KVKK sadakat kartı doğrulama: süre 2027’ye uzadı, yük aynı

Kişisel Verileri Koruma Kurulu’nun 11 Şubat 2026 tarihli 2026/266 sayılı İlke Kararı, sadakat kartı / üyelik puan sistemlerinde cep telefonu veya kart numarasının kasada üçüncü kişiye söylenerek doğrulamasız kullanılmasını hukuka aykırı buldu. Veri sorumlularına üyelik, puan kazanımı, puan harcama ve indirim gibi işlemlerde “ilgili kişinin bilgisi ve rızası”nı ispatlayan doğrulama mekanizması kurma yükümlülüğü geldi.

İlk uyum penceresi 28 Ağustos 2026’da kapanıyordu. Sektör talebiyle Kurul’un 22 Temmuz 2026 tarihli 2026/1491 sayılı kararı (Resmî Gazete: 13 Ağustos 2026) süreyi 28 Şubat 2027’ye uzattı. Uzatma, yükümlülüğü silmez; yalnızca ek süre verir.

Yazılım / ürün iş sırası:

1. Riskli işlemleri ayır (üyelik, puan kazan, puan harca, indirim) 2. Alternatif doğrulama kanalları tasarla: SMS OTP, QR / barkod, Passkey, uygulama onayı 3. Yaş / erişilebilirlik için tek kanala bağlanma; alternatif sun 4. Kanıt log’u tut (kim, ne zaman, hangi kanal, sonuç) — denetim için 5. POS, e-ticaret ve CRM entegrasyonunda aynı kuralı uygula

“Süre uzadı” manşeti operasyonu ertelemek için değil; POS entegrasyonu, test ve personel eğitimi için kullanılır. Şubat 2027’ye kadar doğrulamasız üçüncü kişi akışını sürdürmek risk biriktirir.