SADAKAT KART ÜYELİKLERİNDE ÜÇÜNCÜ KİŞİ KULLANIMINA İLİŞKİN KİŞİSEL VERİLERİ KORUMA KURULU İLKE KARARI YAYIMLANDI

Kişisel Verileri Koruma Kurulu’nun (“Kurul”) 11.02.2026 tarihli ve 2026/266 sayılı “Sadakat Kart Üyeliği Bulunan Bir Kişinin Cep Telefonu Numarasının veya Sadakat Kart Numarasının Üçüncü Bir Kişi Tarafından Alışveriş Esnasında Kullanılması Hakkında İlke Kararı” (“İlke Karar”) 28 Şubat 2026 tarihli ve 33182 sayılı Resmî Gazete’de yayımlandı. İşbu İlke Karar ile veri sorumlularına yönelik önemli yükümlülükler öngörülmüş olup öne çıkan hususlar aşağıda özetlenmiştir:

• Sadakat kart sahibine ait cep telefonu numarasının veya sadakat kart numarasının üçüncü bir kişi tarafından kasa görevlisine bildirilmesi suretiyle, herhangi bir doğrulama yapılmadan alışveriş yapılmasına imkan tanıyan uygulamalara son verilmesine karar verilmiştir.
• Bu tür uygulamaların, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 5’inci maddesinde yer alan veri işleme şartlarından herhangi birine dayanmadığı ve hukuka aykırı kişisel veri işleme faaliyetine yol açabileceği değerlendirilmiştir.
• İlgili kişi tarafından yapılmayan bir alışverişe ilişkin fatura düzenlenmesi ve işlem bilgilerinin ilgili kişinin üyelik hesabına işlenmesi, KVKK’nın 4’üncü maddesinde düzenlenen “doğru ve gerektiğinde güncel olma” ilkesine aykırılık teşkil edebileceği değerlendirilmiştir.
• Sadakat kartlarının üçüncü kişilerce kullanılmamasına ilişkin üyelik sözleşmelerinde hüküm bulunması, veri sorumlusunun KVKK’nın 12’nci maddesi kapsamındaki veri güvenliğini sağlama yükümlülüğünü ortadan kaldırmayacağı değerlendirilmiştir.
• Veri sorumlularının; üyelik oluşturma, puan kazanma ve kullanma, indirim veya promosyondan yararlanma gibi işlemlerin ilgili kişinin bilgisi ve rızası dahilinde gerçekleştiğini doğrulayacak uygun teknik ve idari tedbirleri almaları gerekmektedir. Bu kapsamda, işlem türü ve risk seviyesine göre farklı doğrulama mekanizmaları kurgulanabileceği belirtilmiştir.
• İlke Kararı’nda öngörülen doğrulama mekanizmalarının oluşturulabilmesi için veri sorumlularına, kararın Resmî Gazete’de yayımlanmasından itibaren 6 aylık uyum süresi tanınmıştır. Bu süre sonunda yükümlülüklere aykırı hareket eden veri sorumluları hakkında K VKK’nın 18’inci maddesi uyarınca işlem tesis edilecektir.

Resmi Gazete’de yayımlanan İlke Karar’ın tam metnine buradan ve Kurul’un İlke Karar’a ilişkin duyurusuna buradan ulaşabilirsiniz.