Giriş ve Mevzuat Değişikliğinin Genel Çerçevesi
Finansal teknolojilerin hızla gelişimi, ödeme ve elektronik para kuruluşlarının sunduğu hizmetlerin dijitalleşmesini kaçınılmaz kılmaktadır. Müşteri edinimi süreçlerinin fiziki mekan bağımlılığından arındırılarak uzaktan iletişim araçlarıyla gerçekleştirilmesi, bir yandan finansal kapsayıcılığı artırırken diğer yandan bilgi güvenliği, kimlik sahteciliği ve suç gelirlerinin aklanması ile mücadele hususlarında daha katı standartların uygulanmasını gerektirmektedir. Türkiye Cumhuriyet Merkez Bankası (TCMB) tarafından 4 Eylül 2026 tarihli ve 33360 sayılı Resmî Gazete’de yayımlanarak yürürlüğe giren iki önemli düzenleme, ödeme ve elektronik para kuruluşlarının uzaktan kimlik tespiti süreçlerindeki hukuki ve teknik çerçeveleri yeniden şekillendirmiştir.
Söz konusu düzenlemelerden birincisi Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelikte Değişiklik Yapılmasına Dair Yönetmelik; ikincisi ise Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğde Değişiklik Yapılmasına Dair Tebliğ’dir. Her iki düzenleme de yayımı tarihi itibarıyla yürürlüğe girmiş olup, 1/12/2021 tarihli ve 31676 sayılı Resmî Gazete’de yayımlanmış olan ana mevzuat metinlerine esaslı yenilikler ve netleştirmeler getirmektedir. Bu hukuki incelemede, anılan mevzuat değişikliklerinin niteliği, ödeme ve elektronik para kuruluşlarına yüklediği yeni operasyonel sorumluluklar, Mali Suçları Araştırma Kurulu (MASAK) mevzuatı ve Kişisel Verilerin Korunması Kanunu (KVKK) ile olan etkileşimi ayrıntılı olarak ele alınmaktadır.
Uzaktan Kimlik Tespiti Süreçlerinde Biyometrik Yöntemler ve Elektronik Doğrulama
Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik'in 41 inci maddesinin dördüncü fıkrasında yapılan değişiklikle, uzaktan iletişim aracı ile müşterinin kimliğinin tespit edilmesinde "biyometrik yöntemlerle veya elektronik kimlik doğrulama kabiliyetini haiz kimlik belgeleriyle" hareket edilmesi hususu açık bir normatif esasa bağlanmıştır. Değişiklik öncesinde uzaktan kimlik tespitine ilişkin genel ilkeler düzenlenmişken, yapılan bu ekleme ile doğrulamada kullanılacak teknik metotların hukuki dayanağı tahkim edilmiştir.
Bu düzenleme uyarınca, ödeme hizmeti sağlayıcılarının uzaktan müşteri kabulü süreçlerinde sıradan görsel doğrulama veya beyana dayalı yöntemlerle yetinmesi mümkün değildir. Sürecin, ya ilgilinin biyometrik verilerinin güvenilir algoritmalarla eşleştirilmesi ya da çip/yonga barındıran elektronik kimlik doğrulama altyapısına sahip belgeler vasıtasıyla yürütülmesi yasal bir zorunluluk halini almıştır. Buradaki "biyometrik yöntemler" kavramı; yüz tanıma, canlılık analizi ve ses veya parmak izi eşleştirmesi gibi teknolojileri kapsamakta olup, bu verilerin işlenmesi KVKK çerçevesinde özel nitelikli kişisel veri rejimi dahilinde değerlendirilmelidir.
Yakın Alan İletişimi (NFC) Kullanımının Esas Yöntem Olarak Benimsenmesi
Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri Tebliği'nin 22 nci maddesinde yapılan kapsamlı değişiklikler, uzaktan kimlik tespitinin teknik icra biçimini baştan sona yeniden yapılandırmıştır. Yapılan düzenlemenin en kritik unsuru, uzaktan kimlik tespitinde NFC (Near Field Communication / Yakın Alan İletişimi) teknolojisinin ana doğrulama yöntemi olarak kural haline getirilmesidir.
Tebliğin 22 nci maddesinin birinci fıkrasının (b) bendi uyarınca, uzaktan kimlik tespiti sürecinde temin edilen kimlik belgesinin ve belgede yer alan veri ile bilgilerin doğruluğunun "esas olarak yakın alan iletişimi kullanılarak" kontrol edilmesi gerekmektedir. Türkiye Cumhuriyeti Kimlik Kartı Yönetmeliği kapsamındaki kimlik kartlarında yer alan temassız yonganın NFC vasıtasıyla okunması, kartın içerdiği Kök Sertifika ve şifrelenmiş biyometrik/görsel verilerin doğrulanması hedeflenmektedir.
NFC kontrolünün yanı sıra, Tebliğ koyucu kimlik belgesinin fiziki orijinalliğini ve tahrif edilip edilmediğini denetlemek amacıyla ilave güvenlik testlerini zorunlu kılmıştır. Buna göre kuruluşlar:
Kimlik belgesinin beyaz ışık altında görsel olarak ayırt edilebilen güvenlik ögelerini denetlemekle,
Fotoğraf ve imza başta olmak üzere belgedeki verilerin orijinallik, bütünlük, yıpranma ve tahrif edilme durumlarına ilişkin teknik testleri gerçekleştirmekle,
Kimlik belgesinin ön ve arka yüzünün görsel ögeler yönünden kontrol edildiği süreci kesintisiz bir şekilde kayıt altına almakla mükelleftir.
Anılan düzenleme ile sadece belgenin fotoğrafının çekilmesi veya basit bir video kaydı alınması yeterli görülmemekte, kriptografik doğrulama ile görsel fiziki denetimin eş zamanlı ve kesintisiz şekilde yürütülmesi ve arşivlenmesi şart koşulmaktadır.
NFC Doğrulamasının Yapılamadığı Haller ve İkincil Yöntemler (OCR ve Alternatifler)
Uygulamada mobil cihazların NFC özelliğine sahip olmaması, kimlik kartındaki çipin hasarlı bulunması veya sistemsel iletişim kesintileri gibi nedenlerle NFC doğrulamasının gerçekleştirilemediği durumlar ortaya çıkabilmektedir. Düzenleyici kurum, operasyonel süreçlerin tamamen durmasını engellemek ve ölçülülük ilkesini korumak amacıyla Tebliğin 22 nci maddesinin birinci fıkrasının (c) bendinde alternatif doğrulama mekanizmalarına yer vermiştir.
Yakın alan iletişimi kullanılarak doğrulamanın herhangi bir nedenle yapılamaması halinde, kimlik belgesinin ve verilerin doğruluğu aşağıdaki alternatif yöntemlerden en az biri kullanılarak kontrol edilmek zorundadır:
- Optik Karakter Tanıma (OCR - Optical Character Recognition) sistemleri,
- Donanımsal veya yazılımsal Kart Okuyucular,
- Mali Suçları Araştırma Kurulu (MASAK) görüşü alınarak TCMB tarafından belirlenen diğer teknik yöntemler.
İkincil yöntemlerin kullanıldığı durumlarda güvenlik düzeyi düşürülmemiş, aksine sıkılaştırılmıştır. Bu kapsamda, beyaz ışık altında görsel olarak ayırt edilebilen güvenlik unsurlarının denetiminde, en az 30/4/2021 tarihli ve 31470 sayılı Resmî Gazete’de yayımlanan Mali Suçları Araştırma Kurulu Genel Tebliği (Sıra No: 19)’nde uygun görülen tür ve sayıdaki güvenlik ögelerinin kontrol edilmesi zorunlu kılınmıştır. Aynı zamanda orijinallik, bütünlük, yıpranma ve tahrifat testlerinin yapılması ve kontrol sürecinin kesintisiz kayıt altına alınması şartı bu yöntem bakımından da aynen geçerliliğini korumaktadır.
Yabancı Uyruklu Gerçek Kişilerin Uzaktan Kimlik Tespiti Rejimi
Finansal piyasaların küreselleşmesi ve Türkiye’de ikamet eden veya finansal hizmet talep eden yabancı uyruklu kişilerin sayısındaki artış, bu kişilerin kimlik tespit süreçlerinin de netleştirilmesini zorunlu kılmıştır. Tebliğin 22 nci maddesine eklenen 16 ncı fıkra ile Türk uyruklu olmayan gerçek kişilerin uzaktan kimlik tespiti usulü özel bir kritere bağlanmıştır.
İlgili hüküm gereğince, yabancı uyruklu kişilerin uzaktan kimlik tespiti:
- Uluslararası Sivil Havacılık Teşkilatı (ICAO - International Civil Aviation Organization) 9303 sayılı standardına uygun,
- Yakın alan iletişimi (NFC) özelliği bulunan pasaport kullanılmak suretiyle,
- MASAK Genel Tebliği (Sıra No: 19)’nin 4/C maddesinde yer alan esaslar çerçevesinde gerçekleştirilebilecektir.
Bu düzenleme ile yabancı ülke kimlik kartları veya NFC özelliği taşımayan standart pasaportlar üzerinden uzaktan müşteri kabulü yapılması imkanı sınırlandırılmıştır. Yalnızca ICAO 9303 standardını karşılayan ve çipinde kriptografik veri barındıran pasaportlar vasıtasıyla uzaktan kimlik tespiti yapılmasına izin verilerek, uluslararası standartlarda bir kimlik doğrulama güvenliği hedeflenmektedir.
İstisnai Haller ve Sorumluluk Muafiyeti: Anonim Ön Ödemeli Araçlar
Düzenleme, risk temelli yaklaşım gereğince düşük riskli veya muafiyet kapsamındaki işlemler için orantılılık ilkesini gözetmiştir. Tebliğin 22 nci maddesinin üçüncü fıkrasında yapılan değişiklikle, belirli finansal ürün ve işlemler uzaktan kimlik tespitine ilişkin katı şartların uygulanmasından muaf tutulmuştur.
Buna göre:
Anonim ön ödemeli araçlar (prepaid kartlar),
5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun ve ilgili mevzuat uyarınca kimlik tespiti yapılması zorunlu olmayan işlemler,
Sürekli iş ilişkisi kapsamına girmeyen tek seferlik ödeme işlemleri,
MASAK Genel Tebliği (Sıra No: 5)’nin 2.2.11 inci maddesinin birinci paragrafında belirtilen elektronik para ihracı ve ödeme işlemleri,
için gerekli bilgi, sözleşme, dekont ve benzeri belgelerin temin edilmesi süreçlerinde uzaktan iletişim aracı kullanılması halinde, Tebliğin 22 nci maddesinin birinci fıkrasında öngörülen NFC, biyometrik doğrulama ve kesintisiz kayıt gibi ağırlaştırılmış prosedürlerin uygulanması zorunlu değildir. Bu durum, finansal kapsayıcılığı destekleyen mikro ödeme araçlarının operasyonel esnekliğini korumasını sağlamaktadır.
Bilgi Sistemleri Güvenliği ve KVKK Uyum Süreçleri Açısından Değerlendirme
TCMB tarafından yapılan bu ikincil mevzuat değişiklikleri, ödeme ve elektronik para kuruluşlarının yalnızca müşteri kabul arayüzlerini değil, aynı zamanda bilgi sistemleri altyapılarını, veri depolama mimarilerini ve kişisel veri işleme envanterlerini doğrudan etkilemektedir.
İlk olarak, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca biyometrik veriler özel nitelikli kişisel veri statüsündedir. Tebliğ ve Yönetmelik uyarınca uzaktan kimlik tespitinde biyometrik verilerin ve canlılık testlerinin kullanılması, hukuki sebep olarak Kanun'un 6 ncı maddesinde yer alan "kanunlarda açıkça öngörülme" ve düzenleyici kurumun amir hükümlerini yerine getirme esasına dayanmaktadır. Ancak kuruluşların, veri minimizasyonu ilkesine uygun hareket etmesi, biyometrik verilerin işlenme amaçlarıyla sınırlı olarak saklanmasını sağlaması ve KVKK'nın 12 nci maddesinde öngörülen veri güvenliği tedbirlerini (özellikle Kişisel Verileri Koruma Kurulu'nun Özel Nitelikli Kişisel Verilerin İşlenmesinde Alınması Gereken Yeterli Önlemler kararına uygun olarak) alması gerekmektedir.
İkinci olarak, süreçlerin "kesintisiz bir şekilde kayıt altına alınması" yükümlülüğü, kuruluşların bilgi sistemleri üzerinde yüksek depolama, veri bütünlüğü doğrulama (hashing/zaman damgası) ve siber dayanıklılık yükümlülükleri doğurmaktadır. Görsel ve işitsel kayıtların manipüle edilmesini önleyecek kriptografik tedbirlerin alınması, denetim izi mekanizmalarının eksiksiz kurgulanması ve bu verilerin mevzuatta öngörülen saklama süreleri boyunca güvenli ortamda muhafazası zorunludur.
Son olarak, kuruluşların uyum departmanları ile bilgi teknolojileri birimlerinin ortaklaşa çalışarak, kullandıkları uzaktan kimlik tespiti yazılımlarını gözden geçirmeleri, NFC doğrulama başarısızlıklarında devreye girecek OCR ve MASAK Tebliği No: 19 standartlarına uygun yedek algoritmaları entegre etmeleri gerekmektedir.
Genel Hukuki Değerlendirme
4 Eylül 2026 tarihli Resmî Gazete'de yayımlanan düzenlemeler, ödeme ve elektronik para sektöründe uzaktan kimlik tespiti standartlarını en üst seviyeye taşımıştır. Düzenleyici otorite, NFC doğrulamasını birincil kural olarak vazederek ve biyometrik verilerin kullanımını mevzuat zeminine açıkça oturtarak, sahte kimlik ve deepfake risklerine karşı finansal sistemi korumayı hedeflemektedir.
Ödeme ve elektronik para kuruluşlarının idari veya cezai yaptırımlarla karşılaşmaması adına; mevcut uzaktan müşteri edinimi akışlarını derhal revize etmesi, kullandıkları mobil uygulamalara NFC okuma zorunluluğunu entegre etmesi, NFC’nin çalışmadığı senaryolarda MASAK Tebliği No: 19'a uygun OCR ve güvenlik kontrol mekanizmalarını aktif hale getirmesi ve biyometrik veri işleme süreçlerini KVKK uyum politikaları ile senkronize etmesi hukuki bir zorunluluk olarak değerlendirilmektedir. Düzenlemelerin yayımı tarihinde yürürlüğe girdiği göz önüne alındığında, operasyonel geçişlerin gecikmeksizin tamamlanması sektör aktörleri açısından büyük önem taşımaktadır.
Daha fazla bilgi için info@grd-partners.com adresinden tarafımıza ulaşabilirsiniz.