トルコのテクノロジー法、個人データ保護（KVKK）および暗号資産規制

テクノロジー法、データプライバシー（KVKK）および暗号資産規制。Serka Law Firmは、国際的なテクノロジー企業、プラットフォーム運営者、ゲームパブリッシャーおよびゲーム配信事業者、SaaSプロバイダー、フィンテック、機械学習チーム、および暗号資産プラットフォームに対し、トルコのデータ保護法、電子商取引法、インターネット法、資本市場法に関する助言を提供する。当事務所は、外国のプラットフォームが適法にトルコのユーザーへサービスを提供できるようコンプライアンス体制を構築し、規制当局がそのプラットフォームに対し措置を講じた際にはこれを防御する。

期日の定まった強行規定、2026年11月1日。2026年5月1日付官報（Resmi Gazete）第33240号により公布された法律第7578号は、インターネット法第5651号に追加条項第5条を新設し、追加条項第4条を改める。2026年11月1日以降、トルコからの日次アクセスが十万を超える海外発のゲームプラットフォームは、トルコに代表者を選任し、当局へ届け出なければならない。二度目の違反に対する行政制裁金は三千万トルコリラに達する。この義務は2026年5月1日より前には存在しなかった。判定基準、閾値、および構築すべき事項は直下に記載する。

弁護士 Serkan Kara, イスタンブール弁護士会 登録番号 53770 / TBB 121348。2015年より弁護士業務に従事。
最終更新: 2026年8月

2026年11月1日施行、海外発ゲームプラットフォームの代表者選任義務

2026年11月1日以降、トルコからの日次アクセスが十万を超える海外発のゲームプラットフォームは、トルコに代表者を、すなわち自然人または法人を指定し、その指定を当局へ届け出なければならない。プラットフォームはさらに、当該代表者の身元および連絡先を自らのウェブサイト上に、容易に視認でき直接アクセスできる形式で公表しなければならない。年齢レーティングの遵守およびペアレンタルコントロールの提供も同一の条項において課される。根拠規定は、法律第7578号第23条により新設されたインターネット法第5651号の追加条項第5条であり、2026年5月1日付官報第33240号に公布されている。同法第27条は、施行を公布から6か月後、すなわち2026年11月1日と定める。二度目の違反に対する行政制裁金は三千万トルコリラに達する。

法務部門にとって明示しておくべき帰結が二つある。第一に、この義務は新設であるから、これを既に運用している顧問も、社内で複製できる先例も存在しない。第二に、年齢レーティングおよびペアレンタルコントロールのアーキテクチャは届出ではなく構築作業である。公布から施行までの6か月がその構築期間であり、その大半は既に経過している。

条文が求める事項

• トルコにおける代表者の指定。条文は自然人でも法人でも足りるとする。
• 当該指定の当局への届出。
• 代表者の身元および連絡先を、プラットフォーム自身のウェブサイト上に、容易に視認でき直接アクセスできる形で公表すること。
• 年齢レーティング制度の遵守およびペアレンタルコントロールの提供。いずれも同一の条項に置かれている。

条文は届出先を「当局」と表記し、公布された条文中でそれ以上の特定を行っていない。当事務所が「当局」と記し推測を避けるのはそのためである。いずれの機関を指すか、およびその機関が公表する手続については、実施のための下位法令または当該機関自身の公告により確定する。当事務所は官報を注視している。

貴社のプラットフォームは対象となるか

四つの要件が判定を決する。うち三つは公に確認可能であり、一つは貴社自身の数値である。だからこそ本頁では、外部から誰かに当てはめるのではなく、貴社が自ら適用するための判定基準として提示する。

四要件がすべて満たされる場合、選任と届出は2026年11月1日より前に履行すべきものであり、年齢レーティングおよびペアレンタルコントロールのアーキテクチャも同時に整備されていなければならない。同日以降、同じ企業は準備の局面ではなく執行の局面に置かれることになり、それは著しく不利な出発点である。

日次アクセス一千万超のソーシャルネットワークプロバイダー規制

法律第7578号第22条は、ソーシャルネットワークプロバイダーを規律するインターネット法第5651号の追加条項第4条を改め、トルコからの日次アクセスが一千万を超えるプロバイダーに対する重い層を加える。施行日は同じく2026年11月1日である。数年前に形式的な届出として選任された代表者は、この新たな層を実際に運用しうる法務機能と同じものではない。既に代表者を届け出ているプロバイダーは、改正後の条文を、その選任が実際に何を担っているのか、そして社内で誰が責任を負うのかに照らして読み直すべきである。

誰に依頼することになるのか

弁護士 Serkan Kara。イスタンブール弁護士会登録番号53770、トルコ弁護士会連合121348、2015年より弁護士業務に従事。CCBE（欧州弁護士会評議会）弁護士職業身分証の保持者。ケルン大学法学部のCUSLプログラムにおいて合衆国法を修め、成績はvollbefriedigendの評価を得ている。テクノロジー企業の法務責任者にとって重要な帰結は次の一点である。当事務所は、一方が国境を越えて他方に照会するのではなく、大陸法と英米法という二つの大きな法系をともに使いこなす。国境を越える案件は当事務所にとって例外ではなく通常の案件であり、その前提で運営し、その前提で費用を定めている。

同時に彼は開発者でもある。ソフトウェアとハードウェアを、MS-DOSの時代から、十一歳のときから実地に扱ってきた。Google Developer ProgramのPremiumティアに在籍する。機械学習は当事務所が掲げる専門分野の一つである。それが貴社にもたらすものは限定的かつ具体的であり、本頁がこのように書かれている理由でもある。すなわち、貴社のアーキテクチャ、データフロー、ライセンスファイル、モデルドキュメント、および利用規約は、弁護士に説明されるのではなく弁護士自身によって読まれる。貴社のエンジニアが、助言を受ける前に自社のシステムを翻訳して差し出す必要はない。

それはまた、当事務所が最新かつ最良の技術を、供給業者のものではなく自らの技術的経験と知見に基づいて最大限に活用していることを意味する。これは世界のどこにあっても当事務所を際立たせる重大な優位の一つであり、上記の経歴がその裏づけである。

トルコで事業を行う企業にとってのテクノロジー法およびデータプライバシー法とは何か。

トルコにおけるテクノロジー法およびデータプライバシー法は、企業が個人データおよびデジタルサービスをどのように収集、保管、移転、収益化するかを規律するものである。中核となる法令は個人データ保護法第6698号（KVKK）であり、これはEUのGDPRを反映しているものの、データをトルコ国外へ移転することに関してはより厳格な条件を課している。トルコのユーザーにサービスを提供するテクノロジー企業は、そのサーバーがどこに所在するかにかかわらずこれらの規則に拘束される。KVKKと併せて、電子商取引規制法第6563号、インターネット法第5651号、および資本市場法第6362号（暗号資産について）が一体となって、いかなる外国プラットフォームも遵守しなければならない規制の枠組みを形成している。

テクノロジーまたはデータに関するプロジェクトでは、まず何を検討すべきか。

テクノロジープロジェクトは、データフローの図式化から着手すべきである。すなわち、データ主体が誰であるか、いかなる個人データがいかなる目的で処理されるか、どこに保管されるか、どの第三者またはベンダーがこれに接触するかを明らかにする。この図式から、弁護士は各フローに付随する法的義務を特定することができる。これには、同意その他の適法な処理根拠、国境を越える移転の管理、安全管理義務、消費者向け契約条件、および各分野のライセンスが含まれる。これらの問題を規制当局の照会後ではなく製品設計の段階で解決することこそが、単一の商業上の決定が後にコンプライアンス上の失敗へと発展することを防ぐのである。

KVKKとは何か、また、それはGDPRとどのように異なるのか。

KVKK（個人データ保護法第6698号）はトルコの一般的なデータ保護法令であり、その原則、データ主体の権利、説明責任義務においてGDPRと構造的に近い。決定的な相違点は国境を越えるデータ移転にある。GDPRが十分性認定および標準化された保護措置の下で移転を認めているのに対し、KVKKは従来、データ主体の明示的な同意を要求するか、または移転先国が個人データ保護委員会の十分な保護を有する国の一覧に掲載されていることを要求してきた。実務上この十分性一覧は限定的なままであるため、ほとんどの国際企業は、移転先を自動的に安全とみなすのではなく、委員会が承認した書面による約束または標準契約上の保護措置に依拠している。

VERBIS登録とデータ管理者代表者

所定の基準値を満たす企業、またはその中核的活動が機微な個人データの処理である企業は、個人データ保護庁が管理する公的なデータ管理者登録簿であるVERBISに登録しなければならない。登録は、管理者のデータ目録、処理目的、保管期間、および安全管理措置を記録するものである。トルコに事業所を持たない外国のデータ管理者は、トルコにおいてデータ管理者代表者を選任しなければならず、当事務所はこの役割を国際的な依頼者のために遂行している。登録を怠ること、または不正確な情報を登録することは、管理者を行政上の制裁金にさらすことになる。

当局は、登録簿に関する自らの公表資料においてこの義務を明示している。すなわち、国外に所在する法人であるデータ管理者は、トルコにデータ管理者代表者を選任しなければならない。これは管理者の地位に対する判定であって、トルコにおける拠点の規模に対する判定ではない。だからこそこの義務は、上記いずれのプラットフォーム規制よりもはるかに広い範囲の外国テクノロジー企業に及ぶ。特定の管理者が併せて登録義務の基準値に該当するか否かは、当該管理者自身の数値に基づいて判断されるものであり、検査を受けた後ではなくその前に判断しておく価値がある。

国境を越えるデータ移転

KVKKの下では、トルコ国内のユーザーの個人データを、利便性のみを理由に国外のサーバーへ移転することはできない。明示的な同意は一つの方法であるが、ユーザーがいつでもこれを撤回できるため脆弱である。より持続的な方法は、真正な技術的および組織的な安全管理上の同等性に裏付けられた、個人データ保護委員会が承認した書面による約束または標準契約上の仕組みである。当事務所はこれらの法的文書を作成し提出することにより、グローバル企業がトルコ法の下で適法であり続けながら、既存のクラウドインフラ上にデータを保持できるようにする。

トルコは暗号資産および暗号資産プラットフォームをどのように規制しているか。

トルコにおける暗号資産および暗号資産サービスプロバイダーは、暗号資産を資本市場委員会（SPK）の監督下に置くべく改正された資本市場法第6362号の下で規制されている。取引所および保管プラットフォームを含む暗号資産サービスプロバイダーは、SPKから事業認可を取得し、資本、ガバナンス、保管、およびマネーロンダリング防止に関する義務を遵守しなければならない。当該認可を受けずにトルコのユーザーを対象とする取引所を運営することは、無認可の資本市場活動として扱われ、責任ある経営者の刑事責任およびプラットフォームへのアクセス遮断につながり得る。

暗号資産取引所のライセンス取得

トルコのユーザーを勧誘し、トルコ語で広告を行い、またはトルコリラの取引ペアを提供する外国の取引所は、一般にトルコの株式会社を設立し、SPKの認可を取得する必要がある。ライセンス取得には、最低資本要件を満たすこと、MASAK（金融犯罪調査委員会）に整合したマネーロンダリング防止および顧客確認の管理を実施すること、ならびに適合的な保管体制を整備することが含まれる。当事務所は認可申請を最初から最後まで管理し、ライセンスを保有する事業体を組成する。

トークン発行およびWeb3の組成

トークン発行は証券に関するリスクを伴う。利益分配または配当の手段のように機能するトークンは証券として扱われ得るものであり、これは目論見書および開示の義務を生じさせる。当事務所は、ユーティリティトークンとセキュリティトークンを区別する法的意見書を提供し、発行体を組成し、リテール向けの提供をジオフェンシングすることにより、創業者がトルコにおいて無認可の公募であるとの主張にさらされないようにする。

外国のオンラインプラットフォームにはどのような電子商取引規則が適用されるか。

トルコの消費者に販売を行う外国のオンラインプラットフォームは、電子商取引規制法第6563号および通信販売契約に関する規則を遵守しなければならない。最も重要なのは二つの義務である。第一に、事業者対消費者のいかなる販売においても、購入前の詳細な事前情報フォームと併せて、消費者に対し違約金なしの14日間の撤回権を与えなければならない。第二に、マーケティングSMS、電子メール、または自動音声通話などの商業的電子メッセージには、中央メッセージ管理システム（IYS）に記録された事前の承認が必要であり、消費者のオプトアウトは自動的に履行されなければならない。IYSの承認なくして求められざるマーケティングを送信すること、または適法な返金を拒否することは、行政上の制裁金および消費者からの苦情を招き、現地の決済処理を妨げ得る。

トルコ当局は外国のプラットフォームを遮断または速度制限できるか。

できる。インターネット法第5651号の下では、トルコにおける大規模な日次ユーザー基盤を有する外国のソーシャルネットワークプロバイダーは、法的通知を受領し対応するために現地代表者を選任しなければならず、2026年11月1日以降は同じ仕組みが追加条項第5条により日次アクセス十万超のゲームプラットフォームにも及ぶ。裁判所が人格権その他法定の根拠に基づき内容の削除を命じた場合、プロバイダーは法定の期間内に措置を講じなければならない。これを拒否すると、情報通信技術庁（BTK）が広告禁止、制裁金、およびサービスを劣化させる段階的な帯域幅の速度制限を課すことにつながり得る。当事務所は選任された代表者として行動し、各命令の有効性を評価し、命令に瑕疵がある場合には異議を申し立て、単一の紛争がプラットフォーム全体の可用性を危険にさらすことのないよう、狭く対象を絞ったコンプライアンスを実行する。

テクノロジー企業にとっての主要な法的リスクとは何か、また、その例外は何か。

繰り返し生じるリスクは、違法な国境を越えるデータ移転、VERBIS登録の欠落、SPKの認可なき暗号資産サービスの運営、IYSの承認なき求められざるマーケティング、ならびにインターネット法上の内容削除義務または代表者選任義務の無視である。これらはいずれも行政上の制裁金を伴い、いくつかは刑事上の責任またはアクセス遮断を伴う。主要な例外および抗弁には、KVKKの下での同意以外の適法な処理根拠、データを個人データの範囲から除外する真正な匿名化、委員会が承認した移転のための法的文書、ならびに暗号資産またはトークンの活動がトルコのリテールユーザーを対象としないように組成することが含まれる。例外が適用されるか否かは事実に依拠するものであり、規制当局が措置を講じた後ではなく、その前に評価されるべきである。

テクノロジーおよびデータプライバシーの事項について弁護士は必要か。

弁護士は、テクノロジー製品が大規模にトルコのユーザーに接触する場合、機微なデータまたは生体データを処理する場合、データを国外へ移転する場合、暗号資産またはトークンのサービスを提供する場合、代表者選任義務の対象となる場合、または規制当局の通知を受領した場合には常に必要である。これらの事項はデータ保護法、資本市場法、消費者法、およびインターネット法を組み合わせるものであり、一つの分野における誤りが決済ゲートウェイを凍結させ、またはサービス全体を遮断し得る。製品設計の段階で弁護士に依頼することは、ローンチ後に執行措置に対し防御するよりもはるかに費用がかからない。

よくある質問

当社はトルコにユーザーを持つゲームプラットフォームである。2026年11月1日までに何をすべきか。

貴社のプラットフォームが海外発であり、トルコからの日次アクセスが十万を超える場合、法律第5651号の追加条項第5条は、トルコにおける代表者の指定、その指定の当局への届出、および代表者の身元と連絡先を貴社自身のウェブサイト上に容易に視認でき直接アクセスできる形で公表することを求める。年齢レーティングおよびペアレンタルコントロールも同一の条項において課される。二度目の違反に対する行政制裁金は三千万トルコリラに達する。

当社には既にトルコ子会社がある。それで代表者選任義務を満たすか。

それだけでは満たさない。条文が求めるのは、指定され届け出られた代表者であり、かつその代表者の身元がプラットフォームのサイト上に公表されていることである。コンプライアンス上の権限を伴わない販売またはマーケティング目的の法人は指定に当たらず、そもそも選任が受け止め応答するために設けられたものを受け止め応答しうる立場に誰も置いていない。問うべきは、いかなる自然人または法人が指名されるのか、その権限の内容は何か、そして届出は済んでいるのか、である。

KVKKはトルコに事務所を持たない企業にも適用されるか。

適用される。KVKKは、企業がどこで設立されたか、またはそのサーバーがどこに所在するかではなく、トルコ国内の個人の個人データの処理を基準として適用される。トルコのユーザーのデータを処理する外国のデータ管理者は、一般にVERBISに登録し、トルコにおいてデータ管理者代表者を選任することが求められる。

当社は顧客データをトルコ国外のクラウドインフラに保持できるか。

多くの場合可能であるが、自動的にではない。トルコのユーザーの個人データを外国のクラウドインフラに保管することは、KVKKの下では国境を越える移転にあたる。これは、有効な明示的同意によって、または、より持続的には、委員会が承認した書面による約束もしくは標準契約上の仕組みに加えて十分な安全管理措置によって裏付けられなければならない。当事務所は移転を認可する法的文書を作成し提出する。

国外からトルコのユーザー向けに暗号資産取引所を運営することは適法か。

無認可のオフショア取引所から国外でトルコのユーザーを対象とすることは、法第6362号の下で無認可の資本市場活動として扱われ、刑事責任およびアクセス遮断につながり得る。トルコのユーザーを望むプラットフォームは、通常、トルコの会社を設立し、MASAKに準拠したマネーロンダリング防止管理を含むSPKの認可を取得しなければならない。

IYSの承認なくマーケティングメッセージを送信した場合、何が起こるか。

承認を得ていない各商業的電子メッセージは行政上の制裁金を招き得るものであり、違反を繰り返すと規制当局および消費者からの苦情を招く。トルコの消費者へのマーケティングSMS、電子メール、および自動音声通話はIYSシステムに登録されなければならず、オプトアウトは自動的に適用されなければならない。

トルコの裁判所が当社に内容の削除を命じた。期限はいつか。

インターネット法第5651号の下では、プロバイダーは、有効な内容削除命令に対し、その命令の類型に適用される法定の期間内に措置を講じなければならない。期限を徒過すると、BTKが広告禁止、制裁金、および帯域幅の速度制限を課すことにつながり得る。当事務所は命令の有効性を評価し、必要な場合には遵守し、瑕疵ある命令に対しては争う。

規制当局の照会後、どれほど速やかに弁護士を関与させるべきか。

直ちに関与させるべきである。早期の弁護士の関与は、不適合なデータパイプラインを一時停止させ、匿名化または代替的な適法根拠といった抗弁を保全し、制裁金および破棄命令が確定する前に規制当局との構造的な対話を開始することができる。遅延は利用可能な抗弁を狭めるものである。

何を、どこで確認できるか

本頁の記載のうち、読み手が確認する権利をもつものについては、確認できる場所を併記している。あとは番号を入力するだけで足りるようにするためである。

関連する法務サービス

テクノロジーに関する事項は、しばしば他の業務分野と結びつく。当事務所は、SPKライセンスまたは代表者としての権限を保有する事業体のためのトルコにおける会社設立、SaaSおよびプラットフォーム契約のための企業法務および商事法、インバウンドのテクノロジー資本のための外国直接投資の組成、デジタルサービス課税のための税法および関税規制、ならびに資本市場またはサイバー犯罪に関する責任が生じる場合の刑事弁護および裁判管轄と、テクノロジーおよびデータに関する業務を連携させている。

秘密厳守の案件評価を依頼する

貴社のプラットフォームが2026年11月1日の代表者選任義務の対象となる場合、トルコのユーザーデータを処理する場合、トルコのユーザーに暗号資産またはトークンのサービスを提供する場合、または規制当局の通知を受領した場合は、秘密厳守の案件評価を依頼してください。製品、データフロー、アクセスの状況、および係属中の命令があればそれを説明していただければ、当事務所は適用される義務と、貴社が適法かつ事業を継続できる体制を特定する。見解は書面でお渡しする。当事務所の製品は面談ではなく分析である。

直接のご連絡: WhatsApp +90 530 127 59 35 または info@serkalaw.com。

法的免責事項

本ページは、トルコのテクノロジー法、データ保護法、および資本市場法に関する一般的な情報を提供するものであり、法的助言を構成するものではない。本ページを読むことによって弁護士・依頼者関係が成立するものではない。弁護士・依頼者関係は、署名された委任契約によってのみ成立する。具体的な状況に関する助言については、有資格の弁護士に相談されたい。