Perakende sektöründe gıda, kozmetik, teknoloji, yapı market, giyim olmak üzere birçok işletme tarafından müşterilere dağıtılan sadakat kartları mercek altına alındı. KVKK, üçüncü kişilerin bu kartları asıl sahibinden habersiz kullanmasını önlemek maksadıyla kritik bir karar aldı. Resmi Gazete'de 28 Şubat 2026 tarihinde yayınlanan söz konusu düzenlemeyle birlikte, tüketici verilerinin korunması garanti altına alınacak.
Şikayetler Üzerine İnceleme Başlatıldı
Müşterilerin mağduriyetini önlemeyi amaçlayan karar, kuruma ulaşan yoğun geri bildirimler sonucunda şekillendi. KVKK'nın paylaştığı açıklamada, problemin kaynağı şu sözlerle aktarıldı: “Kart sahibi ilgili kişiye ait cep telefonu numarasının veya sadakat kart numarasının üçüncü bir şahıs tarafından alışveriş sırasında kasa görevlisine bildirilmek suretiyle, ilgili kişinin bilgisi ve rızası olmaksızın ve herhangi bir işlem onay kodu sisteme girilmeksizin alışveriş işlemlerinin gerçekleştirildiğine ilişkin Kişisel Verileri Koruma Kurumuna intikal ettirilen ihbar ve şikayetler.” Tüketiciler indirimden faydalanmak isterken bir başkasının numarasını kasada söyleyebiliyordu.
Doğrulama Sistemi Mecburi Oluyor
Kurul, uygulanan mevcut sistemlerin asıl kart sahibi için onay mekanizması kurulması gerektiğine kanaat getirdi. Yürürlüğe giren yeni kurallara göre, firmaların işlemler esnasında kart sahibine ait cep telefonu numarasına SMS yoluyla tek kullanımlık doğrulama kodu göndermesi veya mobil uygulama barkod/okutma yöntemlerini entegre etmesi istenecek. Kurum, belirtilen güvenlik duvarlarının dışındaki her türlü kullanım şeklini doğrudan veri ihlali olarak tanımlıyor. Market yönetimlerine gerekli altyapıyı kurmaları ve mağazalar, 6 ay içinde onay kodu gönderme için sistemler kuracak şeklinde mühlet tanındı.
Hukuka Aykırı Kullanıma Son
Mevcut alışveriş pratiğinin tehlikelerine dikkat çekilen resmi yazıda uygulamanın tamamen durdurulması emredildi. Metinde yer alan “Kart numarasının üçüncü bir kişi tarafından alışveriş esnasında kasadaki görevliye bildirilmesi suretiyle herhangi bir doğrulama yapılmaksızın sadakat kart üzerinden alışveriş işleminin yapılabilmesine imkân sağlayan uygulamaya son verilmesine karar verilmiştir.” şeklindeki ifade, süreci netleştiriyor. Ayrıca kurul, asıl kişinin rızası dışında gerçekleşen bu tür işlemlerin, hukuka aykırı veri işleme faaliyetine ve kişisel veri ihlaline yol açabileceği değerlendirilmektedir uyarısını yaptı. Böylece indirimden, promosyondan faydalanma yahut alışverişte puan kazanımı ve kullanımı gibi tüm işlemler asıl müşterinin onayına bağlanmış oldu.
