alterlab-kvkk-dmp

KVKK データ管理計画 — トルコの研究データのためのコンプライアンス基盤

実証研究向けの KVKK（Kişisel Verilerin Korunması Kanunu — トルコ個人データ保護法、第6698号）データ管理計画を作成し、EU/GDPR の DMP 定型文について、トルコ法と異なる点を監査します。KVKK は個人データを扱うトルコの実証研究のほぼすべてに適用されますが、GDPR とは異なります。適法根拠の選択肢はより限定され、研究に関する免除の仕組みも異なり、登録（VERBIS）や越境移転のルールもトルコ独自です。このスキルはこうした相違点を反映し、研究者がトルコで不適合となる EU 向け計画を知らずに再利用することを防ぎます。

すべての条文参照は、法律第6698号の一次資料（mevzuat.gov.tr）および KVKK の公式英訳に基づいています。実質的な相違点は references/kvkk_vs_gdpr.md に表形式でまとめています。匿名化手法と再識別の落とし穴は references/anonymization_methods.md に記載しています。免除の正確な文言を含む条文レベルの詳細は references/kvkk_articles.md に記載しています。

このスキルを使用する場合

依頼が研究データに関するトルコのデータ保護コンプライアンスに関する場合に、このスキルを使用します。KVKK に基づくデータ管理計画の作成または修正、データセットを匿名化による免除の対象にできるかの判断、適法根拠の選択（açık rıza — 明示的な同意 — と第5条／第6条の代替根拠）、目的終了時の保存期間と削除の計画、VERBIS 登録の要否の確認、第9条に基づくクラウド利用や海外移転の評価などが該当します。

よくある依頼の例：

• 「KVKK uyumlu veri yönetim planı hazırla」（KVKK に準拠した DMP を作成して）
• 「この研究データセットを匿名化して、KVKK の研究免除の対象にして」
• 「VERBIS kaydı gerekli mi?」（VERBIS 登録は必要ですか？）
• 「EU Horizon の DMP があります。トルコの研究拠点向けに KVKK 準拠にしてください」
• 「KVKK に基づき、このアンケートデータを米国のクラウドに保存できますか？」
• 「健康／生体データを収集します。第6条では何が求められますか？」

このスキルを使用しない場合

関連する依頼はこのスキルで無理に対応せず、適切な関連スキルに振り分けます。

ユーザーが実際に求めていること…	振り分け先	このスキルが適さない理由
GDPR／HIPAA／トルコ以外のデータ保護コンプライアンス	alterlab-research-ethics	このスキルの対象は KVKK のみです。国際的な倫理／プライバシーを扱うスキルが GDPR／HIPAA を担当します
etik kurul（倫理委員会）への申請、または必要な委員会の確認（anket／TİTCK）	alterlab-tr-research-ethics	このスキルはトルコの倫理審査委員会への申請を支援します。KVKK-DMP が扱うのはデータ保護であり、倫理審査ではありません
採択済み原稿／データを Aperta に登録すること、または資金提供機関向けの TÜBİTAK オープンサイエンス VYP（veri yönetim planı／データ管理計画）	alterlab-aperta	Aperta が TÜBİTAK のオープンサイエンス要件と資金提供機関向け VYP を担当します。KVKK-DMP が提供するのは、原則6における「データを非公開とする理由」の説明のみです
TÜBİTAK ARDEB 1001／1002-A の提案書の作成	alterlab-tubitak-proposal	このスキルは提案書のフォーム作成を支援します。KVKK-DMP が記入するのはデータ保護に関する付属書のみです
データ収集ツール／アンケート（Qualtrics、REDCap）または質問票の作成	alterlab-survey-design	このスキルは調査ツールの設計を担当します。KVKK-DMP は、収集データに対する適法根拠と保存期間の要件を扱います
トルコ語の APA-7／TR Dizin 引用スタイル、または学術執筆の慣例	alterlab-tr-academic-style	これはデータ保護ではなく、スタイルに関する内容です

ワークフローで資金提供機関向け VYP（Aperta）とKVKK DMP（本スキル）の両方が必要な場合は、先に KVKK 計画を作成し、適法根拠と匿名化に関する判断を alterlab-aperta に引き継いで、オープンサイエンスに関する原則6の説明に反映させます。

KVKK の DMP が解決すべき 6 つの判断事項

法令に準拠した計画では、以下の事項に順番に回答します。それぞれが Law 6698 の特定の条文に対応しています（全文は references/kvkk_articles.md に記載）。

1. 適法な根拠（Art. 5 / Art. 6）。 原則は açık rıza（明示的な同意）です。GDPR Art. 6 とは異なり、KVKK Art. 5 には独立した「科学研究」の適法な根拠がありません。同意を用いない場合、処理は列挙された Art. 5(2) の代替根拠（法的義務、契約、データ主体が公開したデータ、正当な利益など）のいずれかに該当する必要があります。特別カテゴリーのデータ（sağlık／健康、遺伝、バイオメトリック、宗教的信条など）は Art. 6 の対象であり、列挙された場合を除き処理は禁止されています。また、Board は 適切な措置（yeterli önlemler）を義務付けることができます。

2. 匿名化の適用除外（Art. 28(1)(b)）—主要なコンプライアンス手段。 研究、計画、統計のために匿名化された個人データは、Art. 28(1)(b) に基づき法律の適用範囲外となります。Art. 28(1)(c) も同様に、一定の範囲内で科学、芸術、文学の目的による処理を適用除外としています。これは研究 DMP における最も有効な手段です。真に匿名化されたデータセットであれば、同意、VERBIS、移転に関する制約を免れます。 注意： 再識別可能なデータは匿名化されておらず、適用除外の対象にはなりません。references/anonymization_methods.md を参照してください。仮名化されたデータも、引き続き個人データです。

3. 目的達成時の保存と廃棄（Art. 7）。 処理の理由がなくなった場合、KVKK の消去、破棄、匿名化に関する規則に従い、職権またはデータ主体の請求により、データを消去、破棄、または匿名化（silme / yok etme / anonim hale getirme）する必要があります。DMP には、データカテゴリーごとの保存期間と廃棄方法を明記します。

4. データ主体の権利と回答期限（Art. 13）。 管理者は、データ主体からの申請に対し、遅くとも30 日以内（otuz gün）に回答する必要があります。DMP には、連絡窓口と手続きを記載します。

5. 国境を越える移転（Art. 9、Law 7499 による改正 — 官報掲載日：2024 年 3 月 12 日、RG No. 32487。KVKK の規定は 2024 年 6 月 1 日に施行）。 海外またはクラウドへの保存には、Board による十分性認定、または列挙された保護措置（標準契約、拘束的企業準則、書面による保証など）のいずれかが必要です。Law 7499 による改正で Art. 9 は十分性認定と標準契約を中心とする構成に変更されました。改正前の「移転ごとに明示的な同意を得る」という定型文を再利用しないでください。標準契約は署名後5 営業日以内に Board へ届け出る必要があります（Art. 9(5)。明示的な同意は、十分性認定も保護措置もない場合における例外的な（arızi）移転の代替手段に限られ、その際はデータ主体に起こりうるリスクを伝える必要があります（Art. 9(6)(a)）。手続きは Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik（RG 2024 年 7 月 10 日、No. 32598）で定められています。Türkiye 以外のクラウドをすべて明記してください。個人データを受け取る海外ホストの AI／LLM API も対象です。YÖK の生成 AI 倫理ガイド（2024 年 5 月）では、匿名化またはマスキングされていない個人データをそのようなシステムに入力してはならないとしています。

6. VERBIS 登録（Art. 16）。 管理者は処理を開始する前に、Veri Sorumluları Sicili（VERBIS — データ管理者登録簿）に登録する必要があります。ただし、Board は客観的な基準に基づき、特定のカテゴリーを適用除外とします。DMP には、理由を添えて VERBIS の状況（登録済み／基準に基づく適用除外／申請中）を記録します。

調査と健康データを含むプロジェクトの例を使った、6 項目すべての詳しい説明は references/dmp_walkthrough.md にあります。

計画の作成方法

1. データを分類します。 データカテゴリごとに、個人データか特別カテゴリ（第6条）か、また識別可能か（意図的に）匿名化されているかを判断します。

2. 適用する手段を選びます。 匿名化データで研究上の問いに答えられる場合は、できるだけ早い段階で第28条第1項（b）に基づく匿名化を計画し、その手法と再識別リスクの評価を文書化します。それ以外の場合は、第5条／第6条の適法な根拠（既定では明示的な同意）を選び、その理由を説明します。

3. 上記の6つの判断事項をDMPの各セクションに記入します。

4. スキャフォールドを実行し（任意、決定論的）、構造化されたTR+ENのDMPテンプレートを生成してから、内容を補完し、レビューします。

   uv run python skills/turkish-academia/alterlab-kvkk-dmp/scripts/kvkk_dmp_scaffold.py \
       --title "Project title" \
       --basis explicit-consent \
       --special-category health \
       --retention "5 years post-publication" \
       --cross-border none \
       --verbis registered \
       --lang both \
       --out kvkk_dmp.md
   

   スキャフォールドが書き出すのは、エンコードされた条文マップに基づくテンプレートのみです。法的判断は行わず、ネットワークにも接続しません。すべてのフラグを確認するには --help を、条文のエンコードを検証するには --self-check を実行してください。

5. 再利用するEU／GDPRの定型文を references/kvkk_vs_gdpr.md と照合し、異なる条項（研究目的の根拠がないこと、匿名化による適用除外、VERBIS、2024年の移転ルール）をそれぞれ書き換えます。

厳守事項（違反しないでください）

• 再識別可能なデータを匿名化済みと主張してはいけません。 再識別可能な「匿名化」データは第28条の適用除外の対象にならず、引き続き全面的に適用範囲に含まれます。仮名化は匿名化ではありません。
• 第5条の「研究」根拠を捏造してはいけません。 KVKKにはその根拠はありません。同意、実際に該当する列挙済みの代替根拠を用いるか、匿名化してください。
• 古くなった金額ではなく、基本となる数値や仕組みを引用してください。 KVKK第18条の行政罰の額は、税務手続法（Vergi Usul Kanunu）の再評価率に基づき毎年1月に改定されます。仕組みを引用し、当年の金額を確認するよう利用者に案内してください。TRY建ての金額を固定して記載してはいけません。
• 出力を根拠として利用する前に、現行法と照合してください。 Law 7499による改正（第6条、第9条、第18条）は、2024年3月2日に採択され、2024年3月12日に官報（RG No. 32487）で公布され、KVKKの規定は2024年6月1日に施行された、直近の実質的な変更として明記してください（2026年9月23日に確認した時点で、mevzuat.gov.trの統合版における最新の改正です）。
• このスキルが提供するのはコンプライアンスの足場であり、法的助言ではありません。リスクの高い処理については、Veri Sorumlusu／KVKK担当者（または法律顧問）の承認を推奨してください。

参考資料

• references/kvkk_articles.md — Law 6698を出典とする、正確な適用除外の文言を含む条文ごとのマップ（第5条、第6条、第7条、第9条、第13条、第16条、第28条）。
• references/kvkk_vs_gdpr.md — KVKKとGDPRの対照表：EUのDMP定型文と相容れない4つの相違点（研究目的の根拠がないこと、匿名化による適用除外、VERBIS、2024年の移転制度改革）。
• references/anonymization_methods.md — マスキング、集約、一般化（k-匿名性型）、および第28条の適用を無効にする再識別の落とし穴。
• references/dmp_walkthrough.md — サンプルの調査・健康データ研究に基づいて6つの判断事項を最初から最後まで解説し、記入式のDMP概要を掲載。

主な一次資料

• Law 6698（KVKK）全文 — https://www.mevzuat.gov.tr/mevzuatmetin/1.5.6698.pdf
• KVKK公式英訳 — https://www.kvkk.gov.tr/Icerik/6649/Personal-Data-Protection-Law
• 個人データの消去、破棄または匿名化に関する規則 — https://www.kvkk.gov.tr/Icerik/6636/By-Law-on-Erasure-Destruction-or-Anonymization-of-Personal-Data
• VERBIS（データ管理者登録簿）— https://www.kvkk.gov.tr/Icerik/2043/
• Law 7499 — 第6条、第9条、第18条の改正（2024年3月2日採択、2024年3月12日官報公布、RG No. 32487 — https://www.resmigazete.gov.tr/eskiler/2024/03/20240312-1.htm。KVKKの規定は2024年6月1日施行）
• 個人データの国外移転に関する手続きおよび原則についての規則 — 2024年7月10日官報、No. 32598：https://www.resmigazete.gov.tr/eskiler/2024/07/20240710-2.htm

AlterLab Academic Skillsスイートの一部です。