土耳其个人数据保护局（KVKK）于2026年7月21日发布《关于将从第三方获取的个人数据用于广告和营销目的的公告》，明确企业不能仅凭"朋友推荐"或"客户推荐"即认为获得了处理个人数据的合法依据并以此进行营销。
一、从第三方获取数据本身不构成合法处理依据
KVKK在公告中指出，企业通过推荐、客户推荐或品牌大使计划等方式从第三方（如现有客户、商业伙伴等）获取电话号码、电子邮件等联系方式后，直接用于营销电话和短信，而未向数据主体提供告知或获取其同意。委员会明确指出：数据是从第三方获取的这一事实本身，并不能构成将其用于广告或营销的合法依据。
许多企业的营销逻辑是"既然朋友给了号码，就说明对方不介意被联系"。KVKK明确否定了这一逻辑。数据控制者必须在具体情况下依据《个人数据保护法》第6698号第5条所规定的至少一项合法处理依据来证明其处理行为的合法性。正确的问法不是"我们有没有获得同意"，而是"这次营销活动依赖哪一条法律依据，我们能否以书面形式证明这一评估"。
二、沉默不等于同意
委员会明确否定了默示同意。数据主体在营销通话中继续倾听、没有挂断、提出问题，或未回复"STOP"短信，均不构成有效的明确同意。明确同意必须是针对特定事项的、基于充分信息的、自由作出的肯定性声明。
这一规定彻底终结了呼叫中心长期依赖的"他们没有反对，所以同意了"的逻辑。企业不能再将消费者的不作为解读为授权。
三、告知义务与获取同意是分离的法律要求
数据控制者必须首先履行告知义务，并在需要时通过单独的意愿声明获取数据主体的明确同意。如数据非直接从数据主体处获取，告知义务须在首次联系时或首次传输时完成。违反上述要求可能面临《个人数据保护法》第18条规定的行政处罚。
告知和同意是两个独立步骤，不能混为一谈。企业在首次联系潜在客户时，必须在此之前或当时完成隐私告知，告知数据来源、处理目的及数据主体的权利等信息。如果处理活动需要明确同意作为依据，则必须在告知之后另行获取一份单独的同意声明。
