Kişisel Verileri Koruma Kurumu, sadakat kartı olarak bilinen alışveriş kartlarının kullanımında tespit edilen usulsüzlükler üzerine harekete geçti. 28 Şubat 2026 tarihli Resmi Gazete’de yayımlanan kurul kararı, bu kartların asıl sahipleri dışında kullanımının yasalara aykırı olduğunu tescilledi. Kurum, mağazaların 6 ay içerisinde kart kullanımı sırasında hak sahibine onay kodu gönderecek bir doğrulama mekanizması kurmasını zorunlu kıldı.
ŞİKAYETLER ÜZERİNE İNCELEME BAŞLATILDI
Gıda, kozmetik, teknoloji, yapı market ve giyim sektörlerinde faaliyet gösteren işletmelerin sunduğu bu kartlara yönelik çok sayıda ihbar yapıldı. KVKK, konunun ele alınma gerekçesini şu ifadelerle açıkladı:
“Kart sahibi ilgili kişiye ait cep telefonu numarasının veya sadakat kart numarasının üçüncü bir şahıs tarafından alışveriş sırasında kasa görevlisine bildirilmek suretiyle, ilgili kişinin bilgisi ve rızası olmaksızın ve herhangi bir işlem onay kodu sisteme girilmeksizin alışveriş işlemlerinin gerçekleştirildiğine ilişkin Kişisel Verileri Koruma Kurumuna intikal ettirilen ihbar ve şikayetler”
ONAYSIZ KART KULLANIMI VERİ İHLALİ SAYILACAK
Yapılan incelemeler sonucunda, üyelik aşamasında SMS ile doğrulama kodu gönderilmesi veya mobil uygulama üzerinden barkod okutulması gibi yöntemlerin hukuka uygun olduğu saptandı. Ancak bu yöntemlerin dışındaki kullanımlar doğrudan veri ihlali kapsamına alındı. KVKK, kart numarasının veya telefonun sadece sözlü beyanla bildirilip işlem yapılmasının hukuka aykırı veri işleme faaliyeti doğurabileceğini belirtti.
Kararda şu ifadelere yer verildi:
“Kart numarasının, ilgili kişinin bilgisi ve rızası olmaksızın ve üyelik sürecindekine benzer bir şekilde herhangi bir doğrulama yapılmaksızın üçüncü bir şahıs tarafından alışveriş sırasında kasa görevlisine bildirilmesi suretiyle, ilgili kişinin sadakat kartı üzerinden alışveriş işlemlerinin gerçekleştirilmesinin hukuka aykırı veri işleme faaliyetine ve kişisel veri ihlaline yol açabileceği değerlendirilmektedir.”
DOĞRULAMA MEKANİZMASI
Mağazalarda herhangi bir doğrulama yapılmadan kart üzerinden işlem yapılmasına olanak sağlayan mevcut uygulamalar sona eriyor. Kurul, asıl kart sahibinin bilgisi dahilinde işlem yapılabilmesi için veri sorumlularının uygun sistemleri hayata geçirmesine hükmetti. Karar metninde şu vurgu yapıldı:
“Kart numarasının üçüncü bir kişi tarafından alışveriş esnasında kasadaki görevliye bildirilmesi suretiyle herhangi bir doğrulama yapılmaksızın sadakat kart üzerinden alışveriş işleminin yapılabilmesine imkân sağlayan uygulamaya son verilmesine karar verilmiştir.”
İşletmeler; puan kazanımı, puan kullanımı, indirim veya promosyon tanımlama gibi işlemler sırasında müşterilerin cep telefonlarına doğrulama kodu göndermek veya benzeri güvenlik önlemleri almakla yükümlü kılındı.
