L’Autorité turque de protection des données personnelles (KVKK) a publié le 21 juillet 2026 l’Avis relatif à l’utilisation des données personnelles obtenues auprès de tiers à des fins publicitaires et marketing. Il précise que les entreprises ne peuvent pas considérer disposer d’une base légale pour traiter des données personnelles et mener des campagnes marketing uniquement sur le fondement d’une « recommandation d’ami » ou « recommandation client ».
1. L’obtention des données auprès de tiers ne constitue pas en soi une base légale valable
La KVKK indique dans l’avis que de nombreuses entreprises récupèrent des numéros de téléphone, adresses e-mail et autres coordonnées auprès de tiers (clients existants, partenaires commerciaux…) par le biais de recommandations ou de programmes d’ambassadeurs de marque, puis les utilisent directement pour des appels et SMS marketing sans informer les personnes concernées ni recueillir leur consentement. L’autorité précise que le simple fait que les données proviennent d’un tiers ne constitue pas une base légale pour une utilisation publicitaire ou marketing.
De nombreuses entreprises raisonnaient ainsi : « Si un ami a transmis le numéro, la personne accepte d’être contactée ». La KVKK rejette explicitement cette logique. Les responsables de traitement doivent prouver la licéité du traitement en s’appuyant sur au moins une base légale prévue à l’article 5 de la loi n°6698 sur la protection des données personnelles. La bonne question n’est pas « Avons-nous obtenu un consentement ? », mais « Sur quelle base juridique repose cette campagne marketing et pouvons-nous conserver une preuve écrite de cette évaluation ? ».
2. Le silence ne vaut pas consentement
L’autorité exclut le consentement implicite. Le fait pour la personne concernée d’écouter l’appel marketing, de ne pas raccrocher, de poser des questions ou de ne pas répondre par un SMS « STOP » ne constitue pas un consentement explicite valable. Le consentement explicite doit être une déclaration affirmative, libre et éclairée pour un objectif précis.
Cette règle met fin à la logique longtemps utilisée par les centres d’appels : « pas d’opposition = consentement ». Les entreprises ne peuvent plus interpréter l’inaction du consommateur comme une autorisation.
3. L’obligation d’information et le recueil du consentement sont deux obligations juridiques distinctes
Les responsables de traitement doivent d’abord respecter l’obligation d’information et, si nécessaire, recueillir le consentement explicite de la personne concernée par une déclaration de volonté séparée. Si les données ne sont pas collectées directement auprès de la personne, l’information doit être communiquée au premier contact ou à la première transmission. Le non-respect peut entraîner des sanctions administratives conformément à l’article 18 de la loi sur la protection des données personnelles.
L’information et le consentement sont deux étapes indépendantes et ne peuvent pas être mélangés. Lors du premier contact avec un prospect, l’entreprise doit fournir les informations relatives à la protection des données avant ou au moment du contact, en indiquant la source des données, les finalités du traitement et les droits de la personne. Si le consentement explicite est requis comme base légale, une déclaration de consentement distincte doit être collectée après l’information.
