Sadakat Kartlarında KVKK Uyum Süresi 28 Şubat 2027’ye Uzatıldı

Market, mağaza, akaryakıt istasyonu, kozmetik, teknoloji, yapı market ve giyim işletmeleri gibi birçok sektörde müşterilere indirim, promosyon ve puan avantajı sağlayan sadakat programları kullanılıyor.

Bu programlarda müşterinin fiziki kartı okutulabildiği gibi kasada cep telefonu veya sadakat kartı numarası söylenerek de işlem yapılabiliyor. Ancak yalnızca numaranın söylenmesine dayanan sistemlerde, başkasına ait bir telefon veya kart numarasının kart sahibinin bilgisi dışında kullanılması mümkün olabiliyor.

Kişisel Verileri Koruma Kurumuna ulaşan ihbar ve şikâyetlerde, kart sahibi alışveriş sırasında kasada bulunmadığı ve işlemden haberdar olmadığı hâlde başkasının yaptığı alışverişin kart sahibinin hesabına kaydedilebildiği belirtildi. Bazı işlemlerde satın alınan ürün veya hizmet bilgileri kart sahibinin müşteri geçmişine işlendi; fatura ve benzeri belgeler de gerçek alışverişi yapan kişi yerine kart sahibi adına düzenlenebildi.

Kurul, bu uygulamayı yalnızca sadakat puanlarının kullanılması bakımından değil, kişisel verilerin doğru kişiyle ilişkilendirilmesi ve müşteri hesaplarının güvenliği bakımından değerlendirdi.

Kişisel Verileri Koruma Kurulu, 11 Şubat 2026 tarihli ve 2026/266 sayılı İlke Kararında, kart sahibinin bilgisi ve rızası olmaksızın üçüncü kişiler tarafından sadakat hesabı üzerinden alışveriş yapılmasına imkân sağlayan uygulamanın hukuka aykırı kişisel veri işleme faaliyetlerine yol açabileceğini değerlendirdi.

Başkasının yaptığı bir alışverişin kart sahibinin hesabına kaydedilmesi, kişinin gerçekte satın almadığı ürünlerin onun müşteri geçmişinde görünmesine neden olabilir. Kurula göre bu durum, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 4’üncü maddesinde yer alan “doğru ve gerektiğinde güncel olma” ilkesine aykırılık oluşturabilir.

Sadakat kartı sözleşmesinde kartın üçüncü kişilere kullandırılmamasına ilişkin bir hüküm bulunması da işletmenin sorumluluğunu tamamen ortadan kaldırmıyor. Veri sorumlusu, Kanun’un 12’nci maddesi kapsamında kişisel verilerin hukuka aykırı işlenmesini ve kişisel veri ihlallerini önlemeye yönelik uygun teknik ve idari tedbirleri almakla yükümlü bulunuyor.

İlke Kararı bu nedenle, sadakat kartının üyelik oluşturma, puan kazanma, puan kullanma, indirim veya promosyondan yararlanma gibi amaçlarla kullanıldığı işlemlerde, işlemin ilgili kişinin bilgisi ve onayı dâhilinde gerçekleştiğini doğrulayacak uygun mekanizmaların kurulmasını öngördü.

İlk İlke Kararı 28 Şubat 2026 tarihli Resmî Gazete’de yayımlanmış ve veri sorumlularına doğrulama mekanizmalarını oluşturabilmeleri için altı aylık uyum süresi tanınmıştı. Bu süre 28 Ağustos 2026 tarihinde sona erecekti.

Kişisel Verileri Koruma Kurulu, sektörden gelen talepleri dikkate alarak 22 Temmuz 2026 tarihli ve 2026/1491 sayılı Kararı aldı. Kararla, 2026/266 sayılı İlke Kararına uyum süresi 28 Şubat 2027 tarihine kadar uzatıldı.

Dolayısıyla 2026/1491 sayılı karar, sadakat kartı programları için bağımsız veya yeni bir doğrulama yükümlülüğü getirmiyor. Mevcut yükümlülüğün yerine getirilmesi için tanınan süreyi uzatıyor. İşletmelerin bu ek süre içinde sadakat programlarını, kasa işlemlerini, müşteri hesaplarını ve doğrulama yöntemlerini İlke Kararına uygun hâle getirmesi gerekiyor.

Kurulun yaklaşımı, kasadaki kişinin her alışverişte kimlik belgesiyle kimliğinin tespit edilmesi değildir. Temel amaç, kullanılan sadakat hesabının gerçek hesap sahibi tarafından veya hesap sahibinin bilgisi ve onayıyla kullanıldığının makul ve güvenli bir yöntemle doğrulanmasıdır.

Örneğin müşteri fiziki sadakat kartını okutabilir, işletmenin mobil uygulamasındaki kendisine özel QR kodu gösterebilir, telefonuna gelen tek kullanımlık kodu kullanabilir veya sadakat kartı şifresini işlem cihazına girebilir.

İlgili kişi, doğrulanmış çevrim içi hesabı üzerinden yalnızca telefon numarasının söylenmesiyle hangi işlemlerin yapılmasına izin verdiğini önceden seçebilir. Örneğin müşteri, telefon numarasıyla puan kazanılmasına izin verirken puan harcanması için ek doğrulama şartı belirleyebilir.

Bu nedenle karar, bütün işletmelerin her işlemde aynı yöntemi kullanmasını zorunlu kılmıyor. Sadakat programındaki işlem türüne, kişisel veri işleme riskine ve ilgili kişi gruplarının özelliklerine göre farklı doğrulama yöntemleri uygulanabilir.

Başkasının bir sadakat kartına puan kazandırması her durumda kart sahibinin doğrudan maddi zarara uğramasına neden olmayabilir. Buna karşılık, doğrulamasız kullanımın sistematik hâle gelmesi kart sahibine ait müşteri kayıtlarının doğruluğunu ve güvenliğini bozabilir.

Başkasının alışverişlerinin kart sahibinin hesabına kaydedilmesi hâlinde aşağıdaki sonuçlar ortaya çıkabilir:

• Gerçekte satın alınmayan ürün veya hizmetlerin kart sahibinin alışveriş geçmişine işlenmesi,
• Kart sahibi hakkında yanlış müşteri profili ve tüketim alışkanlığı analizi oluşturulması,
• Yanlış verilere dayanılarak kişiselleştirilmiş reklam, kampanya veya teklif gönderilmesi,
• Fatura veya benzeri belgelerin gerçek alıcı yerine kart sahibi adına düzenlenmesi,
• Biriken puanların, indirimlerin veya kampanya haklarının üçüncü kişiler tarafından kullanılması,
• İade, değişim, garanti veya müşteri hizmetleri süreçlerinde işlemlerin yanlış kişiyle ilişkilendirilmesi,
• Birden fazla kişiye ait alışveriş kayıtlarının aynı müşteri hesabında karışması.

Satın alınan ürünlerin niteliğine bağlı olarak yanlış kayıtların etkisi daha da önemli hâle gelebilir. Sağlık, aile hayatı, ekonomik durum veya kişisel tercihler hakkında çıkarım yapılmasına elverişli alışverişlerin yanlış kişinin hesabına kaydedilmesi, sıradan bir puan hatasının ötesinde mahremiyet ve profilleme riski doğurabilir.

Karar, müşterilerine telefon numarası, kart numarası, fiziki kart, mobil uygulama veya çevrim içi hesap üzerinden sadakat programı sunan veri sorumlularını ilgilendiriyor.

Özellikle aşağıdaki süreçlerin gözden geçirilmesi önem taşıyor:

• Kasada telefon veya sadakat kartı numarasıyla müşteri hesabının bulunması,
• Üyelik oluşturulması ve üyelik bilgilerinin doğrulanması,
• Alışverişte puan kazanılması ve mevcut puanların kullanılması,
• İndirim ve promosyonlardan yararlanılması,
• Fatura, fiş, iade ve garanti kayıtlarının müşteri hesabıyla ilişkilendirilmesi,
• Müşteri işlem geçmişinin analiz ve pazarlama süreçlerinde kullanılması,
• Sadakat programının dış hizmet sağlayıcılar veya grup şirketleri aracılığıyla yürütülmesi.

Uyum süresinin uzatılması, doğrulama mekanizmasının seçilmesi ve uygulanması için işletmelere ek zaman sağlıyor. Bununla birlikte teknik geliştirme, mağaza operasyonu ve hukuki dokümantasyon birlikte ele alınacağı için çalışmaların son tarihe bırakılmaması gerekir.

İşletmelerin aşağıdaki adımları değerlendirmesi uygun olacaktır:

1. Sadakat kartı üzerinden gerçekleştirilen bütün işlem türlerini belirlemek,
2. Hangi işlemlerde yalnızca telefon veya kart numarası söylenmesinin yeterli kabul edildiğini tespit etmek,
3. Puan kazanma, puan harcama, indirim ve promosyon işlemlerini risk seviyelerine göre ayırmak,
4. SMS kodu, mobil uygulama, QR kod, fiziki kart, şifre veya önceden verilmiş kullanıcı tercihi gibi uygun doğrulama yöntemlerini belirlemek,
5. Teknoloji kullanmakta güçlük yaşayabilecek ilgili kişiler için alternatif yöntemler sunmak,
6. Müşteri işlem bilgilerinin ve faturaların doğru kişiyle ilişkilendirilmesini sağlayacak kontroller oluşturmak,
7. Sadakat kartı üyelik sözleşmesini, aydınlatma metnini ve ilgili iç prosedürleri gözden geçirmek,
8. Kasa ve müşteri hizmetleri çalışanlarına uygulanabilir talimatlar vermek,
9. Doğrulama sisteminin işleyişini ve alınan teknik-idari tedbirleri kayıt altına almak.

Doğrulama yönteminin seçiminde yalnız güvenlik değil, ölçülülük ve kullanılabilirlik de dikkate alınmalıdır. Düşük riskli puan kazanma işlemi ile müşterinin birikmiş puanlarını harcadığı işlem için aynı doğrulama düzeyinin uygulanması zorunlu değildir.