Sadakat Kartında Başkasının Telefon Numarası Kullanılabilir mi? KVKK 2026/266 | 2026
Kısa ve net cevap: Kişisel Verileri Koruma Kurulunun 11 Şubat 2026 tarihli ve 2026/266 sayılı İlke Kararına göre, sadakat kartı sahibinin cep telefonu numarası veya sadakat kart numarası üçüncü bir kişi tarafından kasada söylenerek herhangi bir doğrulama yapılmadan kart sahibinin hesabı üzerinden alışveriş yapılmasına imkân veren uygulamaya son verilmelidir. Veri sorumlusu, alışverişin kart sahibinin bilgisi ve onayı dâhilinde gerçekleştiğini doğrulayacak uygun mekanizma kurmak zorundadır. Kurulun 22 Temmuz 2026 tarihli ve 2026/1491 sayılı Kararıyla uyum süresi 28 Şubat 2027 tarihine kadar uzatılmıştır.
KVKK 2026/266 Sayılı Sadakat Kartı İlke Kararı Ne Diyor?
Kişisel Verileri Koruma Kurulu, market, kozmetik, teknoloji, yapı market, giyim ve benzeri sektörlerde yaygınlaşan sadakat kartı uygulamalarını 2026 yılında özel olarak ele aldı. Kuruma ulaşan ihbar ve şikâyetlerde, bir kişinin başka bir sadakat kartı üyesinin telefon numarasını veya kart numarasını kasada söyleyerek o hesap üzerinden indirim, puan veya kampanyadan yararlanabildiği; buna karşılık kart sahibinin gerçekten işlemi yaptığına veya işlemi onayladığına ilişkin doğrulama bulunmadığı tespit edildi.
Kurul, 11 Şubat 2026 tarihli ve 2026/266 sayılı İlke Kararıyla bu uygulamanın sona erdirilmesine karar verdi. Karar 28 Şubat 2026 tarihli ve 33182 sayılı Resmî Gazete’de yayımlanarak yürürlüğe girdi. İlke Kararının güncel metni Kişisel Verileri Koruma Kurumunun resmî sayfasından okunabilir.
Kararın odağında sadakat kartının başkası tarafından fiziksel olarak kullanılması değil, kart sahibinin kişisel verileri kullanılarak onun hesabına yanlış alışveriş kaydı oluşturulması vardır. Telefon numarası veya kart numarası ilgili kişiyi belirli hâle getirebildiği için kişisel veridir. Bu verinin başka bir kişi tarafından doğrulamasız kullanılması, kart sahibine ait müşteri işlem verilerinin yanlış oluşmasına yol açar.
Başkasının Telefon Numarasıyla Sadakat Kartı Kullanmak Neden KVKK’ya Aykırı?
Kurul üç temel hukuki sorun tespit etti. Birincisi, kart sahibinin bilgisi ve onayı olmadan onun telefon/kart numarası üzerinden alışveriş yapılmasının 6698 sayılı KVKK m.5’teki kişisel veri işleme şartlarından birine dayandırılamamasıdır. İşlem, gerçek kart sahibinin gerçekleştirmediği bir alışverişin onun hesabına bağlanmasına neden olur.
İkincisi, KVKK m.4’teki “doğru ve gerektiğinde güncel olma” ilkesidir. Kart sahibi hiç satın almadığı ürünleri satın almış gibi görünüyorsa müşteri profili hatalı hâle gelir. Bu hatalı kayıt kampanya, puan, segmentasyon, kişiselleştirilmiş reklam ve müşteri davranışı analizi gibi sonraki işlemlere de taşınabilir.
Üçüncüsü, KVKK m.12’deki veri güvenliği yükümlülüğüdür. Sadakat kartı sözleşmesinde “kart başkasına kullandırılamaz” yazması, veri sorumlusunun uygun teknik ve idari tedbirleri alma yükümlülüğünü ortadan kaldırmaz. Kurul açık biçimde, sorumluluğun yalnız karta sahip kişiye bırakılamayacağını kabul etmiştir.
Sadakat Kartı İçin Hangi Doğrulama Yöntemleri Kullanılabilir?
Kurul tek bir zorunlu teknoloji belirlememiştir. Veri sorumlusu, işlemin kart sahibinin bilgisi ve onayı dâhilinde gerçekleştiğini doğrulayacak uygun mekanizmayı risk düzeyine göre seçebilir. Kararda örnek olarak SMS ile tek kullanımlık doğrulama kodu, mobil uygulama veya internet sitesi üzerinden barkod/QR kod gibi yöntemler değerlendirilmektedir.
Doğrulama sistemi tasarlanırken her müşteriye tek ve ağır bir teknoloji dayatılması gerekmez. Kurul; yaş, eğitim düzeyi, ekonomik durum ve teknoloji okuryazarlığı gibi farklılıklar dikkate alınarak farklı kullanıcı grupları için alternatif doğrulama mekanizmaları sunulabileceğini belirtir.
İşlemin risk seviyesi de önemlidir. Sadece puan kazanma ile birikmiş yüksek tutarlı puanı harcama aynı riskte değildir. Veri sorumlusu; üyelik oluşturma, indirim kullanma, puan kazanma ve puan harcama gibi işlemler için farklı doğrulama seviyeleri kurabilir. Ancak hiçbir doğrulama olmaksızın yalnız telefon veya kart numarasının kasada söylenmesiyle işlem yapılması yeni sistemle uyumlu değildir.
Sadakat Kartlarında Son Uyum Tarihi Neden 28 Şubat 2027?
2026/266 sayılı İlke Kararı ilk yayımlandığında veri sorumlularına altı aylık uyum süresi verilmişti. Karar 28 Şubat 2026’da Resmî Gazete’de yayımlandığı için ilk takvim 28 Ağustos 2026’ya kadar uzanıyordu. Sektör temsilcileri doğrulama sistemlerinin teknik, idari ve operasyonel açıdan güvenli biçimde kurulabilmesi için ek süre talep etti.
Kişisel Verileri Koruma Kurulu bu talepleri değerlendirerek 22 Temmuz 2026 tarihli ve 2026/1491 sayılı Kararı aldı. Uyum süresi 28 Şubat 2027 tarihine kadar uzatıldı. Uzatma kararı Kurum tarafından duyuruldu. Resmî duyuruya KVKK’nın 2026/1491 duyurusundan ulaşılabilir.
Bu tarih, hukuka aykırı işlemi serbest bırakan genel bir erteleme olarak yorumlanmamalıdır. Veri sorumlularının KVKK m.4, m.5 ve m.12’den doğan genel yükümlülükleri zaten yürürlüktedir. 28 Şubat 2027, İlke Kararında istenen doğrulama altyapısına uyum için tanınan nihai süredir.
Başkasının Alışverişi Benim Adıma Faturalanırsa Ne Olur?
Kurulun dikkat çektiği sorunlardan biri, üçüncü kişinin yaptığı alışveriş sonrasında fiş/fatura veya müşteri işlem bilgisinin sadakat kartı sahibinin hesabına işlenmesidir. Kart sahibi hiç satın almadığı ürünü satın almış gibi görünür. Bu yalnız muhasebe kaydı sorunu değildir; müşteri davranışı verisi, alışveriş geçmişi ve tercih profili yanlış kişiye bağlanır.
KVKK m.4/2-b gereği kişisel verilerin doğru ve gerektiğinde güncel olması gerekir. Veri sorumlusu hatalı kaydı tespit ettiğinde düzeltmeli; yanlış alışveriş nedeniyle oluşan puan, profil, tercih veya kampanya sonuçlarını da gözden geçirmelidir.
İlgili kişi KVKK m.11 kapsamında kendisiyle ilgili kişisel verilerin işlenip işlenmediğini öğrenme, yanlış veya eksik işlenmişse düzeltilmesini isteme ve belirli koşullarda silme/yok etme talebinde bulunabilir. Başvuru önce KVKK m.13 uyarınca veri sorumlusuna yapılır.
Puan Kazanma ve Puan Harcama İçin Aynı Doğrulama Şart mı?
Kurul, her işlem türünde birebir aynı doğrulama yönteminin kullanılmasını zorunlu tutmamıştır. Puan kazanımı, indirimden yararlanma, promosyon kullanma ve puan harcama farklı riskler taşıyabilir. Özellikle puan harcama, ilgili kişinin ekonomik menfaatini doğrudan azaltabildiği için daha güçlü doğrulama gerektirebilir.
Veri sorumlusu risk tabanlı yaklaşım kurabilir. Örneğin düşük riskli puan kazanma işleminde uygulamadaki QR kod, yüksek değerli puan harcamada ek tek kullanımlık kod tercih edilebilir. Buradaki hukuki ölçüt, doğrulamanın amaçla bağlantılı, ölçülü ve veri güvenliğini sağlayacak nitelikte olmasıdır.
Doğrulama sistemi yeni bir aşırı veri işleme alanı yaratmamalıdır. Sadakat kartı güvenliği için gereksiz T.C. kimlik numarası, biyometrik veri veya ilgisiz başka veriler toplamak KVKK m.4’teki ölçülülük ilkesine aykırı olabilir. Kurulun yaklaşımı “daha fazla veri topla” değil, doğru kişiyi uygun ve ölçülü yöntemle doğrula şeklindedir.
SMS Doğrulama Kodu Aynı Anda Reklam İzni Olarak Kullanılabilir mi?
Hayır. Kişisel Verileri Koruma Kurulunun 10 Haziran 2025 tarihli ve 2025/1072 sayılı İlke Kararı, ürün ve hizmet sunumu sırasında SMS doğrulama kodu üzerinden birbirinden farklı işlemlerin tek eylemle birleştirilmesine son verilmesi gerektiğini açıklar. Üyelik sözleşmesi onayı, kişisel veri açık rızası ve ticari elektronik ileti onayı aynı kodla “toplu onay” hâline getirilemez.
Sadakat kartında doğrulama kodunun amacı, işlemi yapan kişinin kart sahibinin bilgisi ve onayı dâhilinde hareket ettiğini doğrulamaktır. Bu kodun verilmesi otomatik olarak pazarlama mesajlarına izin verildiği anlamına gelmez. Açık rıza gereken veri işleme faaliyeti ile aydınlatma yükümlülüğü ayrı yürütülmelidir.
KVKK m.10 kapsamındaki aydınlatma, ilgili kişiye hangi verinin hangi amaç ve hukuki sebeple işlendiğini açıklar. Açık rıza ise ancak rızaya dayanan ayrı işlem için özgür iradeyle verilmelidir. “Kodu söylemezsen indirim alamazsın, kodu söylersen tüm reklamlara izin vermiş sayılırsın” biçimindeki sistem hukuken sorunludur.
Veri Sorumlusunun Teknik ve İdari Yükümlülükleri
KVKK m.12 uyarınca veri sorumlusu kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak için gerekli her türlü teknik ve idari tedbiri almakla yükümlüdür. Sadakat kartı sisteminde bu yükümlülük yalnız kasa ekranına şifre eklemekten ibaret değildir.
Veri sorumlusu öncelikle mevcut veri akışını haritalamalıdır: telefon/kart numarası nerede alınıyor, hangi müşteri hesabına bağlanıyor, hangi personel erişiyor, hangi satış bilgileri işleniyor, puan nasıl oluşuyor, hangi sistemlerle pazarlama profiline aktarılıyor? Ardından doğrulama mimarisi, loglama, yetki kontrolü, hata düzeltme ve olay yönetimi süreçleri oluşturulmalıdır.
Kasa personeline eğitim verilmesi de idari tedbirdir. Personelin müşteri “arkadaşımın numarasını yaz” dediğinde doğrulamasız işlem yapmaması gerekir. Sistem teknik olarak doğrulamayı zorunlu kılmıyorsa salt eğitim tek başına yeterli koruma sağlamaz.
Mağaza, Market ve Perakendeciler 28 Şubat 2027’ye Kadar Ne Yapmalı?
- Sadakat kartı işlemlerini envanterleyin; hangi aşamada telefon veya kart numarası işlendiğini belirleyin.
- Doğrulamasız telefon/kart numarası girişini sona erdirecek teknik tasarımı kurun.
- SMS, uygulama QR/barkod, kart/app doğrulaması gibi alternatifleri risk düzeyine göre değerlendirin.
- Yaşlı veya akıllı telefon kullanmayan müşteriler için erişilebilir alternatif doğrulama kanalı sağlayın.
- Puan kazanma ve puan harcama işlemlerini risk açısından ayrı değerlendirin.
- Doğrulama nedeniyle gereksiz yeni kişisel veri toplamaktan kaçının.
- Aydınlatma metni, açık rıza ve ticari ileti onayı süreçlerini birbirinden ayırın.
- Kasa personelini yeni sisteme göre eğitin ve yetkileri sınırlandırın.
- Hatalı müşteri işlem kayıtlarını düzeltmeye yönelik süreç oluşturun.
- Teknik ve idari tedbirleri dokümante ederek KVKK m.12 kapsamındaki hesap verebilirliği sağlayın.
Sadakat Kartı Sahibinin Telefon Numarası Başkası Tarafından Kullanılırsa Ne Yapabilir?
Kart sahibi önce veri sorumlusuna yazılı veya ispatlanabilir elektronik kanaldan başvurmalıdır. Hatalı alışverişin tarihi, mağaza, işlem tutarı ve mümkünse fiş/fatura bilgisi belirtilmeli; kişinin işlemi kendisinin yapmadığı açıkça yazılmalıdır.
KVKK m.11 ve m.13 kapsamında; hangi kişisel verilerin işlendiğinin açıklanması, hatalı müşteri işlem kaydının düzeltilmesi, haksız puan/alışveriş verisinin temizlenmesi, verinin üçüncü kişilere aktarılmışsa düzeltme işleminin bu kişilere bildirilmesi ve gerekli güvenlik tedbirlerinin alınması istenebilir.
Veri sorumlusu başvuruyu en geç 30 gün içinde sonuçlandırmak zorundadır. Cevap yetersizse veya hiç cevap verilmezse, KVKK m.14’teki süreler içinde Kişisel Verileri Koruma Kuruluna şikâyet yapılabilir. KVKK Kurula Şikâyet Dilekçesi rehberi başvuru aşamasında kullanılabilir.
Uyum Sağlanmazsa KVKK Cezası Var mı?
Evet. 2026/266 sayılı İlke Kararı, öngörülen teknik ve idari tedbirleri almadan hukuka aykırı uygulamaya devam ettiği tespit edilen veri sorumluları hakkında KVKK m.18 çerçevesinde işlem yapılacağını açıkça belirtir. İdari para cezasının miktarı, ihlal edilen yükümlülük ve ihlal tarihindeki güncel ceza tutarlarına göre belirlenir.
İdari yaptırım dışında, hatalı kişisel veri işleme nedeniyle ilgili kişinin zararı doğmuşsa KVKK m.11 ve genel hükümler çerçevesinde tazminat talepleri de gündeme gelebilir. Ayrıca yanlış fatura/müşteri kaydı başka hukuki veya vergisel sonuç yaratmışsa bu alanlar ayrı değerlendirilir.
Veri sorumlusu, 28 Şubat 2027’yi bekleyerek hiçbir hazırlık yapmamalıdır. Yüzlerce mağaza, POS entegrasyonu ve müşteri veritabanı bulunan şirketlerde doğrulama altyapısının test edilmesi, aydınlatma ve sözleşme metinlerinin güncellenmesi ve personel eğitimi zaman alacaktır.
Sadakat Kartı Doğrulamasında T.C. Kimlik Numarası İstenebilir mi?
Her doğrulama ihtiyacı T.C. kimlik numarası işlemeyi haklı kılmaz. KVKK m.4 gereği veri işleme amaçla bağlantılı, sınırlı ve ölçülü olmalıdır. Daha düşük riskli veriyle aynı doğrulama yapılabiliyorsa daha yoğun veri işleme tercih edilmemelidir.
Kişisel Verileri Koruma Kurulunun yemek kartı uygulamasına ilişkin 17 Ağustos 2023 tarihli ve 2023/1430 sayılı kararında, telefon numarası ve kart bilgisiyle doğrulama mümkünken T.C. kimlik numarasının işlenmesini ölçüsüz bulduğu görülmektedir. Sadakat kartında da sistem tasarlanırken veri minimizasyonu esas alınmalıdır.
Sık Sorulan Sorular
1. Kasada arkadaşımın telefon numarasını söyleyerek indirim kullanabilir miyim?
Doğrulamasız biçimde başka kişinin telefon/kart numarası üzerinden sadakat kartı işlemi yapılmasına imkân veren uygulamaya 2026/266 sayılı İlke Kararıyla son verilmesi öngörülmüştür. İşlem kart sahibinin bilgisi ve onayı dâhilinde doğrulanmalıdır.
2. Mağaza mutlaka SMS kodu mu göndermeli?
Hayır. Kurul tek yöntem zorunlu kılmaz. SMS, uygulama QR/barkod veya başka uygun doğrulama mekanizmaları kullanılabilir.
3. Sadakat kartı doğrulama zorunluluğu ne zaman başlıyor?
İlke Kararı yürürlüktedir. Doğrulama mekanizmalarının oluşturulması için uzatılan uyum süresinin sonu 28 Şubat 2027’dir.
4. İlk uyum tarihi 28 Ağustos 2026 değil miydi?
Evet. İlk karar altı aylık süre vermişti; 2026/1491 sayılı Kurul Kararıyla süre 28 Şubat 2027’ye uzatıldı.
5. Kart sözleşmesinde “başkasına kullandırmayın” yazması mağazayı sorumluluktan kurtarır mı?
Hayır. Kurul, bu sözleşmesel sorumluluğun veri sorumlusunun KVKK m.12 güvenlik yükümlülüğünü ortadan kaldırmadığını açıkça belirtmiştir.
6. Başkasının alışverişi benim hesabıma işlendi, sildirebilir miyim?
İşlem size ait değilse veri sorumlusundan KVKK m.11 kapsamında hatalı kaydın düzeltilmesini ve şartları varsa silinmesini/yok edilmesini isteyebilirsiniz.
7. Puan kazanmak için doğrulama, puan harcamak için ayrı doğrulama olabilir mi?
Evet. Kurul işlem türü ve risk düzeyine göre farklı doğrulama mekanizmalarının tercih edilebileceğini belirtir.
8. Akıllı telefonu olmayan müşteriler sadakat kartını kullanamayacak mı?
Kurul farklı yaş ve teknoloji okuryazarlığı grupları için alternatif doğrulama mekanizmalarının sunulabileceğini açıkça belirtir.
9. SMS doğrulama kodu reklam izni anlamına gelir mi?
Hayır. Doğrulama, açık rıza ve ticari elektronik ileti onayı ayrı işlemlerdir; tek kodla farklı irade açıklamaları birleştirilmemelidir.
10. Doğrulama için T.C. kimlik numarası istenebilir mi?
Gereksiz ve ölçüsüz veri işlenemez. Telefon/kart veya daha az müdahaleci yöntemle amaç sağlanabiliyorsa T.C. kimlik numarası talebi hukuki sorun doğurabilir.
11. Veri sorumlusu 28 Şubat 2027’ye kadar ne yapmalı?
Doğrulama altyapısını kurmalı, veri akışını ve metinleri güncellemeli, personeli eğitmeli, hatalı kayıtları düzeltme ve olay yönetimi mekanizması oluşturmalıdır.
12. Uyum sağlanmazsa ne olur?
Kurul, İlke Kararına uygun hareket etmeyen veri sorumluları hakkında KVKK m.18 çerçevesinde işlem tesis edileceğini açıkça belirtmiştir.
Sonuç
KVKK 2026/266 sayılı İlke Kararı sadakat kartlarında önemli bir dönemi kapatıyor: yalnız telefon veya kart numarasını kasada söylemek, başka kişinin müşteri hesabı üzerinden doğrulamasız işlem yapmak için yeterli olmayacak. Veri sorumluları işlemin gerçek kart sahibinin bilgisi ve onayı dâhilinde gerçekleştiğini uygun mekanizmayla doğrulamak zorunda. Uyum için son tarih 28 Şubat 2027’dir. Doğrulama sistemi kurulurken veri minimizasyonu, erişilebilir alternatifler, işlem riskine göre kademeli güvenlik ve aydınlatma/açık rıza ayrımı birlikte uygulanmalıdır.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
