E-Ticaret Sitesi Kart Bilgisini Kaydetmeyi Zorunlu Tutabilir mi? KVKK ve Ödeme Verisi | 2026
Kart bilgisi kişisel veri midir?
Banka veya kredi kartı numarası, kart sahibinin adı, son kullanma tarihi ve ödeme işlemi bilgileri belirli veya belirlenebilir gerçek kişiyle ilişkilendirilebildiğinde kişisel veri niteliğindedir. KVKK m.3 kişisel veriyi kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar.
Kart güvenlik kodu, kart numarası veya token gibi verilerin teknik sistemlerde farklı biçimde tutulması hukuki değerlendirmenin veri akışına göre yapılmasını gerektirir. Kullanıcı arayüzünde yalnız son dört hane görünse bile arka planda ödeme kuruluşu veya veri sorumlusu tarafından kartı yeniden kullanmaya elverişli bir token saklanıyor olabilir.
Ödeme verilerinin işlenmesi ayrıca bankacılık ve ödeme hizmetleri mevzuatına tabidir. Ancak ödeme kuruluşunun teknik güvenlik yükümlülükleri bulunması, e-ticaret sitesinin KVKK kapsamındaki hukuki sebep, aydınlatma ve minimizasyon yükümlülüklerini ortadan kaldırmaz.
Bir defalık ödeme ile kartı hesaba kaydetmek aynı şey midir?
Hayır. Kullanıcı bir ürün satın alırken kart bilgilerini o işlemin tamamlanması için girer. Bu veri işleme KVKK m.5/2-c kapsamında sözleşmenin kurulması veya ifasıyla doğrudan ilgili ve gerekli olma şartı yönünden değerlendirilebilir. Ödeme tamamlandığında kartın sonraki alışverişlerde tek tıkla kullanılmak üzere saklanması ise ayrı bir amaçtır.
Örneğin kullanıcı 1.000 TL’lik ürün alır ve kart bilgilerini sadece bu ödeme için girer. Site ödeme tamamlandıktan sonra “kartınız kaydedildi” diyorsa, kullanıcı kartın gelecekte saklanacağına ilişkin ayrı irade açıklamamış olabilir. Bu durumda ödeme amacı ile saklama amacı birbirine karıştırılmıştır.
KVKK m.4/2-c ve ç verilerin belirli, açık, meşru amaçlarla ve amaçla bağlantılı, sınırlı ve ölçülü işlenmesini gerektirir. Bir defalık ödeme için gerekli olan veri işleme, otomatik olarak süresiz kart saklama yetkisi sağlamaz.
Kart bilgisi hangi hukuki sebeple saklanabilir?
Veri sorumlusu her veri işleme faaliyeti için KVKK m.5 kapsamında hukuki sebep belirlemelidir. Kartın sadece mevcut ödeme için işlenmesi sözleşmenin ifası için gerekli olabilir. Fakat sonraki alışverişlerde hız sağlamak amacıyla saklama, mevcut satış sözleşmesinin zorunlu unsuru değildir.
Bu nedenle gelecek işlemler için kart saklama bakımından açık rıza veya somut sürece uygun başka bir KVKK m.5 şartı bulunmalıdır. Kullanıcıya kartı kaydetmeden de alışverişi tamamlayabileceği gerçek seçenek sunulması önemlidir.
Veri sorumlusunun meşru menfaat iddiası tek başına yeterli değildir. “Kullanıcı deneyimi hızlanıyor” ticari menfaat olabilir; ancak kart bilgisinin saklanması için işleme gerçekten zorunlu mu ve kişinin veri güvenliği haklarıyla dengeli mi soruları cevaplanmalıdır.
KVKK Kurulunun 2024/222 sayılı kararı ne söylüyor?
Kişisel Verileri Koruma Kurulunun 21.02.2024 tarihli ve 2024/222 sayılı kararında bir e-ticaret platformunda kredi/banka kartı bilgilerinin kullanıcı talebi olmaksızın kayıtlı kart olarak tutulması incelenmiştir. Kararda kişisel verilerin belirli, açık ve meşru amaçlarla işlenmesi, amaçla bağlantılı ve ölçülü olması ve kart saklama için uygun veri işleme şartının bulunması gerektiği vurgulanmıştır.
Kurul yaklaşımının pratik sonucu şudur: Kullanıcı kartı tek işlem için girdiyse, platform “kolaylık” gerekçesiyle bunu otomatik olarak gelecekteki işlemler için kaydetmemelidir. Kart saklama seçeneği ayrı ve anlaşılır olmalıdır.
Ayrıca kullanıcı arayüzünde kartın kaydedileceği bilgisi küçük yazıyla gizlenmemeli veya önceden işaretlenmiş kutuyla dayatılmamalıdır. Açık rıza gerekiyorsa KVKK m.3 uyarınca belirli konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmalıdır.
Kart saklama için açık rıza nasıl alınmalı?
Açık rıza, ödeme işlemini tamamlamanın ön şartı olmamalıdır. Kullanıcı “kartımı bu işlem için kullan” seçeneğiyle satın alabilmeli; “kartımı sonraki alışverişler için kaydet” tercihini ayrıca ve isteğe bağlı olarak seçebilmelidir.
Önceden işaretli kutu, pasif bırakılmış “hayır” seçeneği veya kartı kaydetmeden ödeme yapmayı gereksiz zorlaştıran arayüzler özgür irade değerlendirmesini zayıflatır. Tüketiciyi istenmeyen tercihe yönlendiren bu tür tasarımlar aynı zamanda tüketici hukukundaki haksız ticari uygulama hükümleri bakımından da değerlendirilebilir.
Aydınlatma ve açık rıza ayrı işlemlerdir. KVKK m.10 kapsamında veri sorumlusu kimliğini, işleme amacını, aktarımı, toplama yöntemini, hukuki sebebi ve m.11 haklarını açıklamalı; açık rıza gerekiyorsa kullanıcı ayrıca olumlu irade göstermelidir.
Kart bilgisi e-ticaret sitesinde değil ödeme kuruluşunda saklanıyorsa ne olur?
Modern ödeme sistemlerinde e-ticaret sitesi kart numarasını kendi sunucusunda tutmak yerine lisanslı ödeme hizmeti sağlayıcısına gönderir; karşılığında kartı temsil eden token alır. Sonraki ödemelerde bu token kullanılır. Bu yöntem güvenlik riskini azaltabilir.
Ancak tokenizasyon, kullanıcı açısından “kayıtlı kart” işlevinin varlığını ortadan kaldırmaz. Kartın yeniden kullanılabilir hâlde saklanması için veri akışındaki aktörlerin rolleri ve hukuki sebepler belirlenmelidir. Kullanıcı hangi şirketin veriyi tuttuğunu bilmelidir.
Ödeme kuruluşu veri sorumlusu veya veri işleyen sıfatına somut sözleşme ve karar yetkisine göre sahip olabilir. E-ticaret sitesi yalnız “biz kart numarasını görmüyoruz” diyerek kendi aydınlatma ve arayüz sorumluluğundan tamamen kurtulmaz.
Kayıtlı kart bilgisini silmek mümkün mü?
Kullanıcı hesabında kayıtlı kartlar için kolay silme seçeneği bulunmalıdır. Kart saklama açık rızaya dayanıyorsa kişi rızasını geleceğe etkili olarak geri alabilir. Başka hukuki sebep yoksa kayıtlı kart işlevi sona erdirilmelidir.
KVKK m.7 işleme sebepleri ortadan kalktığında kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesini düzenler. Bu nedenle “hesaptan kartı kaldır” butonu yalnız arayüzde görünürlüğü kapatıyorsa, arka planda token veya kart ilişkisinin gerçekten silinip silinmediği veri sorumlusu tarafından yönetilmelidir.
İşlemlere ilişkin finansal kayıtların mevzuat gereği saklanması ile kartın gelecekte yeniden kullanılmak üzere saklanması farklıdır. İşlem kaydı hukuki yükümlülük nedeniyle tutulabilirken yeniden ödeme tokenı gereksiz hâle gelebilir.
Kart verilerinin güvenliği nasıl sağlanmalı?
KVKK m.12 veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, muhafazasını sağlamak için gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir. Kart verileri ekonomik zarara yol açabilecek yüksek riskli verilerdir.
E-ticaret sitesi kart verisini doğrudan saklıyorsa yetki sınırlandırma, şifreleme, güçlü kimlik doğrulama, loglama, ağ güvenliği, saldırı tespit mekanizmaları ve güvenli yazılım geliştirme süreçleri uygulanmalıdır. Kart verisinin gereksiz şekilde sistemde bulunması başlı başına risk yaratır.
Ödeme hizmeti sağlayıcısı kullanılıyorsa sözleşme, alt işleyenler, veri aktarımı ve ihlal bildirim süreçleri kontrol edilmelidir. Yurt dışına veri aktarımı varsa KVKK m.9 kapsamındaki güncel aktarım mekanizmaları ayrıca uygulanır.
Tüketici kart bilgisinin izinsiz kaydedildiğini görürse ne yapabilir?
Öncelikle hesabın “kayıtlı kartlar” bölümünden kart kaldırılmalı ve ekran görüntüsüyle süreç belgelenmelidir. Kartın kullanıcı talebi olmadan kaydedildiğini gösteren ödeme ekranı veya önceden işaretli kutu varsa kayıt altına alınabilir.
KVKK m.11 kapsamında kişi hangi verilerinin işlendiğini, amaç ve hukuki sebebi, kimlere aktarıldığını ve ne kadar saklanacağını sorabilir. Başvuru KVKK m.13 uyarınca veri sorumlusuna yapılır.
Veri sorumlusunun cevabı yetersizse, başvuru reddedilirse veya süresinde cevap verilmezse KVKK m.14 kapsamında Kişisel Verileri Koruma Kuruluna şikâyet şartları değerlendirilir.
Karttan yetkisiz işlem yapılmışsa bankaya ayrıca rıza dışı işlem bildirimi yapılmalı; olayın niteliğine göre TCK m.245 ve dolandırıcılık hükümleri bakımından savcılık başvurusu değerlendirilmelidir. Veri koruma başvurusu bankacılık itirazının yerine geçmez.
E-ticaret işletmeleri için kart saklama kontrol listesi
- Tek seferlik ödeme ile kayıtlı kart işlevini ayrı süreç olarak tanımlayın.
- Kart saklama için KVKK m.5 hukuki sebebini ayrıca belirleyin.
- Kullanıcıya kartı kaydetmeden ödeme seçeneği sunun.
- Önceden işaretli veya zorlayıcı rıza kutusu kullanmayın.
- KVKK m.10 aydınlatmasını anlaşılır biçimde sunun.
- Ödeme kuruluşu ve e-ticaret sitesi rollerini veri akışında netleştirin.
- Kullanıcıya kolay “kayıtlı kartı sil” fonksiyonu verin.
- KVKK m.12 güvenlik tedbirlerini yüksek risk seviyesine göre uygulayın.
- Gerekmedikçe tam kart numarasını kendi sisteminizde tutmayın.
- Yurt dışı aktarım varsa KVKK m.9 mekanizmasını kurun.
Kanuni dayanaklar ve resmî kaynaklar
- 6698 sayılı KVKK: m.3, 4, 5, 7, 9, 10, 11, 12, 13 ve 14.
- KVKK Kurulu 21.02.2024 tarihli ve 2024/222 sayılı karar özeti: e-ticaret platformunda kredi/banka kartı bilgisinin kaydedilmesi.
- 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun.
- 5237 sayılı TCK: somut yetkisiz kart kullanımında m.245.
İlgili site içi rehberler
Ödeme sahteciliği için sahte banka dekontu dolandırıcılığı; kimlik doğrulama dolandırıcılığı için caller ID spoofing; kişisel veri aydınlatması için KVKK aydınlatma metni rehberleri incelenebilir.
Sık sorulan sorular
1. E-ticaret sitesi kartımı izinsiz kaydedebilir mi?
Tek işlem için girilen kartın gelecekte kullanılmak üzere saklanması ayrı veri işleme faaliyetidir. Bu işlem için KVKK m.5’te geçerli hukuki sebep bulunmalıdır.
2. Kart kaydetmek için açık rıza şart mı?
Somut süreçte açık rıza dışındaki hukuki sebep bulunmuyorsa açık rıza gerekir. Ödeme için gerekli veri işleme ile sonraki alışverişler için saklama ayrılmalıdır.
3. Kartımı kaydetmeden alışveriş yapabilmeliyim mi?
Kart saklama mevcut satışın zorunlu unsuru değilse kullanıcıya kartı kaydetmeden ödeme seçeneği sunulması gerekir.
4. Son dört hanenin görünmesi kartın saklandığı anlamına gelir mi?
Tek başına kesin göstermez. Arka planda ödeme kuruluşunun token sistemi kullanılabilir; hangi verinin kim tarafından tutulduğu aydınlatılmalıdır.
5. Önceden işaretli “kartımı kaydet” kutusu geçerli rıza mı?
Açık rıza olumlu ve özgür iradeye dayanmalıdır. Önceden işaretli kutu geçerli açık rıza bakımından ciddi sorun doğurur.
6. Kayıtlı kartımı silebilir miyim?
Evet. İşleme sebebi ortadan kalkmışsa KVKK m.7 kapsamında silme/yok etme süreci uygulanmalıdır.
7. Kart bilgisi yurt dışındaki ödeme şirketine giderse ne olur?
KVKK m.9’daki yurt dışı aktarım şartları ve güncel mekanizmalar uygulanmalıdır.
8. Kart kaydım silindi ama eski ödeme kayıtları neden duruyor?
Geçmiş işlem kayıtlarının mevzuat gereği saklanması ile kartın yeniden ödeme için saklanması farklı hukuki amaçlardır.
9. İzinsiz kart kaydı için nereye başvururum?
Önce KVKK m.13 uyarınca veri sorumlusuna başvuru yapılır; şartları oluşursa m.14 kapsamında Kurula şikâyet edilir.
10. Kayıtlı karttan izinsiz çekim yapılırsa ne yapmalıyım?
Bankaya rıza dışı işlem bildirimi yapın; delilleri saklayın. Somut olayda TCK m.245 ve diğer ceza hükümleri ayrıca değerlendirilebilir.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
