KVKK ужесточает требования к программам лояльности в Турции:
новые обязательства для бизнеса
11 февраля 2026 года Совет по защите персональных данных Турции (KVKK) принял Принципиальное решение № 2026/266, касающееся использования программ лояльности и карт постоянного клиента. Документ затрагивает распространённую практику, при которой для получения скидок, бонусов или накопительных баллов достаточно сообщить номер телефона или номер карты лояльности без дополнительной проверки личности.
Решение имеет особое значение для розничных сетей, супермаркетов, интернет-магазинов, ресторанных сетей и других компаний, использующих программы лояльности на территории Турции.

Причины принятия решения
В ходе рассмотрения поступивших жалоб Управление по защите персональных данных установило, что многие программы лояльности позволяют использовать бонусы и скидки исключительно на основании номера телефона или номера карты клиента.
На практике это создаёт ситуации, когда:

• покупатель сообщает на кассе номер телефона другого лица;
• бонусные баллы и скидки используются без подтверждения личности владельца аккаунта;
• информация о покупке и связанные с ней данные фиксируются в профиле владельца карты, хотя покупку фактически совершает другое лицо;
• персональные данные клиента обрабатываются без его ведома и согласия.

По мнению регулятора, подобная практика создаёт риск неправомерной обработки персональных данных и нарушения прав субъектов данных.

Правовая позиция KVKK
Согласно Закону Турции № 6698 «О защите персональных данных» (KVKK), организации, определяющие цели и способы обработки персональных данных, являются операторами персональных данных (data controllers) и несут ответственность за законность такой обработки.
Совет пришёл к выводу, что использование программ лояльности исключительно на основании номера телефона или номера карты без дополнительных механизмов проверки личности может привести к незаконной обработке персональных данных.
В частности, регулятор напомнил, что операторы персональных данных обязаны:

• осуществлять обработку персональных данных законно и добросовестно;
• обеспечивать точность и актуальность данных;
• принимать необходимые технические и организационные меры для предотвращения несанкционированного доступа, использования или искажения информации.

Если покупки фиксируются в профиле клиента, который фактически не совершал соответствующую операцию, информация становится недостоверной, что противоречит одному из базовых принципов законодательства о защите персональных данных.

Какие меры должны принять компании
KVKK ожидает, что компании внедрят механизмы подтверждения личности перед предоставлением скидок, бонусов и иных преимуществ по программам лояльности.
В качестве возможных решений в решении указаны:

• подтверждение через SMS-код, направляемый владельцу аккаунта;
• подтверждение через мобильное приложение;
• использование QR-кодов или штрихкодов;
• предъявление физической карты лояльности;
• использование PIN-кода или пароля, привязанного к аккаунту клиента.

Также допускается применение риск-ориентированного подхода, при котором уровень проверки зависит от характера и значимости совершаемой операции.

Срок приведения деятельности в соответствие
Компании, использующие программы лояльности на территории Турции, обязаны привести свои процедуры в соответствие с требованиями решения в течение шести месяцев с даты его официального опубликования.
После истечения данного срока организации, не внедрившие достаточные меры защиты, могут столкнуться с административными штрафами и иными мерами воздействия, предусмотренными Законом № 6698.

Значение решения для международного бизнеса
Особое внимание на данное решение следует обратить иностранным компаниям, ведущим деятельность в Турции или обрабатывающим персональные данные клиентов, находящихся на территории Турции.
Практика предоставления скидок и бонусов исключительно по номеру телефона, широко распространённая во многих странах, больше не может считаться достаточной с точки зрения турецкого законодательства о защите персональных данных.
В связи с этим компаниям рекомендуется провести комплексный аудит:

• архитектуры программ лояльности;
• кассовых и онлайн-процедур оформления покупок;
• механизмов идентификации и аутентификации клиентов;
• внутренней документации по защите персональных данных и соблюдению требований KVKK.

Своевременное внедрение надёжных механизмов верификации позволит минимизировать риски нарушений и обеспечить соответствие деятельности требованиям турецкого законодательства о защите персональных данных.