Perakende Şirketleri İçin Sadakat Kartlarında KVKK Uyum Süreci

13 Ağustos 2026 tarihli ve 33339 sayılı Resmî Gazete’de yayımlanan Kişisel Verileri Koruma Kurulu (Kurul) Kararı, mağazacılık ve perakende sektöründe müşteri sadakat programları (loyalty card) yürüten tüm veri sorumlularını yakından ilgilendirmektedir. İşletmelerin müşterilerine sunduğu avantaj kartları ve cep telefonu numarası ile yapılan alışverişlerdeki veri güvenliği açıkları, Kurul’un daha önce aldığı ilke kararı ile denetim altına alınmıştı. Sektörden gelen yoğun talepler üzerine, şirketlerin bu sistemsel altyapıyı kurabilmesi için öngörülen yasal uyum süresi uzatılmıştır. Bu makalede, veri sorumlusu şirketlerin yerine getirmesi gereken doğrulama yükümlülüklerini ve yeni yasal takvimi inceliyoruz.

1. Sadakat Kartı İlke Kararının Arka Planı

Kişisel Verileri Koruma Kurulu, 11.02.2026 tarihli ve 2026/266 sayılı ilke kararı ile sadakat kart üyeliklerine dair önemli bir düzenleme getirmiş ve bu karar 28.02.2026 tarihli Resmî Gazete’de yayımlanarak yürürlüğe girmişti.

  • Bu ilke kararı; sadakat kart üyeliği bulunan bir kişinin cep telefonu numarasının veya sadakat kart numarasının, alışveriş esnasında üçüncü bir kişi tarafından kullanılmasını konu almaktadır.
  • Kurul, sadakat kart üzerinden gerçekleşen alışveriş işlemlerine ilişkin kişisel veri işleme süreçlerinin, 6698 sayılı Kişisel Verilerin Korunması Kanunu’na tam uyumlu olmasını talep etmektedir.

2. Doğrulama Mekanizması Kurma ve Veri Güvenliği Zorunluluğu

İlgili karar kapsamında şirketlerin ve veri sorumlularının mağazalarındaki ödeme noktalarında (kasalarda) sistemsel bir değişikliğe gitmesi gerekmektedir:

  • Veri sorumluları, Kanun’un 12’nci maddesinde düzenlenen kişisel veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri almakla yükümlü kılınmıştır.
  • Sadakat kart sahibi ilgili kişinin cep telefonu numarasının veya sadakat kart numarasının kasa görevlisine bildirilmesi suretiyle gerçekleşen alışveriş işlemlerinde, güvenlik açığı oluşmaması hedeflenmektedir.
  • Bu tür işlemlerin, bizzat ilgili kişinin bilgisi ve rızası dahilinde gerçekleştiğini teyit etmek amacıyla şirketlerin doğrulama mekanizmaları oluşturması zorunludur.

3. Uyum Süresi Ne Zamana Kadar Uzatıldı?

Kurul, şirketlerin söz konusu doğrulama mekanizmalarını (SMS onayı, mobil uygulama onayı vb.) entegre edebilmeleri için ilke kararının yayımlandığı tarihten itibaren 6 aylık bir uyum süresi öngörmüştü.

  • Bu 6 aylık ilk uyum süresi normal şartlarda 28.08.2026 tarihinde sona ermekteydi.
  • Ancak Kurul, perakende ve mağazacılık sektöründen gelen talepler doğrultusunda bu uyum süresinin uzatılması ihtiyacının hasıl olduğunu değerlendirmiştir.
  • 22/07/2026 tarihli ve 2026/1491 sayılı Kurul Kararı ile; bahse konu İlke Kararına uyum süresinin 28.02.2027 tarihine kadar uzatılmasına oybirliği ile karar verilmiştir.

Sıkça Sorulan Sorular

Sadakat kartı işlemlerinde doğrulama mekanizması neden zorunludur? Kurul kararına göre; sadakat kart numarası veya cep telefonu numarasının kasa görevlisine söylenerek işlem yapılması, kart sahibinin bilgisi veya rızası dışında üçüncü kişilerce kullanılma riskini barındırmaktadır. Bu durumun önüne geçmek ve işlemin rıza dahilinde yapıldığını doğrulamak için mekanizmalar kurulması Kanun’un 12’nci maddesi (veri güvenliği tedbirleri) gereğince zorunlu tutulmuştur.

Doğrulama mekanizması kurmayan şirketlere hemen ceza kesilecek mi? Kurul, teknik altyapıların kurulabilmesi için şirketlere bir uyum süresi tanımıştır. İlk olarak 6 ay olarak belirlenen bu süre, sektörden gelen talepler üzerine 28.02.2027 tarihine kadar uzatılmıştır. Bu tarihe kadar sistemlerini güncelleyen şirketler idari yaptırımlardan korunabilecektir.

Kaynaklar

Yazar Hakkında

Özgür Eralp

Avukat Özgür Eralp 2001 yılından beri Ankara Barosu’na kayıtlı olarak serbest avukatlık yapmaktadır. Bilişim Hukuku, İnternet Hukuku, Elektronik Haberleşme Hukuku, e-ticaret, e-tüketici hukuku,  finansal teknolojiler, elektronik para, Kişisel verilerin korunması alanlarında faaliyet göstermektedir.

See author's posts