Sadakat Kartı Uygulamalarına İlişkin Uyum Süresi 28 Şubat 2027 Tarihine Kadar Uzatıldı

13 Ağustos 2026 tarihli ve 33339 sayılı Resmî Gazete’de yayımlanan Kişisel Verileri Koruma Kurulu’nun (“Kurul”) 22 Temmuz 2026 tarihli ve 2026/1491 sayılı Kararı (“Karar”) ile sadakat kartı uygulamalarında veri sorumluları için öngörülen uyum süresi 28 Şubat 2027 tarihine kadar uzatılmıştır.

Karar, Kurul’un 11 Şubat 2026 tarihli ve 2026/266 sayılı “Sadakat Kart Üyeliği Bulunan Bir Kişinin Cep Telefonu Numarasının veya Sadakat Kart Numarasının Üçüncü Bir Kişi Tarafından Alışveriş Esnasında Kullanılması Hakkında İlke Kararı” kapsamında veri sorumlularına tanınan 6 aylık uyum süresine ilişkindir.

İlke Kararı ile, sadakat kart üyeliği bulunan bir kişinin cep telefonu numarasının veya sadakat kartı numarasının üçüncü bir kişi tarafından alışveriş sırasında kullanılması halinde, işlemin ilgili kişinin bilgisi ve onayı dahilinde gerçekleştirildiğinin doğrulanmasını sağlayacak uygun mekanizmaların veri sorumluları tarafından oluşturulması öngörülmüştü.

Uyum Süresi 28 Şubat 2027 Tarihine Kadar Uzatıldı

İlke Kararı’nın 28 Şubat 2026 tarihli Resmî Gazete’de yayımlanmasıyla başlayan 6 aylık uyum süresinin 28 Ağustos 2026 tarihinde sona ermesi öngörülmekteydi.

Kurul, sektörden gelen talepleri dikkate alarak uyum süresinin uzatılmasına ihtiyaç bulunduğunu değerlendirmiş ve veri sorumlularının İlke Kararı’na uyum sağlamaları için tanınan süreyi 28 Şubat 2027 tarihine kadar uzatmıştır.

Dolayısıyla Karar, İlke Kararı ile getirilen yükümlülüklerin kapsamını değiştirmemekte; yalnızca bu yükümlülüklere uyum için tanınan süreyi 6 ay daha uzatmaktadır.

Doğrulama Mekanizması Kurma Yükümlülüğü Devam Ediyor

İlke Kararı uyarınca, sadakat kartı üzerinden gerçekleştirilen alışverişlerde yalnızca ilgili kişinin cep telefonu numarasının veya sadakat kartı numarasının kasa görevlisine bildirilmesi yeterli görülmemektedir.

Veri sorumlularının, sadakat kartının alışveriş sırasında kullanılmasının ilgili kişinin bilgisi ve onayı dahilinde gerçekleştiğini doğrulayacak uygun teknik ve idari mekanizmalar oluşturması gerekmektedir.

Bu kapsamda SMS yoluyla tek kullanımlık doğrulama kodu, mobil uygulama veya internet sitesi üzerinden barkod/QR kod kullanımı ya da işlem türü ve risk seviyesine uygun farklı doğrulama yöntemleri değerlendirilebilecektir.

Kurul, farklı kullanıcı gruplarının yaş, eğitim düzeyi, ekonomik durum ve teknoloji okuryazarlığı gibi özellikleri dikkate alınarak alternatif doğrulama yöntemlerinin sunulabileceğini de kabul etmektedir.

Şirketler Bakımından Dikkat Edilmesi Gereken Hususlar

Karar özellikle sadakat kartı, üyelik programı, puan, indirim veya promosyon sistemi kullanan perakende şirketleri ve diğer veri sorumluları bakımından önem taşımaktadır.

Bu kapsamda şirketlerin;

• mevcut sadakat kartı süreçlerini ve üçüncü kişiler tarafından kullanım ihtimalini analiz etmeleri,
• yalnızca telefon numarası veya kart numarası bildirilerek işlem yapılmasına imkân veren süreçleri gözden geçirmeleri,
• ilgili kişinin bilgisi ve onayını doğrulayacak uygun mekanizmaları belirlemeleri,
• kasa, mobil uygulama, internet sitesi ve sadakat programı altyapılarını gerekli teknik değişiklikler bakımından değerlendirmeleri,
• çalışanlara yönelik operasyonel prosedür ve eğitimleri güncellemeleri ve
• gerekli uyum çalışmalarını en geç 28 Şubat 2027 tarihine kadar tamamlamaları

önem taşımaktadır.

Uyum süresinin uzatılmış olması, İlke Kararı ile belirlenen yükümlülüklerin ertelendiği veya kaldırıldığı anlamına gelmemektedir. Bu nedenle ek sürenin, teknik altyapı ve operasyonel süreçlerin İlke Kararı’na uygun hale getirilmesi amacıyla kullanılması gerekmektedir.

Değerlendirme ve Sonuç

Kurul’un yeni Kararı, sadakat kartı uygulamalarında kişisel veri güvenliğinin sağlanmasına yönelik mevcut yükümlülüklerde esaslı bir değişiklik yapmamakta; veri sorumlularına söz konusu yükümlülüklere uyum için ilave süre tanımaktadır.

Özellikle yüksek işlem hacmine sahip sadakat programlarında doğrulama mekanizmalarının mevcut kasa ve dijital altyapılara entegre edilmesi teknik ve operasyonel hazırlık gerektirebileceğinden, 28 Şubat 2027 tarihine kadar olan sürenin aktif bir uyum dönemi olarak değerlendirilmesi önem taşımaktadır.

Bu nedenle sadakat kartı uygulaması kullanan veri sorumlularının mevcut süreçlerini gecikmeksizin gözden geçirmeleri, uygulanacak doğrulama yöntemlerini belirlemeleri ve teknik, idari ve operasyonel uyum çalışmalarını yeni son tarihten önce tamamlamaları önem arz etmektedir.

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.