Sadakat Programlarında KVKK Uyum Süresi 28.02.2027'ye Uzatıldı: Şirketler Ek Süreyi Nasıl Değerlendirmeli?

Kişisel Verileri Koruma Kurulu'nun ("Kurul") sadakat programları kapsamında kişisel verilerin işlenmesine ilişkin 10.02.2026 tarihli ve 2026/266 sayılı İlke Kararı, 28.02.2026 tarihli ve 33182 sayılı Resmî Gazete'de yayımlanmıştı. İlke Kararı kapsamında veri sorumlularına gerekli teknik ve idari tedbirleri hayata geçirmeleri amacıyla tanınan altı aylık uyum süresi 28.08.2026 tarihinde sona erecekti.

Ancak Kurul'un 13.08.2026 tarihli ve 33339 sayılı Resmî Gazete'de yayımlanan kararı ile bu süre 28.02.2027 tarihine kadar uzatılmıştır.

Daha önce yayımladığımız "KVKK'dan Sadakat Programlarına İlişkin Yeni İlke Kararı: Veri Sorumlularına 6 Aylık Uyum Süresi" başlıklı yazımızda İlke Kararının kapsamını, Kurulun değerlendirmelerini ve veri sorumluları bakımından öngörülen uyum sürecini ele almıştık.

Kurul, sektörden gelen talepler doğrultusunda uyum süresinin uzatılması ihtiyacının ortaya çıktığını dikkate alarak, daha önce 28.08.2026 olarak belirlenen son tarihi 28.02.2027 olarak değiştirmiştir.

Bu nedenle şirketler bakımından artık düzenlemenin ne getirdiğinden ziyade, tanınan ek sürenin mevcut teknik ve operasyonel sistemlerin İlke Kararına uyumlu hâle getirilmesi amacıyla etkin şekilde kullanılması önem taşımaktadır.

Kurulun Tespitleri

Sadakat programlarının uygulamasında müşterinin telefon veya kart numarasını kasa aşamasında beyan etmesi, ilgili sadakat hesabının bulunması ve işlemle ilişkilendirilmesi için yeterli olabilmektedir. Bu yapı, başka bir kişiye ait telefon veya kart numarasını bilen üçüncü kişilerin de herhangi bir ilave doğrulama olmaksızın ilgili sadakat hesabı üzerinden işlem gerçekleştirebilmesine imkân verebilmektedir.

Kurulun İlke Kararında üzerinde durduğu temel sorunlardan biri bu uygulamadır. Üçüncü kişilerin sadakat kartı sahibine ait cep telefonu veya kart numarasını kullanarak herhangi bir doğrulama mekanizması bulunmaksızın işlem gerçekleştirebilmesi, yalnızca sadakat puanlarının veya indirimlerin yetkisiz kullanımına ilişkin bir ticari risk oluşturmamaktadır. Söz konusu uygulama aynı zamanda kişisel verilerin yanlış kişiyle ilişkilendirilmesine ve ilgili kişinin bilgisi dışında veri işlenmesine neden olabilmektedir.

Örneğin, A kişisinin alışveriş sırasında B kişisinin telefon numarasını beyan etmesi ve sistemin herhangi bir doğrulama yapmaksızın işlemi B'nin sadakat hesabına kaydetmesi hâlinde, A'nın satın aldığı ürünler, işlem tarihi, işlem tutarı ve kampanya kullanım bilgileri B'nin müşteri profiliyle ilişkilendirilebilecektir.

Bu durum, KVKK'nın 4'üncü maddesinde düzenlenen "doğru ve gerektiğinde güncel olma" ilkesi bakımından da önem taşımaktadır. İlgili kişinin gerçekleştirmediği işlemlerin kendisine ait müşteri profiline kaydedilmesi, şirket tarafından tutulan kişisel verilerin gerçeği yansıtmamasına neden olabilecektir.

İlke Kararı ile Öne Çıkan Yeni Uyum Yaklaşımı

İlke Kararı sonrasında şirketlerin yalnızca sadakat programına kaydedilen temel müşteri bilgilerinin doğruluğunu sağlamaları yeterli olmayacaktır. Şirketlerin aynı zamanda müşteri hesabı üzerinde gerçekleştirilen işlemlerin gerçekten ilgili kişiyle ilişkilendirilmesini sağlayacak tedbirleri değerlendirmeleri gerekmektedir.

Bu kapsamda şirketlerin öncelikle üçüncü bir kişinin yalnızca müşterinin telefon veya sadakat kartı numarasını bilerek ilgili hesap üzerinde hangi işlemleri gerçekleştirebildiğini tespit etmeleri önem taşımaktadır.

Hesaba puan eklenmesi, birikmiş puanın harcanması, kampanyadan yararlanılması, hesap bilgilerinin değiştirilmesi veya parasal değeri bulunan bir avantajın kullanılması farklı risk seviyelerine sahip olabilir. Bu nedenle doğrulama tedbirlerinin de işlemin niteliğine ve oluşturduğu riske göre belirlenmesi gerekmektedir.

Kurulun yaklaşımı, bütün sadakat programlarında tek bir teknik doğrulama yönteminin uygulanmasını zorunlu kılan bir yapı olarak değerlendirilmemelidir. SMS üzerinden tek kullanımlık kod, mobil uygulama üzerinden onay veya kullanıcıya özgü dinamik QR kod gibi yöntemler somut sistemin özelliklerine göre değerlendirilebilecek teknik çözümlerdir. Buradaki esas, ilgili kişinin bilgisi dışında üçüncü kişi kullanımını önleyebilecek, riskle orantılı ve amaca uygun bir doğrulama mekanizmasının oluşturulmasıdır.

Veri Güvenliği ile Ölçülülük Arasındaki Dengenin Korunması

Doğrulama mekanizmalarının güçlendirilmesinin, şirketlere sınırsız şekilde ek kişisel veri toplama imkânını sağlamadığı unutulmamalıdır. Şirketlerin güvenlik tedbirlerini belirlerken KVKK'nın 4'üncü maddesinde yer alan işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkesini de dikkate almaları gerekmektedir.

Müşterilere düşük riskli bir sadakat programı uygulaması için gereğinden fazla kişisel veri talep edilmesi veya daha az müdahaleci bir yöntemle aynı güvenlik seviyesine ulaşılması mümkünken kapsamlı kişisel veri işlenmesi ölçülülük bakımından ayrıca değerlendirme konusu olabilecektir. Dolayısıyla amaç, mümkün olan en ağır doğrulama mekanizmasının kurulması değil; somut risk bakımından gerekli, elverişli ve ölçülü bir güvenlik mekanizmasının oluşturulmasıdır.

Sadakat Programı ile Pazarlama Süreçlerinin Ayrıştırılması

Şirket içinde uyum sürecinin değerlendirmesinde sadakat programının işletilmesi ile pazarlama ve ticari ileti faaliyetlerinin birbirinden ayrılması da önem taşımaktadır.

Müşterinin telefon numarasının sadakat hesabının oluşturulması veya doğrulanması amacıyla işlenmesi ile aynı numaranın reklam ve kampanya mesajlarının gönderilmesi amacıyla kullanılması farklı veri işleme faaliyetleridir. Benzer şekilde, alışveriş geçmişinin puan hesaplamak amacıyla tutulması ile bu geçmişin müşterinin tüketim alışkanlıklarının analiz edilmesi veya pazarlama profili oluşturulması amacıyla kullanılması aynı kapsamda değerlendirilmemelidir.

Bu nedenle şirketlerin sadakat programı üyeliği, hesabın işletilmesi, puan ve avantaj sistemleri, profilleme, kişiselleştirilmiş pazarlama ve ticari elektronik ileti süreçlerinin hukuki dayanaklarını ayrı ayrı değerlendirmeleri gerekmektedir.

Hizmet Sağlayıcıların Kullanılması Şirketlerin Yükümlülüklerini Ortadan Kaldırmıyor

Sadakat programlarında POS sistemleri, CRM altyapıları, mobil uygulamalar, bulut hizmetleri, kampanya yönetimi ve çağrı merkezi gibi farklı süreçler üçüncü taraf hizmet sağlayıcılar aracılığıyla yürütülebilmektedir.

Bununla birlikte, sadakat programının teknik altyapısının üçüncü bir kişi tarafından sağlanması, veri sorumlusunun KVKK'nın 12'nci maddesinden kaynaklanan veri güvenliği yükümlülüklerini ortadan kaldırmamaktadır.

Şirketlerin bu nedenle hizmet sağlayıcıların erişim yetkilerini, veri güvenliği yükümlülüklerini, loglama sistemlerini, veri ihlali süreçlerini, alt yüklenici kullanımlarını ve veri saklama-imha süreçlerini de uyum çalışmasına dâhil etmeleri gerekmektedir.

28.02.2027 Tarihine Kadar Şirketlerin Tamamlaması Gereken Uyum Çalışmaları

Mevcut sadakat programının uçtan uca incelenmesi; POS, CRM, mobil uygulama, internet sitesi, çağrı merkezi, kampanya yönetim sistemi ve üçüncü taraf entegrasyonlarında yetkisiz hesap kullanımına imkân veren noktaların tespit edilmesi önem taşımaktadır.

Şirketlerin özellikle hesap oluşturma ve eşleştirme yöntemlerini, puan kazanma ve kullanma süreçlerini, hesap değişikliklerini, doğrulama mekanizmalarını, başarısız veya olağan dışı işlem kayıtlarını, erişim yetkilerini ve müşteri bildirim mekanizmalarını gözden geçirmeleri gerekecektir.

Öte yandan uyum sürecinin hukuk/KVKK birimi ile sınırlı tutulmaması; bilgi teknolojileri, bilgi güvenliği, CRM, pazarlama, müşteri hizmetleri ve operasyon ekiplerinin sürece dâhil edilmesi önem taşımaktadır.

Uyum süresinin 28.02.2027 tarihine kadar uzatılmış olması, söz konusu çalışmaların ertelenmesi gerektiği şeklinde değerlendirilmemelidir. Aksine, tanınan ilave sürenin teknik geliştirmelerin tamamlanması, doğrulama mekanizmalarının test edilmesi, üçüncü taraf entegrasyonlarının gözden geçirilmesi ve şirket içi süreçlerin İlke Kararı ile uyumlu hâle getirilmesi amacıyla kullanılması önem taşımaktadır.

Sonuç ve Değerlendirme

Kurul'un 2026/1491 sayılı Kararı ile 2026/266 sayılı İlke Kararı kapsamında veri sorumlularına tanınan uyum süresi 28.02.2027 tarihine kadar uzatılmıştır. Yeni Karar, İlke Kararında belirlenen yükümlülükleri değiştirmemekte; şirketlere söz konusu yükümlülükleri teknik ve operasyonel sistemlerine yansıtabilmeleri için ilave süre sağlamaktadır.

Daha önceki yazımızda kararın hukuki çerçevesini ele almıştık. Gelinen aşamada şirketlerin önceliğinin, İlke Kararının gerekliliklerinin teknik sistemlere, operasyonel süreçlere ve şirket içi kontrol mekanizmalarına fiilen yansıtılıp yansıtılmadığının belirlenmesi olması gerekmektedir.

Bu nedenle 28.02.2027 tarihine kadar tanınan ek sürenin bir erteleme dönemi olarak değil, mevcut uyum çalışmalarının tamamlanmasına yönelik ilave bir uygulama dönemi olarak değerlendirilmesi önem taşımaktadır.

Bu kapsamda temel kontrol sorusu değişmemektedir: Bir üçüncü kişi yalnızca müşteriye ait telefon veya sadakat kartı numarasını biliyorsa, ilgili kişinin bilgisi dışında onun hesabı üzerinde hangi işlemleri gerçekleştirebilmektedir?

Bu sorunun cevabı, şirketlerin mevcut sadakat programlarının İlke Kararı kapsamında yeniden ele alınması gereken noktalarını belirlemeleri bakımından önemli bir başlangıç noktası oluşturacaktır.

Konu ile ilgili duyuruya buradan ulaşabilirsiniz.