I. Introducción
Los textos informativos sobre privacidad y las declaraciones de consentimiento explícito se integran con frecuencia en un único texto o casilla de verificación en registros de sitios web, aplicaciones móviles, formularios laborales, programas de fidelización, historiales de pacientes y procesos de marketing. El Consejo de Protección de Datos Personales de Turquía abordó las manifestaciones recurrentes de esta práctica en la Decisión de Principio n.º 2026/347, de 18 de febrero de 2026, publicada en el Boletín Oficial n.º 33203, de 24 de marzo de 2026.
La separación entre el deber de información y el consentimiento explícito no se introdujo en 2026. Desde 2018, el Comunicado sobre los Procedimientos y Principios para el Cumplimiento del Deber de Información exige procesos separados cuando el tratamiento se basa en el consentimiento. La Decisión del Consejo n.º 2018/90 también distinguió entre la constancia de que el texto informativo había sido leído y la prueba del consentimiento. La Decisión de Principio n.º 2026/347 consolida este enfoque en reglas concretas para formularios y pantallas y vincula expresamente el incumplimiento con los artículos 12 y 18 de la Ley n.º 6698 de Protección de Datos Personales.
II. Funciones jurídicas distintas del deber de información y del consentimiento explícito
La obligación de información prevista en el artículo 10 permite que el interesado conozca la identidad del responsable del tratamiento, las finalidades, las transferencias, el método y el fundamento jurídico de la recogida, así como sus derechos. Resulta aplicable tanto si el tratamiento se basa en el consentimiento como si se apoya en otra condición prevista por la ley. El responsable debe facilitar la información antes de iniciar el tratamiento, sin esperar una solicitud o aprobación.
El consentimiento explícito es una de las posibles condiciones jurídicas del tratamiento; no constituye una autorización general que deba recabarse para toda actividad. Para ser válido, debe referirse a una cuestión específica, otorgarse tras la debida información y prestarse libremente. Por ello, no debe utilizarse como una declaración omnicomprensiva destinada a aparentar la aprobación de tratamientos obligatorios que el responsable ya realiza con arreglo a otro fundamento jurídico.
Reunir ambos conceptos en una sola casilla vuelve ambiguo el sentido de la declaración. ¿La persona confirma que recibió la información o acepta una actividad opcional? Si un tratamiento innecesario se condiciona al registro obligatorio o a la aceptación de un contrato, también puede ponerse en duda la libertad del consentimiento. Una estructura adecuada identifica el fundamento jurídico correcto de cada actividad y reserva una manifestación afirmativa separada para aquellas que realmente dependen del consentimiento.
III. Efectos de la Decisión de Principio en los formularios y flujos digitales
La Decisión de Principio n.º 2026/347 exige que, cuando el tratamiento se base en el consentimiento, el texto informativo y el texto de consentimiento explícito se redacten por separado y bajo encabezados distintos. Ambos pueden figurar en la misma página o pantalla; sin embargo, incluso si se presentan consecutivamente, cada uno debe contar con su propio encabezado y con un mecanismo de declaración independiente. Una única casilla con la fórmula «He leído, comprendido y acepto» no satisface esta separación.
Cuando el tratamiento se apoye en otra condición prevista en la Ley, no debe presentarse al interesado un texto de consentimiento adicional. Los datos necesarios para formalizar o ejecutar un pedido, por ejemplo, no tienen necesariamente el mismo fundamento jurídico que una comunicación comercial opcional. El tratamiento necesario debe explicarse en el texto informativo. Si el marketing se basa verdaderamente en el consentimiento explícito, esa finalidad requiere una declaración propia, específica y opcional. Añadir una casilla de consentimiento en cada punto de recogida puede ocultar, en lugar de reforzar, el análisis de los fundamentos jurídicos efectuado por el responsable.
Cualquier manifestación solicitada en relación con un texto informativo también debe denominarse correctamente. El responsable puede dejar constancia de que el texto fue leído y la información recibida, pero no debe pedir al interesado que «apruebe» el texto informativo o que «consienta» sus explicaciones. Los campos de firma en papel y los botones o casillas en interfaces digitales deben reflejar esta distinción. La prueba de que la información fue facilitada y la declaración afirmativa de consentimiento deben permanecer separadas tanto en el itinerario visible del usuario como en los registros subyacentes.
La Decisión de Principio también identifica como riesgo el uso, sin adaptación, del texto de otro responsable. La redacción debe corresponder a la organización del responsable, las categorías de datos, las finalidades, los fundamentos jurídicos y las transferencias. Las referencias legales vagas, las afirmaciones que sugieren una transferencia inexistente o una política concebida como cobertura de toda actividad no proporcionan información exacta y específica para cada tratamiento. La claridad y la sencillez exigen limitar la información jurídicamente necesaria a la actividad pertinente y expresarla de forma comprensible.
IV. Registros, prueba y arquitectura de cumplimiento
La revisión de formularios y pantallas debe comenzar por el flujo de datos subyacente, no por un cambio aislado de encabezados. El responsable ha de identificar los datos recogidos en cada punto, la condición jurídica que ampara cada finalidad, los destinatarios y finalidades de las transferencias y los sistemas pertinentes. Sin este mapa, los textos pueden parecer separados y, aun así, seguir siendo incoherentes con las operaciones. Los procesos de selección, atención al cliente, marketing y producto no deben condensarse automáticamente en un único documento general.
Los textos informativos por capas pueden ser útiles en interfaces móviles, siempre que la información esencial sea visible en la primera capa y se pueda acceder fácilmente al resto. Sin embargo, remitir al usuario únicamente a una política de privacidad general no sustituye necesariamente un texto informativo adaptado a la actividad concreta. La información debe estar disponible en el punto de recogida, y el enlace, la ventana emergente, el anexo en papel u otro medio elegido no deben dificultar el acceso.
Corresponde al responsable demostrar que facilitó la información y que todo consentimiento explícito fue válidamente obtenido. Por tanto, la versión del texto, la fecha y el canal de presentación, así como el alcance de cada consentimiento, deben poder rastrearse en registros separados. Los sistemas digitales no deben reducir dos actos jurídicos a un único registro por el mero hecho de compartir una marca temporal. Del mismo modo, los procesos en papel deben distinguir entre el acuse o la constancia de recepción de la información y la declaración de consentimiento. Los medios probatorios deben ser proporcionados y no generar datos personales adicionales innecesarios.
La retirada del consentimiento también debe materializarse en las operaciones y no limitarse a una frase en el texto. La retirada ha de llegar al sistema pertinente para que el tratamiento futuro basado en ese consentimiento cese desde el momento en que se reciba la declaración. El tratamiento amparado por otro fundamento jurídico o por un deber legal de conservación requiere un análisis separado. Una redacción correcta del formulario no logrará el cumplimiento operativo si las plataformas de marketing, los sistemas de gestión de relaciones con clientes, las herramientas de recursos humanos y los proveedores de servicios no pueden aplicar la distinción.
V. Aplicaciones sectoriales y empresas extranjeras
En el comercio electrónico y los servicios digitales, la creación de cuentas, la ejecución de pedidos, el pago, la entrega y los controles de seguridad necesarios no deben agruparse con el marketing o la elaboración de perfiles opcionales bajo un único mecanismo de aprobación. La información relativa al tratamiento necesario y la declaración opcional para una finalidad basada en el consentimiento deben diseñarse como etapas distintas. La negativa a consentir no debe impedir por sí sola el acceso a un servicio principal que no dependa de ese consentimiento.
Los programas de fidelización y los formularios del comercio minorista suelen utilizar un número de teléfono o un identificador de miembro para varias finalidades, entre ellas descuentos, administración de cuentas, analítica y comunicaciones comerciales. Un consentimiento único y amplio obtenido sin evaluar el fundamento jurídico de cada finalidad puede menoscabar la exigencia de especificidad. La pantalla breve dirigida al cliente y los sistemas subyacentes de gestión de relaciones con clientes y marketing deben preservar la misma diferenciación por finalidades.
En los procesos de selección y empleo, la firma que confirma la lectura de un texto informativo no debe integrarse en la misma declaración que el consentimiento solicitado a un empleado o candidato. Los procesos sanitarios y relativos a pacientes requieren especial cautela por la naturaleza de los datos, los requisitos de acceso y las condiciones de tratamiento aplicables. Reproducir un formulario estándar en todos estos contextos puede ocultar diferencias jurídicamente relevantes entre categorías de datos y finalidades.
Para los grupos extranjeros que operan en Turquía, una plantilla global o concebida conforme al RGPD puede no ser suficiente si se traduce sin un análisis adicional. Deben evaluarse conjuntamente la identidad del responsable turco, los flujos de datos locales e intragrupo, la estructura real de las transferencias, la condición de tratamiento utilizada conforme a la KVKK y el itinerario del usuario en turco. Una contradicción entre la política del grupo y el formulario local puede afectar tanto a la exactitud de la información como al alcance del consentimiento. Es más fiable tratar el flujo turco como una exigencia jurídica y de producto diferenciada dentro del sistema global que reducir el cumplimiento a un ejercicio de traducción.
VI. Valoración general
El Consejo considera que los requisitos enumerados en la Decisión de Principio n.º 2026/347 constituyen medidas administrativas y técnicas que deben adoptarse con arreglo al artículo 12, apartado 1, para garantizar el tratamiento lícito de los datos personales. Asimismo, señala que el incumplimiento puede dar lugar a actuaciones en virtud del artículo 18. Por tanto, la cuestión trasciende el diseño de formularios o las preferencias de redacción.
Mostrar dos encabezados es necesario cuando se utiliza el consentimiento, pero no basta por sí solo. La separación formal no produce un cumplimiento efectivo si las finalidades, las categorías de datos y los fundamentos jurídicos se han determinado incorrectamente, si las elecciones del usuario no repercuten en los sistemas internos o si la retirada no puede ejecutarse. Los equipos jurídicos, de producto, recursos humanos, marketing, tecnologías de la información y operaciones deben trabajar a partir de una misma descripción del flujo de datos.
Tras la Decisión de Principio n.º 2026/347, la prioridad no consiste en añadir nuevas casillas de consentimiento a todos los formularios existentes. Consiste en confirmar qué actividades dependen realmente del consentimiento explícito y alinear con esa distinción el texto informativo, la manifestación afirmativa, el registro probatorio y el funcionamiento de los sistemas.
Esta traducción se ofrece únicamente con fines informativos y puede presentar diferencias respecto del texto original.
