Os dados de leads de terceiros cumprem a KVKK? Riscos das listas de clientes compradas

Atualização: 3 de setembro de 2026 · Categoria: Publicidade, segmentação e conformidade do CRM

Os dados de leads de terceiros cumprem a KVKK? Riscos das listas de clientes compradas

Numa lista de leads comprada, a questão central não é apenas a existência de dados: é o fundamento jurídico da recolha, as finalidades para as quais podem ser transferidos, o conteúdo do aviso de privacidade e a conformidade com as regras de comunicações eletrónicas comerciais.

Índice

Resposta curta
Porque importa?
O que devem fazer as empresas?
Como medir?
Fontes
Perguntas frequentes

Resposta curta

A entrega de uma lista de leads comprada ou proveniente de terceiros não torna automaticamente conforme à KVKK a utilização dos dados pessoais nela contidos. A empresa destinatária deve avaliar separadamente o fundamento do seu próprio tratamento, a origem dos dados, a cadeia de transferências e a informação a prestar aos titulares. No marketing por SMS, correio eletrónico ou telefone, devem também verificar-se separadamente as regras de comunicações eletrónicas comerciais e o estado no İYS.

Porque é importante?

O erro mais comum na compra de leads é aceitar a declaração «conforme à KVKK» do fornecedor como prova suficiente. A possibilidade de comprar um conjunto de dados e o direito do novo responsável de tratar os seus dados pessoais para uma finalidade específica de marketing são questões jurídicas distintas.

Comece por analisar o método e a finalidade inicial de recolha, a existência de fundamento jurídico válido para a transferência e a compatibilidade da utilização pretendida com essa cadeia. O contrato com o fornecedor integra esta análise, mas não constitui, por si só, fundamento para o tratamento.

O que demonstra a decisão 2026/1183?

A decisão KVKK 2026/1183, de 10 de junho de 2026, não trata diretamente de uma lista de clientes comprada a um corretor de dados. Analisa uma empresa de financiamento por poupança que recebia dos seus clientes números de telefone de terceiros num programa de «embaixadores da marca» e contactava essas pessoas para marketing.

O Conselho não aceitou a continuação da conversa comercial na chamada efetuada após a transmissão do número por um terceiro como consentimento explícito válido. Sublinhou que o consentimento deve ser específico, informado e livre. Aplicou ao responsável uma coima de 1.000.000 TRY pelo tratamento sem fundamento válido.

Esta decisão é relevante para as listas compradas de leads: dar o número a um terceiro, atender uma chamada, ouvir uma campanha ou a afirmação do fornecedor de que existe autorização não constitui, por si só, fundamento válido para o tratamento pela empresa destinatária.

A autorização ao abrigo da KVKK e o consentimento para mensagens comerciais são distintos

O direito de tratar um número ao abrigo da KVKK e o de enviar SMS ou correio eletrónico de marketing ou realizar chamadas comerciais são camadas de controlo distintas. Um fundamento para tratar dados pessoais não elimina automaticamente as exigências de consentimento das comunicações eletrónicas comerciais.

Da mesma forma, um canal assinalado como autorizado no İYS não esclarece, por si só, todas as questões sobre a origem dos dados e o fundamento ao abrigo da KVKK. Os registos CRM e İYS devem ser avaliados em conjunto, mas para finalidades jurídicas distintas.

O que devem fazer as empresas? 10 passos para aceitar leads de terceiros

Identifique a empresa de origem. Registe a identidade da pessoa singular ou coletiva que envia a lista e o seu papel na cadeia de dados.
Peça o método de recolha. Documente se a recolha ocorreu por formulário web, evento, recomendação, campanha, corretor de dados ou outro processo.
Determine a finalidade inicial da recolha. Identifique o serviço ou a finalidade para os quais os dados foram inicialmente obtidos.
Analise o fundamento da transferência. Verifique o fundamento invocado para transferir os dados para outra empresa para marketing.
Determine o seu próprio fundamento de tratamento. Avalie separadamente a atividade do destinatário, em vez de copiar o fundamento do fornecedor.
Planeie quando prestar a informação de privacidade. Se os dados não foram obtidos diretamente junto do titular, integre no processo as regras aplicáveis à recolha indireta.
Verifique o estado das comunicações comerciais. Verifique o İYS e o estado de consentimento ou recusa nos canais SMS, correio eletrónico e telefone.
Verifique as listas de exclusão de contactos. Antes da importação, exclua quem já recusou contactos ou consta da lista interna de não contactar.
Obtenha apenas os dados mínimos. Não importe para o CRM idade, morada, profissão ou outros campos desnecessários à campanha só por estarem «na lista».
Coloque a lista em quarentena se faltarem provas. Não disponibilize a lista às equipas comerciais ou aos sistemas de campanha antes de verificar a origem e o direito de utilização.

Que provas pedir na diligência sobre o fornecedor?

Em vez de uma simples garantia «conforme à KVKK», peça um exemplo do ecrã ou processo de recolha, a versão do aviso de privacidade, o eventual texto de consentimento explícito, o âmbito da transferência, a data de recolha e a gestão dos registos de recusa. Os documentos não têm de ser iguais para cada registo; nas listas de várias origens, podem ser conservados por lote de origem.

Garantias contratuais sobre a origem, deveres de notificação de dados fornecidos ilicitamente, procedimentos de eliminação ou recolha e direitos de auditoria oferecem proteção operacional. Um contrato não torna lícito um conjunto de dados recolhido ilegalmente.

Criar uma matriz de aceitação ou rejeição de listas

Em vez de gerir os ficheiros de potenciais clientes apenas como «aceites» ou «rejeitados», é possível classificá-los como de risco baixo, médio ou elevado. Um conjunto com origem e provas completas e uma finalidade de utilização limitada pode ser admitido de forma controlada. Um ficheiro de origem incerta, desatualizado, com campos excessivos ou sem prova de autorização pode ser colocado em quarentena.

Modelo de Medição proposto para B10

Área de controlo	KPI	Sinal de risco
Fonte	Percentagem de potenciais clientes com origem verificada	Registo de origem desconhecida
Provas	Percentagem de lotes com provas completas	Conjunto de dados não documentado
Fundamento jurídico	Cobertura da revisão do fundamento jurídico	Rótulo genérico «autorizado pela KVKK»
İYS	Verificação do consentimento no canal	Campanha não abrangida pelo consentimento
Recusa	Taxa de correspondência com listas de exclusão	Contacto com quem recusou comunicações
Idade	Proporção de registos de potenciais clientes desatualizados	Lista antiga de atualização incerta
Fornecedor	Pontuação de evidências do fornecedor	Declaração de conformidade numa frase

Este modelo mede em que medida se verifica o direito de utilização dos dados, e não o tamanho da lista. Uma lista grande com poucas provas pode criar um risco de conformidade superior ao seu valor comercial.

Avaliação especializada

A questão central nas operações de leads de terceiros deve ser: «Em que fase desta cadeia a pessoa foi informada de que finalidade, e com que fundamento a empresa trata hoje os dados?», em vez de apenas «Quem vendeu os dados?».

Nos programas de referenciação e recomendação, ser indicado por um amigo ou cliente existente não autoriza automaticamente o contacto com o titular para marketing. A decisão 2026/1183 ilustra esta distinção com um exemplo atual e concreto.

A arquitetura mais segura coloca primeiro o ficheiro comprado numa área intermédia de verificação de conformidade. Apenas os registos adequados passam para a base comercial ativa após verificar a origem, as provas, o fundamento e as autorizações de comunicação, em vez de importar diretamente o ficheiro para o CRM.

Análise de Risco e Conformidade Digital

A B10 pode criar uma auditoria de risco de leads de terceiros que avalia os ficheiros pela origem, método de recolha, cadeia de transferências, fundamento jurídico, estado no İYS ou do consentimento e registos de exclusão, separando lotes de elevado risco antes de chegarem às equipas comerciais.

Conteúdo relacionado

Fontes oficiais e primárias

Perguntas frequentes Porque é que isso é importante agora?

O que as empresas devem primeiro verificar?

Inventarie as práticas atuais e os fluxos de dados e de trabalho.

Basta um controlo pontual?

Não. A declaração do fornecedor de que a lista é «conforme à KVKK» não dispensa a empresa destinatária de analisar separadamente o fundamento do seu próprio marketing e as condições das comunicações comerciais.

O que pode a B10 disponibilizar?

A B10 pode associar, por lote, a origem dos leads de terceiros, as provas de recolha e transferência, o estado no İYS ou do consentimento e a utilização no CRM, tornando visíveis os conjuntos de risco antes do uso comercial ou em campanhas.