أصدرت هيئة حماية البيانات الشخصية التركية (KVKK) في 21 يوليو 2026 الإعلان الخاص باستخدام البيانات الشخصية المأخوذة من أطراف ثالثة لأغراض الإعلان والتسويق. ويوضح الإعلان أن الشركات لا يمكنها اعتبار أنها حصلت على أساس قانوني لمعالجة البيانات الشخصية وإجراء حملات تسويقية فقط بناءً على "توصية صديق" أو "توصية عميل".
1. الحصول على البيانات من أطراف ثالثة لا يشكل بحد ذاته أساسًا قانونيًا
توضح هيئة KVKK في الإعلان أن العديد من الشركات تحصل على أرقام الهواتف وعناوين البريد الإلكتروني وغيرها من بيانات الاتصال من أطراف ثالثة (العملاء الحاليون، الشركاء التجاريون وغيرهم) عبر برامج التوصية أو سفراء العلامات التجارية، ثم تستخدمها مباشرة للمكالمات والرسائل النصية التسويقية دون إبلاغ صاحب البيانات أو الحصول على موافقته. وتؤكد الهيئة أن مجرد حصول البيانات من طرف ثالث لا يمثل أساسًا قانونيًا لاستخدامها في الإعلان أو التسويق.
تتبع العديد من الشركات المنطق: "إذا أعطى الصديق الرقم، فهذا يعني أن الشخص لا يمانع من التواصل معه". ترفض KVKK هذا المنطق صراحة. يجب على المتحكمين بالبيانات إثبات شرعية المعالجة بالاعتماد على أساس قانوني واحد على الأقل مذكور في المادة 5 من القانون رقم 6698 لحماية البيانات الشخصية. السؤال الصحيح ليس "هل حصلنا على الموافقة؟" بل "ما الأساس القانوني الذي تعتمد عليه هذه الحملة التسويقية، وهل يمكننا إثبات هذا التقييم كتابيًا؟".
2. الصمت لا يعني الموافقة
ترفض الهيئة مبدأ الموافقة الضمنية. إن بقاء صاحب البيانات مستمعًا للمكالمة التسويقية، أو عدم إغلاق الهاتف، أو طرح أسئلة، أو عدم الرد برسالة "STOP"، لا يشكل موافقة صريحة صالحة. يجب أن تكون الموافقة الصريحة تصريحًا إيجابيًا حرًا ومستنيرًا لغرض محدد.
هذا البند ينهي المنطق القديم لمراكز الاتصال: "عدم الاعتراف يعني الموافقة". لا يجوز للشركات بعد الآن تفسير تقاعس المستهلك على أنه تفويض.
3. واجب الإبلاغ والحصول على الموافقة مطلبان قانونيان منفصلان
يجب على المتحكمين بالبيانات أداء واجب الإبلاغ أولاً، ثم الحصول على الموافقة الصريحة من صاحب البيانات عبر بيان إرادة منفصل عند الحاجة. إذا لم يتم جمع البيانات مباشرة من صاحبها، فيجب إتمام الإبلاغ عند أول اتصال أو أول نقل للبيانات. قد يؤدي الإخلال بهذه المتطلبات إلى عقوبات إدارية بموجب المادة 18 من قانون حماية البيانات الشخصية.
الإبلاغ والموافقة خطوتان مستقلتان ولا يجوز الخلط بينهما. عند أول اتصال بالعملاء المحتملين، يجب على الشركة إتمام إبلاغ الخصوصية قبل أو في وقت أول اتصال، مع ذكر مصدر البيانات، وأغراض المعالجة وحقوق صاحب البيانات. إذا كانت الموافقة الصريحة مطلوبة كأساس قانوني، فيجب جمع بيان موافقة منفصل بعد إتمام الإبلاغ.
