Управление по защите персональных данных Турции (KVKK) приняло принципиальное решение №2025/1072 10 июня 2025 года, оно официально опубликовано в Официальном вестнике №32938 26 июня 2025 года. Решение прямо запрещает продавцам косвенно получать маркетинговое согласие пользователей через СМС-коды проверки при оплате, регистрации, оформлении членства и других операциях. Требуется отдельное явное согласие на каждый вид обработки персональных данных, запрещено объединять процедуру ввода проверочного кода с разрешением на маркетинг.
1. Запрет на получение нескольких согласий через один СМС-код проверки
В решении указано, что объединение разных операций обработки данных (подтверждение договора членства, разрешение на обработку персональных данных, согласие на получение коммерческих электронных сообщений) в одно действие через СМС-код является незаконным и должно быть немедленно прекращено.
На практике многие розничные продавцы запрашивают номер мобильного телефона и ввод СМС-кода при оплате, утверждая, что это обязательное условие для завершения покупки или выставления счета-фактуры. Покупатель, не зная об этом, при вводе кода фактически даёт согласие на последующую рассылку маркетинговых СМС. Новое правило прямо запрещает такую практику «один код для нескольких целей». Продавцы должны создавать независимые опции согласия для исполнения договора, обработки данных и коммерческого маркетинга.
2. Чёткое информирование о реальном назначении и последствиях СМС-кодов проверки
Уполномоченные лица контролёра данных должны понятно и ясно объяснить субъекту данных цель СМС-сообщения, отправленного на его мобильный телефон, а также последствия передачи проверочного кода. Продавцам запрещено вводить потребителей в заблуждение, представляя СМС-код как «обязательный этап транзакции». В самом СМС с кодом должны быть указаны контактные каналы для получения информации. Если код используется только для проверки операции, продавец обязан прямо сообщить об этом пользователю; маркетинговое согласие нельзя маскировать как часть процесса покупки.
3. Согласие на маркетинг не может быть обязательным условием получения товаров или услуг
Субъект данных не может быть вынужден дать согласие на получение коммерческих электронных сообщений для того, чтобы получить товар или услугу. Продавец должен отдельно запросить маркетинговое согласие уже после завершения сделки — через СМС, бумажные или электронные формы. Пользователю нужно чётко сообщить: передача кода не требуется для завершения покупки; товар или услугу можно получить и без передачи кода; согласие и предпочтения, переданные через код, можно изменить в любое время.
4. Административные штрафы при нарушении обязательств
Контролёры данных, нарушающие данные требования, несут административную ответственность согласно статье 18 Закона о защите персональных данных. Данное решение разбирает поступившие жалобы, подтверждает незаконность этой распространённой отраслевой практики и даёт рекомендации по проектированию будущих систем соответствия. Контролёры должны регулярно проводить обучение и повышать осведомлённость персонала, а также пересмотреть действующие механизмы получения согласия и информирования для соответствия требованиям решения.
