Турецкое управление по защите персональных данных (KVKK) опубликовало 21 июля 2026 года Уведомление об использовании персональных данных, полученных от третьих лиц, в рекламных и маркетинговых целях. В документе разъясняется, что компании не могут считать, что у них есть законное основание для обработки персональных данных и проведения маркетинга только на основании «рекомендации друга» или «рекомендации клиента».
1. Получение данных от третьих лиц само по себе не является законным основанием
KVKK отмечает в уведомлении, что многие компании получают номера телефонов, адреса электронной почты и другие контактные данные от третьих лиц (действующих клиентов, деловых партнёров и т.д.) через рекомендации или программы бренд-амбассадоров, после чего используют их напрямую для маркетинговых звонков и SMS без уведомления субъектов данных и получения их согласия. Ведомство подчёркивает, что сам факт получения данных от третьей стороны не является законным основанием для рекламы и маркетинга.
Многие компании придерживались логики: «Если друг передал номер, значит человек не против контакта». KVKK прямо отвергает такой подход. Контролёры данных должны доказать законность обработки, опираясь как минимум на одно законное основание из статьи 5 Закона №6698 о защите персональных данных. Правильный вопрос не «получили ли мы согласие?», а «на каком правовом основании строится эта маркетинговая кампания и можем ли мы письменно подтвердить эту оценку?».
2. Молчание не равняется согласию
Ведомство отвергает подразумеваемое согласие. Если субъект данных слушает маркетинговый звонок, не вешает трубку, задаёт вопросы или не отправляет ответное SMS «STOP», это не является действительным явным согласием. Явное согласие должно быть добровольным, информированным положительным заявлением по конкретному вопросу.
Это положение прекращает старую логику колл-центров: «если не возражает — значит согласен». Компании больше не могут трактовать бездействие потребителя как разрешение.
3. Обязанность информирования и получение согласия — отдельные юридические требования
Контролёры данных сначала должны выполнить обязанность по информированию, а при необходимости получить явное согласие субъекта данных отдельным волеизъявлением. Если данные получены не напрямую от субъекта, информирование должно быть сделано при первом контакте или первой передаче данных. Нарушение влечёт административные штрафы согласно статье 18 Закона о защите персональных данных.
Информирование и согласие — два независимых шага, их нельзя объединять. При первом обращении к потенциальному клиенту компания должна предоставить информацию о конфиденциальности до или во время первого контакта, указав источник данных, цели обработки и права субъекта данных. Если для обработки требуется явное согласие как правовое основание, отдельное заявление о согласии собирают уже после информирования.
