融	銀行口座、クレジットカード、給与、税記録
健康	医療記録、処方箋、血液型
生体認証	指紋、顔認識データ
デジタル	IPアドレス、Cookie、閲覧履歴、位置情報
職業	職歴、学歴、人事評価
機微情報	政治的見解、宗教的信条、犯罪歴

遵守義務者

トルコ国内の個人データを処理するすべての組織がKVKKを遵守する必要があります：

• あらゆる規模のトルコ企業
• トルコで事業を展開する国際企業
• 政府機関
• 医療機関
• 教育機関
• 銀行・金融機関
• オンラインプラットフォーム・アプリ

KVKK第11条に基づくあなたの権利

KVKKは具体的で実行可能な権利を認めています：

1. 知る権利（Bilgilendirilme Hakki）

あらゆる組織に対し、あなたの個人データを処理しているかどうかを尋ね、どのデータを保持しているか知ることを要求できます。

2. アクセス権（Erisim Hakki）

組織が保持するあなたの個人データの完全なコピーを要求できます。

3. 訂正権（Duzeltme Hakki）

データが不正確または不完全な場合、訂正を要求できます。

4. 削除権（Silme Hakki）

以下の場合にデータの削除を要求できます：

• 処理の当初の目的がもはや存在しない
• 同意を撤回した
• データが違法に処理された
• 法的義務が削除を要求している

5. 異議申立権（Itiraz Hakki）

以下に対して異議を唱えることができます：

• データに基づく自動意思決定
• あなたに影響を与えるプロファイリング
• ダイレクトマーケティング目的の処理

6. データポータビリティ権

データを構造化された機械可読形式で要求し、別のサービスに移行できます。

7. 損害賠償請求権（Tazminat Hakki）

データの違法な処理により損害を被った場合、賠償を請求できます。

KVKK権利の行使方法：ステップバイステップ

ステップ1：データ管理者の特定

「データ管理者」（veri sorumlusu）は、データ処理の理由と方法を決定する組織です。通常、あなたが直接関係を持つ企業です。

ステップ2：書面による要求の提出

KVKKでは書面による要求が必要です：

• 書留郵便（iadeli taahhutlu mektup推奨）
• 登録済みメールアドレスからのメール
• 企業のKVKK申請フォーム（多くの企業がウェブサイトで公開）

要求に含めるべき情報：

• 氏名とTC Kimlik Numarasi
• 回答先の住所またはメール
• 要求内容の明確な説明
• 署名（物理的または電子的）

ステップ3：回答を待つ

期限	要件
30日	データ管理者が回答するまでの最大期限
無料	回答は原則無料
書面	回答は書面でなければならない

ステップ4：必要に応じてエスカレート

30日以内に回答がない場合、または回答に不満がある場合は、KVKK委員会（Kisisel Verileri Koruma Kurulu）に苦情を申立てることができます。

KVKK苦情の申立て方法

KVKK委員会への申立て

1. 前提条件：まずデータ管理者に直接申請し、不十分な回答を受けるか、30日以内に回答がないこと
2. 期限：回答受領後30日以内（回答がない場合は最初の要求から60日以内）
3. 方法：KVKKウェブサイト（kvkk.gov.tr）または委員会宛の書留郵便
4. 必要書類：元の要求のコピー、回答（ある場合）、身元情報、苦情の明確な説明

委員会の権限

KVKK委員会には実際の執行力があります：

措置	説明
遵守命令	要求を履行するよう組織に指示
行政罰	組織に罰金（2026年現在最大1,966,862 TL）
データ破棄命令	違法に処理されたデータの削除を命令
公表	違反を公開
刑事告発	刑事訴追のため検察に照会

実践的なKVKKシナリオ

シナリオ1：不要なマーケティング

一度買い物しただけの企業からSMSプロモーションが届き続ける場合、KVKKに基づいて：

1. 企業に連絡し、マーケティング目的のデータ処理停止を要求
2. マーケティングデータベースから電話番号の削除を要求
3. 30日以内に対応されない場合はKVKKに苦情を申立て

シナリオ2：データ漏洩通知

利用中の企業がデータ漏洩を発表した場合、KVKKの下ではKVKK委員会と影響を受ける個人の双方に「可能な限り速やかに」通知する義務があります。直接通知ではなくニュースで漏洩を知った場合、それ自体がKVKK違反として報告に値する可能性があります。

シナリオ3：過剰なデータ収集

正当な理由がないのにTC Kimlik Numarasiを要求するアプリ（例：フードデリバリーアプリ）の場合：

1. データの提供を拒否
2. 過剰なデータ収集をKVKKに報告
3. すでに提供してしまった場合は削除を要求

シナリオ4：退職時

退職時、元雇用主は法的保管要件に不要な個人データを削除する義務があります。保持しているデータの一覧を要求し、不要なものの削除を要求できます。

KVKKとGDPR：主な違い

特徴	KVKK	GDPR
適用範囲	トルコのみ	EU/EEA + グローバル展開
同意	ほとんどの処理に明示的同意が必要	明示的同意は6つの法的根拠の一つ
DPO要件	義務なし	特定の組織で義務
漏洩通知	「可能な限り速やかに」（固定期限なし）	72時間
最大罰金	約200万TL	最大2,000万ユーロまたは全世界売上の4%
国際移転	適切性決定または明示的同意が必要	適切性決定による類似の枠組み

主体的なプライバシー保護

KVKKは事後的な権利を与えてくれますが、主体的なプライバシー保護はさらに重要です：

• データ共有を最小限に：絶対に必要な場合にのみ個人データを提供
• プライバシーポリシーを読む：登録前にどのデータが収集・使用されるか確認
• 別名を使用：本名が不要なサービスでは代替の使用を検討
• メールアドレスを分ける：用途別に異なるメールを使用（銀行、ショッピング、メルマガ）
• 機密データを安全に共有：個人情報を共有する必要がある場合は暗号化チャネルを使用

KVKKで保護される機密個人データ — 医療記録、金融情報、身分証明書 — を共有する場合は、LOCK.PUBでパスワード付きの期限付きメモを作成しましょう。安全でないチャネルにデータが永続的に残るのを防ぎ、不正アクセスのリスクを軽減します。

データ意識の高い文化を作る

トルコのデジタルトランスフォーメーションは加速しており、デジタルシステムを流れる個人データの量も増加しています。KVKK権利の理解は法的コンプライアンスだけの問題ではなく、デジタルライフのコントロールを取り戻すことです。

KVKK保護の対象となる個人情報を送信する必要がある場合は、常に自問してください：このチャネルは私のデータを適切に保護しているか？ 答えがノーなら、LOCK.PUBのようなツールが暗号化と有効期限を機密通信に追加するシンプルな方法を提供します。

このガイドを友人や家族と共有しましょう。KVKK権利を行使する人が増えるほど、トルコのデータ保護文化は強化されます。

---

あなたの個人データはあなたのものです。KVKKはそれを守るツールを提供しています — 活用しましょう。