2026年KVKK更新：土耳其强制分离明确同意与隐私告知

第2026/347号决定改变了公司在土耳其设计同意流程、隐私告知及接入流程的方式。

摘要

2026年3月24日星期二，土耳其个人数据保护委员会在《官方公报》发布第2026/347号原则性决定。该决定直接针对实践中最常见的合规问题之一：将 告知文本 及 明确同意请求 呈现为同一法律工具。

对于在土耳其投资、开设分支机构、任命本地团队，或通过数字渠道向土耳其居民销售的外资背景公司，这具有即时影响。现在应仔细审查网站表单、结账页面、人力资源入职流程、移动应用权限及CRM收集入口。

委员会为何作出该决定

委员会发现，同意与告知交织起草，是投诉及合规审查中反复出现的问题。实践中，许多公司一直要求用户批准隐私告知，将披露措辞当作同意机制，或将两者合并为一个文本、使用同一个按钮。

新决定进一步明确委员会立场： 告知 及 明确同意 承担不同法律功能，不应合并为一个法律声明。

告知文本与明确同意比较

委员会希望公司停止的常见错误

• 合并文本： 将告知与同意合并为一个文本，而未分开。
• 复制粘贴政策： 使用其他公司的告知或同意措辞，而未根据自身处理活动调整。
• 不必要地收集同意： 已有其他法律事由适用时仍要求同意。
• 措辞含糊： 对于处理目的、传输或数据类别使用宽泛、令人困惑或误导性语言。
• 界面逻辑欠佳： 强迫用户“接受”告知，仿佛告知本身是一项合同选择加入。

2026年合规行动步骤

1. 分开标题及用户操作。 即使告知与同意请求出现在同一页面，也应在视觉及法律上保持区分。
2. 首先梳理法律依据。 重新设计任何表单前，确认处理是否确实依赖明确同意，还是依赖其他合法事由。
3. 审查每个网站及应用收集入口。 应分别测试营销订阅、结账流程、求职申请表、员工入职、Cookie界面及供应商门户。
4. 根据实际运营重写。 委员会明确不认可通用复制粘贴文本。请根据实际存在的数据类别、目的、接收方及传输流程定制告知。
5. 保全证据。 需要明确同意时，保留可审计记录，显示用户看到什么、选择什么及何时选择。

这对外国公司意味着什么

酒店企业还应审查有关以下事项的独立实务规则： KVKK下的酒店客人数据，尤其是隐私告知描述身份核验或文件保存的情况。

如果您的组织经营电子商务渠道、开展本地招聘、土耳其语营销活动或土耳其客户支持，该决定就不只是“政策措辞”问题。它影响UX、CRM逻辑、人力资源表单、Cookie实践及合同协调。

在许多情况下，企业应审查隐私告知、跨境传输措辞、处理者安排及服务提供商合同之间的相互作用。对于使用供应商、SaaS工具或区域共享服务模式的团队，尤其如此。

根据您的结构，可能还需要审查 土耳其数据控制者代表 是否相关，以及合同与流程文件是否符合对外表单使用的告知措辞。

内部链接：TTL实务资源

• 如需实际法律支持，请参阅我们的 土耳其合规与数据保护服务.
• 如果您的企业已开展线上销售，我们的 《电子商务及零售企业合规框架》 值得接着阅读。
• 关于实务核查清单思路，请参阅 酒店 KVKK 合规清单.
• 关于术语及法律概念，请查阅 KVKK 合规, GDPR与KVKK比较, 数据处理协议, 以及 个人数据.

Turkish Trade Lawyers如何提供帮助

我们为进入或运营于土耳其的外资背景公司提供实务合规设计咨询，而非仅起草抽象政策。服务可包括审查告知与同意流程、更新隐私文本、协调数据处理条款、核查跨境数据问题，以及帮助内部团队将强制信息义务与可选或基于同意的流程分开。

需要时，我们还可审查您的处理架构、供应商关系及面向本地的表单，是否符合土耳其法律及更广泛区域合规模型。

常见问题

两个文本能否出现在同一页面？

可以。但应分别置于不同标题下，配以独立用户声明，使披露功能与同意功能保持区分。

如果公司依赖同意以外的法律依据怎么办？

此时公司通常应履行告知义务，而不应不必要地请求明确同意。不应将同意作为法律分析的默认替代。

能否复制其他公司的隐私告知？

不能。委员会已表明复制粘贴文本属于不良做法。您的措辞应反映自身实际数据流、目的、传输逻辑及商业模式。

执法风险是什么？

该决定表明，不合规可能被视为未落实必要管理及技术措施，并可能触发法律下的制裁。