L’Autorité turque de protection des données personnelles (KVKK) a adopté la résolution de principe n°2025/1072 le 10 juin 2025, publiée au Journal officiel n°32938 le 26 juin 2025. Cette résolution interdit formellement aux commerçants d’obtenir indirectement le consentement marketing des utilisateurs par le biais de codes de vérification SMS lors des étapes de paiement, d’inscription ou de création de compte membre. Elle impose un consentement distinct et explicite pour chaque traitement de données et interdit de lier l’étape du code de vérification à l’autorisation marketing.
1. Interdiction de regrouper plusieurs consentements via le code de vérification SMS
La résolution précise que regrouper différents traitements de données (validation du contrat d’adhésion, autorisation du traitement des données personnelles, consentement à recevoir des communications électroniques commerciales) en une seule action via un code SMS est illégal et doit être arrêté immédiatement.
Dans la pratique, de nombreux commerces de détail demandent le numéro de mobile et la saisie d’un code SMS au moment du paiement, en affirmant que c’est indispensable pour finaliser la transaction ou éditer une facture. Sans que le client ne le sache, sa saisie du code vaut consentement à recevoir des SMS marketing ultérieurs. La nouvelle règle interdit explicitement cette pratique « un code, plusieurs finalités ». Les commerçants doivent mettre en place des options de consentement indépendantes pour l’exécution du contrat, le traitement des données et le marketing commercial.
2. Communication claire sur la finalité réelle et les conséquences des codes SMS
Le personnel habilité du responsable de traitement doit expliquer clairement et simplement à la personne concernée l’objet du SMS envoyé sur son téléphone et les conséquences liées à la communication du code. Les commerçants ne peuvent pas tromper les consommateurs en présentant le code de vérification comme une « étape obligatoire de la transaction ». Le SMS de vérification doit contenir des canaux d’information suffisants. Si le code sert uniquement à vérifier la transaction, le commerçant doit l’indiquer clairement ; le consentement marketing ne peut pas être camouflé dans le processus d’achat.
3. Le consentement marketing ne peut pas être une condition d’accès aux biens ou services
La personne concernée ne peut pas être contrainte d’accepter les communications électroniques commerciales pour bénéficier d’un produit ou service. Le commerçant doit solliciter le consentement marketing séparément après la transaction, par SMS, support papier ou électronique. L’utilisateur doit être informé explicitement : transmettre le code n’est pas obligatoire pour acheter ; le produit ou service reste accessible sans code ; le consentement et les préférences saisis via le code peuvent être modifiés à tout moment.
4. Sanctions administratives en cas de manquement
Les responsables de traitement qui ne respectent pas ces obligations encourent des sanctions administratives conformément à l’article 18 de la loi sur la protection des données personnelles. Cette résolution traite les plaintes existantes, confirme que cette pratique répandue dans le secteur est illégale et donne des orientations pour concevoir les futurs systèmes de conformité. Les responsables doivent organiser régulièrement des formations et actions de sensibilisation pour leurs salariés, et auditer les mécanismes actuels de consentement et d’information pour se conformer à la résolution.
