Kişisel Verileri Koruma Kurumu (KVKK), market ve mağazaların müşterilerine sunduğu sadakat kartlarıyla ilgili yeni bir düzenlemeye gitti. Resmi Gazete’nin 28 Şubat 2026 tarihli sayısında yayımlanan karara göre, alışveriş kartlarının kart sahibi dışında kullanılmasının önlenmesi için doğrulama mekanizması kurulması zorunlu hale getirildi.
İnceleme ihbar üzerine başlatıldı
KVKK’nın incelemesi, kuruma yapılan ihbar ve şikayetler üzerine başlatıldı. Kararda; gıda, kozmetik, teknoloji, yapı market ve giyim sektörlerinde faaliyet gösteren birçok işletmede sadakat kartlarının, kart sahibinin bilgisi ve rızası olmadan üçüncü kişiler tarafından kullanılabildiğinin tespit edildiği belirtildi.
İhbarlarda, kart sahibine ait telefon numarasının veya kart numarasının kasa görevlisine söylenmesiyle, herhangi bir onay kodu olmadan alışveriş yapılabildiği ifade edildi. Kurum, bu durumun kişisel verilerin hukuka aykırı işlenmesine yol açabileceğini değerlendirdi.
Kart sahibinin dışında kullanım veri ihlali sayıldı
Kararda, SMS ile tek kullanımlık doğrulama kodu gönderilmesi veya mobil uygulama üzerinden barkod okutulması gibi yöntemlerin hukuka uygun olduğu vurgulandı. Ancak doğrulama yapılmadan kartın başka kişilerce kullanılmasının kişisel veri ihlali oluşturduğu açıkça belirtildi.
KVKK, kart numarasının üçüncü kişiler tarafından kullanılmasıyla gerçekleştirilen alışveriş işlemlerinin hukuka aykırı veri işleme faaliyeti kapsamında değerlendirilebileceğine dikkat çekti.
Onay kodu sistemi zorunlu hale geliyor
Kurul, sadakat kartlarının puan kazanımı, puan kullanımı, indirim ve promosyonlardan yararlanma gibi tüm işlemlerinde kart sahibinin bilgisi ve onayının alınmasını zorunlu kıldı. Bu kapsamda işletmelerin müşterilerin telefonlarına doğrulama kodu gönderen sistemler kurması gerekecek.
KVKK, mevcut uygulamanın sonlandırılmasına karar verirken market ve mağazalara yeni doğrulama sistemlerini kurmaları için 6 ay geçiş süresi tanıdı. Karara uymayan veri sorumluları hakkında ise Kişisel Verilerin Korunması Kanunu’nun 18’inci maddesi kapsamında işlem yapılacağı uyarısında bulunuldu.
