Kişisel Verileri Koruma Kurulu’nun (“Kurul”) 11 Şubat 2026 tarihli ve 2026/266 sayılı “Sadakat Kart Üyeliği Bulunan Bir Kişinin Cep Telefonu Numarasının veya Sadakat Kart Numarasının Üçüncü Bir Kişi Tarafından Alışveriş Esnasında Kullanılması Hakkında İlke Kararı” (“İlke Kararı”), 28 Şubat 2026 tarihli ve 33182 sayılı Resmî Gazete‘de yayımlanmıştır.
İlke Kararı ile başta gıda, kozmetik, teknoloji, giyim ve yapı market olmak üzere çeşitli sektörlerde yaygın olarak kullanılan sadakat kart programlarında; sadakat kart sahibine ait cep telefonu numarasının veya sadakat kart numarasının üçüncü kişiler tarafından alışveriş sırasında kasa görevlisine bildirilmesi suretiyle ve herhangi bir doğrulama yapılmaksızın işlem gerçekleştirilebilmesine ilişkin uygulamalar değerlendirilmiştir.
Kurul tarafından yapılan incelemelerde, söz konusu uygulama kapsamında;
- Sadakat kart sahibinin bilgisi ve onayı olmaksızın üçüncü kişiler tarafından alışveriş işlemleri gerçekleştirilebildiği,
- Bu işlemler sonucunda düzenlenen fatura veya benzeri belgelerin çoğu zaman sadakat kart sahibi adına düzenlenebildiği,
- Alışverişe ilişkin müşteri işlem bilgilerinin (satın alınan ürün veya hizmet, satın alma tarihi vb.) sadakat kart sahibinin üyelik hesabına işlenebildiği
tespit edilmiştir.
Kurul, söz konusu uygulamanın 6698 sayılı Kişisel Verilerin Korunması Kanunu (“
Kanun”) kapsamında hukuka aykırı veri işleme faaliyetlerine ve kişisel veri ihlallerine yol açabileceğini değerlendirmiştir. Bu kapsamda; ilgili kişinin bizzat gerçekleştirmediği bir alışverişe ilişkin müşteri işlem bilgilerinin ilgili kişinin hesabına işlenmesinin Kanun’un 4’üncü maddesinde düzenlenen “kişisel verilerin doğru ve gerektiğinde güncel olma” ilkesine aykırılık teşkil edebileceği, ayrıca söz konusu veri işleme faaliyetinin Kanun’un 5’inci maddesinde düzenlenen veri işleme şartlarından herhangi birine dayanmadığı belirtilmiştir.
Öte yandan Kurul, sadakat kart üyelik sözleşmelerinde kartın üçüncü kişiler tarafından kullanılmamasına ilişkin hükümlere yer verilmiş olmasının veri sorumlusunun Kanun’un 12’nci maddesi kapsamında sahip olduğu kişisel veri güvenliğini sağlama yükümlülüğünü ortadan kaldırmayacağını da ifade etmiştir.
Bu kapsamda İlke Kararı ile veri sorumlularının;
- Sadakat kart sahibi ilgili kişiye ait cep telefonu numarası veya sadakat kart numarasının üçüncü kişiler tarafından herhangi bir doğrulama yapılmaksızın kullanılmasına imkân sağlayan uygulamalara son vermesi,
- Sadakat kart üzerinden gerçekleştirilen alışveriş işlemlerinin ilgili kişinin bilgisi ve rızası dahilinde gerçekleştiğini doğrulayacak uygun teknik ve idari mekanizmaları oluşturması gerektiği belirtilmiştir.
Kurul ayrıca veri sorumlularının söz konusu doğrulama mekanizmalarını oluştururken SMS ile tek kullanımlık doğrulama kodu gönderilmesi, mobil uygulama veya internet sitesi üzerinden barkod veya QR kod okutulması, fiziksel kart ibrazı veya sadakat kart şifresi (PIN) kullanılması gibi farklı doğrulama yöntemlerinden yararlanabileceğini ifade etmiştir. Buna göre işlem türüne ve risk seviyesine göre farklı doğrulama mekanizmaları tercih edilebilecektir. Bunun yanında işlem türüne ve risk seviyesine göre farklı doğrulama mekanizmalarının tercih edilebileceği de belirtilmiştir.
İlke Kararı kapsamında veri sorumlularına gerekli teknik ve idari tedbirleri alarak sadakat kart uygulamalarını Kanun’a uygun hale getirmeleri amacıyla İlke Kararı’nın Resmî Gazete ’de yayımlandığı tarihten itibaren
6 aylık uyum süresi tanınmıştır. Bu süre içerisinde gerekli önlemleri almaksızın söz konusu uygulamaya devam eden veri sorumluları hakkında Kanun’un 18’inci maddesi kapsamında idari yaptırım uygulanabilecektir.
Resmî Gazete’de yayımlanan İlke Kararı’na
buradan erişebilirsiniz.