Mağaza ve market kartlarına düzenleme: Başkasının telefon numarasını kullanma dönemi bitiyor

Market ve mağazaların alışveriş yapan müşterilerine puan ve ödül sağlayan sadakat kartlarının kullanımıyla ilgili Kişisel Verileri Koruma Kurumu (KVKK) önemli bir karar aldı.

Resmi Gazete’de 28 Şubat 2026 tarihinde yayımlanan karara göre, sadakat kartlarının asıl sahibi dışında kullanılması yasalara aykırı bulundu. Kurum, kart sahiplerinin izni ve onayı olmadan başkaları tarafından kullanımının engellenmesi için onay mekanizması oluşturulması gerektiğine dikkat çekti. Mağazaların, 6 ay içinde müşterilere onay kodu gönderecek sistemleri kurması zorunlu olacak.

İHBAR ÜZERİNE İNCELEME BAŞLATILDI

KVKK’nın kararında, gıda, kozmetik, teknoloji, yapı market ve giyim sektöründeki birçok işletmenin sadakat kartlarını müşterilere verdiği vurgulandı. Kurum, kart sahibine ait cep telefonu numarası veya kart numarasının üçüncü kişilerce kasa görevlisine bildirilerek, onay kodu girilmeden alışveriş yapılması durumuna ilişkin şikâyet ve ihbarların incelemeye yol açtığını açıkladı.

KART SAHİBİ DIŞINDAKİ KULLANIMLAR VERİ İHLALİ SAYILDI

Kararda, kart sahibine SMS ile tek kullanımlık doğrulama kodu gönderilmesi ya da mobil uygulama üzerinden barkod okutma gibi yöntemlerle yapılan alışverişlerin yasal olduğu belirtilirken, bu yöntemler dışında kartın başkaları tarafından kullanılmasının kişisel veri ihlali oluşturduğu ifade edildi. Yani KVKK, doğrulama mekanizması devreye girmeden yapılan kart kullanımını veri güvenliği ihlali olarak değerlendirdi.

Kararda, “Kart numarasının, ilgili kişinin bilgisi ve rızası olmaksızın ve üyelik sürecindekine benzer bir şekilde herhangi bir doğrulama yapılmaksızın üçüncü bir şahıs tarafından alışveriş sırasında kasa görevlisine bildirilmesi suretiyle, ilgili kişinin sadakat kartı üzerinden alışveriş işlemlerinin gerçekleştirilmesinin hukuka aykırı veri işleme faaliyetine ve kişisel veri ihlaline yol açabileceği değerlendirilmektedir.” açıklaması yer aldı.

6 AY SÜRE TANINDI

Kararda, asıl sahibi dışında kart kullanımının engellenmesi gerektiği vurgusu yapılırken, “Kart numarasının üçüncü bir kişi tarafından alışveriş esnasında kasadaki görevliye bildirilmesi suretiyle herhangi bir doğrulama yapılmaksızın sadakat kart üzerinden alışveriş işleminin yapılabilmesine imkân sağlayan uygulamaya son verilmesine karar verilmiştir.” ifadeleri kullanıldı.

SADAKAT KARTLARINDA ONAY KODU ZORUNLULUĞU

Kişisel Verileri Koruma Kurumu (KVKK), sadakat kartlarının üyelik oluşturma, alışveriş sırasında puan kazanma, puan kullanma, indirim veya promosyonlardan yararlanma gibi işlemlerde, asıl kart sahibinin bilgisi ve onayı doğrultusunda kullanılmasını sağlamak için yeni bir karar aldı. Kurum, “Olası kişisel veri ihlallerini önlemek amacıyla veri sorumluları, bu amaca hizmet edecek uygun doğrulama sistemlerini kurmakla yükümlüdür” hükmünü getirdi.

Buna göre mağazalar, müşterilerin cep telefonlarına doğrulama kodu gönderecek sistemleri oluşturacak. Kararda, işletmelere bu mekanizmayı kurmaları için 6 aylık süre tanındı.

KVKK ayrıca, “Kanuna aykırı şekilde onay mekanizmasını uygulamayan veya İlke Kararında belirtilen kurallara uymayan veri sorumluları hakkında, Kişisel Verileri Koruma Kanunu’nun 18’inci maddesi uyarınca gerekli işlemler yapılacaktır” uyarısında bulundu.