I. Giriş
Kişisel Verileri Koruma Kurulunun 22 Temmuz 2026 tarihli ve 2026/1491 sayılı kararı, 13 Ağustos 2026 tarihli ve 33339 sayılı Resmî Gazete’de yayımlanmıştır. Kararla, sadakat kartı işlemlerinde üçüncü kişi kullanımının doğrulanmasına ilişkin uyum süresi 28 Şubat 2027 tarihine kadar uzatılmıştır.
Uzatmaya konu uyum süresi, Kişisel Verileri Koruma Kurulunun 11 Şubat 2026 tarihli ve 2026/266 sayılı İlke Kararı‘nda öngörülmüştür. 28 Şubat 2026 tarihli ve 33182 sayılı Resmî Gazete’de yayımlanan bu İlke Kararı, sadakat kartı sahibine ait cep telefonu veya kart numarasının üçüncü bir kişi tarafından alışveriş sırasında herhangi bir doğrulama yapılmaksızın kullanılmasına imkân veren uygulamaya son verilmesini öngörmekte ve veri sorumlularının, işlemin kart sahibinin bilgisi ve rızası dâhilinde gerçekleştirildiğini doğrulayacak uygun mekanizmalar oluşturmasını gerektirmektedir.
İlke Kararı, bu mekanizmaların oluşturulabilmesi için veri sorumlularına Resmî Gazete’de yayımlandığı tarihten itibaren altı aylık bir uyum süresi tanımış; bu sürenin 28 Ağustos 2026 tarihinde sona ermesi öngörülmüştür. Sektörden iletilen talepler üzerine alınan 2026/1491 sayılı Karar, yalnızca uyum süresinin son tarihini 28 Şubat 2027’ye uzatmıştır. İlke Kararı’ndaki hukuki değerlendirme, doğrulama hedefi ve teknik ve idari tedbir yükümlülüğü değişmemiştir.
II. İlke Kararının Kapsamı Ve Hukuki Dayanağı
Doğrulama Gerektiren İşlem
2026/266 sayılı İlke Kararı’nın çıkış noktası, kart sahibinin cep telefonu veya sadakat kartı numarasının üçüncü bir kişi tarafından kasa görevlisine bildirilmesi ve alışverişin kart sahibinden bağımsız olarak onun hesabına bağlanmasıdır. Kurul incelemesinde bu yöntemin indirim ve promosyonlardan yararlanma veya puan kazanma gibi işlemlerde kullanıldığı, alışveriş bilgilerinin ve kimi durumlarda faturanın kart sahibiyle ilişkilendirildiği tespit edilmiştir. Kart sahibinin yapmadığı ve bilgisi dâhilinde olmayan bir işlemin müşteri hesabına kaydedilmesi, kişisel verilerin doğru ve gerektiğinde güncel olması ilkesiyle bağdaşmamaktadır.
Kurul, bu şekilde gerçekleştirilen işlemin 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 5’inci maddesindeki herhangi bir işleme şartına dayandırılamayacağını değerlendirmiştir. Sadakat kartı üyelik sözleşmesinde kartın üçüncü kişilere kullandırılmaması yönünde bir hüküm bulunması da veri sorumlusunun Kanun’un 12’nci maddesindeki veri güvenliği yükümlülüğünü ortadan kaldırmamaktadır. Dolayısıyla sorumluluğun yalnızca kart sahibine bırakılması, doğrulama mekanizmasının yerine geçmemektedir.
Doğrulamanın Kapsadığı İşlemler
İlke Kararı uyarınca doğrulama yükümlülüğü yalnızca birikmiş puanların kullanılmasıyla sınırlı değildir. Üyelik oluşturulması, alışverişte puan kazanılması ve indirim veya promosyondan yararlanılması dâhil olmak üzere, sadakat kartının alışveriş sırasında farklı amaçlarla kullanıldığı tüm işlemler kapsama girmektedir. Bu işlemler bakımından doğrulanması gereken husus, işlemin kart sahibinin bilgisi ve rızası dâhilinde gerçekleştirilmesidir.
Bununla birlikte, bütün işlem türlerinde aynı yöntemin kullanılması zorunlu değildir. Veri sorumluları, üyelik doğrulama, puan veya indirim kazanma ve puan harcama gibi farklı işlemlerin niteliğine ve riskine göre farklı doğrulama mekanizmaları tercih edebilmektedir. Uyum çalışmasında sadakat kartının hangi işlemlerde ve hangi kanallarda kullanıldığı belirlenmeli, ardından her işlem için uygun doğrulama yöntemi seçilmelidir.
III. Doğrulama Mekanizmasının Tasarımı
Alternatif Ve Riskle Uyumlu Yöntemler
İlke Kararı tek bir teknik yöntemi zorunlu kılmamaktadır. SMS ile tek kullanımlık kod, mobil uygulama üzerinden barkod veya QR kod ve benzeri araçlar karar metninde bilinen doğrulama örnekleri olarak yer almaktadır. Veri sorumlusu, yaş, eğitim düzeyi, ekonomik durum ve teknoloji okuryazarlığı gibi farklılıkları gözeterek ilgili kişi gruplarına alternatif yöntemler sunabilmekte, aynı şekilde üyelik doğrulama, puan kazanma, indirimden yararlanma ve puan harcama işlemleri için riskle orantılı farklı kontroller kurabilmektedir.
Uygulanacak yöntemlerin, belirli bir alışverişin kart sahibinin bilgisi ve onayıyla yapıldığını gösterecek bir işlem zinciri kurması gerekmektedir. Program mağaza kasası, internet sitesi, mobil uygulama, çağrı merkezi veya başka bir kanalda kullanıma açıksa, üçüncü kişi kullanımına açık olan her fiilî akış aynı kontrol hedefi bakımından test edilmelidir. Zira bir kanalda güçlü doğrulama bulunması, daha zayıf bırakılan başka bir kanaldaki yetkisiz kullanımı gidermemektedir.
İşlem Doğrulaması İle Açık Rıza Arasındaki Ayrım
İlke Kararı’nda yer alan “ilgili kişinin bilgisi ve rızası dâhilinde” ifadesi, sadakat kartının veya üyelik bilgilerinin üçüncü kişi tarafından kullanıldığı bir işlemin kart sahibinin bilgisi ve onayı dâhilinde gerçekleştirilip gerçekleştirilmediğinin doğrulanmasına ilişkindir. Bu nedenle müşteriye gönderilen kodun veya kullanılan diğer doğrulama yönteminin hangi alışverişi ya da hesap işlemini onayladığı açıkça bildirilmelidir.
Kart sahibinin belirli bir işleme verdiği bu onay, sadakat programı kapsamında yürütülen diğer kişisel veri işleme faaliyetleri bakımından genel bir açık rıza olarak değerlendirilmemelidir. İşlemin doğrulanması; pazarlama, profilleme, ticari elektronik ileti gönderimi veya açık rıza gerektiren başka bir veri işleme faaliyeti için ayrıca alınması gereken açık rızanın yerine geçmemektedir. Nitekim Kurulun 10 Haziran 2025 tarihli ve 2025/1072 sayılı İlke Kararı (RG 26.06.2025, 32938) da üyelik sözleşmesinin onaylanması, açık rıza alınması ve ticari elektronik ileti onayı verilmesi gibi hukuken farklı işlemlerin tek bir SMS doğrulama koduna bağlanmaması gerektiğini ortaya koymuş, ayrıca gönderilen kodun amacının ilgili kişiye açıklanmasını aramıştır. Bu işlemlerin her biri, kendi amacı ve hukuki şartları çerçevesinde ayrı bir tercih ve kayıt süreci üzerinden yürütülmelidir.
IV. Kayıt, Sözleşme Ve Organizasyonel Tedbirler
İspat Kayıtları Ve Süreç Sahipliği
Doğrulama mekanizmasının çalışması kadar, işlemin sonradan açıklanabilmesi de önem taşımaktadır. Veri sorumlusu; işlemin kanalı, zamanı, türü, uygulanan doğrulama yöntemi ve sonucu ile hata veya istisna akışını ortaya koyan ölçülü bir kayıt düzeni kurmalıdır. Tam doğrulama kodunun veya işlem için gereksiz kişisel verilerin saklanması yerine, kontrolün başarıyla tamamlandığını ve hangi kurala göre sonuçlandığını gösterecek sınırlı kanıt tercih edilmelidir.
2026/266 sayılı İlke Kararı özel bir log formatı veya saklama süresi belirlememektedir. Kayıtların kapsamı ve süresi, sadakat programındaki veri işleme amacı, işlem riski, uyuşmazlık ve ihlal yönetimi ihtiyaçları ile genel saklama ve imha politikası çerçevesinde belirlenmelidir. Hukuk ve veri koruma ekipleri işlem şartlarını ve kanıt standardını, bilgi teknolojileri ekibi teknik kontrolleri, operasyon ekipleri ise kasa ve müşteri hizmetleri talimatlarını sahiplenmelidir.
Teknoloji Sağlayıcıları Ve Denetim
Kanun’un 12’nci maddesi uyarınca, kişisel verilerin veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde veri sorumlusu gerekli tedbirler bakımından veri işleyenle birlikte müştereken sorumludur. Bu nedenle sadakat platformunu, mesaj gönderimini, mobil uygulamayı, müşteri ilişkileri sistemini veya çağrı merkezi altyapısını sağlayan şirketlerin kullanılması, perakendecinin kontrol ve denetim yükümlülüğünü kaldırmamaktadır.
Tedarikçi sözleşmelerinde doğrulama akışındaki roller, erişim yetkileri, değişiklik yönetimi, güvenlik olaylarının bildirimi, alt veri işleyen kullanımı, kayıtların temini ve denetim hakları açık biçimde düzenlenmelidir. Teknik sağlayıcının hizmet seviyesi taahhüdü de yalnızca sistemin erişilebilirliğini değil, doğrulamanın yanlış hesaba bağlanmasını önleyen kontrolleri ve hatalı işlemin düzeltilmesi için gereken kanıtı kapsamalıdır.
Kasa ve müşteri hizmetleri personeli bakımından düzenli eğitim ayrı bir idari tedbirdir. Personel, müşteriden kod istemenin amacı ile pazarlama izni alma sürecini birbirinden ayırabilmeli, kodu müşteri yerine girmemeli, istisna taleplerinde tanımlı yetkilendirme yolunu kullanmalı ve doğrulama başarısız olduğunda işlemi başka bir hesap üzerinden tamamlamamalıdır.
V. 28 Şubat 2027 Öncesi Uyum Takvimi
2026/1491 sayılı Karar yalnızca uyum süresinin son tarihini değiştirmiştir. 2026/266 sayılı İlke Kararı’ndaki hukuki değerlendirme, doğrulama hedefi ve teknik ve idari tedbir yükümlülüğü aynen korunmaktadır. Ne var ki uzatma, doğrulamasız üçüncü kişi kullanımının kalıcı biçimde sürdürülmesine dayanak oluşturmamaktadır. Ek süre, çok kanallı sistemlerin tasarlanması, uygulanması ve kanıtlanabilir biçimde test edilmesi için kullanılmalıdır.
İlk aşamada sadakat kartının kullanıldığı bütün kanallar, işlem türleri, veri akışları ve tedarikçiler envantere alınmalıdır. Hangi işlemlerin yalnızca telefon veya kart numarasıyla tamamlandığı, hangi kayıtların kart sahibi hesabına işlendiği ve mevcut istisnaların kim tarafından onaylandığı belirlenmelidir. Bu envanter, yüksek riskli puan harcama veya hesap değişikliği gibi işlemlerle düşük riskli puan kazanma akışlarının aynı kontrol altında tutulup tutulmayacağına ilişkin kararı desteklemelidir.
İkinci aşamada doğrulama seçenekleri, erişilebilir alternatifler ve müşteri iletişim metinleri onaylanmalı, ardından kasa, e-ticaret, mobil uygulama ve destek kanalları üzerinde uçtan uca test yapılmalıdır. Testler yalnızca başarılı işlemi değil, yanlış kod, süre aşımı, cihaz erişimi bulunmayan müşteri, iade, iptal, hesap düzeltme ve hizmet kesintisi senaryolarını da içermelidir. Son aşamada tedarikçi sözleşmeleri, personel talimatları, olay yönetimi ve denetim kanıtları tamamlanarak sistem 28 Şubat 2027’den önce üretim ortamında doğrulanmalıdır.
İlke Kararı’nda belirtilen tedbirleri almadan Kanun’a aykırı uygulamaya devam ettiği tespit edilen veri sorumluları hakkında Kanun’un 18’inci maddesi çerçevesinde işlem tesis edilecektir. Bu yaptırım bağlantısı, uyum dosyasının yalnızca politika belgelerinden değil, çalışan teknik kontrol, eğitim kaydı, test sonucu ve denetim çıktısından oluşmasını gerektirmektedir.
VI. Genel Değerlendirme
Sadakat kartı doğrulama yükümlülüğü, kart sahibinin bilgisi dışında yapılan bir alışverişin onun işlem geçmişine, puan bakiyesine veya adına düzenlenen belgelere bağlanmasını önleyen bir veri güvenliği tedbiridir. Kurul tek bir doğrulama aracını zorunlu tutmamış, farklı kişi grupları ve işlem riskleri için alternatif yöntemlere izin vermiştir. Buna karşılık üçüncü kişi kullanımına açık bir kanalın doğrulamasız bırakılması veya sorumluluğun üyelik sözleşmesiyle yalnızca müşteriye aktarılması yeterli değildir.
28 Şubat 2027’ye kadar tamamlanacak çalışma, işlem onayı ile açık rıza süreçlerinin ayrılmasını, bütün kullanım kanallarının test edilmesini, ölçülü ispat kayıtlarının oluşturulmasını, veri işleyen sözleşmelerinin güncellenmesini ve operasyon ekiplerinin eğitilmesini kapsamalıdır. Görüldüğü üzere uyum, yalnızca son tarihte devreye alınan bir kod ekranı değil, sadakat programının tamamında hukuka uygun ve denetlenebilir bir işlem zinciri kurulması anlamına gelmektedir.
