SADAKAT KART PROGRAMLARI KAPSAMINDA HER BİR İŞLEMİN İLGİLİ KİŞİYE AİT OLDUĞUNUN DOĞRULANMASINA DAİR İLKE KARAR YAYIMLANDI
28 Şubat 2026 tarihli ve 33182 sayılı Resmi Gazete’de yayımlanan 11 Şubat 2026 tarihli ve 2026/266 sayılı İlke Karar’da Kişisel Verileri Koruma Kurulu (“Kurul”) sadakat kart üyeliği bulunan bir kişinin cep telefonu numarasının veya sadakat kart numarasının üçüncü bir kişi tarafından alışveriş esnasında kullanılmasının önüne geçilmesi için uyulması gereken esas ve usulleri ortaya koymuştur.
- İlke Karar’a Konu Maddi Olay
İlke Karar’a konu olay; muhtelif sektörlerde veri sorumluları tarafından yürütülmekte olan sadakat kart programları kapsamında; sadakat kart sahibi ilgili kişiye ait cep telefonu numarasının alışveriş sırasında üçüncü bir şahıs tarafından kasa görevlisi ile paylaşılması suretiyle alışveriş yapılması; sadakat kart üzerinden yapılan bu alışveriş işleminin kasa görevlisi tarafından herhangi bir işlem onay kodu sisteme girilmeksizin gerçekleştirilmesi; ilgili kişinin alışveriş işlemi sırasında kasada olmamasına, bilgisinin ve rızasının bulunmamasına rağmen veri sorumlusu tarafından ilgili kişiye ait cep telefonu numarasının üçüncü şahıs tarafından paylaşılması suretiyle kişisel verileri kullanılarak sadakat kartı üzerinden alışveriş yapılmasına olanak sağlanması; ayrıca yapılan alışverişe ilişkin fatura vb. belgenin ilgili kişi adına düzenlenmesidir.
- İlke Karar’da Tespit Edilen Hukuki Sorun
Kurul; İlke Karar’da aşağıdaki hukuki sorunları tespit etmiştir:
- İlgili kişiye ait cep telefonu numarasının veya sadakat kart numarasının, bilgisi ve rızası olmaksızın üçüncü bir kişi tarafından alışveriş esnasında kasada görevli kişiye bildirilmesi suretiyle ilgili kişi adına alışveriş işlemi gerçekleştirilmesi, Kişisel Verilerin Korunması Hakkında Kanun’un (“Kanun”) 5’inci maddesinde yer alan herhangi bir veri işleme şartına dayandırılamayacaktır ve hukuka aykırı kişisel veri işleme faaliyetine yol açmaktadır,
- İlgili kişiye ait cep telefonu numarası veya sadakat kart numarası kullanılarak ilgili kişinin bizzat kendisi tarafından yapılmayan, bilgisinin ve rızasının olmadığı bir alışveriş işlemine ilişkin olarak ilgili kişi adına fatura vb. belge düzenlenmesi ve/veya müşteri işlem bilgisinin (hangi mağazadan, hangi tarihte, hangi ürünün satın alındığı vb.) ilgili kişi ile ilgili kayıtlara/ üyelik hesabına işlenmesi suretiyle gerçekleşen kişisel veri işleme faaliyeti Kanun’un 4’üncü maddesinde öngörülen “doğru ve gerektiğinde güncel olma” ilkesine aykırılık teşkil etmektedir,
- Her ne kadar veri sorumluları tarafından sadakat kart üyelik sözleşmesi kapsamında ilgili kişilerin şahsi kullanımına yönelik olarak düzenlenen sadakat kartın üçüncü kişilere kullandırılmaması hususunda ilgili kişilere sorumluluk yüklenmiş olsa da bu durum veri sorumluları tarafından yürütülen kişisel veri işleme faaliyetlerinde Kanun’un 12’nci maddesinde düzenlenen kişisel veri güvenliğini sağlama yükümlülüğünü ortadan kaldırmamaktadır.
- İlke Karar Uyarınca Veri Sorumlularının Uyması Gereken Yükümlülükler
Kurul, İlke Karar’da sadakat kart programı uygulaması olan veri sorumlularının uymaları gereken ve Kurul tarafından belirlenen usul ve esasları aşağıdaki şekildedir;
- Kanun kapsamında hukuka aykırı olduğu değerlendirilen, ilgili kişiye ait cep telefonu numarasının veya sadakat kart numarasının ilgili kişinin bilgisi ve rızası dışında üçüncü bir kişi tarafından alışveriş esnasında kasadaki görevliye bildirilmesi suretiyle sadakat kart üzerinden alışveriş işleminin yapılabilmesine imkân sağlayan uygulamaya son verilmesi,
- Sadakat kart üzerinden gerçekleşen alışveriş işlemlerine ilişkin kişisel veri işleme süreçlerinin Kanun’a uygun olmasını teminen, Kanun’un 12’nci maddesinde düzenlenen gerekli teknik ve idari tedbirlerin alınması,
- Sadakat kart sahibi ilgili kişinin cep telefonu numarasının veya sadakat kart numarasının sadece sadakat kart programına kayıt esnasında değil, sadakat kartların herhangi bir diğer amaçla (alışverişte puan kazanımı, puan kullanımı, indirimden/ promosyondan faydalanma vb.) kullanımı için de
- ilgili kişilerin cep telefonu numarasına SMS yoluyla gönderilen tek kullanımlık doğrulama kodunun kasa görevlisine bildirilmesi;
- mobil uygulama/ internet sitesi üzerinden sağlanan barkodun/ QR kodun kasada okutulması;
- fiziki sadakat kartın kasada ibrazı/ okutulması;
- sadakat kart şifresinin kasada işlem cihazına girilmesi;
- sadakat kart programları kapsamında oluşturulan online üyelik hesabı üzerinden sadakat kart kullanımında yalnızca cep telefonu numarası bildirilmek suretiyle alışveriş esnasında hangi işlemlerin (alışverişte puan kazanma/ indirim veya promosyondan faydalanma/ puan harcama) yapılmasına onay verildiğine ilişkin “opt-in” olarak ilgili kişilere tercih imkanının sunulması vb. yöntemler kullanılmak suretiyle veri sorumluları tarafından doğrulama mekanizmalarının oluşturulması.
- Uyum Süresi
Bahse konu doğrulama mekanizmalarının veri sorumluları tarafından İlke Kararının yayımlanma tarihi olan 28 Şubat 2026 tarihinden itibaren 6 (altı) ay içerisinde oluşturulması gerekmektedir.
- Sonuç ve Özet
İlke Karar ile birlikte; sadakat kart programı uygulaması olan veri sorumlularının sadece programa kayıt esnasında değil, program kapsamında üyelik numarası veya cep telefonu numarasının kullanıldığı her işlemde ilgili numarayı kullanan kişinin, ilgili numara sahibi olan kişi olduğunun ispatına ilişkin mekanizmaları oluşturmaları gerekmektedir.
Sadece üyelik numarası veya cep telefonu numarası alınarak herhangi bir ek doğrulama yapılmaksızın işlem yapılması uygulamasına derhal son verilmelidir.
Söz konusu mekanizmaların geliştirilmesi için veri sorumlularının 28 Ağustos 2026 tarihine kadar süreleri bulunmaktadır.
