Bilindiği üzere; Kişisel Verileri Koruma Kurulu (the Kurul), belirli bir ihlalin yaygın olduğunu tespit etmesi durumunda ilke kararları almaktadır. Bu ilke kararlarıyla Kurul’un uygulamalara yönelik bakış açısı netleşirken uygulayıcılar için de mevzuata uyum için yol haritaları ortaya çıkmaktadır.
28 Şubat 2026 tarihli Resmî Gazete’de Sadakat Kart Üyeliği Bulunan Bir Kişinin Cep Telefonu Numarasının veya Sadakat Kart Numarasının Üçüncü Bir Kişi Tarafından Alışveriş Esnasında Kullanılması Hakkında İlke Kararı isimli yeni bir ilke kararı yayımlandı.
İlke Kararı, sadakat kart kullanıcılarının cep telefonu numaralarının ya da sadakat kart numaralarının üçüncü kişiler tarafından alışveriş sırasında kasa görevlileriyle paylaşılması ve bu şekilde alışveriş gerçekleştirilmesi uygulamasını incelemekte. Özellikle, ilgili kişinin telefon veya sadakat kart numarasının bilgisi ve rızası dışında paylaşılması yoluyla alışveriş yapılabilmesi mercek altına alındı.
Karar kapsamındaki Kurul değerlendirmelerini şu şekilde özetleyebiliriz:
1. Kararın Gerekçesi: Sadakat Programı Üyesi Verilerinin Rıza ve Bilgi Dışı İşlenmesi
Kurul, değerlendirmelerini İncelenen Uygulama’nın oluşturduğu hukuka aykırı veri işleme riskleri üzerinden temellendirdi. Bu riskler; (i) sadakat programı üyesinin müşteri işlem bilgilerinin bilgi ve rıza dışı işlenmesi ihtimali ile, (ii) alışverişin fiilen başka biri tarafından yapılmasına rağmen, alışveriş belgelerinin sadakat programı sahibi adına düzenlenmesi olarak görülmekte.
Ayrıca, İlke Kararı’nda bu uygulamaların kişisel verilerin işlenmesinde aranan doğru ve gerektiğinde güncel olma ilkesine aykırı sonuçlar doğurabileceğinin de altı çiziliyor. Son olarak, sadakat kart üyelik sözleşmelerinde kartların üçüncü kişilere kullandırılmasındaki sorumluluk ilgili kişilere yüklense de veri sorumlularının kişisel veri güvenliğini sağlama yükümlülüklerinin her daim devam ettiği de hatırlatılıyor.
2. Gerekli Doğrulama Mekanizmalarının Oluşturulması
Kurul, İlke Kararı’nda (i) İncelenen Uygulama’nın herhangi bir veri işleme şartına dayandırılamadığını ve hukuka aykırı bir işlemeye yol açtığını değerlendiriyor. Bu nedenle, (ii) İncelenen Uygulama’ya son verilmesine ve (iii) alışverişin bizzat sadakat kart sahibi ilgili kişi tarafından veya ilgili kişinin bilgisi ve onayı ile yapılıp yapılmadığına dair doğrulama mekanizmalarının oluşturulması gerektiğine vurgu yapıyor.
Bu mekanizmalarının oluşturulup ilgili teknik ve idari tedbirlerin alınabilmesi içinse veri sorumlularına ilke kararının yayımlanma tarihinden itibaren altı aylık uyum süresi verildi. Bu süre sonunda ilke kararda belirtilen şekilde hareket etmeyen veri sorumluları açısından idari para cezaları gündeme gelebilecek.
Bu doğrulamaların yapılabilmesi için veri sorumlularının kullanabileceği mekanizmalar için çeşitli örnekler verildi:
- İlgili kişilerin cep telefonuna SMS olarak gönderilen tek kullanımlık doğrulama kodunun kasa görevlisine bildirilmesi.
- Mobil uygulama veya internet sitesi üzerinden sağlanan barkodun ya da QR kodun kasada okutulması.
- Fiziki sadakat kartın kasada ibrazı veya okutulması.
- Sadakat kart şifresinin kasada işlem cihazına girilmesi.
- Sadakat karta bağlı online üyelik hesabı üzerinden, alışveriş esnasında hangi sadakat kart işleminin yalnızca cep telefonu numarası bildirilerek yapılabileceğinin seçilebildiği opt-in tercih mekanizmalarının ilgili kişilere sunulması.
Örnekleri İlke Kararı’nda sayılsa da kullanılabilecek mekanizmaların bu sayılanlarla sınırlı olmayacağı ve uygun tercihlerin olay bazında değişebileceği de unutulmamalı. Ayrıca farklı ilgili kişi gruplarına yönelik alternatif doğrulama mekanizmalarının sunulabileceği ve sadakat kart uygulamalarındaki farklı işlem türlerine ve bu işlemlerin risk oranına göre farklı mekanizmaların kullanılabileceği de belirtildi.
3. Sonuç
Her ne kadar günlük hayatta sıklıkla karşımıza çıkan bir uygulama olsa da, İncelenen Uygulama’nın ilgili kişilerin bilgisi ve rızası dışında gerçekleştirilmesi halinde bir kişisel veri ihlalini ortaya çıkarması muhtemel. Sadakat kartı uygulamalarını kullanan veri sorumlularının altı aylık süre içerisinde Kurul’un aradığı güvenlik seviyesini sağlayacak bir doğrulama mekanizması tasarlayarak olası idari para cezalarından kaçınabileceğini değerlendiriyoruz.
Bu not hukuki görüş niteliğinde değildir. Sadece bilgi amaçlı hazırlanmış ve gönderilmiştir. Konuyla ilgili hukuki görüş almak isterseniz bizimle iletişime geçmenizi rica ederiz.