Sadakat Kart uygulamalarında "Doğrulama" dönemi başlıyor

Kişisel Verileri Koruma Kurulu (KVKK), sadakat kart üyeliklerinde üçüncü kişilerin cep telefonu numarası veya kart numarası söyleyerek başkası adına alışveriş yapmasını engelleyen kritik bir ilke kararı yayımladı. Yeni kararla birlikte mağazalar, alışveriş sırasında telefon numarası beyan eden kişinin gerçek hak sahibi olduğunu doğrulamak zorunda kalacak.

28 Şubat 2026 tarihli Resmî Gazete’de yayımlanan karar; gıda, kozmetik, teknoloji ve giyim gibi pek çok sektörde yaygın olan "sadakat kart" kullanım usullerini kökten değiştiriyor. Kurul, ilgili kişinin bilgisi ve rızası olmaksızın başkasına ait telefon numarası üzerinden alışveriş yapılmasını hukuka aykırı buldu.

Mağaza Kasalarında "Sadece Numara Söyleme" Devri Kapanıyor

Kurulun araştırmasına göre, mevcut uygulamada sadece telefon numarası beyan edilerek herhangi bir onay kodu girilmeksizin indirimlerden faydalanıldığı tespit edilmiştir. Bu durumun; asıl hak sahibi adına rızası dışında fatura düzenlenmesine ve alışveriş geçmişine (müşteri işlem bilgisi) hatalı kayıtlar işlenmesine yol açtığı vurgulandı.

Alınan ilke kararı uyarınca, bu tür uygulamaların 6698 sayılı Kanun’daki "doğru ve gerektiğinde güncel olma" ilkesine aykırılık teşkil ettiği belirtilmiştir.

Artık Doğrulama Mekanizması Şart

Veri sorumluları (mağazalar ve işletmeler), alışverişin gerçek üye tarafından yapıldığını teyit etmek için aşağıdaki yöntemlerden birini kullanmakla yükümlü olacak:

SMS Onayı: Cep telefonuna gönderilen tek kullanımlık doğrulama kodunun kasa görevlisine bildirilmesi.

Dijital Kodlar: Mobil uygulama veya internet sitesi üzerinden sağlanan barkod/QR kodun kasada okutulması.

Fiziki Kart ve Şifre: Fiziki sadakat kartın ibrazı veya kart şifresinin işlem cihazına girilmesi.

Tercih İmkanı (Opt-in): Online üyeliklerde sadece telefon numarasıyla hangi işlemlerin yapılabileceğine dair kullanıcıya tercih sunulması.

6 Aylık Uyum Süresi Tanındı

Kurul, sektör temsilcilerinin görüşlerini de alarak veri sorumlularına bu yeni doğrulama mekanizmalarını kurabilmeleri için 6 aylık bir uyum süresi tanıdı. Bu süre sonunda kararda belirtilen önlemleri almayan ve hukuka aykırı veri işleme faaliyetine devam eden işletmeler hakkında, Kanun'un 18'inci maddesi hükümleri çerçevesinde idari işlem tesis edilecek.

Veri Sorumlusunun Yükümlülüğü Kalkmıyor

Kararda dikkat çeken bir diğer husus ise üyelik sözleşmeleri oldu. İşletmeler sözleşmelerde sadakat kartın kullanım sorumluluğunu üyeye yüklese dahi, bu durum veri sorumlusunun "veri güvenliğini sağlama" yükümlülüğünü ortadan kaldırmayacak.