Müşteri Sadakat Programlarında Veri İşleme Hukuki Dayanağı

Müşteri Sadakat Programlarında Veri İşleme ve KVKK Uyumluluğu

Müşteri sadakat programları, modern işletmelerin müşteri ilişkilerini güçlendirmenin en etkili yollarından biridir. Ancak bu programlar kapsamında toplanan ve işlenen kişisel veriler, Kişisel Verilerin Korunması Kanunu (KVKK) çerçevesinde özel dikkat gerektirmektedir. Türkiye'de 6698 sayılı KVKK'nın yürürlüğe girmesiyle birlikte, işletmelerin müşteri sadakat programlarında veri işleme faaliyetlerini hukuki dayanaklar üzerine kurması zorunlu hale gelmiştir.

BumerangData olarak, birçok şirketin bu kritik konu hakkında yaşadığı belirsizlikleri gözlemledik. Müşteri sadakat programlarında hangi verilerin toplanabileceği, bu verilerin ne amaçla işlenebileceği ve nasıl koruma altına alınması gerektiği konuları, işletme yöneticilerinin sıkça karşılaştığı sorularıdır. Bu yazıda, müşteri sadakat programlarında veri işlemenin hukuki dayanakları, KVKK mevzuatı çerçevesinde detaylı olarak ele alacağız.

KVKK'da Veri İşlemenin Hukuki Dayanakları

KVKK'nın temel ilkeleri, kişisel verilerin işlenmesinin ancak belirli hukuki dayanaklar çerçevesinde mümkün olduğunu belirtir. Kanun'un 5. maddesi, veri işlemenin hukuki dayanakları ve koşullarını tanımlamaktadır. Müşteri sadakat programlarında veri işleme faaliyeti yapan işletmelerin, bu hukuki dayanaklardan birini veya birkaçını kullanması gerekmektedir.

Rıza Temelli Veri İşleme (KVKK m.5/2-a)

KVKK'nın 5. maddesi, 2. fıkrasının a bendinde yer alan rıza temelli veri işleme, müşteri sadakat programlarında en sık kullanılan hukuki dayanaktır. Rıza, kişinin bilgilendirilme hakkı kullanıldıktan sonra, belirli konulara yönelik özgür, açık ve kesin onayıdır.

Müşteri sadakat programına katılmayı seçen müşteri, programın koşullarını kabul ederken rızasını vermiş olur. Ancak bu rıza, aşağıdaki şartları taşımalıdır:

• Açık ve Seçici Olmak: Müşteri, sadakat programına katılım koşulunun altında veya ayrı bir haber metni aracılığıyla, hangi verilerinin toplanacağını ve nasıl işleneceğini net bir şekilde öğrenmelidir.
• Özgür Olması: Rıza verilmesi veya verilmemesi müşterinin özgür iradeleri sonucunda olmalıdır. Ürün veya hizmetin satın alınması, rızanın verilmesine bağlı kılınamaz.
• Koşulsuz Geri Çekilebilir Olmak: Müşteri, verdikleri rızayı istediği zaman ve koşulsuz olarak geri çekebilmelidir.

Uygulama Açısından: E-ticaret platformunuz bir sadakat programı sunduğunuzda, müşteri kayıt ekranında "İletişim amaçları için kişisel verilerinizin işlenmesine rıza veriyorum" şeklinde ayrı bir onay kutusu bulunmalıdır. Varsayılan olarak işaretli kutular KVKK'ya aykırı kabul edilir.

Sözleşmenin İcrasına Gerekli Olmak (KVKK m.5/2-b)

Müşteri sadakat programlarında veri işlemenin bir diğer hukuki dayanağı, sözleşmenin icrasına gerekli olma şartıdır. Bu kapsamda, sadakat programı sözleşmesinin yerine getirilmesi için zorunlu olan veriler işlenebilir.

Örneğin, müşteri sadakat programında müşterenin alışveriş geçmişini takip etmek, puanlarını hesaplamak ve ödüllerini sunmak için kişisel veriler işlenmesi, sözleşmenin icrasına gerekli olduğundan KVKK m.5/2-b kapsamında meşru sayılır. Bu durumda müşterinin rızası aranmaz, ancak yine de kişinin bilgilendirilmesi zorunludur.

Pratik Örnek: Bir giyim markasının sadakat programında müşterinin adı, soyadı, e-posta adresi ve telefon numarası, puanların hesaplanması ve ödül gönderilebilmesi için gerekli olduğundan işlenebilir. Ancak, müşterinin gelir seviyesi gibi veriler sözleşmenin icrasında gerekli olmadığından, bu verileri işlemek için ek rıza alınması gerekir.

Yasal Yükümlülükler (KVKK m.5/2-c)

Vergi mevzuatı, muhasebe kayıtları veya diğer yasal yükümlülükler gereğince kişisel veriler işlenebilir. Müşteri sadakat programlarında yapılan işlemlere ilişkin veriler, yasal raporlama yükümlülükleri için işlenebilir.

Temel Menfaatlerin Korunması (KVKK m.5/2-d)

Müşteri veya başkasının temel menfaatlerinin korunması gerektiğinde veri işleme yapılabilir. Örneğin, sahte müşteri tespiti veya dolandırıcılık önleme amaçlarıyla veriler işlenebilir.

Kamu Görevinin Yerine Getirilmesi (KVKK m.5/2-e)

Kamu görevini yerine getirmek amacıyla kişisel veriler işlenebilir. Ancak bu, çoğu özel işletme için geçerli değildir.

İşletmenin veya Üçüncü Şahısların Meşru Menfaatleri (KVKK m.5/2-f)

KVKK'nın 5. maddesi 2. fıkrasının f bendi, işletmenin veya üçüncü şahısların meşru menfaatleri için veri işlenmesine izin verdiğinde, bu menfaatlerin kişinin hakları ve özgürlükleriyle dengelenmesi gerekir. Müşteri sadakat programlarında pazarlama amaçları, işletmenin meşru menfaati kapsamında değerlendirilebilir, ancak kişinin veri koruması hakları göz önünde bulundurulmalıdır.

Müşteri Sadakat Programlarında Veri Kategorileri ve İşleme Amaçları

Müşteri sadakat programlarında işlenen veriler, işleme amacına göre f