Avertissement de la KVKK aux magasins concernant les SMS : L'information doit être fournie et le consentement explicite obtenu

Dernièrement, il a été remarqué que, lors des transactions en caisse dans les magasins, des codes de vérification par SMS étaient envoyés aux clients sous prétexte de finaliser le paiement et d'établir la facture, mais que ces mêmes clients recevaient ensuite des SMS publicitaires de la part de l'enseigne. La KVKK a adressé un second avertissement aux magasins concernant cette pratique controversée.

Les données personnelles ne sont plus vraiment personnelles. Nos informations sont soit dérobées lors du piratage des systèmes des institutions où nous sommes inscrits, soit fournies volontairement aux magasins lors de nos achats. Récemment, la pratique consistant pour les magasins à demander des numéros de téléphone pour la vérification par SMS et la facturation, puis à utiliser ces numéros pour envoyer des publicités et des annonces, a suscité des réactions. L'Autorité de protection des données personnelles (KVKK) a attiré l'attention sur cette situation dans un communiqué publié sur son site.

Dans sa déclaration, la KVKK a rappelé qu'un avis public avait déjà été publié en raison de plaintes antérieures sur le même sujet. Précisant que la pratique actuelle se poursuit, elle a déclaré : « Il est devenu nécessaire de mettre à jour l'avis public. »

La déclaration, qui souligne que les magasins doivent informer les consommateurs et obtenir leur consentement explicite, est la suivante :

L'article 5 de la loi n° 6698 sur la protection des données personnelles (la Loi) régit les conditions de traitement des données personnelles. Conformément à cet article, après avoir stipulé au paragraphe (1) que les données personnelles ne peuvent être traitées sans le consentement explicite de la personne concernée, le paragraphe (2) énumère les conditions dans lesquelles le traitement des données personnelles est possible sans ce consentement.

Dans l'article 3 de la Loi, le consentement explicite est défini comme « un consentement relatif à une question spécifique, fondé sur une information et exprimé librement ». Cette définition montre que le consentement explicite doit comporter trois éléments. Premièrement, le consentement obtenu doit porter sur une question spécifique et être limité à celle-ci ; en d'autres termes, le responsable du traitement doit clairement indiquer l'objet pour lequel le consentement est demandé. Si le consentement doit porter sur le traitement de données relevant de plusieurs catégories, il est impératif qu'il couvre les différents aspects du traitement, tels que les données concernées et les finalités du traitement. Le consentement explicite est une déclaration de volonté ; pour que la personne puisse consentir librement, elle doit savoir à quoi elle consent. En ce sens, elle doit disposer d'une information complète non seulement sur l'objet, mais aussi sur les conséquences de son consentement. Enfin, le consentement explicite, en tant que déclaration de volonté, n'est valable que si la personne est consciente de son acte et agit de sa propre décision. Toute situation susceptible d'altérer la volonté de la personne, telle que la contrainte, la menace, l'erreur ou la fraude, invalide le consentement explicite donné pour le traitement des données personnelles ; dans de tels cas, on ne peut parler d'une expression de libre volonté. De plus, si l'obtention du consentement explicite est présentée comme une condition préalable à la fourniture d'un produit ou d'un service, ou à l'accès à ceux-ci, l'élément de libre volonté est compromis et l'on ne peut parler d'un consentement explicite valide.

Par ailleurs, conformément à l'article 10 de la Loi, lors de la collecte de données personnelles, le responsable du traitement ou la personne autorisée par lui doit remplir son obligation d'information en communiquant aux personnes concernées : l'identité du responsable du traitement et de son représentant éventuel, la finalité du traitement des données personnelles, les destinataires et les finalités du transfert des données, la méthode et la base juridique de la collecte des données, ainsi que les autres droits énumérés à l'article 11 de la Loi. À cet égard, l'obligation d'information est une obligation qui doit être remplie indépendamment de l'obtention du consentement explicite ou de la satisfaction des autres conditions de traitement prévues par la Loi. Toutefois, si l'activité de traitement des données personnelles est réalisée sur la base du consentement explicite de la personne concernée, le responsable du traitement doit effectuer séparément les opérations d'information et d'obtention du consentement explicite.

Dans ce contexte, à la suite des évaluations effectuées par l'Autorité de protection des données personnelles :

• Il est impératif que, lors des transactions en caisse suivant un achat en magasin, l'objectif du SMS envoyé au téléphone de la personne et les conséquences de la communication du code transmis soient clairement et compréhensiblement expliqués aux personnes concernées par les personnes autorisées par le responsable du traitement, conformément à l'exigence d'une information à plusieurs niveaux. De plus, afin de remplir l'obligation d'information, les canaux d'information nécessaires doivent être prévus dans le contenu desdits SMS.
• Il faut mettre fin aux pratiques consistant à effectuer, en une seule action lors des paiements en magasin, des activités de traitement distinctes telles que la validation d'un contrat d'adhésion par code SMS, l'obtention d'une autorisation de traitement des données personnelles, l'obtention d'un consentement pour des communications électroniques commerciales, etc. Il convient d'obtenir des consentements explicites séparés en proposant des options pour les activités de traitement nécessitant un consentement explicite.
• Par ailleurs, les responsables du traitement doivent effectuer séparément les opérations d'obtention du consentement explicite et de remplissage de l'obligation d'information.
• Si une pratique d'envoi de code de vérification par SMS est mise en place pour obtenir un consentement explicite en vue de l'envoi de communications électroniques commerciales, le consentement obtenu doit couvrir tous les éléments spécifiés dans la Loi.
• Le consentement explicite au traitement des données personnelles à des fins d'envoi de communications commerciales ne doit pas être présenté aux personnes concernées comme un élément obligatoire pour finaliser l'achat. Dans le cas contraire, cette pratique pourrait porter atteinte aux éléments de « fondement sur l'information et expression libre » du consentement explicite ; ces pratiques doivent donc être conformes à la Loi.
• Dans ce cadre, il est important que le consentement explicite au traitement des données personnelles à des fins d'envoi de communications électroniques commerciales soit demandé après la finalisation de l'achat, afin d'éviter que ce consentement ne soit perçu comme un élément nécessaire à l'achat.

Ceci est porté à la connaissance du public avec respect.

Il est constaté que des allégations sont formulées selon lesquelles ledit code est demandé au caissier sous prétexte qu'il est nécessaire pour finaliser les paiements, établir la facture, transmettre la facture à l'adresse de contact ou mettre à jour les informations, mais qu'à la suite de cette opération, des communications électroniques commerciales relatives aux activités du magasin sont envoyées aux personnes concernées.