Kişisel Verileri Koruma Kurulu (KVKK), market ve mağazalarda başkasına ait telefon numarası veya sadakat kartı kullanılarak yapılan alışverişlerde yaşanan veri güvenliği açıklarına karşı hayata geçirilmesi planlanan yeni güvenlik uygulamaları için tanınan süreyi resmi olarak uzattı. Alınan karar, hem veri sorumlularına hem de tüketicilere nefes aldıracak bir düzenleme olarak öne çıkıyor. Kurulun bu hamlesi, özellikle perakende sektöründe faaliyet gösteren zincir marketlerde sıkça karşılaşılan veri ihlali vakalarının önüne geçmeyi hedefliyor.
KVKK'nın Kararı ve Yeni Takvim
KVKK'nın resmi internet sitesinde yayımlanan duyuruya göre, mağaza kartlarının ve telefon numaralarının üçüncü kişilerce kullanılmasını engellemek amacıyla getirilen yükümlülüklerin yerine getirilmesi için verilen süre, ilk belirlenen tarihten itibaren 6 ay daha uzatıldı. Uzatma kararı, veri sorumlularının sistemlerini güncellemek ve gerekli altyapıyı kurmak için yeterli zamanı bulamaması gerekçesiyle alındı. Kurul, yeni uygulamanın tam anlamıyla devreye girmesi için tüm tarafların süreci eksiksiz tamamlamasını bekliyor.
Söz konusu düzenleme, 2024 yılının başında yayımlanan taslak metin ile gündeme gelmişti. Taslakta, mağaza sadakat kartlarına tanımlanan telefon numaralarının doğrulanması ve kişisel verilerin korunması adına ek kimlik doğrulama adımlarının zorunlu hale getirilmesi öngörülüyordu. Ancak sektör temsilcilerinin uzun süredir dile getirdiği teknik altyapı yetersizlikleri ve maliyet endişeleri, uygulamanın ertelenmesine neden oldu.
Mağaza Kartlarındaki Güvenlik Açığı
Market ve mağaza zincirlerinde yaygın olarak kullanılan sadakat kartları, kullanıcıların harcama alışkanlıklarını takip etmek ve kampanyalardan haberdar etmek için tasarlanmıştır. Ancak bu kartların başkası tarafından kullanılması durumunda, kart sahibinin adı, soyadı, adresi ve hatta alışveriş geçmişi gibi hassas kişisel verileri üçüncü kişilerin erişimine açık hale gelebiliyor. Özellikle son dönemde artan dolandırıcılık vakaları, bu konudaki endişeleri daha da artırdı.
Uzmanlar, mevcut sistemde mağaza kartı numarası veya telefonla puan sorgulama gibi işlemlerde herhangi bir kimlik doğrulama yapılmadığına dikkat çekiyor. Bu durum, kötü niyetli kişilerin ele geçirdikleri bir telefon numarası veya kart bilgisiyle başka bir kişinin puanlarını kullanmasına ya da kişisel verilerine erişmesine olanak tanıyor. Yeni düzenleme, bu tür istismarları engellemek için her işlemde şifreli doğrulama veya SMS ile tek kullanımlık kod istenmesi gibi güvenlik katmanları getirilmesini zorunlu kılıyor.
Veri Sorumlularına Tanınan Ek Süre
KVKK'nın uzattığı süre, yalnızca teknik altyapının kurulmasını değil, aynı zamanda çalışanların eğitilmesini ve tüketicilerin bilgilendirilmesini de kapsıyor. Perakende sektörünün büyük oyuncuları, bu konuda adımlarını hızlandırmış durumda. Birçok zincir market, mobil uygulamalarına kimlik doğrulama adımı eklerken, bazıları ise kart sahiplerine özel güvenlik kodları dağıtmaya başladı. Ancak sektördeki küçük ve orta ölçekli işletmeler, maliyet nedeniyle henüz hazır olmadıklarını belirtiyor.
Kurulun açıklamasında, yeni sürenin sonunda uygulamanın kesin olarak hayata geçirileceği vurgulanıyor. Bu süre zarfında denetimlerin de sıklaştırılacağı bildiriliyor. Veri sorumlularının bu kapsamda aykırılık tespit edilmesi halinde idari para cezasıyla karşı karşıya kalabileceği hatırlatılıyor.
Türkiye'de Kişisel Verilerin Korunması
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 2016 yılında yürürlüğe girdi. Kanun, kişisel verilerin işlenmesinde bireylerin temel hak ve özgürlüklerini korumayı amaçlıyor. Ancak dijital dönüşümün hızlanmasıyla birlikte, özellikle perakende sektöründe kişisel verilerin ihlali vakalarında artış yaşandı. Birçok tüketici, farkında olmadan bir başkasının sadakat kartını kullanarak alışveriş yapabiliyor veya kendi kart bilgilerinin başkaları tarafından kullanıldığını fark edebiliyor.
Bu durum, yalnızca bireysel mahremiyeti tehdit etmekle kalmıyor; aynı zamanda ticari itibar kayıplarına ve hukuki yaptırımlara da neden olabiliyor. KVKK'nın bu adımı, Avrupa Birliği Genel Veri Koruma Tüzüğü'ne (GDPR) uyum süreci açısından da önem taşıyor. Türkiye'nin AB standartlarını yakalaması için bu tür düzenleyici adımların hayata geçirilmesi gerektiği ifade ediliyor.
Sonuç ve Değerlendirme
KVKK'nın süre uzatımı, sektörün hazırlıksız yakalanmaması için önemli bir fırsat olarak görülmeli. Ancak bu sürenin iyi değerlendirilmesi gerekiyor. Perakende sektöründe faaliyet gösteren tüm işletmelerin, müşteri verilerinin güvenliğini sağlamak için gerekli yatırımları yapması artık bir tercih değil, zorunluluk haline gelmiştir. Tüketicilerin de bu bilinçle hareket etmesi ve kişisel verilerini korumak için şifrelerini güçlü tutması, iki faktörlü doğrulama gibi yöntemleri kullanması büyük önem taşıyor. Uzun vadede ise bu düzenleme, Türkiye'de kişisel verilerin korunması kültürünün gelişmesine katkı sağlayacak önemli bir kilometre taşı olacaktır.
