Sadakat kartı sahibine ait cep telefonu veya kart numarasının üçüncü kişilerce kasa görevlisine sözlü olarak bildirilmesi suretiyle herhangi bir doğrulama yapılmaksızın alışveriş yapılmasına imkân tanıyan uygulamalara son verilmesi gerekmektedir. Kimlik teyidi ve güvenlik doğrulaması yapılmaksızın yürütülen bu tür işlemler, kişisel verilerin hukuka aykırı şekilde işlenmesine yol açabilmektedir.
Kişisel Verilerin İşlenme Şartları Bakımından Sadakat Kartı Uygulamaları
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 5'inci maddesi gereğince kişisel verilerin işlenmesinde kural olarak ilgili kişinin açık rızasının bulunması aranır. Bununla birlikte Kanun, belirli şartlar altında açık rıza olmaksızın da veri işlenmesini geçerli saymıştır. Kanuni bir düzenlemenin mevcudiyeti; fiili imkânsızlık yüzünden rızasını beyan edemeyen veya iradesine hukuki geçerlilik tanınmayan kimsenin yahut bir başkasının hayatı ya da beden bütünlüğünün muhafazası için zorunluluk bulunması; bir sözleşmenin kurulması veya ifasıyla doğrudan bağlantılı olup taraflara ait verilerin işlenmesinin gerekmesi bu hallerdendir. Ayrıca veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi, bilginin bizzat ilgili kişi tarafından alenileştirilmiş olması, bir hakkın tesisi, kullanılması veya korunması için zorunluluk bulunması ve ilgilinin temel hak ve özgürlüklerine halel getirmemek kaydıyla veri sorumlusunun meşru menfaatlerinin bunu gerektirmesi durumunda da açık rıza aranmaksızın veri işlenebilmektedir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 5Kaynağı aç
Sadakat kartı veya cep telefonu numarası bildirilerek herhangi bir doğrulama kodu ya da güvenlik teyidi işletilmeden işlem yapılmasına müsaade eden uygulamalar, 6698 sayılı Kanun'un 5'inci maddesinde sıralanan kişisel veri işleme şartlarından hiçbirine dayanmamaktadır. Bu nedenle kart sahibinin haberi ve müdahalesi olmaksızın üçüncü şahısların beyanıyla işlem tesis edilmesi, veri sorumluları açısından hukuka aykırı kişisel veri işleme faaliyetine sebebiyet verebilecektir.
Fatura Tanzimi ve Kişisel Verilerin Doğruluğu İlkesi
İlgili kişinin bizzat gerçekleştirmediği bir alışveriş işlemine istinaden adına fatura düzenlenmesi ve söz konusu alışveriş verilerinin ilgili kişinin sadakat kartı üyelik profiline işlenmesi hukuki sakıncalar doğurmaktadır. Bu nevi işlemler, 6698 sayılı Kanun'un 4'üncü maddesinde güvenceye bağlanan kişisel verilerin doğru ve gerektiğinde güncel olma ilkesine aykırılık teşkil edebilecektir.
Sözleşme Hükümleri ve Veri Güvenliği Yükümlülüğü
Sadakat kartı üyelik sözleşmelerine kartın üçüncü kişiler tarafından kullanılamayacağına yönelik hükümler konulması, veri sorumlusunun mevzuattan doğan sorumluluğunu ortadan kaldırmamaktadır. Sözleşmedeki bu nitelikteki sınırlayıcı kayıtlar, veri sorumlusunun 6698 sayılı Kanun'un 12'nci maddesi kapsamındaki veri güvenliğini sağlama yükümlülüğünü bertaraf etmez.
6698 sayılı Kanun'un 12'nci maddesinin birinci fıkrası uyarınca veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak zorundadır. Verilerin veri sorumlusu adına başka bir kişi tarafından işlenmesi halinde veri sorumlusu, bu tedbirlerin alınması hususunda veri işleyenle birlikte müştereken sorumlu tutulmaktadır.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 12Kaynağı aç
Veri sorumlusunun kendi teşkilatında Kanun kurallarının işletilmesini sağlamak üzere gereken iç denetimleri yapması veya yaptırması yasal bir zorunluluktur. Veri sorumluları ile veri işleyen taraflar, vakıf oldukları kişisel verileri kanuni düzenlemelere aykırı şekilde başkalarıyla paylaşamaz ve belirlenen amaç haricinde kullanamazlar; anılan yükümlülük ilgililerin görevden ayrılmalarından sonraki dönemde de varlığını sürdürür. Verilerin hukuka aykırı yöntemlerle üçüncü kişilerce ele geçirilmesi halinde ise veri sorumlusu bu durumu gecikmeksizin hem ilgili kişiye hem de Kişisel Verileri Koruma Kurulu'na iletmekle yükümlüdür.
İşlem Türüne ve Risk Düzeyine Uygun Doğrulama Mekanizmaları
Veri sorumlularının; yeni üyelik oluşturma, alışverişlerde puan kazanma, biriken puanları harcama, indirim veya promosyon haklarından istifade etme gibi süreçlerin bizzat ilgili kişinin bilgisi ve rızası dâhilinde cereyan ettiğini doğrulayacak uygun teknik ve idari tedbirleri almaları şarttır. Bu doğrultuda veri sorumluları tarafından yürütülen işlemlerin mahiyetine ve doğurabileceği risk seviyesine göre farklı doğrulama mekanizmaları kurgulanabilmektedir.
Doğrulama Tedbirlerine Uyum Süresi ve İdari Yaptırımlar
Sadakat kartı sistemlerinde doğrulama mekanizmalarının tesis edilmesi hususunda Kişisel Verileri Koruma Kurulu'nun 11.02.2026 tarihli ve 2026/266 sayılı İlke Kararı 28 Şubat 2026 tarihli ve 33182 sayılı Resmî Gazete'de yayımlanmıştır. Kararla veri sorumlularına tanınan altı aylık ilk uyum süresi, Kurul'un 22.07.2026 tarihli ve 2026/1491 sayılı kararı ile 28 Şubat 2027 tarihine kadar uzatılmıştır. Belirlenen takvim çerçevesinde gerekli teknik ve idari doğrulama altyapısını kurmayan ve yükümlülüklere aykırı hareket eden veri sorumluları hakkında 6698 sayılı Kanun'un 18'inci maddesi hükümleri dairesinde işlem tesis edilecektir.
Başkasına ait telefon numarası verilerek sadakat kartı indirimi kullanılabilir mi?
Herhangi bir doğrulama yapılmaksızın üçüncü kişilere ait telefon veya kart numarasının kasada bildirilmesi suretiyle işlem yapılmasına olanak tanıyan uygulamalara son verilmesi gerekmektedir. Bu tür işlemler 6698 sayılı Kanun'un 5'inci maddesindeki veri işleme şartlarına dayanmamakta ve hukuka aykırı veri işlemeye yol açabilmektedir.
Üyelik sözleşmesindeki kartın devredilemeyeceği şartı işletmeyi sorumluluktan kurtarır mı?
Hayır, sadakat kartı sözleşmesinde kartın üçüncü şahıslarca kullanılamayacağına dair hüküm bulunması, veri sorumlusunun 6698 sayılı Kanun'un 12'nci maddesi uyarınca veri güvenliğini sağlamak için gerekli teknik ve idari tedbirleri alma yükümlülüğünü ortadan kaldırmaz.
Sadakat kartlarında doğrulama altyapısı için belirlenen uyum süresi ne zamandır?
28 Şubat 2026 tarihli ve 33182 sayılı Resmî Gazete'de yayımlanan düzenleme ile tanınan altı aylık uyum süresi, sonradan alınan kararla 28 Şubat 2027 tarihine kadar uzatılmıştır.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy