6 ay süre tanındı: Resmi Gazete’de yayımlandı

Market ve mağazaların alışveriş yaptıkça müşterilerine puan ile ödüller sağladığı alışveriş kartları, yani sadakat kartları için KVKK önemli bir karar aldı. Kurum, Resmi Gazete'de 28 Şubat 2026 tarihinde yayınlanan kararına göre, bu kartların kullanımında yasalara aykırılıklar olduğu sonucuna vardı. 

6 AY SÜRE TANINDI

Kurul, bu kartların sahipleri dışında kullanılmasının yasaya aykırı olduğuna, asıl kart sahibi için onay mekanizması kurulması gerektiğine dikkat çekti. Mağazalar, 6 ay içinde onay kodu gönderme için sistemler kuracak.

ŞİKAYETLER GELDİ

Kurumun kararında gıda, kozmetik, teknoloji, yapı market, giyim olmak üzere birçok işletme tarafından bu kartların müşterilere verildiğine dikkat çekilerek, konunun neden ele alındığı şu sözlerle anlatıldı:

“Kart sahibi ilgili kişiye ait cep telefonu numarasının veya sadakat kart numarasının üçüncü bir şahıs tarafından alışveriş sırasında kasa görevlisine bildirilmek suretiyle, ilgili kişinin bilgisi ve rızası olmaksızın ve herhangi bir işlem onay kodu sisteme girilmeksizin alışveriş işlemlerinin gerçekleştirildiğine ilişkin Kişisel Verileri Koruma Kurumuna intikal ettirilen ihbar ve şikayetler”

VERİ İHLALİ SAYILDI

Kararda, kart sahibine ait cep telefonu numarasına SMS yoluyla tek kullanımlık doğrulama kodu gönderilmesi, mobil uygulama barkod/ okutma gibi yöntemlerin kullanılmasıyla üyeliklerin gerçekleştirildiği, işlemin bu haliyle hukuka aykırı olmadığına dikkat çekildi. Bu yöntemin dışındaki kullanımların veri ihlali olduğu belirtildi. Yani, KVKK; kartın sahibi dışında herhangi bir doğrulama kodu gönderilmeden bir başkası tarafından kullanılmasını veri ihlali saydı.
“HUKUKA AYKIRI”

Kararda, “Kart numarasının, ilgili kişinin bilgisi ve rızası olmaksızın ve üyelik sürecindekine benzer bir şekilde herhangi bir doğrulama yapılmaksızın üçüncü bir şahıs tarafından alışveriş sırasında kasa görevlisine bildirilmesi suretiyle, ilgili kişinin sadakat kartı üzerinden alışveriş işlemlerinin gerçekleştirilmesinin hukuka aykırı veri işleme faaliyetine ve kişisel veri ihlaline yol açabileceği değerlendirilmektedir.” denildi.
DOĞRULAMA YAPILMIYORDU

Kararda, asıl sahibi dışında kart kullanımının engellenmesi gerektiği belirtilirken, “Kart numarasının üçüncü bir kişi tarafından alışveriş esnasında kasadaki görevliye bildirilmesi suretiyle herhangi bir doğrulama yapılmaksızın sadakat kart üzerinden alışveriş işleminin yapılabilmesine imkân sağlayan uygulamaya son verilmesine karar verilmiştir.” ifadesine yer verildi.

SİSTEM KURACAKLAR

Kurum, sadakat kartlarının üyelik oluşturma, alışverişte puan kazanımı, puan kullanımı, indirimden, promosyondan faydalanma gibi herhangi bir amaçla alışveriş sırasında kullanılmasının, asıl kart sahibinin bilgisi sonucu gerçekleşmesini sağlamak için “Oluşabilecek kişisel veri ihlallerini önlemek amacıyla veri sorumluları tarafından bu amaca hizmet edecek uygun doğrulama mekanizmalarının oluşturulması gerektiğine” karar verdi. Mağazalar bu karara göre, müşterilerin telefonlarına doğrulama kodu gönderecek sistem kuracak.