KVKK Ağustos 2026: Sadakat Kartı Süresi Uzatıldı, 47 Yeni Karar Özeti Yayımlandı

KVKK'da ağustos yoğun başladı: Sadakat kartı ilke kararındaki uyum süresi 28 Şubat 2027'ye uzatıldı ve Kurum 47 yeni karar özeti yayımladı. Şirketlerin bilmesi gerekenleri özetledik.

1. Sadakat Kartı Uyum Süresi 28 Şubat 2027'ye Uzatıldı

Kişisel Verileri Koruma Kurulu'nun 22.07.2026 tarihli ve 2026/1491 sayılı kararı, 13 Ağustos 2026 tarihli ve 33339 sayılı Resmî Gazete'de yayımlandı. Karar, sadakat kartlarına ilişkin ilke kararında öngörülen uyum süresini uzatıyor (kaynak).

İlke kararı ne diyordu?

Kurul'un 11.02.2026 tarihli ve 2026/266 sayılı ilke kararı, 28 Şubat 2026'da Resmî Gazete'de yayımlanmıştı. Karar, kasada başka birinin telefon numarasını ya da kart numarasını söyleyerek, hiçbir doğrulama olmadan alışveriş yapılması uygulamasını hedef alıyor. Veri sorumlularından beklenenler:

• Sadakat kartının kart sahibinin bilgisi ve rızası dâhilinde kullanıldığını doğrulayan mekanizmalar kurmak

• Üyelik, puan kazanma, puan harcama ve indirim gibi işlemlerde risk seviyesine göre farklı doğrulama yöntemleri uygulamak

• Yaş, eğitim, ekonomik durum ve teknolojiye erişim gibi farklılıkları gözeterek alternatif doğrulama yolları sunmak

Ne değişti?

Uzatma, yükümlülüğü ortadan kaldırmıyor; yalnızca altyapıyı kurmak için ek süre tanıyor. Perakende, akaryakıt, kozmetik ve market zincirleri gibi sadakat programı işleten şirketlerin bu süreyi doğrulama altyapısını (SMS/OTP, uygulama içi onay, QR kod gibi) test etmek için kullanması gerekiyor.

Teknik tarafta nelere dikkat edilmeli?

• Kasada gecikme: Doğrulama adımı kasa sırasını uzatmamalı. OTP servislerinin yanıt süresi ve erişilebilirliği kritik.

• Kesintiye dayanıklılık: Doğrulama servisi çökerse kasa ne yapacak? Yedek senaryo önceden tanımlanmalı.

• Kayıt ve ispat: Hangi işlemin nasıl doğrulandığına dair loglar, olası bir şikâyette ispat aracıdır.

• Veri minimizasyonu: Doğrulama için gereğinden fazla veri toplanmamalı.

2. KVKK 47 Yeni Karar Özeti Yayımladı

Kişisel Verileri Koruma Kurumu, 10 Ağustos 2026'da 2022–2026 yıllarına ait 47 karar özetini yayımladı. Listeye göz attığınızda çarpıcı bir tablo çıkıyor: Özetlerin 25'i doğrudan veri ihlali kararlarıyla ilgili.

İhlal kararlarının konu olduğu sektörler oldukça geniş: telekom teknolojisi, otel işletmeciliği, küçük ev aletleri, restoran zinciri, ilaç ve sağlık ürünleri, kozmetik, turizm, dijital oyun, hazır giyim, otomotiv yan sanayi, tarım makineleri, online yemek siparişi, perakende ve bir hosting şirketi (2023/412).

Diğer başlıklardan bazıları:

• Bir tasarruf finansman şirketinin istenmeyen pazarlama SMS'leri ve aramaları (2026/1183)

• Uçak içi internet hizmetinin açık rızaya bağlanması (2024/1393)

• İş yerinde ses ve görüntü kaydı yapan kameralar (2024/540, 2023/2007)

• Üniversitede parmak izi ile yoklama sistemi (2024/197)

• Bir giyim mağazası web sitesinin kişisel verileri üçüncü kişilere açık hâle getirmesi (2023/1796)

Bu kararlardan çıkan mesaj

Karar özetlerinin yarısından fazlasının veri ihlaliyle ilgili olması tesadüf değil. Kurul'un en sık karşılaştığı konu, KVKK'nın 12. maddesindeki teknik ve idari tedbir yükümlülüğü. Sektör ne olursa olsun, şirketlerin şu sorulara net cevap verebilmesi gerekiyor:

1. Kişisel verilerin tutulduğu sunucular nerede ve kimin fiziksel erişimine açık?

2. Erişim yetkileri rol bazlı mı, düzenli gözden geçiriliyor mu?

3. Yamalar ve güvenlik güncellemeleri zamanında uygulanıyor mu?

4. Loglar tutuluyor ve izleniyor mu?

5. Yedekler şifreli ve erişimi kısıtlı mı?

6. İhlal olduğunda 72 saat içinde bildirim yapılabilecek bir süreç var mı?

Sık Sorulan Sorular

Sadakat kartı düzenlemesi kimleri kapsıyor?

Müşterilerine sadakat kartı, puan veya üyelik programı sunan ve alışveriş sırasında telefon ya da kart numarasıyla işlem yapılmasına izin veren tüm veri sorumlularını kapsıyor.

28 Şubat 2027'den sonra doğrulama yapılmazsa ne olur?

İlke kararına göre, gerekli tedbirleri almadan uygulamaya devam eden veri sorumluları hakkında Kanun'un 18. maddesi kapsamında idari yaptırım uygulanabilir.

KVKK karar özetleri neden önemli?

Karar özetleri, Kurul'un somut olaylara nasıl baktığını gösterir. Kendi sektörünüzdeki kararları incelemek, benzer bir denetimde nelerin sorgulanacağını önceden görmenizi sağlar.

Hosting şirketleri de KVKK kararlarına konu oluyor mu?

Evet. 47 karar özeti arasında bir hosting şirketindeki veri ihlaline ilişkin karar da bulunuyor. Barındırma sağlayıcınızın güvenlik önlemleri, sizin uyum durumunuzu doğrudan etkiler.

Olfe ile Denetlenebilir Altyapı

Olfe, İzmir Bornova'daki Tier III veri merkezinde verilerinizi yurt içinde, biyometrik erişim kontrollü ve 7/24 izlenen bir tesiste barındırır. Kabin barındırma, fiziksel sunucu ve özel bulut seçeneklerinin yanında, fintech ve bankacılık için izole Finans Kafesi sunar. Sadakat programınızın doğrulama altyapısı ya da veri saklama mimarisi için bizimle iletişime geçin. Altyapı seçiminde fiziksel konumun neden önemli olduğunu bu yazımızda anlattık.

Sonuç

Ağustos'taki iki gelişme aynı şeyi söylüyor: KVKK artık sadece aydınlatma metni ve açık rıza formlarından ibaret değil. Kurul'un önüne gelen dosyaların büyük kısmı, sunucu, erişim ve güvenlik tedbirleriyle ilgili. Sadakat kartı için tanınan ek altı ay, ertelemek için değil, doğru altyapıyı kurmak için bir fırsat.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz. Güncel mevzuat için Resmî Gazete ve kvkk.gov.tr esas alınmalıdır.