海外移転のたびに明示的同意？KVKK第9条が変えるデータ保護の常識

KVKK第9条の改正：海外移転における明示的同意の義務化

トルコの個人データ保護法（KVKK）が改正され、国外へのデータ移転に関するルールが厳格化されました。特に、データ主体（本人）から明示的な同意を得ることが原則となり、これまで認められていた「黙示の同意」や「包括的な同意」では不十分となります。

なぜ今、この改正が重要なのか？

グローバル企業にとって、トルコは欧州とアジアを結ぶ重要な市場です。しかし、この改正により、トルコ国内のユーザーデータを国外のサーバーに移転するたびに、個別の同意を得る必要が生じます。これは、GDPRの「十分性認定」や「標準契約条項」に慣れた企業にとっては、大きな負担となるでしょう。

まるで、毎回の海外旅行に「出国許可証」を申請するようなものです。一度取得したビザでは不十分で、旅行のたびに新たな許可が必要になる――そんな感覚に近いかもしれません。

明示的同意の要件とは？

KVKK第9条が求める「明示的同意」は、単なるチェックボックスでは不十分です。同意は、具体的で、情報に基づき、自由意志によるものでなければなりません。具体的には、以下の要素が必要です：

• 移転先の国名
• 移転されるデータの種類
• 移転の目的
• データ主体の権利（アクセス、訂正、削除など）

さらに、同意は「書面」または「電子記録」で取得し、後日証明できるように保管する必要があります。

実務上の課題：同意の頻度と範囲

問題は、同意の有効期間です。KVKKは「各移転ごと」に同意を求めているため、一度同意を得ても、同じ相手先への2回目の移転には新たな同意が必要と解釈されます。これにより、日常的にデータを移転する企業（クラウドサービス利用など）は、同意管理の自動化が不可欠になります。

また、同意の範囲も重要です。例えば、マーケティング目的で収集したデータを、後日、分析目的で国外移転する場合、新たな同意が必要です。目的外利用は厳しく制限されます。

企業が取るべき対策

まず、自社のデータフローを可視化し、どのデータが国外に移転されているかを把握しましょう。その上で、以下の対策を検討してください：

• 同意管理プラットフォーム（CMP）の導入：動的な同意取得・管理が可能なツールを活用し、各移転ごとに同意を取得する仕組みを構築する。
• データローカライゼーションの検討：可能であれば、トルコ国内にサーバーを設置し、国外移転自体を回避する。
• 標準契約条項（SCC）の活用：トルコデータ保護機関（KVKK Kurumu）が承認したSCCを締結することで、同意以外の移転基盤を確保する（ただし、SCCの利用条件も厳格化される可能性あり）。

参考：KVKK公式サイト

FAQ

Q1: 明示的同意は、一度取得すれば永続的に有効ですか？

A1: いいえ、KVKK第9条は「各移転ごと」に同意を求めています。そのため、同じ相手先への2回目の移転でも、新たな同意が必要です。ただし、同意の有効期間や更新頻度については、今後のガイドラインを注視する必要があります。

Q2: 同意なしで国外移転できる例外はありますか？

A2: はい、以下の場合には同意なしで移転可能です：①データ主体が契約の履行に必要な場合、②公衆衛生上の重要な利益のため、③法的請求の確立・行使・防御のため、④データ主体が自ら公開したデータの場合。ただし、これらの例外も限定的であり、慎重な判断が必要です。

Q3: 違反した場合の罰則は？

A3: KVKK違反には、最大で約200万トルコリラ（約1億円）の行政罰金が科される可能性があります。また、刑事罰（禁固刑）のリスクもあります。企業はコンプライアンス体制を早急に整備すべきです。