I. 引言
在网站注册、移动应用、员工表格、会员奖励计划、患者档案及营销流程中，隐私告知文本与明示同意声明经常被合并在同一文本或同一复选框下。土耳其个人数据保护委员会在2026年2月18日作出的第2026/347号原则性决定中，处理了此类做法反复出现的若干情形。该决定刊载于2026年3月24日第33203号《官方公报》。
将告知与明示同意相分离并非2026年才确立的要求。自2018年以来，《履行告知义务的程序及原则公报》已要求：个人数据处理以同意为依据时，告知程序与取得同意的程序应当分开进行。委员会第2018/90号决定也区分了确认告知文本已被阅读与证明已取得同意。第2026/347号原则性决定将这一立场落实为适用于表格和界面的具体规则，并明确指出，不合规将涉及《第6698号个人数据保护法》第12条和第18条。
II. 告知与明示同意的不同法律功能
第10条规定的告知义务，旨在向数据主体说明数据控制者的身份、处理目的、数据转移、收集方式及法律依据，以及数据主体享有的权利。无论处理依据是同意还是法律规定的其他条件，该义务均适用。数据控制者必须在处理开始前主动履行告知义务，无须等待数据主体提出请求或作出任何确认。
明示同意只是个人数据处理可能适用的一项法律条件，并非所有处理活动都必须取得的一般性授权。有效的明示同意必须针对特定事项，并在充分知情且自愿的情况下作出。因此，不应以概括性声明的方式，要求数据主体对数据控制者已依据其他法律根据开展的必要处理一并表示同意。
将两者置于同一个复选框中，会使声明的性质变得不明确：数据主体究竟是在确认已收到相关信息，还是在同意一项可选择的活动？如果将非必要的处理与强制注册或接受合同相捆绑，明示同意是否出于自由意愿也可能受到质疑。妥当的设计应当为每项活动确定正确的法律依据，并仅针对确实以同意为依据的活动设置独立、主动的选择机制。
III. 原则性决定对表格及数字流程的影响
第2026/347号原则性决定要求，在个人数据处理以同意为依据时，隐私告知文本与明示同意文本必须分别编制，并使用不同标题。两份文本可以呈现在同一页面或同一界面上；但即使依次展示，每份文本仍须有各自的标题和独立的声明机制。仅设置一个写有“本人已阅读、理解并接受”的复选框，并不能实现这种分离。
如果个人数据处理依据该法规定的其他条件，则不应再向数据主体提供额外的同意文本。例如，为订立或履行订单所必需的数据，与可选择的营销沟通并不当然具有相同的法律依据。必要处理应在告知文本中说明。如果营销活动确实以明示同意为依据，则应当就该特定目的设置独立且可选择的声明。在每个数据收集环节一律增加同意复选框，反而可能模糊而不是强化数据控制者对法律依据的分析。
对于与告知文本有关而要求数据主体作出的任何反馈，也必须准确标示其性质。数据控制者可以记录数据主体已阅读告知文本并收到相关信息，但不应要求其“批准”告知文本或“同意”其中的说明。纸质文件中的签字栏，以及数字界面中的按钮或复选框，都必须体现这一区分。无论在用户可见的操作流程中，还是在底层记录中，已履行告知的证据与数据主体主动作出的同意声明均应保持分离。
该原则性决定还指出，未经调整便直接使用另一数据控制者的文本会带来风险。文本内容必须反映本数据控制者自身的组织架构、数据类别、处理目的、法律依据及数据转移安排。含糊援引法律条文、声称存在实际上并未发生的数据转移，或假定一项政策可以涵盖所有处理活动，都无法构成针对具体活动的准确告知。清晰性与简明性要求，法律规定的必要信息应限于相关活动，并以易于理解的方式表述。
IV. 记录、证据与合规架构
对表格和界面的审查，应从底层数据流入手，而非仅仅调整标题。数据控制者需要识别每个收集点获取的数据、支撑各项处理目的的处理条件、数据接收方及转移目的，以及所涉及的系统。缺少这张映射图，即使文本形式上已分开，仍可能与实际操作不一致。招聘、客户服务、营销和产品相关流程不应被当然压缩进一份笼统文件。
分层告知可以适用于移动界面：首层展示核心信息，并确保更详细内容可便捷访问。但仅将用户引向一份通用隐私政策，并不当然能够替代针对具体活动的告知。告知文本必须在数据收集环节可供查阅，且所采用的链接、弹窗、纸质附件或其他方式不得使相关信息难以获取。
数据控制者承担证明已履行告知义务以及所取得的任何明示同意均为有效的责任。因此，应通过相互独立的记录，对文本版本、展示日期和渠道，以及同意范围进行追溯。即使两项法律行为具有相同时间戳，数字系统也不应将其合并为一条记录。纸质流程同样应区分告知文本的收讫或已阅确认与同意声明。留存证据应符合比例原则，不应因此额外收集不必要的个人数据。
撤回同意也必须在实际运营中得到落实，而不能只停留在文本陈述。撤回指示需要传递至相关系统，使今后基于该同意的处理自撤回声明被收到之时起停止。若某项处理另有其他法律依据或法定保存义务，则应另行评估。即使表格措辞完全正确，如果营销平台、客户关系管理系统、人力资源工具及服务提供商无法执行上述区分，也无法实现运营层面的合规。
V. 行业应用与外国企业
在电子商务和数字服务领域，账户创建、订单履行、付款、交付及必要的安全检查，不应与可选择的营销或用户画像活动捆绑在同一批准机制下。对于必要处理的告知，与针对以同意为依据之目的的可选择声明，应设计为不同步骤。数据主体拒绝给予同意本身，不应妨碍其获得并不依赖该同意的核心服务。
会员奖励计划和零售表格经常将电话号码或会员标识符用于折扣、账户管理、分析和商业沟通等多种目的。如果未逐一评估各项目的法律依据便取得一项宽泛的同意，可能削弱同意须具备特定性的要求。面向客户的简短界面，与后台客户关系管理和营销系统，应当在处理目的层面保持相同的区分。
在招聘和用工流程中，确认已阅读告知文本的签字，不应与要求员工或候选人作出的同意合并在同一声明中。医疗健康及患者相关流程因数据性质、访问要求及适用的处理条件而需要更加审慎。在这些不同场景中复制同一套标准表格，可能掩盖数据类别和处理目的之间具有法律意义的差异。
对于在土耳其经营的外国企业集团，如果只是将全球模板或以GDPR为导向的模板翻译成土耳其语而不作进一步分析，该模板可能并不充分。应统筹评估土耳其境内数据控制者的身份、本地及集团内部的数据流、实际的数据转移架构、所适用的KVKK处理条件，以及土耳其语用户流程。集团政策与本地表格之间如有冲突，可能同时影响告知的准确性和同意的范围。将土耳其流程视为全球系统中一项独立的法律与产品要求，比把合规仅当作翻译工作更为可靠。
VI. 总体评估
委员会将第2026/347号原则性决定所列要求，视为根据该法第12条第1款为确保个人数据处理合法而应采取的行政和技术措施。委员会同时指出，发现不合规时可依据第18条采取行动。因此，该问题并非仅涉及表格设计或起草偏好。
在使用同意作为依据时，设置两个标题是必要的，但仅此并不足够。如果处理目的、数据类别和法律依据的映射有误，用户选择无法传递至后端系统，或撤回机制无法执行，那么形式上的分离并不能带来实质合规。法务、产品、人力资源、营销、信息技术和运营团队需要以同一份数据流说明为工作基础。
第2026/347号原则性决定发布后，首要任务并不是在每份现有表格中增设新的同意复选框，而是确认哪些活动确实以明示同意为依据，并据此协调告知文本、主动选择机制、证据记录及系统行为。
本译文仅供参考，可能与原文存在差异。
