Kişisel Verileri Koruma Kurulu’nun sadakat kartlarına ilişkin 2026/266 sayılı İlke Kararı, perakendede müşteri verisinin nasıl toplandığını yeniden tartışmaya açtı. Turatel Baş Hukuk Müşaviri Av. Hande Özgen Demirbaş ile kararın markalardan beklentisini ve hukukun ürün tasarımındaki yerini konuştuk.
Türkiye’de son dönemde alınan KVKK kararları ve düzenleyici adımlar, şirketlerin iş yapış biçimlerini nasıl değiştiriyor?
Türkiye’de veri koruma hukuku en hareketli dönemlerinden birini yaşıyor. 2024’te Kanun’da yapılan değişikliklerle özel nitelikli veriler ve yurt dışına aktarım rejimi Avrupa Birliği düzenlemelerine yaklaştırıldı; Kurul ise ilke kararları ve sektörel incelemelerle genel ilkeleri somut beklentilere dönüştürüyor. Yön açık: Genel kurallardan sektöre özgü, teknik ve denetlenebilir yükümlülüklere doğru ilerliyoruz.
Bu dönüşüm şirketlerin iş yapış biçimini doğrudan etkiliyor. Uyum artık aydınlatma metinleri ve politikalarla sınırlı değil; Kurul kararları, 6563 sayılı Kanun kapsamındaki ticari ileti kuralları ve İYS bir arada uygulanıyor. Bir metnin hukuken kusursuz olması yetmiyor, sürecin sahada nasıl işlediği de sorgulanıyor. Uyum, kâğıt üzerinde değil sistemin içinde sınanıyor.
Bu nedenle Turatel’de hukuk, bir ürünün ilk tasarım aşamasından itibaren masada. Yirmi yılı aşkın sektör deneyimimizden çıkardığımız sonuç şu: “Sonradan uyumlu hale getirilen ürün, her yeni düzenlemede yeniden maliyet üretir; baştan uyumlu tasarlanan ürün ise değişikliklere hazır olur.”
Bu adımların hepimizi ilgilendiren en güncel örneklerinden biri, sadakat kartlarına ilişkin 2026/266 sayılı İlke Kararı. Karar markalardan tam olarak ne bekliyor?
Karar, sadakat kartı üzerinden gerçekleştirilen alışverişin ilgili kişinin bilgisi ve rızası dahilinde yapıldığını doğrulayacak mekanizmaların kurulmasını öngörüyor. Uyum için tanınan süre 28 Şubat 2027’de sona eriyor.
Kararın arkasında hepimizin bildiği bir sahne var: Kasada bir telefon numarası söyleniyor, ancak numaranın gerçekten işlemi yapan kişiye ait olup olmadığı kontrol edilmiyor. Böylece başka birinin adına alışveriş kaydı, puan hareketi, hatta ticari ileti oluşabiliyor. Bu, Kanun’un 4. maddesinde yer alan verilerin doğru ve gerektiğinde güncel olması ilkesiyle bağdaşmıyor. Kurul’un mesajı açık: Beyan yeterli değil.
Mağazada müşteri doğrulaması yapmak, olası bir şikâyet ya da denetimde markayı korumaya yeterli mi?
Tek başına yeterli değil. Bir şikâyet ya da Kurul incelemesinde belirleyici olan, doğrulamanın yapılmış olması kadar bunun ispat edilebilmesidir. Veri sorumlusunun yükümlülüklerini yerine getirdiğini gösterebilmesi, yani hesap verebilirlik, uygulamada en sık gözden kaçan unsur.
Turatel’in geliştirdiği BenGeldim bu noktada devreye giriyor. Telefon numarası sahipliğini QR kod ve Passkey ya da SMS/OTP ile doğrulayan sistem, işlemin ne zaman, hangi yöntemle, hangi cihazdan ve konumdan yapıldığını gösteren bir Giriş Kanıt Raporu üretiyor. Müşteri uygulama indirmek zorunda kalmıyor, mağazadaki akış kesintiye uğramıyor. Elbette kanıt kayıtları da ölçülülük ilkesine tabi: Yalnızca ispat amacıyla ve gerekli süre boyunca saklanmalı.
Turatel’in iletişimde odağına kişiselleştirmeyi aldığını biliyoruz. Peki, doğrulanmış müşteri verisi, markalara kişiselleştirilmiş iletişimde ne ölçüde hareket alanı tanıyor?
Sanıldığı kadar geniş değil; bu ayrımın altını çizmek isterim. Müşteriyi doğru tanımak kişiselleştirmenin ön koşulu; yanlış kişiyle eşleşmiş bir kayıt üzerinden gönderilen ileti, alıcısı bakımından onaysız ticari ileti niteliği taşıyabilir. Ancak müşteriyi tanımak, verisini her amaçla işleme yetkisi vermez.
Doğrulama için elde edilen veri, ayrı bir hukuki dayanak olmaksızın pazarlamada kullanılamaz; işlenen veri amaçla bağlantılı, sınırlı ve ölçülü olmalıdır. Profilleme ve ticari ileti için gerekli izinler ayrıca alınmalı, hizmetin ön şartı yapılmamalı ve her an kolayca geri alınabilmelidir. Turatel’in izin süreçlerini bu disiplinle yönetmek için geliştirdiği ürünü smartADM, onayları farklı kanallardan toplayıp İYS’ye aktarıyor; ret ve iptal taleplerini tek merkezden takip ediyor.
Kişiselleştirilmiş müşteri deneyimi ile mahremiyet arasındaki denge nasıl kurulmalı?
2026 yılına girerken müşterinin güvenlik endişesini çözen ve veriyi şeffaf kullanan markaların sadakati kazanacağını söylemiştik. Önümüzdeki zaman diliminde ise, Turatel’in NEXT vizyonuyla, hızın ancak esneklik ve anlamla birleştiğinde değer üretebileceğini söylüyoruz. Bir hukukçu olarak bu anlamın adının güven olduğunu düşünüyorum. Müşteri, verisinin özenle ve yalnızca izin verdiği ölçüde kullanıldığını bildiğinde paylaşmaya daha istekli olur. Mahremiyet, kişiselleştirmenin önünde bir engel değil; kalıcı bir müşteri ilişkisinin teminatıdır. Biz de müşterisini her zaman dinleyen bir marka olarak, en başta kendi iletişim teknolojilerimizi bu şekilde yönetiyoruz.
