La Autoridad de Protección de Datos Personales de Turquía (KVKK) aprobó la resolución de principios N.º 2025/1072 el 10 de junio de 2025, publicada oficialmente en la Gaceta Oficial N.º 32938 el 26 de junio de 2025. La resolución prohíbe expresamente que los comerciantes obtengan de forma indirecta el consentimiento de marketing de los usuarios mediante códigos de verificación SMS en procesos de pago, registro o alta de membresía. Exige obtener un consentimiento expreso e independiente para cada actividad de tratamiento de datos y prohíbe vincular el trámite del código de verificación con la autorización de marketing.
1. Prohibición de obtener múltiples consentimientos vinculados mediante códigos de verificación SMS
La resolución indica que fusionar distintas actividades de tratamiento de datos (como la confirmación del contrato de membresía, la autorización para el tratamiento de datos personales, el consentimiento para el envío de comunicaciones electrónicas comerciales) en una única operación mediante un código SMS constituye una conducta ilícita que debe cesar de inmediato.
En la práctica, muchos comercios minoristas piden el número de teléfono móvil y la introducción de un código SMS al pagar, alegando que es imprescindible para finalizar la compra o emitir la factura. Sin conocimiento del cliente, al introducir el código otorga de facto el consentimiento para recibir SMS de marketing posteriores. La nueva norma prohíbe explícitamente esta práctica de “un código con múltiples finalidades”. Los comerciantes deben configurar opciones de consentimiento independientes para la ejecución contractual, el tratamiento de datos y el marketing comercial.
2. Divulgación clara de la finalidad real y consecuencias de los códigos de verificación SMS
El personal autorizado del responsable del tratamiento debe explicar de forma clara y comprensible al interesado la finalidad del SMS enviado a su teléfono móvil y las consecuencias de facilitar el código. Los comerciantes no pueden engañar a los consumidores presentando el código SMS como un “paso indispensable de la transacción”. El mensaje SMS de verificación debe incluir canales de información suficientes. Si el código solo sirve para verificar la operación, el comerciante debe informarlo claramente, y no puede disfrazar el consentimiento de marketing como parte del flujo de compra.
3. El consentimiento de marketing no puede ser requisito previo para acceder a productos o servicios
El interesado no puede ser obligado a aceptar comunicaciones electrónicas comerciales como condición para adquirir productos o servicios. El comerciante debe solicitar el consentimiento de marketing por separado tras finalizar la operación, por SMS, formato físico o electrónico. Se debe informar al usuario de forma explícita: compartir el código no es necesario para completar la compra; puede adquirir el producto o servicio sin facilitarlo; el consentimiento y las preferencias indicadas mediante el código se pueden modificar en cualquier momento.
4. Sanciones administrativas por incumplimiento
Los responsables del tratamiento que incumplan estas obligaciones se enfrentan a sanciones administrativas según el artículo 18 de la Ley de Protección de Datos Personales. Esta resolución resuelve denuncias existentes, confirma que esta práctica extendida en el sector es ilícita y aporta directrices para diseñar sistemas de cumplimiento futuros. Los responsables deben realizar periódicamente formación y concienciación a sus empleados, y revisar los mecanismos actuales de consentimiento e información para adaptarlos a la resolución.
