Kişisel Verileri Koruma Kurumu, alışverişlerde kullanılan sadakat kartlarıyla ilgili yeni bir karar aldı. Resmi Gazete’de yayımlanan ilke kararına göre, indirim, promosyon ve puan kazanımı gibi amaçlarla kullanılan bu kartların, kart sahibinin bilgisi ve rızası dışında başkaları tarafından kullanılmasının önüne geçilecek.
Kuruma son dönemde çok sayıda şikayet ve ihbar ulaştı. Bu başvurularda, bazı kişilerin başkasına ait cep telefonu numarasını kasa görevlisine söyleyerek alışveriş yaptığı belirtildi. Şikayetlerde, sadakat kartlarıyla yapılan alışverişlerde kasa görevlisinin sisteme onay kodu girmeden işlemi tamamladığı, kart sahibinin alışveriş sırasında kasada bulunmamasına rağmen işlem yapılabildiği ifade edildi. Ayrıca bu durumun hukuka aykırı veri işleme faaliyetine yol açtığı vurgulandı.
Kurumun yaptığı incelemede önemli bulgulara ulaşıldı. Sadakat kartları kullanılarak yapılan alışverişler sonrasında düzenlenen fatura ve benzeri belgelerin çoğu zaman kart sahibi adına kesildiği belirlendi. Bunun yanında, yapılan alışverişe ait bilgilerin doğrudan kart sahibinin üyelik hesabına işlendiği tespit edildi.
Kart sahibinin bilgisi ve rızası olmadan, cep telefonu numarasının ya da sadakat kartı numarasının üçüncü bir kişi tarafından kullanılması halinde bazı sorunların ortaya çıkabildiği kaydedildi. Buna göre, ilgili kişinin üyelik hesabına hatalı müşteri işlem bilgisi işlenebiliyor. Ayrıca kişi adına, yapmadığı ve bilgisi olmayan bir alışverişe ilişkin fatura düzenlenebiliyor. Bu durumun kişisel veri ihlallerine yol açabildiği belirlendi.
Yaşanan bu durumun alışverişlerde yaygın olarak görüldüğünün anlaşılması üzerine KVKK ilke kararı aldı. Karara göre, ilgili kişiye ait cep telefonu ya da sadakat kartı numarasının, kişinin bilgisi ve rızası dışında üçüncü bir kişi tarafından kasadaki görevliye söylenerek alışveriş yapılmasına imkan sağlayan uygulamaya son verilecek.
Bundan sonra alışverişin gerçekten kart sahibinin bilgisi ve rızası dahilinde yapıldığının teyit edilmesi gerekecek. Bu amaçla bazı doğrulama yöntemleri uygulanacak. Kararda, “SMS ile gönderilen doğrulama kodunun kasa görevlisine bildirilmesi”, “mobil uygulama veya internet sitesi üzerinden sağlanan barkod ya da QR kodun kasada okutulması” ve “sadakat kartı şifresinin kasadaki işlem cihazına girilmesi” gibi doğrulama mekanizmalarının oluşturulacağı belirtildi.
Söz konusu doğrulama mekanizmalarının hayata geçirilmesi için veri sorumlularına, ilke kararının Resmi Gazete’de yayımlandığı tarihten itibaren 6 aylık uyum süresi verildi. Bu süre içinde gerekli düzenlemelerin yapılması gerekecek.
Belirlenen önlemleri almayan ve kanun hükümlerine aykırı şekilde uygulamaya devam eden veri sorumluları hakkında 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 18. maddesinde yer alan cezai işlemlerin uygulanacağı bildirildi. Kararla birlikte alışverişlerde sadakat kartı kullanımına ilişkin uygulamaların yeniden düzenlenmesi bekleniyor.