Kaynak: 13.08.2026 Tarihli ve 33339 Sayılı Resmî Gazete (Kişisel Verileri Koruma Kurulu’nun 22.07.2026 Tarihli ve 2026/1491 Sayılı Kararı)
Kişisel Verileri Koruma Kurulunun 11.02.2026 tarihli ve 2026/266 sayılı İlke Kararı, sadakat kart üyeliği bulunan kişinin cep telefonu veya sadakat kart numarasının kasada üçüncü bir kişi tarafından kullanılmasını önlemek üzere veri sorumlularına doğrulama mekanizması kurma yükümlülüğü getirmiş ve bunun için altı aylık uyum süresi tanımıştı; bu süre 28.08.2026’da doluyordu. Kurulun 22.07.2026 tarihli ve 2026/1491 sayılı Kararı ile uyum süresi 28.02.2027 tarihine kadar uzatılmıştır.
1. Giriş ve Düzenlemenin Amacı
Mağazacılık ve perakende sektöründe sıklıkla kullanılan sadakat kartı veya sadakat üyeliği uygulamalarında, alışveriş esnasında kasada ödeme yaparken üçüncü kişilere ait cep telefonu numarası veya sadakat kart numarasının söylenmesi/kullanılması yoluyla kişisel verilerin hukuka aykırı işlenmesi ve mahremiyet ihlallerinin önüne geçilmesi amacıyla Kişisel Verileri Koruma Kurulu (KVKK) tarafından ilke kararı alınmıştı.
13 Ağustos 2026 tarihli ve 33339 sayılı Resmî Gazete’de yayımlanan KVKK’nın 22.07.2026 tarihli ve 2026/1491 sayılı Kararı ile, veri sorumlusu şirketlerin kasa ve doğrulama altyapılarını entegre edebilmeleri adına öngörülen geçiş süresi uzatılmıştır.
2. KVKK Kararının Teknik İçeriği ve Yeni Takvim
- Mevcut Uyum Süresinin Uzatılması: Sadakat üyeliği bulunan kişilerin telefon veya üyelik numaralarının kasa işlemlerinde üçüncü şahıslarca kullanılmasına engel olacak idari ve teknik tedbirlerin alınması için veri sorumlularına tanınan ve normal şartlarda 28.08.2026 tarihinde sona erecek olan uyum süresi 6 ay uzatılmıştır.
- Yeni Son Uyum Tarihi: Veri sorumlusu perakende işletmeler, mağaza zincirleri ve e-ticaret platformları için yeni son uyum tarihi 28.02.2027 (28 Şubat 2027) olarak belirlenmiştir.
- Gerekli Teknik Altyapı: Bu süre zarfında veri sorumlularının; kasada telefon numarası söylenerek puan/indirim kullanımında SMS doğrulama kodu (OTP), mobil uygulama onayı veya biyometrik/güvenli doğrulama katmanlarını sistemlerine entegre etmesi gerekmektedir.
3. İK Yöneticileri, Mağaza Müdürleri ve Veri Sorumluları İçin Operasyonel Yol Haritası
Daha önceki sirkülerlerimizde (2026/123) Anayasa Mahkemesi’nin işe iade davalarında arabuluculukla ilgili ihlal kararını ve (2026/122) SGK’nın geçici koruma altındaki yabancılara ilişkin 2026/20 sayılı Genelgesini incelemiştik. KVKK’nın 2026/1491 sayılı kararı karşısında işletmelerin İK, bilgi işlem ve hukuk birimlerinin şu adımları atması önerilir:
- Kasa ve POS Yazılım Entegrasyonları: Mağaza zincirleri, SMS tek kullanımlık şifre (OTP) veya mobil uygulama onay mekanizmalarını 28 Şubat 2027’ye kadar kasa yazılımlarına dahil etmelidir.
- Mağaza Personeli ve İK Eğitimleri: Kasiyer ve satış personelinin müşterilerden telefon numarası isterken KVKK veri güvenliği ilkelerine uygun hareket etmesi sağlanmalı; başkasına ait numara üzerinden işlem yapılması riski engellenmelidir.
- Aydınlatma ve Açık Rıza Metinlerinin Güncellenmesi: Müşteri sadakat programı üyelik sözleşmeleri ve KVKK aydınlatma metinleri yeni doğrulama prosedürlerine uygun şekilde revize edilmelidir.
Sık Sorulan Sorular
Uzatılan süre hangi karara ait?
Kurulun 11.02.2026 tarihli ve 2026/266 sayılı İlke Kararına. O karar 28.02.2026 tarihli ve 33182 sayılı Resmî Gazete’de yayımlanarak yürürlüğe girmiş ve yayımı tarihinden itibaren altı aylık uyum süresi öngörmüştü.
Karar belirli bir teknoloji zorunlu kılıyor mu?
Hayır. İlke Kararı, işlemin ilgili kişinin bilgisi ve rızası dahilinde gerçekleştiğini teyit edecek doğrulama mekanizmalarının oluşturulmasını istiyor; yöntemi veri sorumlusuna bırakıyor. SMS tek kullanımlık şifre, mobil uygulama onayı gibi çözümler bu yükümlülüğü karşılamak için kullanılabilecek seçeneklerdir.
Yükümlülüğün kanuni dayanağı nedir?
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12’nci maddesinde düzenlenen, veri güvenliğine ilişkin gerekli teknik ve idari tedbirleri alma yükümlülüğü.
Süre neden uzatıldı?
Kararda, altı aylık sürenin 28.08.2026’da sona erdiği ancak sektörden gelen talepler doğrultusunda sürenin uzatılması ihtiyacının doğduğu belirtilerek yeni tarih 28.02.2027 olarak tespit edilmiştir.
Kimler kapsamda?
Sadakat kartı veya sadakat üyeliği uygulaması yürüten veri sorumluları — perakende zincirleri, mağazalar ve e-ticaret platformları dâhil.
Bu sirkülerde atıf yapılan belgeler
- Kişisel Verileri Koruma Kurulunun 22/07/2026 Tarihli ve 2026/1491 Sayılı Kararı — Resmî Gazete, 13.08.2026, Sayı: 33339resmigazete.gov.tr
- Kişisel Verileri Koruma Kurulunun 11/02/2026 Tarihli ve 2026/266 Sayılı İlke Kararı — Resmî Gazete, 28.02.2026, Sayı: 33182resmigazete.gov.tr
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (12’nci madde — veri güvenliğine ilişkin yükümlülükler)mevzuat.gov.tr
Bu sirküler genel bilgilendirme amacıyla hazırlanmıştır. Somut uygulama öncesinde ilgili resmî kaynakların güncel hâli ve şirketin özel koşulları ayrıca değerlendirilmelidir.