La Autoridad de Protección de Datos Personales de Turquía (KVKK) publicó el 21 de julio de 2026 el Anuncio sobre el uso de datos personales obtenidos de terceros con fines publicitarios y de marketing. Se aclara que las empresas no pueden considerar que cuentan con base legal para tratar datos personales y realizar marketing solo por una “recomendación de amigo” o “recomendación de cliente”.
1. La obtención de datos de terceros no constituye por sí sola una base lícita de tratamiento
La KVKK indica en el anuncio que muchas empresas obtienen números de teléfono, correos electrónicos y otros datos de contacto de terceros (clientes actuales, socios comerciales, etc.) mediante recomendaciones o programas de embajadores de marca, para usarlos directamente en llamadas y mensajes SMS de marketing sin informar al titular de los datos ni obtener su consentimiento. La autoridad establece que el simple hecho de haber obtenido los datos de un tercero no constituye una base lícita para su uso en publicidad o marketing.
Muchas empresas aplican la lógica: “si un amigo entregó el número, la persona no se opondrá a ser contactada”. La KVKK rechaza explícitamente este razonamiento. Los responsables del tratamiento deben demostrar la licitud de sus operaciones apoyándose en al menos una de las bases legales establecidas en el artículo 5 de la Ley de Protección de Datos Personales n.º 6698. La pregunta correcta no es “¿tenemos consentimiento?”, sino “¿en qué base legal se apoya esta campaña de marketing y podemos demostrar esta evaluación por escrito?”.
2. El silencio no equivale al consentimiento
La autoridad niega el consentimiento tácito. Que el titular de los datos siga escuchando una llamada comercial, no cuelgue, formule preguntas o no responda con el mensaje “STOP” no constituye un consentimiento explícito válido. El consentimiento explícito debe ser una declaración afirmativa, libre y bien informada para un fin concreto.
Esta disposición pone fin a la lógica tradicional de los centros de llamadas: “si no se opone, consiente”. Las empresas ya no pueden interpretar la inacción del consumidor como una autorización.
3. La obligación de información y la obtención del consentimiento son requisitos legales independientes
Los responsables del tratamiento deben cumplir primero la obligación de información y, cuando sea necesario, obtener el consentimiento explícito del titular mediante una declaración de voluntad separada. Si los datos no se obtienen directamente del titular, la obligación de información debe cumplirse en el primer contacto o primera transmisión. El incumplimiento puede dar lugar a sanciones administrativas según el artículo 18 de la Ley de Protección de Datos Personales.
La información y el consentimiento son dos pasos independientes y no pueden confundirse. Al contactar por primera vez con clientes potenciales, la empresa debe realizar la comunicación de privacidad antes o en el momento del primer contacto, indicando el origen de los datos, los fines del tratamiento y los derechos del titular. Si se requiere consentimiento explícito como base legal, se debe recoger una declaración de consentimiento separada después de informar.
