¿Los datos de leads de terceros cumplen la KVKK? Riesgos de las listas de clientes compradas
En una lista comprada de clientes potenciales, lo esencial no es solo disponer de datos: es conocer la base jurídica de su recogida, las finalidades para las que pueden transferirse, el…
Actualización: 3 de septiembre de 2026 · Categoría: Publicidad, segmentación y cumplimiento del CRM
¿Los datos de leads de terceros cumplen la KVKK? Riesgos de las listas de clientes compradas
En una lista comprada de clientes potenciales, lo esencial no es solo disponer de datos: es conocer la base jurídica de su recogida, las finalidades para las que pueden transferirse, el contenido del aviso de privacidad y la conformidad con las normas de comunicaciones electrónicas comerciales.
Contenido- Respuesta breve
- ¿Por qué importa?
- ¿Qué deben hacer las empresas?
- ¿Cómo medirlo?
- Fuentes
- Preguntas frecuentes
Recibir una lista comprada o procedente de terceros no hace automáticamente conforme a la KVKK el uso de sus datos personales. La empresa destinataria debe evaluar por separado la base jurídica de su propio tratamiento, el origen de los datos, la cadena de transferencias y la información que debe facilitar a los interesados. Para el marketing por SMS, correo electrónico o teléfono, también deben comprobarse por separado las normas de comunicaciones electrónicas comerciales y el estado en İYS.
¿Por qué es importante?El error más común al comprar leads es aceptar la declaración «conforme a la KVKK» del proveedor como prueba suficiente. Poder comprar un conjunto de datos y poder tratar sus datos personales como nuevo responsable para una finalidad concreta de marketing son cuestiones jurídicas distintas.
Examine primero el método y la finalidad inicial de recogida, si existe una base jurídica válida para la transferencia y si el uso previsto es compatible con esa cadena. El contrato con el proveedor forma parte de esta revisión, pero no establece por sí solo una base jurídica para el tratamiento.
¿Qué muestra la decisión 2026/1183?La decisión KVKK 2026/1183, del 10 de junio de 2026, no trata directamente de una lista de clientes comprada a un intermediario de datos. Examina una empresa de financiación mediante ahorro que recibía de sus clientes números de terceros en un programa de «embajadores de marca» y contactaba con esas personas con fines de marketing.
El Consejo no consideró la continuación de la conversación comercial durante la llamada posterior a la transmisión del número por un tercero como consentimiento explícito válido. Subrayó que debe ser específico, informado y libre. Impuso al responsable una multa administrativa de 1.000.000 TRY por tratar datos sin una base válida.
Esta decisión importa para las listas compradas de leads: dar un número a un tercero, atender una llamada, escuchar una campaña o la afirmación del proveedor de que existe autorización no constituye, por sí solo, una base válida para el tratamiento por la empresa destinataria.
La autorización conforme a la KVKK y el consentimiento para mensajes comerciales son distintosEl derecho a tratar un número conforme a la KVKK y el de enviar SMS o correos de marketing o realizar llamadas comerciales son capas de control distintas. Una base jurídica para tratar datos personales no elimina automáticamente los requisitos de consentimiento de las comunicaciones electrónicas comerciales.
Asimismo, que un canal figure autorizado en İYS no responde por sí solo a todas las preguntas sobre el origen de los datos y la base jurídica conforme a la KVKK. Los registros de CRM e İYS deben evaluarse conjuntamente, pero con fines jurídicos separados.
¿Qué deben hacer las empresas? 10 pasos para aceptar leads de terceros- Identifique la empresa de origen. Registre la identidad de la persona física o jurídica que envía la lista y su papel en la cadena de datos.
- Solicite el método de recogida. Documente si los datos se recogieron mediante formulario web, evento, recomendación, campaña, intermediario de datos u otro proceso.
- Determine la finalidad inicial de recogida. Identifique el servicio o la finalidad para los que se obtuvieron inicialmente los datos.
- Examine la base de la transferencia. Compruebe la base jurídica invocada para transferir los datos a otra empresa con fines de marketing.
- Determine su propia base de tratamiento. Evalúe por separado la actividad del destinatario, en lugar de copiar la base jurídica del proveedor.
- Planifique cuándo facilitar la información de privacidad. Si los datos no se obtuvieron directamente del interesado, integre en el proceso las normas aplicables a la recogida indirecta.
- Verifique el estado de las comunicaciones comerciales. Compruebe İYS y el estado de consentimiento u oposición para SMS, correo electrónico y llamadas.
- Compruebe las listas de exclusión de contactos. Antes de la carga, excluya a quienes ya se hayan opuesto o figuren en la lista interna de no contactar.
- Obtenga solo los datos mínimos. No importe al CRM edad, dirección, profesión u otros campos innecesarios para la campaña solo porque estén «en la lista».
- Ponga la lista en cuarentena si faltan pruebas. No facilite la lista al equipo de ventas ni al sistema de campañas hasta verificar el origen y el derecho de uso.
En lugar de una simple garantía «conforme a la KVKK», solicite un ejemplo de la pantalla o proceso de recogida, la versión del aviso de privacidad, el eventual texto de consentimiento explícito, el alcance de la transferencia, la fecha de recogida y la gestión de oposiciones. Los documentos no tienen que ser idénticos para cada registro; en listas de distintas fuentes pueden conservarse por lote de origen.
Las garantías contractuales sobre el origen, las obligaciones de notificar datos suministrados ilícitamente, los procedimientos de supresión o retirada y los derechos de auditoría aportan protección operativa. Sin embargo, un contrato no convierte en lícito un conjunto de datos recogido ilegalmente.
Crear una matriz de aceptación o rechazo de listasEn lugar de gestionar los archivos de clientes potenciales únicamente como «aceptados» o «rechazados», pueden clasificarse por riesgo bajo, medio o alto. Un conjunto con origen y pruebas completos y una finalidad de uso limitada puede admitirse de forma controlada. Un archivo de origen incierto, desactualizado, con demasiados campos o sin pruebas de autorización puede ponerse en cuarentena.
Modelo de medición propuesto para el B10| Zona de control | KPI | Señal de riesgo |
|---|---|---|
| Fuente | Porcentaje de clientes potenciales con origen verificado | Registro de origen desconocido |
| Prueba | Porcentaje de lotes con pruebas completas | Conjunto de datos sin documentar |
| Base jurídica | Cobertura de la revisión de la base jurídica | Etiqueta genérica «autorizado por la KVKK» |
| İYS | Verificación del consentimiento del canal | Campaña no cubierta por el consentimiento |
| Oposición | Tasa de coincidencia con listas de exclusión | Contacto con una persona que se opuso |
| Edad | Proporción de registros de clientes potenciales desactualizados | Lista antigua de vigencia incierta |
| Proveedor | Puntuación de pruebas de proveedores | Declaración de cumplimiento en una frase |
Este modelo mide hasta qué punto puede verificarse el derecho a usar los datos, en lugar del tamaño de la lista. Una lista grande con pocas pruebas puede generar un riesgo de cumplimiento superior a su valor comercial.
Evaluación especializadaLa pregunta central en las operaciones de leads de terceros debe ser: «¿En qué fase de esta cadena se informó a la persona de qué finalidad y con qué base jurídica trata hoy los datos la empresa?», en lugar de solo «¿Quién vendió los datos?».
En los programas de referencias y recomendaciones, ser recomendado por un amigo o cliente existente no autoriza automáticamente el contacto con el interesado con fines de marketing. La decisión 2026/1183 ilustra esta distinción con un ejemplo actual y concreto.
La arquitectura más segura coloca primero el archivo comprado en una zona previa de revisión de cumplimiento. Solo los registros adecuados pasan a la base comercial activa tras verificar el origen, las pruebas, la base jurídica y los permisos de comunicación, en lugar de importar el archivo directamente al CRM.
Análisis de Riesgo Digital y CumplimientoB10 puede crear una auditoría de riesgo de leads de terceros que evalúe los archivos por origen, método de recogida, cadena de transferencias, base jurídica, estado en İYS o del consentimiento y registros de exclusión, separando los lotes de alto riesgo antes de que lleguen al equipo comercial.
Contenidos relacionados- KVKK y riesgos de segmentación en publicidad digital dirigida a menores
- Controles de cumplimiento en campañas de redes sociales dirigidas a menores y jóvenes
- Origen de los leads y cumplimiento del CRM: ¿puede demostrar de dónde proceden los datos de clientes?
- KVKK - Resumen de la decisión de fecha 10.06.2026 y número 2026/1183
- Ministerio de Comercio – Sistema de Gestión de Mensajes (İYS)
- Ministerio de Comercio – Información general sobre mensajes electrónicos comerciales
En una lista comprada de clientes potenciales, lo esencial no es solo disponer de datos: es conocer la base jurídica de su recogida, las finalidades para las que pueden transferirse, el contenido del aviso de privacidad y la conformidad con las normas de comunicaciones electrónicas comerciales.
¿Qué deben comprobar las empresas primero?Haga un inventario de las prácticas actuales y los flujos de datos y de trabajo.
¿Basta un control puntual?No. Que el proveedor afirme que la lista es «conforme a la KVKK» no exime a la empresa destinataria de examinar por separado la base jurídica de su propio marketing y los requisitos de las comunicaciones comerciales.
¿Qué puede aportar B10?B10 puede relacionar por lote el origen de los leads de terceros, las pruebas de recogida y transferencia, el estado en İYS o del consentimiento y el uso en CRM, haciendo visibles los conjuntos de riesgo antes de su uso en ventas o campañas.