Kasada Telefon Numaramı Söyleyerek Başkası Alışveriş Yapabilir mi? Sadakat Kartlarında KVKK'nın 2026/266 Sayılı İlke Kararı
Sadakat kartında kasada telefon numarası söylemek artık yetmiyor. KVKK'nın 2026/266 sayılı ilke kararı doğrulamayı zorunlu kıldı, uyum süresi 28 Şubat 2027'ye uzadı.
Kısa cevap: hayır, yapamaz ve bunu mümkün kılan kasa düzeni artık hukuka aykırı. Kişisel Verileri Koruma Kurulu 11 Şubat 2026 tarihli ve 2026/266 sayılı ilke kararıyla, sadakat kart sahibinin cep telefonu numarasının ya da kart numarasının kasada üçüncü bir kişi tarafından söylenerek onun adına işlem yapılmasını, 6698 sayılı Kanun'un 5. maddesindeki hiçbir işleme şartına dayandırılamayacak bir faaliyet saydı. Karar 28 Şubat 2026 tarihli ve 33182 sayılı Resmî Gazete'de yayımlandı. Perakendeciye getirdiği yükümlülük tek cümleyle şu: işlemin gerçekten kart sahibi tarafından ya da onun bilgisi ve onayıyla yapıldığını gösteren bir doğrulama adımı kurmak. Bu altyapı için tanınan süre önce altı aydı, 22 Temmuz 2026 tarihli ve 2026/1491 sayılı kararla 28 Şubat 2027'ye uzatıldı. Sürenin uzaması yapılan işi hukuka uygun hale getirmiyor; yalnızca kasa yazılımını değiştirmek için verilen zaman uzadı.
Kurula gelen şikâyetlerin ortak hikâyesi sade. Kasadaki müşteri, kendisine ait olmayan bir cep telefonu numarasını söylüyor, kasiyer numarayı sisteme giriyor, indirim uygulanıyor ya da puan yazılıyor, işlem bitiyor. Numaranın sahibi o sırada mağazada değil, çoğu zaman alışverişten haberi bile yok. Kurul bu pratiğin gıda perakendesinden kozmetiğe, teknoloji marketlerinden giyim ve yapı marketlerine kadar geniş bir alanda yerleştiğini tespit etti. Sadakat kartı üyelik sözleşmesi çerçevesinde kişinin şahsi kullanımına özgüleniyor, buna rağmen kartın gerçekten sahibince mi kullanıldığını sınayan bir mekanizma çoğu sistemde hiç bulunmuyordu.
Kararın hukuki iskeleti üç maddeye oturuyor. Birincisi 5. madde: başkasının hesabına işlem kaydetmek herhangi bir işleme şartına dayanmıyor, bu da hukuka aykırı bir işleme faaliyetine ve kişisel veri ihlaline yol açabiliyor. İkincisi 4. madde: kişiye ait olmayan bir alışveriş onun hesabına yazıldığında kayıt yanlışlanıyor, kişisel verilerin doğru ve gerektiğinde güncel olması ilkesi zedeleniyor. Üçüncüsü 12. madde: doğrulamasız kurgunun kendisi, veri sorumlusunun güvenlik tedbirlerini alma yükümlülüğünü karşılamadığını gösteriyor. Kararda sıkça başvurulan bir savunma da açıkça reddedildi. Üyelik sözleşmesine "kartın üçüncü kişilerle paylaşılmasının sorumluluğu üyeye aittir" türünden bir hüküm koymak, 12. maddedeki veri güvenliği yükümlülüğünü ortadan kaldırmıyor. Bu yükümlülük sözleşmeyle müşteriye devredilebilecek bir yük değil.
Kurul yöntem dayatmadı, örnek saydı. Kasada SMS ile gönderilen tek kullanımlık doğrulama kodunun girilmesi, mobil uygulama veya internet sitesi üzerinden üretilen barkodun ya da QR kodun kasada okutulması, fiziki sadakat kartının ibraz edilmesi, karta ait şifrenin işlem cihazına girilmesi. Dördü de kabul edilebilir. Karar ayrıca kademelendirmeye izin veriyor: işlem türüne ve riskine göre farklı doğrulama seviyeleri kurgulanabilir, farklı kullanıcı grupları için alternatif yöntemler sunulabilir. Pratikteki karşılığı şu. Puan harcamak, hediye çeki bozdurmak ya da kişiye özel bir indirimi kullanmak yüksek riskli işlemdir ve güçlü doğrulama ister. Yalnızca puan biriktirmek daha düşük riskli kurgulanabilir. Akıllı telefonu olmayan müşteri için fiziki kart seçeneğini tamamen kaldırmak da çözüm değil, o gruba kullanabileceği bir yol bırakmak gerekiyor.
Uzatma kararı yaz ortasında geldi. Kurul 22 Temmuz 2026 tarihli ve 2026/1491 sayılı kararıyla, sektör temsilcilerinden gelen talepler üzerine ve yükümlülüğün sağlıklı biçimde uygulanabilmesi için uyum süresini oybirliğiyle 28 Şubat 2027'ye çekti; duyuru 13 Ağustos 2026 tarihli ve 33339 sayılı Resmî Gazete'de yayımlandı. Buradaki ayrımı kaçırmayın. Uzatılan şey doğrulama altyapısını kurma süresi. İlke kararının kendisi yürürlükte ve 5. madde ile 12. maddeye dayanan tespit değişmiş değil. Bir müşteri bugün adına yapılmış bir işlemi fark edip şikâyet ederse, Kurulun önündeki dosya "süre var mı" sorusuyla değil, o somut işlemin hangi işleme şartına dayandığı sorusuyla açılır. Doğru okuma şu: altyapı için Şubat 2027'ye kadar vakit var, ihmalden doğan tek tek ihlaller için yok.
Bu noktada bir yıl önceki başka bir ilke kararıyla karışıklık çıkıyor. Kurulun 10 Haziran 2025 tarihli ve 2025/1072 sayılı kararı, 26 Haziran 2025 tarihli ve 32938 sayılı Resmî Gazete'de yayımlanmıştı ve ürün ile hizmet sunumu sırasında gönderilen SMS doğrulama kodu üzerinden açık rıza alınması uygulamasına son verilmesini istiyordu. Orada eleştirilen kodun kendisi değildi, koda yüklenen işlevdi: tek bir kodla hem üyelik sözleşmesi kabul ediliyor, hem kişisel veri işlenmesine rıza alınıyor, hem ticari elektronik ileti onayı toplanıyordu. Müşteri kodu okurken neye onay verdiğini bilmiyordu. 2026/266 ise SMS kodunu kimlik doğrulama aracı olarak sayıyor. İkisi çelişmiyor. Doğru kurgu, doğrulama kodunun sadece "bu işlemi ben yapıyorum" teyidi için kullanılması; üyelik, veri işleme ve pazarlama izinlerinin ayrı ayrı, kendi aydınlatmasıyla ve ayrı iradelerle alınmasıdır. Kurulun 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararı da açık rıza metni ile aydınlatma metninin ayrı düzenlenmesi gerektiğini hükme bağlamış durumda.
Neden bu kadar üstüne gidildiği sorusunun cevabı kasa fişinde duruyor. Üçüncü kişinin yaptığı alışverişin faturası kart sahibi adına düzenlenebiliyor, alışveriş geçmişi onun hesabına yazılıyor. Sadakat programlarının tamamı bu geçmiş üzerinden çalıştığı için sonuç hatalı bir satırla kalmıyor: kişiye gönderilen kampanyalar, kişiselleştirilmiş indirimler, bazı sistemlerde harcama segmenti başkasının sepetine göre şekilleniyor. Diyelim ki komşunuz üç ay boyunca kasada sizin numaranızı söyledi. Bir süre sonra bebek bezi ve mama kampanyaları almaya başlarsınız, oysa çocuğunuz yoktur. Karar metnindeki "doğru ve gerektiğinde güncel olma" ilkesinin somut karşılığı tam olarak budur. Puan tarafı daha da net: biriken puan sizin hesabınıza yazıldıysa harcaması da sizin hesabınızdan olur ve bir noktada kimin neyi harcadığı tartışmaya açılır.
Kurulun sadakat programlarına bakışı yeni değil. 25 Mart 2019 tarihli ve 2019/82 sayılı kararda bir market zincirinin kart uygulaması incelenmişti. Şikâyetlerden biri, programa üyeliğin açık rıza şartına bağlanmasının hizmeti rızaya bağlamak anlamına geldiğiydi. Kurul bu iddiayı kabul etmedi; sadakat programına katılım zorunlu olmadığı ve kart olmadan da alışveriş yapılabildiği için programa girişte rıza istenmesini sorun görmedi. Dosyadan idari para cezası çıkmadı, ancak şirkete aydınlatma metnindeki tutarsızlıkları gidermesi ve sosyal paylaşım sitelerine aktarım için rıza kurgusunu düzeltmesi talimatlandırıldı. İki kararı yan yana koyunca mesaj netleşiyor: sadakat kartı kurmak serbest, kurgunun her adımının doğru olması şart.
Kasa başında gözden kaçan iki ayrıntı var. Birincisi müşterinin telefon numarasını sıradakilerin duyacağı şekilde yüksek sesle söylemesi. Bu, kart sisteminden bağımsız bir ifşa yolu; numarayı duyan kişinin ertesi gün aynı numarayı kasada kullanmasının önünde teknik bir engel yoksa iki sorun birleşir. Numara girişinin müşteri tarafından pinpad üzerinden yapılabildiği bir düzen bunu büyük ölçüde kapatır. İkincisi kasiyer ekranında kart sahibinin ad ve soyadının görünmesi; doğrulama olmadan numara girildiğinde kasadaki yabancı kişi ekranda bir başkasının adını okuyabiliyor, oysa yalnızca puan bakiyesini göstermek çoğu senaryoda yeterli. Bir de içeriden gelen risk var: kasiyerlerin, sadakat kartı olmayan müşterilerin alışverişini kendi kartlarına ya da tanıdıklarının kartına yazdırması. Puan toplama alışkanlığı gibi görünen bu davranış veri tarafında müşteriye ait alışveriş verisinin personel hesabına aktarılması demek, Türk Ceza Kanunu'nun 136. maddesindeki verileri hukuka aykırı olarak verme veya ele geçirme tanımına yaklaşabilir ve şirket bakımından 12. madde kapsamında güvenlik zafiyeti sayılır. Kasiyer işlemlerinin loglanması ve aynı personel kartının anormal sıklıkta kullanılmasının raporlanması bu işi görüyor.
Şirket tarafında Şubat 2027'ye kadar bitirilmesi gereken iş listesi şöyle. Kasa yazılımına ve mobil uygulamaya doğrulama akışını ekleyin, işlem tiplerini riske göre ayırın, hangi işlemin hangi seviyede doğrulanacağını yazılı olarak karara bağlayın. SMS altyapısının kapasitesini kasa yoğunluğuna göre hesaplayın; kod geciktiğinde kuyruğun kilitlenmemesi için sahada uygulanabilir bir yedek yöntem belirleyin. Aydınlatma metnini güncelleyin ve doğrulama kodunu rıza toplama aracına çevirmeyin. Kişisel veri envanterinizde sadakat programı sürecini yeniden yazın, VERBİS kaydınızla tutarlı olduğunu kontrol edin. Kasiyer eğitimini yazılı hale getirip katılım kayıtlarını saklayın, denetimde ilk sorulan belgelerden biri budur. Ticari elektronik ileti onaylarınızı da gözden geçirin; İYS'de onayı bulunmayan bir numaraya kampanya mesajı gitmesi bu düzenlemeden ayrı bir başlık ama aynı müşteri şikâyetinde birlikte gündeme geliyor.
Kart sahibiyseniz ve adınıza yapılmış bir işlem gördüyseniz yol basit. Önce hesap dökümünüzü isteyin: 6698'in 11. maddesi işlenen verileriniz hakkında bilgi talep etme hakkını veriyor, hangi tarihte hangi mağazada işlem yapıldığını sorabilirsiniz. Talebinizi 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete'de yayımlanan Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun biçimde yazılı iletin; cevap süresi otuz gün. Cevap gelmez ya da yetersiz kalırsa, cevabı öğrendiğiniz tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyet edebilirsiniz. Aynı dilekçede size ait olmayan işlem kayıtlarının düzeltilmesini de isteyin. Şirket tarafındaki bedel ortada: 2026 yılında aydınlatma yükümlülüğünün yerine getirilmemesi 85.437 TL ile 1.709.200 TL, veri güvenliğine ilişkin yükümlülüklerin ihlali 256.357 TL ile 17.092.242 TL arasında idari para cezasıyla karşılanıyor.
Sadakat programı işleten perakendeciler için bu dosya kasa yazılımıyla sınırlı değil; aydınlatma metni, veri envanteri, personel eğitimi ve ileti izinleri aynı masada duruyor. KVKK Danışman olarak market zincirleri, mağazacılık ve e-ticaret şirketleri için ücretsiz ön değerlendirme yapıyoruz: mevcut sadakat kurgunuzu 2026/266 sayılı ilke kararına göre inceleyip Şubat 2027'ye kadar hangi adımı hangi sırayla atmanız gerektiğini yazılı olarak paylaşıyoruz.