Perakende sektöründe yaygın olarak kullanılan sadakat kartları artık yalnızca CRM ve pazarlama uygulamalarının değil; kişisel verilerin korunması, mağaza operasyonları ve iş hukukunun da önemli gündem maddelerinden biri haline geliyor. Kişisel Verileri Koruma Kurulu’nun sadakat kartlarına ilişkin İlke Kararı ile Yargıtay’ın çalışanların sadakat kartlarını müşterilerin alışverişlerinde kullanmasına yönelik yaklaşımı birlikte değerlendirildiğinde, perakendeciler açısından yeni bir kontrol ve doğrulama dönemi başlıyor.
Başkasının telefon numarasıyla doğrulamasız alışveriş dönemi sona eriyor
Kişisel Verileri Koruma Kurulu, 11 Şubat 2026 tarihli ve 2026/266 sayılı İlke Kararı ile perakende sektöründe oldukça yaygın bir uygulamaya müdahale etti.
Kararın merkezinde, müşterinin sadakat kartına bağlı telefon numarası veya kart numarasının herhangi bir doğrulama yapılmadan üçüncü kişiler tarafından kullanılabilmesi bulunuyor.
Kurul, sadakat kartı sahibine ait cep telefonu numarası veya kart numarasının başka bir kişi tarafından kasadaki görevliye bildirilerek, kart sahibinin bilgisi ve rızası doğrulanmaksızın alışveriş yapılmasına imkân veren uygulamaya son verilmesine karar verdi.
Özellikle market, kozmetik, teknoloji, yapı market ve giyim sektörlerinde müşterinin yalnızca cep telefonu numarasını söylemesiyle sadakat hesabının bulunması ve alışverişin bu hesaba kaydedilmesi uzun süredir kullanılan yöntemlerden biri.
Ancak bu yöntem önemli bir veri kalitesi ve kişisel veri güvenliği sorununu beraberinde getiriyor.
Kart sahibinin gerçekleştirmediği bir alışveriş sonucunda;
- satın alınan ürünler,
- alışveriş tarihi,
- mağaza ve işlem bilgileri,
- kazanılan puanlar,
- kullanılan indirimler,
- faydalanılan promosyonlar
gerçekte alışverişi gerçekleştirmeyen kişinin müşteri hesabına kaydedilebiliyor.
KVKK, bu durumun kişisel verilerin “doğru ve gerektiğinde güncel olma” ilkesine aykırılık oluşturabileceğini açıkça değerlendiriyor. Kurul ayrıca sadakat kartının kişisel kullanım amacıyla verilmiş olmasının, veri sorumlusunun gerekli teknik ve idari güvenlik tedbirlerini alma yükümlülüğünü ortadan kaldırmadığını belirtiyor.
Perakendeciler doğrulama mekanizması kurmak zorunda
Yeni dönemde sadakat programı işlemlerinde, işlemin gerçekten kart sahibinin bilgisi ve rızası dahilinde gerçekleştiğinin doğrulanmasını sağlayacak mekanizmaların oluşturulması gerekiyor.
Bu kapsam yalnızca puan harcama işlemlerini değil;
üyelik doğrulama, alışverişte puan kazanımı, puan kullanımı, indirim ve promosyonlardan yararlanma gibi sadakat kartı üzerinden gerçekleştirilen farklı işlemleri de kapsıyor.
Kurul, farklı işlem türlerinin risk seviyesine göre farklı doğrulama yöntemlerinin uygulanabileceğini de ifade ediyor. Ayrıca yaş, eğitim düzeyi ve teknoloji okuryazarlığı gibi farklılıklar dikkate alınarak müşterilere alternatif doğrulama yöntemleri sunulabilecek.
Perakendeciler açısından bu doğrulama altyapısı;
SMS doğrulama kodu, mobil uygulama üzerinden onay, QR veya barkod doğrulaması, uygulama içi bildirim ya da farklı güvenli kimlik doğrulama yöntemleri
üzerinden kurgulanabilir.
Burada önemli olan nokta, yalnızca müşterinin telefon numarasının bilinmesinin sadakat hesabının kullanılabilmesi için yeterli olmaması.
Son uyum tarihi: 28 Şubat 2027
İlke Kararı, 28 Şubat 2026 tarihli ve 33182 sayılı Resmî Gazete’de yayımlanarak yürürlüğe girdi.
İlk düzenlemede veri sorumlularına gerekli altyapının oluşturulabilmesi için altı aylık uyum süresi verilmişti.
Ancak sektör temsilcilerinden gelen talepler sonrasında Kişisel Verileri Koruma Kurulu, 22 Temmuz 2026 tarihli ve 2026/1491 sayılı Kararı ile uyum süresini uzattı.
Yeni takvime göre işletmelerin sadakat kart sistemlerini İlke Kararına uygun hale getirmeleri için son tarih:
28 Şubat 2027
olarak belirlendi.
Dolayısıyla perakendecilerin önünde yalnızca hukuki dokümantasyonu değil, kasa ve CRM altyapısını da ilgilendiren önemli bir dönüşüm süreci bulunuyor.
Sadakat Kartlarının Bir de İş Hukuku Boyutu Var
Sadakat kartlarıyla ilgili dikkat çekici diğer konu ise kartların çalışanlar tarafından müşterilerin alışverişlerinde kullanılması.
Yargıtay içtihatlarında çalışanın, kartı bulunmayan müşterilerin alışverişlerini kendisine veya başka kişilere ait kartlar üzerinden geçirerek puan, para puan ya da benzeri ekonomik fayda oluşturması; işveren ile çalışan arasındaki güven ilişkisi ve doğruluk-bağlılık yükümlülüğü kapsamında değerlendirilebiliyor.
Bu nedenle mağazada oldukça basit veya zararsız görülebilecek bir işlem, iş hukuku açısından ciddi sonuçlar doğurabilir.
Örneğin çalışan;
müşterinin sadakat kartı olmadığında kendi kartını kullanıyorsa,
yakınına ait kartı müşterilerin alışverişlerinde okutuyorsa,
çok sayıda müşterinin alışverişini belirli bir üyelik hesabında topluyorsa,
müşteriye ait olmayan hesaba puan veya ekonomik avantaj kazandırıyorsa,
sadakat sistemini kişisel veya üçüncü kişilere menfaat sağlamak için kullanıyorsa,
bu davranışların şirket prosedürlerinin ihlal edilmesinin ötesinde çalışanın işverene karşı doğruluk ve bağlılık yükümlülüğü açısından da değerlendirilmesi mümkün hale geliyor.
KVKK Kararı ile İş Hukuku Yaklaşımı Aynı Noktada Buluşuyor
KVKK İlke Kararı ve sadakat kartlarının çalışanlar tarafından usulsüz kullanımına ilişkin iş hukuku yaklaşımı birlikte değerlendirildiğinde önemli bir ortak nokta ortaya çıkıyor:
Sadakat hesabındaki alışveriş, gerçekten alışverişi yapan kişiye ait olmalı.
KVKK konuya kişisel verilerin doğruluğu ve güvenliği açısından yaklaşıyor.
İş hukuku ise çalışanın sistem üzerinde gerçekleştirdiği işlemin işverene bağlılık, güven ve menfaat sağlama boyutuna bakıyor.
Perakendeci açısından ise iki konu aynı noktada birleşiyor:
Sadakat sisteminin kontrolsüz kullanılmasının engellenmesi.
Sadakat Programları Artık Sadece Pazarlama Projesi Değil
Yeni hukuki çerçeve, sadakat programlarının yalnızca CRM veya pazarlama departmanlarının sorumluluğunda yönetilemeyeceğini gösteriyor.
Sürecin;
CRM, bilgi teknolojileri, hukuk, insan kaynakları, iç denetim, mağaza operasyonları ve kasa sistemleri
tarafından birlikte yönetilmesi gerekiyor.
Çünkü aynı sadakat kartı işlemi;
KVKK açısından: kişisel veri ihlali ve yanlış veri işleme,
iş hukuku açısından: çalışanın doğruluk ve bağlılık yükümlülüğünün ihlali,
finans açısından: haksız puan, indirim ve promosyon maliyeti,
CRM açısından: müşteri verisinin bozulması,
pazarlama açısından: yanlış müşteriye yanlış kampanya yapılması
sonucunu ortaya çıkarabilir.
CRM Açısından Asıl Sorun: “Bu Alışverişi Gerçekten Kim Yaptı?”
Sadakat programlarının temel amacı müşteriyi tanımaktır.
Müşterinin;
hangi mağazadan alışveriş yaptığı,
hangi kategorileri tercih ettiği,
ne sıklıkta geldiği,
ortalama sepet tutarı,
marka tercihleri,
kampanyalara verdiği tepki
gibi yüzlerce veri sadakat hesabı üzerinden analiz ediliyor.
Ancak farklı müşterilerin alışverişleri aynı telefon numarası veya sadakat kartı üzerinde toplanıyorsa bütün bu analizlerin doğruluğu tartışmalı hale geliyor.
Örneğin bir müşteriye ait karta yüzlerce farklı müşterinin alışverişi kaydediliyorsa sistem o kişiyi gerçekte olmadığı kadar değerli bir müşteri olarak görebilir.
Bu durum;
RFM segmentasyonunu,
müşteri yaşam boyu değerini – CLV,
churn analizlerini,
kategori tercihlerini,
birlikte satın alma analizlerini,
kişiselleştirilmiş kampanyaları,
müşteri segmentasyonlarını
doğrudan bozabilir.
Dolayısıyla KVKK’nın getirdiği doğrulama yükümlülüğünü yalnızca “hukuki uyum maliyeti” olarak değerlendirmek doğru olmayacaktır.
Doğru tasarlanan doğrulama sistemi aynı zamanda perakendecinin CRM verisinin kalitesini de artırabilir.
Perakendecilerin 28 Şubat 2027’ye Kadar Yapması Gerekenler
Perakendecilerin dönüşümü yalnızca kasa yazılımına SMS doğrulama ekranı eklemek olarak değerlendirmemesi gerekiyor.
İşletmelerin en azından aşağıdaki alanları birlikte gözden geçirmesi gerekiyor:
1. Sadakat kartı kullanım prosedürleri
Telefon numarası veya kart numarasıyla yapılan işlemlerin mevcut yapısı incelenmeli.
2. Doğrulama mekanizmaları
Puan kazanımı, puan kullanımı ve indirim gibi işlemlerin risk seviyesine göre doğrulama modeli oluşturulmalı.
3. Çalışan sadakat kartı kullanımı
Personelin kendi veya yakınlarının kartlarını müşterilerin alışverişlerinde kullanmasının sistemsel olarak engellenmesi değerlendirilmeli.
4. Kasa yetkileri
Kasiyerlerin müşteri hesaplarına erişim ve değiştirme yetkileri yeniden gözden geçirilmeli.
5. Şüpheli sadakat işlemleri
Aynı karta kısa sürede çok farklı mağaza veya kasalardan işlem yapılması gibi anomaliler izlenmeli.
6. Puan suistimali kontrolleri
Olağan dışı puan kazanma ve harcama hareketleri raporlanmalı.
7. CRM veri temizliği
Geçmişte üçüncü kişilerce yoğun biçimde kullanılmış olabilecek müşteri hesapları analiz edilmeli.
8. Çalışan eğitimleri
Kasiyer, mağaza yöneticisi, müşteri hizmetleri ve CRM ekiplerine yeni uygulamalar konusunda eğitim verilmeli.
Perakendeci İçin Kritik Takvim
11 Şubat 2026
Kişisel Verileri Koruma Kurulunun 2026/266 sayılı İlke Kararı alındı.
28 Şubat 2026
İlke Kararı 33182 sayılı Resmî Gazete’de yayımlanarak yürürlüğe girdi.
22 Temmuz 2026
Kişisel Verileri Koruma Kurulu 2026/1491 sayılı Kararı ile uyum süresinin uzatılmasına karar verdi.
28 Şubat 2027
Sadakat kartı uygulamalarının İlke Kararına uyumu için belirlenen son tarih.
Sonuç: Sadakat Sisteminde Yeni KPI “Doğru Müşteri – Doğru İşlem” Olacak
Yeni dönemde sadakat programlarının başarısı yalnızca kaç müşterinin kayıtlı olduğu, kaç müşterinin uygulama kullandığı veya sadakat programından ne kadar ciro üretildiğiyle ölçülmemeli.
Asıl önemli sorulardan biri şu olacak:
“Sadakat hesabına kaydettiğimiz alışverişi gerçekten o müşteri mi yaptı?”
Çünkü müşteri ile alışveriş eşleşmesi doğru değilse;
CRM analizi yanlış,
segmentasyon yanlış,
kampanya yanlış,
müşteri değeri yanlış,
kişiselleştirme yanlış
olabilir.
Bu nedenle KVKK’nın sadakat kartlarına ilişkin yeni yaklaşımı perakendeciler için yalnızca hukuki bir yükümlülük değil; daha doğru müşteri verisi, daha güvenilir CRM analitiği ve daha kontrollü sadakat programları oluşturmak için önemli bir dönüşüm fırsatı olarak da değerlendirilebilir.
Resmî Kaynaklar ve Kararlar
1. Kişisel Verileri Koruma Kurulu – 11.02.2026 tarihli ve 2026/266 sayılı İlke Kararı
“Sadakat Kart Üyeliği Bulunan Bir Kişinin Cep Telefonu Numarasının veya Sadakat Kart Numarasının Üçüncü Bir Kişi Tarafından Alışveriş Esnasında Kullanılması Hakkında İlke Kararı”
İlke Kararı, doğrulama yapılmaksızın üçüncü kişilerin telefon veya sadakat kartı numarası üzerinden alışveriş gerçekleştirmesine imkân veren uygulamaya son verilmesini ve uygun doğrulama mekanizmalarının kurulmasını öngörüyor.
KVKK – 11.02.2026 tarihli 2026/266 sayılı İlke Kararı
2. Kişisel Verileri Koruma Kurulu – 22.07.2026 tarihli ve 2026/1491 sayılı Karar
Bu kararla 2026/266 sayılı İlke Kararı kapsamında veri sorumlularına tanınan uyum süresi 28 Şubat 2027 tarihine kadar uzatıldı.
KVKK – Sadakat Kartları Uyum Süresinin 28 Şubat 2027’ye Uzatılması
3. KVKK İlke Kararları
Kişisel Verileri Koruma Kurumunun yayımladığı İlke Kararlarının tamamına Kurumun resmi karar sayfasından ulaşılabilir.
4. KVKK Kurul Kararları
Kişisel Verileri Koruma Kurulunun diğer kararları ve 2026/1491 sayılı uyum süresi uzatma kararı Kurumun resmi Kurul Kararları bölümünde yayımlanmaktadır.
Yargıtay notu: Sadakat kartının çalışan tarafından müşterilerin alışverişlerinde kullanılmasıyla ilgili aktarılan güncel kararın tam Daire / Esas No / Karar No künyesi resmî Yargıtay kaynağından teyit edildiğinde, haberin kaynak bölümüne kararın doğrudan bağlantısının da eklenmesi uygun olacaktır.
