La Decisi\u00f3n del Consejo de Protecci\u00f3n de Datos Personales de Turqu\u00eda, de 22 de julio de 2026 y n.\u00ba 2026\/1491, fue publicada en el Bolet\u00edn Oficial de 13 de agosto de 2026, n.\u00ba 33339<\/a>. La Decisi\u00f3n prorroga hasta el 28 de febrero de 2027 el plazo de cumplimiento relativo a la verificaci\u00f3n del uso de tarjetas de fidelizaci\u00f3n por terceros.<\/p>\n El plazo prorrogado hab\u00eda sido establecido mediante la Decisi\u00f3n de Principio<\/a> del Consejo de 11 de febrero de 2026, n.\u00ba 2026\/266. Publicada en el Bolet\u00edn Oficial de 28 de febrero de 2026, n.\u00ba 33182, la Decisi\u00f3n de Principio exige poner fin a las pr\u00e1cticas que permiten a un tercero utilizar, durante una compra y sin verificaci\u00f3n, el n\u00famero de tel\u00e9fono m\u00f3vil o el n\u00famero de tarjeta de fidelizaci\u00f3n del titular. Los responsables del tratamiento deben establecer mecanismos adecuados para verificar que la operaci\u00f3n se realiza con el conocimiento y el consentimiento del titular.<\/p>\n La Decisi\u00f3n de Principio concedi\u00f3 a los responsables del tratamiento un plazo de seis meses, contado desde su publicaci\u00f3n en el Bolet\u00edn Oficial, para implantar estos mecanismos; dicho plazo deb\u00eda concluir el 28 de agosto de 2026. Tras las solicitudes formuladas por el sector, la Decisi\u00f3n n.\u00ba 2026\/1491 prorrog\u00f3 \u00fanicamente la fecha de finalizaci\u00f3n del plazo de cumplimiento hasta el 28 de febrero de 2027. La valoraci\u00f3n jur\u00eddica, el objetivo de verificaci\u00f3n y las medidas t\u00e9cnicas y administrativas previstas en la Decisi\u00f3n de Principio permanecen inalterados.<\/p>\n La Decisi\u00f3n de Principio n.\u00ba 2026\/266 aborda la pr\u00e1ctica por la que un tercero facilita al personal de caja el n\u00famero de tel\u00e9fono m\u00f3vil o el n\u00famero de tarjeta de fidelizaci\u00f3n del titular y la compra se asocia a la cuenta de este \u00faltimo sin su intervenci\u00f3n. El Consejo constat\u00f3 que este m\u00e9todo se utilizaba para beneficiarse de descuentos y promociones o acumular puntos, y que la informaci\u00f3n de la compra \u2014y, en algunos casos, una factura\u2014 pod\u00eda atribuirse al titular de la tarjeta. Registrar en una cuenta de cliente una operaci\u00f3n que el titular no realiz\u00f3 ni conoc\u00eda resulta incompatible con el principio conforme al cual los datos personales deben ser exactos y, cuando sea necesario, estar actualizados.<\/p>\n El Consejo consider\u00f3 que el tratamiento realizado de esta forma no pod\u00eda ampararse en ninguno de los supuestos de licitud previstos en el art\u00edculo 5 de la Ley n.\u00ba 6698 de Protecci\u00f3n de Datos Personales. La inclusi\u00f3n en el contrato de adhesi\u00f3n al programa de fidelizaci\u00f3n de una cl\u00e1usula que proh\u00edba el uso de la tarjeta por terceros no exime al responsable del tratamiento de sus obligaciones de seguridad de los datos conforme al art\u00edculo 12. Por tanto, atribuir toda la responsabilidad al titular de la tarjeta no puede sustituir a un mecanismo de verificaci\u00f3n.<\/p>\n La obligaci\u00f3n de verificaci\u00f3n establecida en la Decisi\u00f3n de Principio no se limita al canje de los puntos acumulados. Se aplica cuando la tarjeta de fidelizaci\u00f3n se utiliza con distintos fines durante una compra, incluida la creaci\u00f3n de una cuenta de miembro, la acumulaci\u00f3n de puntos y el acceso a descuentos o promociones. En cada una de estas operaciones debe verificarse si la actuaci\u00f3n se llev\u00f3 a cabo con el conocimiento y el consentimiento del titular.<\/p>\n No es necesario utilizar el mismo m\u00e9todo de verificaci\u00f3n para todos los tipos de operaci\u00f3n. Los responsables del tratamiento pueden seleccionar mecanismos distintos para verificar la adhesi\u00f3n al programa, la obtenci\u00f3n de puntos o descuentos y el canje de puntos, atendiendo a la naturaleza y al riesgo de cada operaci\u00f3n. El trabajo de cumplimiento deber\u00eda comenzar por identificar las operaciones y los canales en los que se utiliza la tarjeta de fidelizaci\u00f3n y, a continuaci\u00f3n, asignar a cada uno de ellos un m\u00e9todo de verificaci\u00f3n adecuado.<\/p>\n La Decisi\u00f3n de Principio no impone un \u00fanico m\u00e9todo t\u00e9cnico. Los c\u00f3digos de un solo uso enviados por SMS, los c\u00f3digos de barras o QR facilitados mediante una aplicaci\u00f3n m\u00f3vil y otras herramientas similares se mencionan como ejemplos habituales de verificaci\u00f3n. Los responsables del tratamiento pueden ofrecer m\u00e9todos alternativos que tengan en cuenta diferencias de edad, nivel educativo, circunstancias econ\u00f3micas y conocimientos tecnol\u00f3gicos. Asimismo, pueden establecer controles distintos para verificar la adhesi\u00f3n al programa, la acumulaci\u00f3n de puntos, el acceso a descuentos y el canje de puntos, en proporci\u00f3n al riesgo correspondiente.<\/p>\n Los m\u00e9todos elegidos deben establecer una trazabilidad que permita demostrar que una compra determinada se realiz\u00f3 con el conocimiento y la aprobaci\u00f3n del titular. Si el programa puede utilizarse en una caja f\u00edsica, a trav\u00e9s de un sitio web o una aplicaci\u00f3n m\u00f3vil, por medio de un centro de atenci\u00f3n telef\u00f3nica o mediante otro canal, cada flujo operativo expuesto al uso por terceros debe comprobarse en funci\u00f3n del mismo objetivo de control. Una verificaci\u00f3n s\u00f3lida en un canal no subsana el uso no autorizado que pueda producirse a trav\u00e9s de otro canal con salvaguardias m\u00e1s d\u00e9biles.<\/p>\n La expresi\u00f3n \u00abcon el conocimiento y el consentimiento del interesado\u00bb, utilizada en la Decisi\u00f3n de Principio, se refiere a la verificaci\u00f3n de si una operaci\u00f3n en la que un tercero utiliza la tarjeta de fidelizaci\u00f3n o los datos de la cuenta se realiz\u00f3 con el conocimiento y la aprobaci\u00f3n del titular. Por ello, debe informarse claramente al cliente de qu\u00e9 compra u operaci\u00f3n de la cuenta est\u00e1 aprobando mediante el c\u00f3digo u otro m\u00e9todo de verificaci\u00f3n.<\/p>\n La aprobaci\u00f3n de una operaci\u00f3n concreta por el titular no debe interpretarse como un consentimiento expl\u00edcito general para otras actividades de tratamiento de datos personales desarrolladas en el marco del programa de fidelizaci\u00f3n. La verificaci\u00f3n de la operaci\u00f3n no sustituye al consentimiento expl\u00edcito que deba obtenerse por separado para actividades de marketing, elaboraci\u00f3n de perfiles, comunicaciones comerciales electr\u00f3nicas u otras actividades de tratamiento que lo requieran. La Decisi\u00f3n de Principio<\/a> del Consejo de 10 de junio de 2025, n.\u00ba 2025\/1072 (Bolet\u00edn Oficial de 26 de junio de 2025, n.\u00ba 32938), confirma igualmente que actuaciones jur\u00eddicamente distintas \u2014como aprobar un contrato de adhesi\u00f3n, otorgar el consentimiento expl\u00edcito y autorizar comunicaciones comerciales electr\u00f3nicas\u2014 no deben agruparse bajo un \u00fanico c\u00f3digo de verificaci\u00f3n por SMS, y exige que se explique al interesado la finalidad del c\u00f3digo. Cada actuaci\u00f3n debe gestionarse mediante una opci\u00f3n y un proceso de registro separados, acordes con su finalidad y sus propios requisitos jur\u00eddicos.<\/p>\n La posibilidad de explicar una verificaci\u00f3n despu\u00e9s de que se haya realizado es tan importante como el funcionamiento del propio mecanismo. El responsable del tratamiento deber\u00eda establecer un sistema proporcionado de conservaci\u00f3n de registros que permita conocer el canal, el momento y el tipo de operaci\u00f3n, as\u00ed como el m\u00e9todo y el resultado de la verificaci\u00f3n, junto con cualquier proceso de error o excepci\u00f3n aplicado. En lugar de conservar \u00edntegramente el c\u00f3digo de verificaci\u00f3n o datos personales innecesarios para la operaci\u00f3n, deber\u00eda optarse por pruebas limitadas que permitan demostrar que el control se complet\u00f3 correctamente y qu\u00e9 regla determin\u00f3 el resultado.<\/p>\nII. Alcance y fundamento jur\u00eddico de la Decisi\u00f3n de Principio<\/h2>\n
Operaciones sujetas a verificaci\u00f3n<\/h3>\n
Operaciones comprendidas en la verificaci\u00f3n<\/h3>\n
III. Dise\u00f1o del mecanismo de verificaci\u00f3n<\/h2>\n
M\u00e9todos alternativos y proporcionales al riesgo<\/h3>\n
Distinci\u00f3n entre la verificaci\u00f3n de la operaci\u00f3n y el consentimiento expl\u00edcito<\/h3>\n
IV. Registros, contratos y medidas organizativas<\/h2>\n
Registros de verificaci\u00f3n y asignaci\u00f3n de responsabilidades<\/h3>\n