电子商务网站的 GDPR 合规性：客户数据、营销许可和 Cookie

入口

电子商务网站是个人数据处理最为密集的数字空间之一。当用户访问网站时，网站可能会处理诸如IP地址、设备信息、Cookie数据、浏览行为和产品浏览历史等数据。创建账户时，需要提供姓名、电话号码、电子邮件地址、出生日期和密码等信息。在订购过程中，网站会处理收货地址、账单信息、支付信息、购物车内容、购买历史和客户交易记录等信息。产品交付后，在退货、换货、客户支持、营销活动、满意度调查和市场推广等环节，还会产生新的数据处理活动。.

因此，电子商务网站遵守GDPR并非仅仅是在网站上添加一段“GDPR文本”。电子商务企业必须明确说明其收集客户数据的目的、法律依据、必须收集哪些数据、哪些数据用于营销目的、与哪些机构共享数据、使用Cookie处理哪些数据、是否将数据传输到国外以及客户如何行使自身权利。.

营销许可和 Cookie 是电子商务领域最常被投诉的方面之一。向用户提供产品或服务所需的电话号码与发送广告和营销活动信息所需的通信许可并不相同。同样，获取客户地址信息以配送订单与基于客户行为创建广告档案也不能基于相同的法律依据进行评估。在针对电子商务领域的第 2022/229 号决定中，个人数据保护委员会对数据控制者处以 80 万土耳其里拉的行政罚款，原因是其在缺乏法律依据的情况下，使用完全不必要的 Cookie 处理个人数据并将数据传输到国外。.

对于电子商务企业而言，正确的 GDPR 合规流程需要解决一系列因素，包括数据清单、信息文本、明确同意管理、商业电子通信许可、IYS（电子通信系统）注册、cookie 管理面板、数据安全措施、保留和销毁政策以及第三方服务提供商协议。.

电子商务网站会处理哪些个人数据？

电子商务网站处理的个人数据因网站的业务领域和商业模式而异。但通常情况下，处理的数据包括客户身份识别数据、联系数据、地址数据、财务数据、交易安全数据、客户交易数据、营销数据和cookie数据。.

身份数据可能包括姓名、姓氏、用户名、会员编号、账单信息，以及在某些情况下，土耳其国民身份证号码。联系数据包括电话号码、电子邮件地址和收货/账单地址。客户交易数据包括订单历史记录、购物车内容、退货请求、换货记录、客户支持通信记录、产品评价和投诉记录。交易安全数据可能包括 IP 地址、日志记录、设备信息、会话信息和安全验证记录。.

营销数据则有所不同。用户浏览的产品、点击的广告系列、添加到购物车的产品、感兴趣的类别、电子邮件的打开和点击数据、用户细分信息以及广告定向数据等信息都可以被视为营销数据。通过 Cookie 和类似技术收集的行为数据也属于此类。.

电子商务企业不应以相同的文本和法律依据披露所有此类数据。每项数据处理活动的目的和法律依据都必须单独确定。例如，为履行合同义务，处理收货地址信息可能是为了配送产品。处理账单信息可能是为了履行税务和会计义务。但是，发送营销短信、进行再营销或使用广告 Cookie 追踪用户则需要不同的法律评估。.

电子商务中的告知义务

根据土耳其《个人数据保护法》（KVKK），电子商务网站最基本的义务之一是告知义务。告知数据主体是指向数据主体解释谁在处理其数据、处理目的、法律依据、数据可能传输给谁、数据收集方法以及其在KVKK下的权利。收集个人数据时必须提供相关信息；只有这样，用户才能了解其数据是如何被处理的。.

隐私政策应反映电子商务网站的实际数据处理活动。诸如“您的个人数据将根据土耳其个人数据保护法（KVKK）进行处理”之类的笼统声明是不够的。该政策应分别解释每个流程：会员创建、订单接收、支付、配送、开票、客户支持、退货、营销、Cookie 以及法律纠纷解决。.

例如，应明确说明，处理客户姓名、姓氏和联系方式是为了管理订单流程、交付产品和提供客户支持服务；送货地址可能会与运输公司共享；账单信息将出于会计和税务目的进行存储；并且，对于宣传活动和广告沟通，将另行获得许可。.

“信息通知”和“明确同意”这两个术语不应混淆。个人数据保护委员会第2025/1072号原则性决定强调，告知义务和获得明确同意的过程必须分开进行。因此，试图在电子商务网站的同一个框中同时获取会员协议、个人数据保护法信息通知、明确同意和商业电子通讯许可，会带来严重的法律风险。.

如何确定处理客户数据的法律依据？

根据土耳其《个人数据保护法》（KVKK），任何个人数据处理活动都必须有法律依据。电子商务网站最常用的法律依据包括：订立或履行合同、履行法律义务、确立、行使或保护权利、合法利益以及获得明确同意。.

为履行远程销售合同，通常需要获取客户的姓名、送货地址和电话号码。处理账单信息可能基于税务和会计法规规定的法律义务。退换货记录的处理可能在消费者权益保护法和合同义务的范围内进行。客户支持记录的处理可能用于解决客户的请求和投诉。.

相比之下，市场营销、广告、行为分析、重定向、定制化营销活动细分和商业电子邮件发送通常需要不同的评估。客户的购买行为并不意味着他们可以自动接收无限量的广告信息。同样，客户提供电话号码用于配送并不意味着该号码可以自动用于发送广告短信。.

对于电子商务网站而言，这种区别尤为重要。电子商务公司通常希望将销售过程中收集的电话号码和电子邮件地址用于后续用途，例如开展促销活动、提供折扣、提醒购物车以及推送特价优惠。对于此类用途，必须同时考虑《个人数据保护法》（KVKK）和有关商业电子通信的法律法规。.

营销许可和商业电子通讯

电子商务网站需要关注的最重要领域之一是发送商业电子通讯。短信、电子邮件、自动拨号、促销活动通知、折扣公告、购物车提醒、再营销信息以及类似的通讯方式都属于商业电子通讯。.

关于发送商业电子信息，不仅要考虑《个人数据保护法》（KVKK），还要考虑第6563号《电子商务管理法》和《商业通信和商业电子信息管理条例》。在此领域，信息管理系统（İYS）被用作集中式权限管理系统。贸易部指出，借助İYS，公民可以从单一平台查看、控制和行使拒绝接收信息的权利；并且，该系统为服务提供商在管理权限流程方面提供了法律保障，包括证据支持。.

因此，当电商网站获得客户的营销许可时，必须明确指出该许可适用于哪些渠道。短信、电子邮件和电话许可应分别管理。客户可能只想接收电子邮件，而不想接收短信；他们可能只想接收订单通知，而不想接收营销活动信息。这些偏好必须以清晰且可验证的方式记录下来。.

此外，客户应始终享有拒绝权。电子通信系统 (IYS) 也为接收者提供集中管理、批准和行使拒绝商业电子通信权利的平台。电子商务网站不应向已行使拒绝权的客户发送营销信息，并应确保自身系统与 IYS 记录的一致性。.

是否可以通过短信验证码获取营销许可？

近年来，电子商务网站和零售销售流程中最具争议的做法之一是通过短信验证码获取用户许可。在支付、会员注册、发票生成或信息更新等交易过程中，系统会向客户的手机发送验证码；客户输入此验证码后，有时会被解读为已获得商业电子通信许可或个人数据处理同意。根据土耳其《个人数据保护法》（KVKK），这种做法存在严重风险。.

在2025年6月10日发布的编号为2025/1072的主要决定中，个人数据保护委员会对在提供产品和服务过程中通过发送短信验证码处理个人数据的做法进行了全面评估。委员会指出，在支付、注册、创建会员资格或生成优惠等过程中，必须清晰易懂地告知个人所发送短信验证码的用途；并且应终止将会员协议批准、个人数据处理同意和商业电子通信同意等不同活动合并在单一操作中的做法。.

这项决定对电子商务网站至关重要。如果告知客户“输入代码完成订单”，而随后又声称该代码也构成营销同意，则知情同意和自由同意的原则可能会受到损害。委员会的决定还明确指出，不得将为发送商业电子通讯而处理个人数据的明确同意作为完成产品或服务交付的必要条件。.

因此，对于电商网站而言，最有效的方法是将订单和会员注册等必要流程以及营销许可分别放在不同的页面上，使用不同的文本和复选框进行管理。即使客户未授予营销许可，也应该能够完成订单。营销许可应作为一项明确的单独选项，稍后征求客户意见。.

如何获得明确同意？

明确同意是指就特定事项在知情且自愿的情况下作出的同意。在电子商务网站中，明确同意尤其适用于营销、商​​业电子通讯、某些类型的 Cookie、行为广告、部分国际数据传输以及除明确同意外没有其他法律依据的数据处理活动。.

明确的同意不应是笼统且无限制的。诸如“我同意出于任何目的处理我的所有个人数据”之类的声明在法律上存在风险。相反，应该明确说明将处理哪些数据、出于什么目的以及通过什么渠道进行处理。例如，应使用诸如“我同意处理我的电话号码，以便向我发送营销活动和广告短信”或“我同意接收包含折扣和促销信息的商业电子邮件”之类的具体声明。.

同意框不应预先勾选。用户的沉默、继续使用网站或购买行为均不应构成明确同意。此外，明确同意不应作为获得服务的强制性条件。委员会第2025/1072号原则性决定明确指出，将明确同意作为提供产品或服务的先决条件会损害自由意志。.

电子商务网站上的明确同意流程也必须可验证。是哪位用户在何时通过何种文本和渠道授予了许可？许可来自哪个IP地址？之后是否被撤回？是否符合用户信息系统（IYS）记录？必须提供这些问题的答案。.

Cookie 和电子商务网站

Cookie 在电子商务网站上被广泛使用。某些 Cookie 对于购物车保护、会话安全、用户登录、语言偏好设置、支付安全和网站性能至关重要。然而，分析型 Cookie、广告/营销型 Cookie、行为定向 Cookie、再营销像素和第三方追踪技术通常需要获得用户的明确同意和详细信息。.

在编号为2022/229的决定中，个人数据保护委员会审查了一家电子商务公司在其网站和移动应用程序上使用的Cookie；由于该公司缺乏非必要Cookie的明确同意机制、未能遵守个人数据处理条件以及国际数据传输流程不当，委员会对其处以行政罚款。委员会还指出，对于功能性、性能分析和广告/营销Cookie（不包括绝对必要的Cookie），如果除明确同意外没有其他数据处理条件，则应实施“选择加入”机制。该机制确保用户在登录网站时主动同意，并且默认情况下禁用Cookie。.

这项决定凸显了Cookie管理对电子商务网站的重要性。诸如“我们使用Cookie，点击此处查看详情”之类的被动通知往往不足以满足需求。用户应该被告知Cookie的类别，非必要的Cookie应默认禁用，并且用户应该能够在“接受”、“拒绝”或“管理我的偏好”之间做出真正的选择。.

Cookie政策也应该简洁明了。使用哪些Cookie？提供商是谁？用途是什么？存储时间是多久？是第一方Cookie还是第三方Cookie？是否会将数据传输到国外？用户如何更改偏好设置？这些信息都应该清晰地说明。.

Cookie 管理面板应该是什么样子？

符合土耳其《个人数据保护法》(KVKK) 的 Cookie 管理面板必须允许用户做出真正自由的选择。仅仅提供一个“全部接受”按钮是不够的，“拒绝”和“偏好设置”选项也必须清晰可见。除强制性 Cookie 外，未经用户明确同意，任何 Cookie 都不得执行。.

电子商务网站常犯的错误之一是，广告和分析型 Cookie 会在用户进入网站后立即自动激活。即使用户之后被引导通过浏览器设置禁用 Cookie，数据处理也可能已经开始。欧盟委员会的电子商务决定也表明，仅仅引导用户通过浏览器设置禁用 Cookie 是不够的；对于并非绝对必要的 Cookie，主动征得用户同意至关重要。.

Cookie 面板应清晰区分各类 Cookie。必要 Cookie、功能性 Cookie、性能/分析 Cookie 和广告/营销 Cookie 应分别显示在不同的标题下。用户应能够接受分析 Cookie 并拒绝广告 Cookie。此外，用户还应能够随时更改其偏好设置。.

与第三方共享客户数据

电子商务网站经常需要与第三方共享客户数据。这些第三方包括物流公司、支付机构、银行和虚拟POS机提供商、会计软件公司、发票集成公司、呼叫中心提供商、广告公司、电子邮件营销平台、软件提供商和云服务公司。.

然而，与第三方共享客户数据并非不受限制且缺乏控制。数据保护声明应明确规定哪些接收方群体可以接收数据以及接收数据的用途。例如，诸如与物流公司共享姓名、电话号码和地址信息以便送货；与支付机构共享交易信息以便收款；或向财务顾问或电子发票服务提供商提供信息以便开具发票等流程都应明确定义。.

电子商务公司必须在与数据处理者的合同中加入数据安全条款。如果物流公司、呼叫中心、软件公司或电子邮件营销平台访问客户数据，则必须明确规定这些机构处理数据的目的、数据存储期限、是否使用分包商、是否进行国际数据传输，以及在发生数据泄露时如何通知。.

如果使用广告、分析、客户关系管理 (CRM) 或电子邮件营销工具，尤其是那些位于国外的工具，则应单独评估《土耳其个人数据保护法》(KVKK) 中关于数据传输至国外的规定。委员会第 2022/229 号决议也明确指出，通过 Cookie 向国外传输个人数据必须符合该法第 9 条的规定。.

支付信息和数据安全

支付信息在电子商务网站上至关重要。信用卡信息、支付交易记录、分期付款详情、付款授权和退货记录均可视为财务数据。安全处理这些数据对于遵守 GDPR 法规和保障支付系统安全都至关重要。.

电子商务网站应尽可能避免在自身系统中存储银行卡信息，而是通过可靠的支付机构和虚拟POS基础设施处理交易。如果提供银行卡信息存储服务，则应单独审查这些服务的技术和法律框架。未经授权的访问、数据泄露或系统漏洞可能导致需要向GDPR报告数据泄露事件，并承担行业特定的义务。.

数据安全措施应包括强密码策略、双因素身份验证、SSL/TLS 加密、访问授权、日志记录、加密、备份、防火墙、定期渗透测试、软件更新和员工培训。只有因工作需要而必须访问客户数据的人员才能获得访问权限。应立即撤销离职员工的系统权限。.

会员协议、远程销售协议和 GDPR 文本应分开。

电子商务网站上一个常见的错误是将所有法律文本都放在同一个复选框下。会员协议、远程销售协议、预先信息表格、GDPR披露文本、明确同意文本、Cookie政策以及商业电子通信许可等，都具有不同的法律功能。.

用户在购物时可能同意远程销售协议；但是，该协议并不自动意味着同意营销或使用 Cookie。用户可以阅读信息文本；但是，这并不构成明确同意。用户可以创建会员；但是，创建会员并不意味着他们同意接收广告短信。.

因此，电子商务网站应以简洁、易懂且功能清晰的方式组织其法律文本。完成订单所必需的合同授权应与可选的营销许可明确区分开来。不同意接收营销信息的用户应能够进行购买。在 Cookie 设置中拒绝非必要 Cookie 的用户应能够使用网站的基本功能。.

客户数据可以保存多久？

根据土耳其《个人数据保护法》（KVKK），个人数据必须仅在实现处理目的所需的时间内保存。电子商务网站不能无限期地保留客户数据。但是，由于法律义务和可能发生的争议，某些数据可能需要在特定期限内保存。.

发票和会计记录可根据税务法规保存。订单和发货记录可保留特定期限，用于处理消费者纠纷、退货、保修、产品缺陷索赔以及法律辩护等事宜。客户支持记录可保存，用于支持解决客户请求以及作为潜在纠纷的证据。营销许可的保存期限取决于证明许可存在以及行使拒绝权所需的时间。.

然而，来自非购买访客的 Cookie 数据、前会员的不活跃帐户、未使用的广告系列列表以及不必要的细分数据不应随意存储。应制定数据保留和销毁策略；当保留期限到期时，应删除、销毁或匿名化数据。.

数据主体申请和客户权利

根据土耳其《个人数据保护法》（KVKK），电子商务客户被视为数据主体。客户可以联系电子商务公司，询问其个人数据是否正在被处理，如果正在被处理，则可索取相关信息，询问处理的目的，了解其数据已被传输至哪些对象，要求更正不准确或不完整的数据，在符合条件的情况下要求删除或销毁数据，并就由此造成的任何损失提出赔偿要求。.

电子商务网站必须提供清晰的申请渠道。申请人必须提供GDPR申请表、电子邮件地址、注册电子邮箱地址或实际申请地址。客服团队必须能够区分GDPR申请和普通客户投诉。所有申请都必须得到及时且合理的答复。.

此外，在营销许可方面，必须有效保障客户的选择退出权。客户想要取消订阅、停止接收短信或退出邮件列表时，流程应该简便易行。如果取消订阅流程过于复杂，例如强制用户完成多步骤操作，或者在用户取消订阅后仍继续发送信息，则会违反《个人数据保护法》（KVKK）和商业电子通信法规，带来风险。.

电子商务网站最常犯的GDPR错误

电子商务网站最常犯的错误是，他们以为可以随意使用订单中收集的联系信息进行营销。然而，收集用于送货的电话号码并不意味着用户同意接收促销短信。.

第二个错误是试图将所有同意信息集中在一个框中。会员信息、远程销售信息、GDPR 信息、明确同意、商业电子通讯许可和 Cookie 同意应该分别管理。.

第三个错误是在未经用户同意的情况下运行 Cookie。应建立主动同意机制，尤其对于广告和营销 Cookie、行为定向 Cookie 以及第三方跟踪工具而言更是如此。.

第四个错误是未能及时更新IYS（电子通信系统）记录。商业电子通信许可必须与客户授予或撤回的同意保持一致。正如贸易部所述，IYS是一个集中管理同意和行使拒绝权的系统。.

第五个错误是忽视境外服务提供商。电子邮件营销、广告、分析、客户关系管理 (CRM)、云服务和支付基础设施中都可能发生境外数据传输。这种情况应根据《土耳其个人数据保护法》(KVKK) 第 9 条进行单独评估。.

第六个错误是数据安全措施不足。弱密码、未经授权的控制面板访问、未关闭的旧员工账户、在 Excel 表格中共享客户数据、不受控制地使用货运标签以及未能维护日志记录，都会造成严重的数据泄露风险。.

第七个错误是直接复制粘贴GDPR文本。每个电商网站的数据处理流程都不同。如果从其他网站复制的文本不能反映实际的数据流，那么告知义务就无法完全履行。.

电子商务网站GDPR合规性检查清单

电子商务企业首先应该编制一份数据清单。在会员注册、订单、支付、配送、退货、客户支持、营销以及通过 Cookie 等过程中，会处理哪些数据？这些数据的处理目的是什么？依据什么法律？处理期限是多久？会将数据传输给哪些机构？是否会将数据传输到国外？

其次，隐私政策需要更新。可以分别针对客户、会员、访客和 Cookie 制定不同的隐私政策。这些政策文本应简洁、清晰、具体。.

第三，商业电子通讯的明确同意和许可应分开处理。营销许可不应作为下单的强制性条件；客户应拥有真正的选择权。短信、电子邮件和电话许可应分别管理。.

第四，应监控信息管理系统（IYS）流程。权限记录、拒绝记录和系统集成应定期维护。.

第五，必须安装 Cookie 管理面板。非必要的 Cookie 应默认禁用；用户必须主动同意此设置。.

第六，应与第三方服务提供商签订数据处理协议。应与物流、支付、软件、广告、电子邮件和云服务提供商明确数据安全义务。.

第七，必须加强数据安全。应限制面板访问权限，维护日志记录，实施加密和备份，对员工进行培训，并制定数据泄露应对计划。.

结论

GDPR合规是电子商务网站销售流程不可或缺的一部分。客户数据、会员管理、订单处理、支付、配送、退货、客户支持、市场营销和Cookie流程必须统筹考虑；每项数据处理活动都必须确定正确的法律依据。电子商务企业应区分客户完成购买所必需的数据处理活动和营销、广告、行为追踪等可选活动。.

在营销许可方面，必须同时适用电子通信信息系统 (IYS) 记录、商业电子通信法规和个人数据保护法 (KVKK)。客户提供电话号码或电子邮件地址用于收货并不意味着他们一定会收到营销信息。欧盟委员会第 2025/1072 号原则性决定明确警告电子商务企业，切勿在同一笔交易中通过短信验证码获取不同的同意，并将商业电子通信许可作为服务的强制性条件。.

关于 Cookie，区分必要 Cookie 与广告、营销、分析和行为追踪 Cookie 至关重要。欧盟委员会关于电子商务领域的第 2022/229 号决议指出，必须建立针对非必要 Cookie 的主动同意机制，更新 Cookie 政策，并确保国际数据传输流程符合《个人数据保护法》（KVKK）。.

总之，仅仅发布法律文本并不足以建立一个符合土耳其个人数据保护法（KVKK）的电子商务网站。必须编制数据清单，完善信息文本，分别管理明确的同意和营销许可，保持内容管理系统（CMS）流程的更新，建立Cookie管理面板，监控第三方服务提供商，并实施数据安全措施。正确执行这些流程后，电子商务企业可以降低行政罚款和投诉的风险，并为客户提供值得信赖、透明且合法合规的数字化购物体验。.