KVKK’dan sadakat kartlarına onay kodu zorunluluğu
Kişisel Verileri Koruma Kurumu (KVKK), market ve mağazaların müşterilerine sunduğu puan ve ödül kartlarına ilişkin önemli bir karar aldı. Resmi Gazete’de 28 Şubat 2026’da yayımlanan karara göre, sadakat kartlarının kart sahibi dışında kullanılmasının önüne geçilmesi için doğrulama sistemi kurulması zorunlu hale getirildi.
İhbar üzerine inceleme başlatıldı
KVKK kararında; gıda, kozmetik, teknoloji, yapı market ve giyim sektörlerinde faaliyet gösteren birçok işletmenin sadakat kartı uygulaması incelendiği belirtildi.
Kuruma ulaşan ihbar ve şikayetlerde, kart sahibine ait cep telefonu numarasının ya da kart numarasının üçüncü kişiler tarafından kasa görevlisine bildirilerek, herhangi bir onay kodu olmadan işlem yapıldığı ifade edildi. Bu durumun kişisel veri güvenliği açısından risk oluşturduğu vurgulandı.
Kart sahibinden doğrulama şartı
Kararda, kart sahibine SMS yoluyla tek kullanımlık doğrulama kodu gönderilmesi ya da mobil uygulama üzerinden barkod okutulması gibi yöntemlerle yapılan işlemlerin hukuka uygun olduğu belirtildi.
Ancak bu doğrulama mekanizmaları olmadan, kart numarasının üçüncü kişiler tarafından kullanılması veri ihlali olarak değerlendirildi. Kurul, kart sahibinin bilgisi ve rızası olmadan yapılan işlemlerin hukuka aykırı veri işleme faaliyeti sayılabileceğini kaydetti.
Uygulamaya son verilmesi istendi
KVKK, kart numarasının üçüncü kişiler tarafından herhangi bir doğrulama yapılmaksızın kullanılmasına imkan tanıyan uygulamaların durdurulmasına karar verdi.
Buna göre market ve mağazalar, alışveriş sırasında kartın kullanılabilmesi için kart sahibine onay kodu gönderilmesini sağlayacak bir sistem kurmak zorunda olacak.
6 ay geçiş süresi verildi
Kurul, işletmelere gerekli teknik altyapıyı oluşturmaları için 6 ay süre tanıdı.
Kararda ayrıca, Kanun hükümlerine aykırı şekilde uygulamaya devam eden ve belirlenen ilkelere uygun hareket etmeyen veri sorumluları hakkında 6698 sayılı Kanun’un 18’inci maddesi kapsamında işlem yapılacağı uyarısında bulunuldu.