mcpField
T
turkey-kvkk

turkey-kvkk

github.com/mukul975セキュリティ32337 回インストール32 週間前に更新
リポジトリ

turkey-kvkk について

トルコの個人データを扱う組織向けに、KVKKのコンプライアンス要件を整理した資料です。処理の法的根拠、特別カテゴリーデータ、VERBIS登録、越境移転、本人の権利を扱います。

主な機能

  1. 01処理の法的根拠の説明
  2. 02特別カテゴリーデータの規則
  3. 03VERBIS登録要件の整理
  4. 04越境移転メカニズムの概要
  5. 05データ主体の権利の一覧

活用シーン

  1. 01トルコでのデータ処理の適合性評価
  2. 02VERBIS登録情報の準備
  3. 03トルコ・EU間のデータ移転の確認

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/privacy-data-protection-skills --skill turkey-kvkk

インストール後、Claude Code で/turkey-kvkkを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

assets/
template.md
references/
standards.md
workflows.md
scripts/
process.py

詳細

トルコのKVKKへの準拠

概要

個人データ保護法（Kisisel Verilerin Korunmasi Kanunu、法律第6698号）は、トルコの包括的な個人データ保護法です。2016年4月7日に官報に掲載され、同日施行されました。KVKKはEUデータ保護指令95/46/ECをモデルとしており、GDPRと構造上の類似点がありますが、越境移転の仕組み、同意要件、個人データ保護機関（Kisisel Verileri Koruma Kurumu、KVKK Authority）およびその意思決定機関である個人データ保護委員会（Kurul）の役割には、大きな違いがあります。

トルコは1987年にEU加盟を申請し、KVKKはEUのデータ保護基準に整合させることを一つの目的として制定されました。しかし、トルコはGDPR第45条に基づく欧州委員会の十分性認定を受けていないため、EUとトルコ間のデータフローは複雑になっています。

主な定義

トルコ語の用語英語GDPRにおける相当用語
Kisisel veri個人データ個人データ（第4条第1項）
Ozel nitelikli kisisel veri特別カテゴリーの個人データ特別カテゴリーのデータ（第9条）
Veri sorumlusuデータ管理者管理者（第4条第7項）
Veri isleyenデータ処理者処理者（第4条第8項）
Ilgili kisiデータ主体／関係者データ主体
Acik riza明示的な同意同意
VERBISデータ管理者登録簿直接の相当制度なし（登録制度）

処理の適法な根拠（第5条）

データ主体の明示的な同意がない場合、個人データの処理は禁止されています。ただし、以下の場合を除きます。

  1. 法律で明確に定められている場合 — 処理が法令に明確に規定されている
  2. 生命または身体の完全性の保護に必要な場合 — データ主体または他者が、身体上または法律上の理由で同意できない
  3. 契約の履行に必要な場合 — 契約の締結または履行に直接関係している
  4. 管理者が法的義務を履行するために必要な場合
  5. データ主体が公開したデータの場合 — 明白に公開されている
  6. 権利の確立、行使または防御に必要な場合
  7. 管理者の正当な利益に必要な場合 — データ主体の基本的権利および自由を侵害しないことを条件とする

特別カテゴリーのデータ（第6条）

特別カテゴリーのデータには、人種、民族的出自、政治的見解、哲学的信条、宗教、宗派その他の信条、容姿および服装、協会・財団・労働組合への加入、健康、性生活、有罪判決および保安措置、ならびに生体データおよび遺伝データが含まれます。

処理には、以下のいずれかが必要です。

  • データ主体の明示的な同意、または
  • 法律による明確な許可（健康および性生活に関するカテゴリーを除く）
  • 健康および性生活に関するデータの場合：公衆衛生、予防医療、医学的診断、治療、ケアまたは医療サービス管理を目的として、守秘義務を負う者または認可機関が処理すること

VERBIS — データ管理者登録簿

登録基準を満たすすべてのデータ管理者は、VERBIS（Veri Sorumlulari Sicil Bilgi Sistemi）に登録する必要があります。登録時には、以下の情報を開示する必要があります。

  • データ管理者および代理人の身元情報と連絡先情報
  • データ処理の目的
  • データ主体および個人データのカテゴリー
  • 提供先または提供先のカテゴリー
  • 海外に移転される個人データおよび移転時の保護措置
  • 最長保管期間
  • 講じたセキュリティ対策

VERBISの登録免除：委員会は、法律で義務付けられたデータ処理を行うデータ管理者、従業員数が50人未満かつ年間売上高が1億TRY未満のデータ管理者（ただし、特別カテゴリーのデータ処理が主要業務でないことを条件とする）、および公証人など、一部のカテゴリーを登録免除としています。

越境移転（第9条）

個人データを国外に移転するには、以下が必要です。

  1. データ主体の明示的な同意、または
  2. 第5条第2項または第6条第3項の条件のいずれかを満たし、さらに以下のいずれかを満たすこと：
    • 十分な保護が確保されている国への移転（当委員会が判断します。2026年時点で、当委員会は十分な保護が確保されている国のリストをまだ公表していません）
    • トルコ国内外のデータ管理者が書面で十分な保護を提供し、当委員会が許可すること
    • 当委員会が承認した拘束的企業準則

2024年の改正：KVKKは2024年3月に改正され、GDPR第V章により近い十分性認定や標準契約条項など、新たな越境移転の仕組みが導入されました。経過措置は2024年9月1日まで延長されました。

データ主体の権利（第11条）

データ主体には、以下の権利があります。

  1. 自身の個人データが処理されているかどうかを知る
  2. データが処理されている場合、その処理に関する情報を請求する
  3. 処理の目的と、データがその目的に沿って使用されているかどうかを知る
  4. 個人データが国内または国外で移転される第三者を知る
  5. 不完全または不正確なデータの訂正を請求する
  6. 第7条に基づき、個人データの消去または破棄を請求する
  7. 訂正または消去について第三者への通知を請求する
  8. 処理されたデータを専ら自動化されたシステムで分析した結果、自身に不利益な結果が生じた場合に異議を申し立てる
  9. 違法な処理によって生じた損害について賠償を請求する

執行と罰則

個人データ保護委員会は、以下の行政罰を科すことがあります。

  • 情報提供義務（第10条）の不履行：5,000～1,000,000 TRY
  • データセキュリティ義務（第12条）の不履行：15,000～1,000,000 TRY
  • 当委員会の決定（第15条）への不遵守：25,000～1,000,000 TRY
  • VERBISへの登録義務（第16条）の不履行：20,000～1,000,000 TRY

罰金額は、再評価率に基づいて毎年調整されます。

主な委員会決定

  • 決定2019/78：明示的な同意に関するガイドライン — 同意は自由意思に基づき、情報を得たうえで、特定され、かつ意思を明確に示すものでなければなりません
  • 決定2019/10：データ管理者とデータ処理者の区別 — 責任と契約上の要件を明確化しました
  • 決定2020/915：クッキー同意要件 — 必須でないクッキーには事前の同意が必要です
  • 決定2022/1：2024年改正前の越境移転に関する評価基準

統合ポイント

  • 越境移転：KVKK第9条の移転メカニズムは、EUとトルコ間のデータ移転においてGDPR第V章と相互に関係します
  • ベンダーのプライバシーデューデリジェンス：データ処理者との契約には、第12条のセキュリティ義務を含める必要があります
  • 72時間以内の侵害通知：KVKK第12条第5項は、当委員会への「可能な限り速やかな」通知を求めています（当委員会のガイドラインでは72時間が推奨されています）
  • データインベントリのマッピング：VERBISへの登録には、包括的な処理インベントリが必要です

コメント

Markdown 対応