“Sadakat kartı” deyince çoğumuzun aklına belirli bir kart gelmeyebilir. Oysa marketlerde kullandığımız kartlardan giyim mağazalarının üyelik programlarına, kozmetik mağazalarından akaryakıt istasyonlarının puan sistemlerine kadar pek çok uygulama aslında birer sadakat kartı sistemi. Sistem oldukça basit: Telefon numaramızı söyler, fiziki kartımızı gösterir veya mobil uygulamadaki barkodu okuturuz. Karşılığında indirim kazanır, puan biriktirir ya da özel kampanyalardan yararlanırız.
Ancak sadakat kartları yalnızca indirim ve puan sağlayan araçlar değil. Hangi ürünü satın aldığımız, alışverişi ne zaman yaptığımız, hangi kampanyalardan yararlandığımız ve işlemlerin hangi müşteri hesabıyla ilişkilendirildiği gibi bilgiler de bu sistemler kapsamında işlenebiliyor. Kişisel Verileri Koruma Kurulu da tam olarak bu noktada devreye girdi.
Sorun Neydi?
Kurulun 11 Şubat 2026 tarihli ve 2026/266 sayılı İlke Kararı, oldukça sıradan bir alışveriş uygulamasını konu alıyor. Bir kişi markete gidiyor ve kasada kendi sadakat kartını kullanmak yerine eşinin, arkadaşının veya başka bir yakınının telefon numarasını söylüyor. Sistem herhangi bir doğrulama istemeden işlemi tamamlıyor; indirim uygulanıyor veya puan kazanılıyor. Ancak alışverişi yapan kişi ile sistemde görünen müşteri aynı kişi değil.
Dahası, satın alınan ürün veya hizmet, alışveriş tarihi ve benzeri bilgiler sadakat kartı sahibinin hesabına işlenebiliyor; bazı durumlarda fatura veya benzeri belge de bu kişi adına düzenlenebiliyor. Kurul, sadakat kart sahibinin bilgisi ve rızası olmaksızın, herhangi bir doğrulama yapılmadan üçüncü kişinin bu kart veya telefon numarası üzerinden işlem yapabilmesine imkân veren uygulamanın kişisel verilerin korunması mevzuatına aykırı olabileceğini değerlendirdi. Yanlış kişiye ait alışveriş bilgilerinin sadakat kartı sahibinin hesabına işlenmesi de verilerin “doğru ve gerektiğinde güncel olma” ilkesi bakımından sorun oluşturuyor.
Başkasının Numarasını Söylemek Yasak mı?
Burada önemli bir ayrıntı var. Kararı, “Artık başkasının telefon numarasını kesinlikle kullanamazsınız” şeklinde anlamamak gerekiyor. Asıl mesele, kart sahibinin bilgisi ve rızası olmadan ve herhangi bir doğrulama yapılmaksızın üçüncü kişinin kart üzerinden işlem yapabilmesi. Bu nedenle şirketlerin, işlemin kart sahibinin bilgisi ve onayı dahilinde gerçekleştiğini doğrulayabilecek mekanizmalar oluşturması gerekiyor.
Kurul tek bir doğrulama yöntemi de öngörmüyor. SMS ile tek kullanımlık kod, mobil uygulama veya internet sitesi üzerinden barkod/QR kod gibi farklı yöntemler, işlemin niteliğine ve riskine göre kullanılabilecek. Farklı tüketici grupları için alternatif yöntemler de sunulabilecek.
Süre Uzatıldı
İlk kararla şirketlere 28 Ağustos 2026'ya kadar uyum süresi verilmişti. Ancak 13 Ağustos 2026 tarihli Resmî Gazete'de yayımlanan 2026/1491 sayılı Kurul Kararı ile bu süre 28 Şubat 2027'ye kadar uzatıldı. Burada önemli olan şu: Kural kaldırılmadı, yalnızca uyum süresi uzatıldı.
Şirketlerin bu süre içerisinde gerekli teknik ve idari tedbirleri alarak sadakat kart uygulamalarını kişisel verilerin korunması mevzuatına uygun hâle getirmeleri gerekiyor. Tüketici açısından ise alışverişin küçük ama önemli bir parçası değişebilir. Kasada yalnızca bir telefon numarası söylemek yerine doğrulama kodu girmek veya mobil uygulamadan barkod okutmak gerekebilir.
