I. Introducción
La Decisión del Consejo de Protección de Datos Personales de Turquía, de 22 de julio de 2026 y n.º 2026/1491, fue publicada en el Boletín Oficial de 13 de agosto de 2026, n.º 33339. La Decisión prorroga hasta el 28 de febrero de 2027 el plazo de cumplimiento relativo a la verificación del uso de tarjetas de fidelización por terceros.
El plazo prorrogado había sido establecido mediante la Decisión de Principio del Consejo de 11 de febrero de 2026, n.º 2026/266. Publicada en el Boletín Oficial de 28 de febrero de 2026, n.º 33182, la Decisión de Principio exige poner fin a las prácticas que permiten a un tercero utilizar, durante una compra y sin verificación, el número de teléfono móvil o el número de tarjeta de fidelización del titular. Los responsables del tratamiento deben establecer mecanismos adecuados para verificar que la operación se realiza con el conocimiento y el consentimiento del titular.
La Decisión de Principio concedió a los responsables del tratamiento un plazo de seis meses, contado desde su publicación en el Boletín Oficial, para implantar estos mecanismos; dicho plazo debía concluir el 28 de agosto de 2026. Tras las solicitudes formuladas por el sector, la Decisión n.º 2026/1491 prorrogó únicamente la fecha de finalización del plazo de cumplimiento hasta el 28 de febrero de 2027. La valoración jurídica, el objetivo de verificación y las medidas técnicas y administrativas previstas en la Decisión de Principio permanecen inalterados.
II. Alcance y fundamento jurídico de la Decisión de Principio
Operaciones sujetas a verificación
La Decisión de Principio n.º 2026/266 aborda la práctica por la que un tercero facilita al personal de caja el número de teléfono móvil o el número de tarjeta de fidelización del titular y la compra se asocia a la cuenta de este último sin su intervención. El Consejo constató que este método se utilizaba para beneficiarse de descuentos y promociones o acumular puntos, y que la información de la compra —y, en algunos casos, una factura— podía atribuirse al titular de la tarjeta. Registrar en una cuenta de cliente una operación que el titular no realizó ni conocía resulta incompatible con el principio conforme al cual los datos personales deben ser exactos y, cuando sea necesario, estar actualizados.
El Consejo consideró que el tratamiento realizado de esta forma no podía ampararse en ninguno de los supuestos de licitud previstos en el artículo 5 de la Ley n.º 6698 de Protección de Datos Personales. La inclusión en el contrato de adhesión al programa de fidelización de una cláusula que prohíba el uso de la tarjeta por terceros no exime al responsable del tratamiento de sus obligaciones de seguridad de los datos conforme al artículo 12. Por tanto, atribuir toda la responsabilidad al titular de la tarjeta no puede sustituir a un mecanismo de verificación.
Operaciones comprendidas en la verificación
La obligación de verificación establecida en la Decisión de Principio no se limita al canje de los puntos acumulados. Se aplica cuando la tarjeta de fidelización se utiliza con distintos fines durante una compra, incluida la creación de una cuenta de miembro, la acumulación de puntos y el acceso a descuentos o promociones. En cada una de estas operaciones debe verificarse si la actuación se llevó a cabo con el conocimiento y el consentimiento del titular.
No es necesario utilizar el mismo método de verificación para todos los tipos de operación. Los responsables del tratamiento pueden seleccionar mecanismos distintos para verificar la adhesión al programa, la obtención de puntos o descuentos y el canje de puntos, atendiendo a la naturaleza y al riesgo de cada operación. El trabajo de cumplimiento debería comenzar por identificar las operaciones y los canales en los que se utiliza la tarjeta de fidelización y, a continuación, asignar a cada uno de ellos un método de verificación adecuado.
III. Diseño del mecanismo de verificación
Métodos alternativos y proporcionales al riesgo
La Decisión de Principio no impone un único método técnico. Los códigos de un solo uso enviados por SMS, los códigos de barras o QR facilitados mediante una aplicación móvil y otras herramientas similares se mencionan como ejemplos habituales de verificación. Los responsables del tratamiento pueden ofrecer métodos alternativos que tengan en cuenta diferencias de edad, nivel educativo, circunstancias económicas y conocimientos tecnológicos. Asimismo, pueden establecer controles distintos para verificar la adhesión al programa, la acumulación de puntos, el acceso a descuentos y el canje de puntos, en proporción al riesgo correspondiente.
Los métodos elegidos deben establecer una trazabilidad que permita demostrar que una compra determinada se realizó con el conocimiento y la aprobación del titular. Si el programa puede utilizarse en una caja física, a través de un sitio web o una aplicación móvil, por medio de un centro de atención telefónica o mediante otro canal, cada flujo operativo expuesto al uso por terceros debe comprobarse en función del mismo objetivo de control. Una verificación sólida en un canal no subsana el uso no autorizado que pueda producirse a través de otro canal con salvaguardias más débiles.
Distinción entre la verificación de la operación y el consentimiento explícito
La expresión «con el conocimiento y el consentimiento del interesado», utilizada en la Decisión de Principio, se refiere a la verificación de si una operación en la que un tercero utiliza la tarjeta de fidelización o los datos de la cuenta se realizó con el conocimiento y la aprobación del titular. Por ello, debe informarse claramente al cliente de qué compra u operación de la cuenta está aprobando mediante el código u otro método de verificación.
La aprobación de una operación concreta por el titular no debe interpretarse como un consentimiento explícito general para otras actividades de tratamiento de datos personales desarrolladas en el marco del programa de fidelización. La verificación de la operación no sustituye al consentimiento explícito que deba obtenerse por separado para actividades de marketing, elaboración de perfiles, comunicaciones comerciales electrónicas u otras actividades de tratamiento que lo requieran. La Decisión de Principio del Consejo de 10 de junio de 2025, n.º 2025/1072 (Boletín Oficial de 26 de junio de 2025, n.º 32938), confirma igualmente que actuaciones jurídicamente distintas —como aprobar un contrato de adhesión, otorgar el consentimiento explícito y autorizar comunicaciones comerciales electrónicas— no deben agruparse bajo un único código de verificación por SMS, y exige que se explique al interesado la finalidad del código. Cada actuación debe gestionarse mediante una opción y un proceso de registro separados, acordes con su finalidad y sus propios requisitos jurídicos.
IV. Registros, contratos y medidas organizativas
Registros de verificación y asignación de responsabilidades
La posibilidad de explicar una verificación después de que se haya realizado es tan importante como el funcionamiento del propio mecanismo. El responsable del tratamiento debería establecer un sistema proporcionado de conservación de registros que permita conocer el canal, el momento y el tipo de operación, así como el método y el resultado de la verificación, junto con cualquier proceso de error o excepción aplicado. En lugar de conservar íntegramente el código de verificación o datos personales innecesarios para la operación, debería optarse por pruebas limitadas que permitan demostrar que el control se completó correctamente y qué regla determinó el resultado.
La Decisión de Principio n.º 2026/266 no prescribe un formato específico para los registros ni un plazo de conservación. El alcance y el periodo de conservación deberían determinarse atendiendo a la finalidad del tratamiento dentro del programa de fidelización, el riesgo de la operación, las necesidades de gestión de controversias y violaciones de seguridad y la política general de conservación y supresión del responsable. Los equipos jurídicos y de protección de datos deberían definir las condiciones de tratamiento aplicables y el estándar probatorio; los equipos tecnológicos deberían asumir la responsabilidad sobre los controles técnicos, y los equipos operativos, sobre los procedimientos de caja y atención al cliente.
Proveedores tecnológicos y auditoría
Conforme al artículo 12 de la Ley n.º 6698, cuando otra persona física o jurídica trata datos personales por cuenta del responsable del tratamiento, el responsable y el encargado del tratamiento responden conjuntamente de la adopción de las medidas necesarias. El uso de proveedores externos para la plataforma de fidelización, los servicios de mensajería, la aplicación móvil, el sistema de gestión de relaciones con clientes o la infraestructura del centro de atención telefónica no libera al minorista de sus obligaciones de control y auditoría.
Los contratos con proveedores deberían regular claramente las funciones dentro del flujo de verificación, los derechos de acceso, la gestión de cambios, la notificación de incidentes de seguridad, el uso de subencargados, la entrega de registros y los derechos de auditoría. Los compromisos de nivel de servicio del proveedor tecnológico deberían comprender no solo la disponibilidad del sistema, sino también los controles destinados a impedir que una verificación se atribuya a una cuenta incorrecta y las pruebas necesarias para corregir una operación errónea.
La formación periódica del personal de caja y atención al cliente constituye una medida administrativa independiente. El personal debería distinguir entre la finalidad de solicitar un código para verificar una operación y el procedimiento para obtener el consentimiento con fines de marketing. No debería introducir el código en nombre del cliente, tendría que utilizar el cauce de autorización definido para las solicitudes excepcionales y no debería completar una operación mediante otra cuenta cuando la verificación haya fallado.
V. Cumplimiento antes del 28 de febrero de 2027
La Decisión n.º 2026/1491 modifica únicamente la fecha de finalización del plazo de cumplimiento. La valoración jurídica, el objetivo de verificación y las medidas técnicas y administrativas establecidas en la Decisión de Principio n.º 2026/266 permanecen inalterados. No obstante, la prórroga no constituye una base para mantener indefinidamente el uso por terceros sin verificación. El periodo adicional debería utilizarse para diseñar, implantar y someter a pruebas demostrables los sistemas multicanal.
La primera fase debería identificar todos los canales, tipos de operación, flujos de datos y proveedores relacionados con el uso de la tarjeta de fidelización. El responsable debería determinar qué operaciones pueden completarse utilizando únicamente un número de teléfono o de tarjeta, qué registros se atribuyen a la cuenta del titular y quién autoriza las excepciones existentes. Este inventario debería orientar la decisión sobre si las actuaciones de mayor riesgo, como el canje de puntos o los cambios de cuenta, y los flujos de menor riesgo, como la acumulación de puntos, deben estar sujetos al mismo control.
En la fase siguiente deberían aprobarse las opciones de verificación, las alternativas accesibles y las comunicaciones dirigidas a los clientes. A continuación, deberían realizarse pruebas de extremo a extremo que abarquen las cajas físicas, el comercio electrónico, la aplicación móvil y los canales de asistencia. Las pruebas no deberían limitarse a las operaciones completadas correctamente, sino comprender también códigos incorrectos, caducidad, clientes sin acceso al dispositivo registrado, devoluciones, cancelaciones, correcciones de cuentas e interrupciones del servicio. Posteriormente, deberían completarse los contratos con proveedores, las instrucciones al personal, los procedimientos de gestión de incidentes y las pruebas de auditoría, de modo que el sistema de producción quede validado antes del 28 de febrero de 2027.
Los responsables del tratamiento que continúen aplicando prácticas contrarias a la Ley n.º 6698 sin adoptar las medidas previstas en la Decisión de Principio serán objeto de las actuaciones contempladas en el artículo 18. Esta vinculación con el régimen sancionador exige que el expediente de cumplimiento contenga algo más que documentos de política interna: debe demostrar la existencia de un control técnico operativo, registros de formación, resultados de pruebas y evidencias de auditoría.
VI. Valoración general
La obligación de verificar las tarjetas de fidelización es una medida de seguridad de los datos destinada a impedir que una compra realizada sin el conocimiento del titular se asocie a su historial de operaciones, su saldo de puntos o documentos emitidos a su nombre. El Consejo no exige una única herramienta de verificación y permite métodos alternativos para distintos grupos de personas y riesgos de operación. Sin embargo, no resulta suficiente mantener sin verificación un canal expuesto al uso por terceros ni intentar trasladar toda la responsabilidad al cliente mediante el contrato de adhesión.
El trabajo que debe completarse antes del 28 de febrero de 2027 debería separar la aprobación de las operaciones de los procesos de consentimiento explícito, comprobar todos los canales de uso, crear registros de verificación proporcionados, actualizar los contratos con los encargados del tratamiento y formar a los equipos operativos. Por tanto, el cumplimiento exige establecer una trazabilidad lícita y auditable en todo el programa de fidelización, y no limitarse a introducir una pantalla de código al final del plazo.
Esta traducción se ofrece únicamente con fines informativos y puede presentar diferencias respecto del texto original.
