Kişisel Verileri Koruma Kurumu (KVKK), milyonlarca tüketiciyi ilgilendiren sadakat kartı uygulamalarına ilişkin yeni bir kararını 13 Ağustos 2026'da duyurdu.
Kişisel Verileri Koruma Kurulunun 22 Temmuz 2026 tarihli ve 2026/1491 sayılı Kararı ile işletmelere daha önce verilen uyum süresi 28 Şubat 2027'ye kadar uzatıldı.
Kararın arkasında oldukça gündelik bir alışkanlık var: Kasada alışveriş yapan kişinin kendisine ait olmayan bir telefon veya sadakat kartı numarasını söylemesi.
Sorun sadece indirimi kimin aldığı değil
KVKK'nın incelemelerinde; sadakat kartı sahibinin bilgisi ve rızası olmadan telefon veya kart numarasının üçüncü kişiler tarafından kullanıldığı, bazı sistemlerde herhangi bir işlem doğrulaması yapılmadan alışverişin kart sahibinin hesabına işlendiği tespit edildi.
Bunun sonucu yalnızca başka bir kişinin indirim veya puandan yararlanması olmayabiliyor.
Satın alınan ürün veya hizmet, alışveriş tarihi gibi müşteri işlem bilgilerinin gerçek kart sahibinin hesabına kaydedilmesi ve bazı durumlarda fatura benzeri belgelerin kart sahibi adına düzenlenmesi söz konusu olabiliyor.
Kurul bu durumun kişisel verilerin hukuka aykırı işlenmesine ve veri ihlallerine yol açabileceğini değerlendirdi.
KVKK: Doğrulama mekanizması kurulmalı
Kurulun 11 Şubat 2026 tarihli ve 2026/266 sayılı İlke Kararı, doğrulama yapılmaksızın üçüncü kişinin telefon veya sadakat kartı numarasıyla alışveriş yapılabilmesine imkân veren uygulamaya son verilmesini öngörüyor.
İşletmelerin, sadakat kartının alışverişte kullanılmasının gerçekten kart sahibinin bilgisi ve rızası dahilinde gerçekleştiğini doğrulayabilecek mekanizmalar oluşturması gerekiyor.
KVKK tek bir teknoloji dayatmıyor. SMS ile tek kullanımlık doğrulama kodu, mobil uygulama veya internet sitesi üzerinden barkod/QR kod gibi yöntemler kullanılabilecek seçenekler arasında bulunuyor. İşlemin riskine ve kullanıcı grubuna göre farklı yöntemler de uygulanabilecek.
Üç kanun maddesi öne çıkıyor
Kararın hukuki temelinde 6698 sayılı Kişisel Verilerin Korunması Kanunu bulunuyor.
Öne Çıkan Hukuki İnceleme Maddeleri:
- Kanun m.5 (Veri İşleme Şartları): Doğrulamasız işlemlerin hukuki işleme şartı olmaksızın yapılması riski.
- Kanun m.4 (Doğru ve Gerektiğinde Güncel Olma İlkesi): Yanlış alışveriş bilgilerinin gerçek kişinin hesabına işlenmesi.
- Kanun m.12 (Veri Güvenliği Yükümlülüğü): Kart sahibine verilen sorumluluğun işletmenin güvenlik sorumluluğunu ortadan kaldırmaması.
- Kanun m.18 (Yaptırım Maddesi): Karara aykırılık halinde idari yaptırım tesis edilebilmesi.
Kart sahibine “kartını başkasına kullandırma” sorumluluğu yüklenmesi de işletmenin sorumluluğunu tamamen ortadan kaldırmıyor. Kurul, 12'nci maddedeki kişisel veri güvenliğini sağlama yükümlülüğünün devam ettiğini açıkça belirtiyor.
Neden süre uzatıldı?
İlk İlke Kararı 28 Şubat 2026 tarihli ve 33182 sayılı Resmî Gazete'de yayımlanmış ve işletmelere altı aylık uyum süresi verilmişti.
Ancak sektör temsilcileri doğrulama sistemlerinin teknik, idari ve operasyonel açıdan güvenli biçimde kurulabilmesi için ek süre istedi.
Kurul da bu talepleri değerlendirerek son tarihi 28 Şubat 2027 olarak değiştirdi.
Yeni karar özellikle perakende sektöründe kasa, mobil uygulama, CRM ve sadakat sistemlerinin yeniden ele alınmasını gerektirebilir.
Artık kasadaki basit bir soru, veri güvenliğinin de konusu:
