Sadakat Kart Uygulamalarına İlişkin KVKK Uyum Süresi 28 Şubat 2027’ye Uzatıldı

Giriş

Kişisel Verileri Koruma Kurulu (“Kurul”), sadakat kart sahibi kişilere ait cep telefonu numarası veya sadakat kart numarasının üçüncü kişiler tarafından alışveriş sırasında kullanılmasına ilişkin daha önce belirlenen uyum süresini 28 Şubat 2027 tarihine kadar uzattı. Konu ile ilgili Kurul’un 22 Temmuz 2026 tarihli ve 2026/1491 sayılı kararı, 13 Ağustos 2026 tarihli ve 33339 sayılı Resmî Gazete’de yayımlandı.

Arka Plan

Kurul, 11 Şubat 2026 tarihli ve 2026/266 sayılı İlke Kararı ile sadakat kart programlarında yaygın şekilde karşılaşılan önemli bir kişisel veri koruma sorununu ele almıştı. (2026/266 sayılı İlke Karar’a buradan ulaşabilirsiniz)

İncelemelerde; sadakat kart sahibinin cep telefonu numarasının veya sadakat kart numarasının başka bir kişi tarafından kasada bildirilmesi suretiyle, herhangi bir doğrulama yapılmaksızın kart sahibinin hesabı üzerinden alışveriş yapılabildiği ve indirim veya promosyonlardan yararlanılabildiği tespit edilmişti. Ayrıca, sadakat kart üzerinden gerçekleştirilen alışverişler sonucunda düzenlenen fatura ve benzeri belgelerin sıklıkla sadakat kart sahibi ilgili kişi adına düzenlendiği; satın alınan ürün veya hizmet, satın alma tarihi ve benzeri müşteri işlem bilgilerinin de ilgili kişinin üyelik hesabı veya müşteri profiliyle ilişkilendirilerek kaydedildiği belirtilmişti. Bu çerçevede Kurul, sadakat kart sahibinin bilgisi ve rızası dışında cep telefonu numarasının veya sadakat kart numarasının üçüncü bir kişi tarafından kullanılması halinde, gerçekte ilgili kişiye ait olmayan alışveriş bilgilerinin kişinin kayıtlarına veya üyelik hesabına işlenebileceğine ya da ilgili kişinin gerçekleştirmediği bir alışverişe ilişkin faturanın ilgili kişi adına düzenlenebileceğine dikkat çekmişti.

Kurul, ilgili kişinin bilgisi ve onayı dışında gerçekleştirilen bu tür işlemlerin;

• 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 5. maddesi kapsamında hukuka uygun bir veri işleme şartına dayandırılamayabileceğini,
• gerçekte ilgili kişiye ait olmayan alışveriş bilgilerinin kişinin müşteri profiline kaydedilmesinin KVKK’nin 4. maddesinde öngörülen “doğru ve gerektiğinde güncel olma” ilkesine aykırılık oluşturabileceğini,
• sadakat kartının üçüncü kişilere kullandırılmaması konusunda üyeye sözleşmesel yükümlülük getirilmesinin, veri sorumlusunun KVKK’nin 12. maddesinden kaynaklanan veri güvenliği sağlama yükümlülüğünü ortadan kaldırmayacağını

değerlendirmişti.

Bu değerlendirmeler doğrultusunda Kurul, herhangi bir doğrulama yapılmaksızın üçüncü kişilerin sadakat kart sahibi adına işlem gerçekleştirebilmesine imkân sağlayan uygulamalara son verilmesine ve sadakat kart üzerinden gerçekleştirilen alışveriş işleminin ilgili kişinin bilgisi ve rızası dahilinde gerçekleştiğinin doğrulanmasını sağlayacak uygun teknik ve idari tedbirlerin veri sorumluları tarafından alınmasına karar vermişti.

Veri Sorumlularından Ne Bekleniyor?

2026/266 sayılı İlke Kararı uyarınca veri sorumlularının, sadakat kartının alışveriş sırasında kullanılmasının kart sahibinin bilgisi ve onayı dahilinde gerçekleştiğini doğrulayabilecek mekanizmalar oluşturması gerekiyor.

Kurul, doğrulama yöntemlerinin tek tip olmak zorunda olmadığını da belirtmektedir. İlgili kişilerin yaş, eğitim düzeyi, ekonomik durum ve teknoloji okuryazarlığı gibi farklılıkları dikkate alınarak alternatif doğrulama yöntemleri sunulabilir. Aynı şekilde üyelik doğrulama, puan kazanma, puan kullanma veya indirim/promosyondan faydalanma gibi farklı işlemler için, işlemin risk seviyesine göre farklı yöntemler tercih edilebilir.

Bu kapsamda veri sorumlularının, kendi sistem ve operasyonlarının özelliklerine göre örneğin SMS üzerinden tek kullanımlık doğrulama kodu, mobil uygulama veya internet sitesi üzerinden oluşturulan barkod/QR kod ya da benzeri güvenli doğrulama yöntemlerini değerlendirmesi mümkündür. Kurul’un kararında bu tür yöntemler sadakat kart üyeliğinde kullanılan doğrulama uygulamalarına örnek olarak ele alınmaktadır.

Uyum Süresi 28 Şubat 2027’ye Uzatıldı

2026/266 sayılı İlke Kararı, 28 Şubat 2026 tarihli Resmî Gazete’de yayımlanmış ve veri sorumlularına gerekli doğrulama mekanizmalarını oluşturabilmeleri için yayımdan itibaren altı aylık bir uyum süresi tanınmıştı. Ancak sektör temsilcileri, yükümlülüklerin etkin ve sürdürülebilir şekilde yerine getirilebilmesi ve doğrulama yöntemlerinin teknik, idari ve operasyonel açıdan güvenli şekilde uygulanabilmesi amacıyla Kurul’dan ek süre talep etti.

Kurul, bu talepleri değerlendirerek 22 Temmuz 2026 tarihli ve 2026/1491 sayılı Kararı ile uyum süresini 28 Şubat 2027 tarihine kadar uzattı.

Şirketler Açısından Ne Anlama Geliyor?

Süre uzatımı, özellikle perakende, gıda, kozmetik, teknoloji, yapı market ve giyim gibi sadakat programlarının yoğun biçimde kullanıldığı sektörlerde faaliyet gösteren şirketlere sistemlerini yeniden yapılandırmak için ek zaman sağlıyor.

Bununla birlikte, süre uzatımı şirketler için getirilen yükümlülüklerin kaldırıldığı veya esaslarının değiştirildiği anlamına gelmiyor. Veri sorumlularının en geç 28 Şubat 2027 tarihine kadar sadakat kartlarının yetkisiz üçüncü kişiler tarafından kullanılmasını önlemeye yönelik uygun doğrulama mekanizmalarını devreye almaları gerekiyor.

Şirketlerin Atması Gereken Adımlar

Sadakat kartı veya benzeri müşteri üyelik programları yürüten veri sorumlularının uyum süresini yalnızca teknik geliştirme dönemi olarak değil, uçtan uca bir KVKK uyum projesi olarak değerlendirmesi önem taşıyor.

Bu kapsamda şirketlerin özellikle:

1. Mevcut sadakat programı süreçlerini analiz etmesi: Telefon numarası, kart numarası, müşteri numarası veya benzeri bilgiler kullanılarak üçüncü kişilerce işlem yapılıp yapılamadığının tespit edilmesi,
2. Doğrulama mekanizması tasarlaması: İlgili kişinin bilgisi ve onayı dışında işlem yapılmasını önleyecek, kullanım senaryosunun risk seviyesine uygun teknik çözümlerin belirlenmesi,
3. Alternatif erişim yöntemlerini değerlendirmesi: Teknoloji kullanımı konusunda farklı ihtiyaçlara sahip müşteri gruplarının göz önünde bulundurulması,
4. POS, CRM ve sadakat platformlarının gözden geçirilmesi: Satın alma bilgileri, puan hareketleri, indirim/promosyon kullanımları ve fatura kayıtlarının doğru müşteriyle ilişkilendirilmesini sağlayacak kontrollerin oluşturulması,
5. İdari süreçleri güncellemesi: Mağaza ve kasa çalışanlarına yönelik prosedürlerin ve eğitimlerin yeni doğrulama modeliyle uyumlu hale getirilmesi,
6. Tedarikçi ve hizmet sağlayıcıları değerlendirmesi: Sadakat programı, CRM, mobil uygulama, SMS veya doğrulama altyapısında hizmet alınan üçüncü taraflarla yapılan sözleşmelerin ve veri güvenliği tedbirlerinin gözden geçirilmesi,
7. KVKK dokümantasyonunu güncellemesi: Kişisel veri işleme envanteri, aydınlatma metinleri, saklama süreçleri, risk analizleri ve ilgili teknik/idari tedbir kayıtlarının yeni süreçle uyumlu hale getirilmesi

konularında çalışma yürütmeleri önerilmektedir.

Yaptırım Riski

Kurul’un 2026/266 sayılı İlke Kararı’nda, gerekli önlemleri almaksızın hukuka aykırı uygulamaya devam ettiği veya ilgili kararda belirtilen yükümlülüklere uygun hareket etmediği tespit edilen veri sorumluları hakkında KVKK’nin 18. maddesi kapsamında işlem tesis edilebileceği açıkça belirtilmiştir.

Bu nedenle 28 Şubat 2027 tarihi, yalnızca teknik bir sistem geliştirme son tarihi olarak değil, sadakat programlarının kişisel verilerin korunması mevzuatına uyumunun tamamlanması açısından kritik bir uyum tarihi olarak ele alınmalıdır.

Sonuç

Kurul’un 2026/1491 sayılı kararı, veri sorumlularına önemli bir ek uyum süresi sağlamış olmakla birlikte sadakat kart uygulamalarına yönelik temel yaklaşım değişmemiştir. Sadakat kart sahibinin cep telefonu veya kart numarasının tek başına bildirilmesiyle, kart sahibinin bilgisi ve onayı doğrulanmadan üçüncü kişilerce alışveriş yapılmasına imkân sağlayan sistemlerin 28 Şubat 2027 tarihine kadar uygun doğrulama mekanizmalarıyla yeniden yapılandırılması gerekmektedir. Özellikle yüksek işlem hacmine sahip sadakat programlarını yöneten şirketlerin, teknik geliştirmelerin yanı sıra süreç, sözleşme, dokümantasyon ve çalışan eğitimlerini de kapsayacak şekilde uyum çalışmalarını şimdiden planlaması yerinde olacaktır.

2026/1491 sayılı karara buradan ulaşabilirsiniz.