KVKK, SADAKAT KARTI İLKE KARARINDA ÖNGÖRÜLEN UYUM SÜRESINI UZATTI.

Kişisel Verileri Koruma Kurulu'nun 11.02.2026 tarihli ve 2026/266 sayılı İlke Kararı ile, sadakat kart üyeliği bulunan bir kişinin cep telefonu numarasının veya sadakat kart numarasının üçüncü bir kişi tarafından alışveriş esnasında kullanılması hukuka aykırı bulunmuştu. Kurul, söz konusu İlke Kararı ile, işlemin ilgili kişinin bilgisi ve rızası dâhilinde gerçekleştiğini doğrulayacak mekanizmaların kurulması için veri sorumlularına altı aylık uyum süresi tanımıştı. İlke Kararı 28.02.2026 tarihli ve 33182 sayılı Resmî Gazete'de yayımlanarak yürürlüğe girmiş ve uyum süresinin son günü 28.08.2026 olarak belirlenmişti.

İlke Kararı kapsamındaki yükümlülüklerin etkin ve sürdürülebilir biçimde yerine getirilebilmesi ile doğrulama yöntemlerinin teknik, idari ve operasyonel açıdan güvenli şekilde uygulanabilmesi amacıyla, sektör temsilcileri tarafından Kuruma süre uzatımı talepleri iletilmiştir. Bu talepleri değerlendiren Kurul, 22.07.2026 tarihli ve 2026/1491 sayılı Kararı ile uyum süresinin 28.02.2027 tarihine kadar uzatılmasına oybirliğiyle karar vermiş; anılan Karar 13.08.2026 tarihli Resmî Gazete'de yayımlanmıştır.

Kararın Kapsamı

İlke Kararı, sadakat kartı veya müşteri kulübü programı işleten tüm veri sorumlularını ilgilendirmektedir.

Uygulamada Dikkat Edilecek Hususlar

• Belirli bir teknoloji zorunlu tutulmamıştır. İlke Kararı'nın aradığı, alışverişin ilgili kişinin bilgisi ve rızası dâhilinde yapıldığını doğrulayan bir mekanizmanın kurulmasıdır. Bu amaca; SMS ile tek kullanımlık şifre (OTP) doğrulaması, mobil uygulama üzerinden onay veya barkod/QR okutma ya da fiziki kartın kasada ibrazı gibi farklı yöntemler hizmet edebilir. Yöntem seçimi, veri sorumlusunun operasyonel yapısına ve satış noktası altyapısına göre yapılabilir.
• Uyum için yeni son tarih 28 Şubat 2027'dir. Doğrulama mekanizmasının bu tarihe kadar yalnızca teknik olarak kurulması değil, kasa süreçlerinde fiilen işletilmeye başlanması gerekmektedir.
• Tanınan ek süre yalnızca teknik entegrasyon ve operasyonel uyum süreçlerine ilişkindir. Kişisel verilerin hukuka uygun işlenmesine dair genel yükümlülükler (KVKK m. 4, m. 5 ve m. 12) aynen devam etmektedir.
• Uyum süresinin sonunda yükümlülüklerin karşılanmaması hâlinde, ilke kararına aykırılık nedeniyle KVKK m. 18 kapsamında idari para cezası uygulanması riski gündeme gelebilecektir.

Önerilen Adımlar

• Kasa noktalarındaki mevcut sadakat kartı tanımlama akışının — telefon numarasının veya kart numarasının kasa görevlisine sözlü bildirimi dâhil — tespit edilmesi.
• POS ve sadakat programı yazılım tedarikçileri ile doğrulama mekanizmasına ilişkin entegrasyon planının ve takviminin oluşturulması; gerekli hâllerde tedarikçi sözleşmelerinin güncellenmesi.
• Kişisel veri işleme envanteri ile VERBİS kayıtlarının güncellenmesi.

Kaynak: Kişisel Verileri Koruma Kurulu'nun 22.07.2026 tarihli ve 2026/1491 sayılı Kararı (13.08.2026 tarihli Resmî Gazete); 11.02.2026 tarihli ve 2026/266 sayılı İlke Kararı (28.02.2026 tarihli ve 33182 sayılı Resmî Gazete).