SPK – Uzaktan Kimlik Tespiti ve Elektronik Sözleşme Kurulması Tebliğ Değişikliği

Genel Özet

Sermaye Piyasası Kurulu, III-42.1 sayılı Aracı Kurumlar, Portföy Yönetim Şirketleri ve Kripto Varlık Hizmet Sağlayıcılar Tarafından Kullanılacak Uzaktan Kimlik Tespiti Yöntemlerine ve Elektronik Ortamda Sözleşme İlişkisinin Kurulmasına İlişkin Tebliğ’de üç eksende değişiklik yapmıştır: (i) tanımların genişletilmesi, (ii) Türk uyruklu olmayan gerçek kişilerin pasaportla uzaktan kimlik tespitine imkân tanıyan yeni 8/A maddesi, (iii) ticaret siciline kayıtlı tüzel kişilerin uzaktan kimlik tespiti ile temsil yetkisinin doğrulanmasına ilişkin yeni 9/A maddesi.

• Düzenleme, uzaktan müşteri edinimini ilk kez yabancı gerçek kişiler ve tüzel kişiler bakımından da mümkün kılmaktadır. Bu yönüyle sermaye piyasası ve kripto tarafı, bankacılıkta hâlihazırda uygulanan MASAK rejimine paralel hâle getirilmiştir.
• Buna karşılık pasaportla edinilen müşteriler için ağırlaştırılmış bir rejim öngörülmüştür: zorunlu yüksek risk sınıflandırması, adres teyidi tamamlanana kadar transfer yasağı ve yalnızca SWIFT üzerinden işleyen kapalı devre para akışı.
• Hükümler emredici değil, olanak tanıyıcıdır (“…yapabilirler”). Kurumlar bu yöntemi kullanmak zorunda değildir; ancak kullanacaklarsa iş akış prosedürlerini, bilgi sistemlerini ve kişisel veri dokümantasyonunu önceden hazır etmek zorundadır.
• KVKK yönünden başlıca risk alanları: biyometrik veri işlemenin hukuki sebebi, yurt dışı veri tabanı sorgusu yoluyla gerçekleşen aktarım, gerçek faydalanıcı araştırmasında üçüncü kişi verileri ve zorunlu yüksek risk profillemesi.
• Tebliğ metninde uygulamada tereddüt yaratacak en az üç açık nokta bulunmaktadır: fon transferi kısıtının Türkiye’de yerleşik yabancılara etkisi, kripto varlık transferlerinin kapalı devre rejime tabi olup olmadığı ve üç aylık MASAK bildiriminin kapsamı.

Tebliğ, Mali Suçları Araştırma Kurulu Genel Tebliği (Sıra No: 19)’nun ticaret siciline kayıtlı tüzel kişilere (m. 4/B) ve pasaportla kimlik tespitine (m. 4/C) ilişkin hükümlerine doğrudan atıf yapmaktadır. Kurul, bağımsız bir rejim kurmak yerine MASAK rejimine eklemlenmiş; üzerine sermaye piyasasına özgü sıkılaştırmalar (özellikle 8/A maddesinin dördüncü fıkrasındaki para akışı kısıtı gibi) eklemiştir. Bu tercihin pratik sonucu, yorumda tereddüt hâlinde MASAK uygulamasının yol gösterici olacağıdır.

Tebliğ yayımı tarihinde yürürlüğe girmiş, geçiş süresi öngörülmemiştir. Düzenleme olanak tanıyıcı nitelikte olduğundan bir uyum takvimi baskısı doğurmamakta; ancak yöntemi kullanmak isteyen kurumlar bakımından, III-42.1’de öngörülen iş akış prosedürünün oluşturulması ve etkinliğinin test edilerek yazılı hâle getirilmesi ön şart olmayı sürdürmektedir.

Getirilen Değişiklikler

1.         Tanımlar

• “Kişi” tanımı genişletilmiştir: gerçek kişinin yanı sıra gerçek kişi tacir ile tüzel kişiyi temsile yetkili gerçek kişi veya kişiler de tanıma dâhil edilmiştir. Böylece Tebliğ’de “kişi”ye bağlanan tüm usul kuralları (görüntülü görüşme, canlılık testi, belge kontrolü) doğrudan temsilci hakkında da uygulanacaktır.
• Dört yeni tanım eklenmiştir: gerçek faydalanıcı (Suç Gelirlerinin Aklanmasının ve Terörün Finansmanının Önlenmesine Dair Tedbirler Hakkında Yönetmelik’e atıfla), MERSİS, Ticaret Sicili Gazetesi ve tüzel kişi.

“Tüzel kişi”, 6102 sayılı TTK’da düzenlenen ve ticaret siciline kayıtlı ticaret şirketleri ile sınırlı tanımlanmıştır. Dolayısıyla dernek, vakıf, adi ortaklık, kamu tüzel kişileri ve ticaret siciline kayıtlı olmayan yabancı tüzel kişiler uzaktan kimlik tespiti yoluyla müşteri olarak kabul edilemez; bunlar bakımından yüz yüze süreç zorunluluğu devam etmektedir.

Yabancı şirketlerin Türkiye şubeleri sicile kayıtlı olmakla birlikte ayrı tüzel kişilikleri bulunmadığından, şube üzerinden hesap açılışında bu tanımın nasıl işletileceği ayrıca değerlendirilmelidir.

2.         Türk Uyruklu Olmayan Gerçek Kişiler (Yeni m. 8/A)

Yeni madde, ICAO 9303 standardına uygun ve yakın alan iletişimi (NFC) özelliği bulunan pasaport kullanılması kaydıyla yabancı gerçek kişilerin uzaktan kimlik tespitine imkân tanımaktadır. Hükmün pratikte karşılıkları şöyle örneklendirilebilir:

3.         Tüzel Kişilerin Uzaktan Kimlik Tespiti ve Temsil Yetkisi (Yeni m. 9/A)

• Ticaret siciline kayıtlı tüzel kişilerde MASAK Genel Tebliği (Sıra No: 19) m. 4/B hükümleri uygulanır.
• Temsilcinin kimliği Tebliğ uyarınca tespit edilir ve temsil yetkisi doğrulanır. Müştereken temsile yetkili birden fazla kişi varsa kimlik tespitleri aynı oturumda veya farklı zamanlarda yapılabilir. Esneklik yalnızca zamanlamaya ilişkindir; yetkililerin tamamının tespiti gereklidir.
• Temsil yetkisi, kişiden alınan bilgilerin MERSİS ve/veya Ticaret Sicili Gazetesi’nden edinilen güncel bilgilerle eşleştirilmesi suretiyle doğrulanır.
• İhtiyaç duyulması hâlinde imza sirkülerinin fotoğraf ve/veya ekran görüntüsü alınır; imza örneği kimlik belgesindeki ve/veya MERSİS’teki örnekle karşılaştırılır; noter onayı tarih ve yevmiye numarası üzerinden teyit edilir. Bu kontrol takdire bırakılmıştır; kurumun hangi risk kriterlerinde bu yola başvuracağını politikasında yazması gerekir.
• Alınan bilgilerin MERSİS, Ticaret Sicili Gazetesi ve Gelir İdaresi Başkanlığı veri tabanı sorgularıyla eşleştiği teyit edilir.
• Gerçek faydalanıcının ortaya çıkarılması için tedbir alınır; faydalanıcı belirlenemez, bilgiler arasında uyumsuzluk bulunur veya şüpheli durum tespit edilirse süreç sonlandırılır.
• Temsilcinin aynı kurum nezdinde hâlihazırda hesabı varsa, tüzel kişi başvurusu internet şubesi veya mobil uygulama üzerinden yapılabilir; oturum açılarak kimlik doğrulandıktan sonra süreç kesintisiz devam eder. Bu, uygulamada en çok kullanılacak kolaylaştırılmış yol olacaktır; “kesintisiz” akış şartı oturum yönetimi ve loglama bakımından teknik hazırlık gerektirir.

4.         Açık Sorular ve Uygulamada Tereddüt Doğuracak Noktalar

1. Türkiye’de yerleşik yabancılar bakımından fon transferi kısıtı. 8/A-4’ün lafzı yalnızca “yurt dışındaki bir bankada kendi adına açılmış hesap”tan transfere izin vermektedir. Türkiye’de ikamet eden ve Türk bankasında hesabı bulunan bir yabancı, bu yöntemle edinildiğinde kendi TL hesabından fon aktaramayacak gibi görünmektedir. Lafzî yorum düzenlemenin amacına (yurt dışı kaynaklı fonun izlenebilirliği) uygundur; ancak yöntemi Türkiye’de yerleşik yabancılar bakımından fiilen kullanılamaz kılabilir.
2. Kripto varlık transferlerinin durumu. 8/A-1(c) “para ve kripto varlık transferi”nden söz ederken, 8/A-4 yalnızca “para transferi”ni düzenlemektedir. Harici cüzdandan kripto yatırma ve harici cüzdana çekim işlemlerinin kapalı devre rejime tabi olup olmadığı lafzen belirsizdir. Lafzî yorum kapsam dışında bırakmakta, amaçsal yorum ise kapsama almaktadır. Kripto varlık hizmet sağlayıcılarının, III-35/B.1 ve transfer bildirim (travel rule) düzenlemeleriyle birlikte değerlendirerek iç politikalarında açık bir tercih belirlemeleri gerekir.
3. Üç aylık MASAK bildiriminin kapsamı. 8/A-6’nın lafzı (“uzaktan kimlik tespiti yöntemiyle müşteri kabul edilen kişiler”) tüm uzaktan edinilen müşterileri kapsamaktadır; hükmün sistematik konumu ise yalnızca pasaportla edinilenleri işaret etmektedir. Bildirimin kapsamı, içeriği ve formatı bakımından MASAK’tan teyit alınması gerekir. Bildirimin portföy büyüklüğü ve yatırım tutarını içermesi, müşteri bazlı finansal veri aktarımı anlamına geldiğinden ölçülülük yönünden ayrıca tartışılabilir.
4. Adres teyidinin üç ay içinde tamamlanamaması. Tebliğ, sürenin sonuçsuz dolması hâlinde ne yapılacağını düzenlememiştir. İş ilişkisinin sona erdirilmesi mi, hesabın dondurulması mı gerekeceği belirsizdir.
5. Kategorik yüksek risk sınıflandırması ile risk temelli yaklaşım arasındaki gerilim. 8/A-3, müşteri bazlı değerlendirmeden bağımsız olarak zorunlu bir sınıflandırma getirmektedir. Bu, risk temelli yaklaşımın mantığıyla tam örtüşmemekte; düşük riskli profildeki yabancı müşteriler bakımından da sürekli izleme maliyeti doğurmaktadır.
6. Yabancı temsilcilerde imza sirküleri kontrolü. 9/A-4’teki noter onayı ve yevmiye numarası üzerinden teyit mekanizması, Türk noterlik sistemine göre kurgulanmıştır. Yabancı ülkede düzenlenmiş temsil belgeleri (apostilli vekâletname, yabancı sicil kayıtları) bakımından bu kontrolün nasıl işletileceği düzenlenmemiştir.
7. Diğer mevzuattan doğan yükümlülükler saklıdır. Tebliğ, hesap açılışına ilişkin diğer zorunluluklara (MKK nezdinde yatırımcı sicil numarası, vergi kimlik numarası temini gibi) değinmemektedir. Uzaktan kimlik tespiti bu yükümlülükleri ortadan kaldırmaz; süreç tasarımında birlikte ele alınmalıdır.
8. Sözleşmesel boyut. Tebliğ’in elektronik ortamda sözleşme ilişkisinin kurulmasına ilişkin bölümü değiştirilmemiştir. Yabancı müşteriler bakımından sözleşme dili, TBK m. 20 vd. anlamında genel işlem koşullarının denetimi ve yetki/uygulanacak hukuk kayıtları ayrıca gözden geçirilmelidir.

5. KVKK Boyutu

Uzaktan kimlik tespiti, niteliği gereği yoğun ve büyük ölçüde özel nitelikli kişisel veri işleme faaliyetidir. III-42.1.b, bu faaliyetin kapsamını iki yönde genişletmektedir: Veri öznesi bakımından (yabancılar ve tüzel kişi temsilcileri ile müşteri olmayan gerçek faydalanıcılar) ve veri kategorisi bakımından (pasaport yonga verisi, yurt dışı kaynaklı adres verileri, genişletilmiş teknik veriler). Tebliğ’in kendisi kişisel verilere ilişkin hiçbir düzenleme içermediğinden, uyum yükü tamamen veri sorumlusu kurumların üzerindedir.

1. Aracı kurum, portföy yönetim şirketi veya kripto varlık hizmet sağlayıcının veri sorumlusu; uzaktan kimlik tespiti çözümünün dışarıdan temini halinde, teknoloji sağlayıcının kural olarak veri işleyen olduğu tabloda KVKK m. 12/2 uyarınca müşterek sorumluluk gündeme gelecektir.
2. Görüntülü görüşmede alınan yüz görüntüsü, canlılık testi ve 14/A kapsamındaki fotoğraf karşılaştırması biyometrik veri işleme sonucunu doğurur. Biyometrik veriyle ilgili KVK süreçlerinin işletilmesi gerekecektir.
3. Açık rızaya dayanılacaksa, rızanın özgür iradeye dayanması gerekir. Hizmetin sunulmasının rızaya bağlanması bu şartı zedeler. Uzaktan kimlik tespitinin tek yol olmaması (müşterinin yüz yüze DE başvurabilmesi) rızayı geçerli kılan temel unsurdur. Bunun için alternatifin fiilen erişilebilir olması ve müşteriye bu alternatifin bildirilmesi gerekir.
4. Rızanın geri alınması da benzer biçimdedir. Rıza geri alındığında kimlik tespitine ilişkin kayıtların silinmesi mümkün değildir; bu kayıtlar 5549 sayılı Kanun uyarınca son işlem tarihinden itibaren sekiz yıl saklanmak zorundadır. Bu nedenle aydınlatma metninde, saklamanın rızadan bağımsız bir kanuni düzenlemeye dayandığı açıkça belirtilmelidir.
5. 8/A-1(c), adres teyidinin “ilgili ülkenin kamuya açık veri tabanları üzerinden” yapılabileceğini öngörmektedir. Sorgu sırasında ad-soyad ve pasaport numarası gibi verilerin yurt dışındaki bir sisteme iletilmesi, KVKK m. 9 anlamında yurt dışına aktarımdır. Veri tabanının kamuya açık olması aktarımı kendiliğinden meşru kılmaz. Yeterlilik kararı bulunmadığından, aktarımın m. 9/3’teki uygun güvencelerden birine (standart sözleşme, bağlayıcı şirket kuralları, taahhütname ve Kurul izni) dayandırılması gerekir. Aynı değerlendirme, yurt dışında konumlu bulut altyapısı veya yabancı KYC sağlayıcısı kullanımı bakımından da geçerlidir.
6. KVKK m. 10 uyarınca aydınlatma, veri elde edilmeden önce yapılmalıdır; yani başvuru formu aşamasında ve görüntülü görüşme başlamadan. Yabancı gerçek kişiler bakımından metnin yalnızca Türkçe sunulması, aydınlatmanın anlaşılabilir olma şartını sağlamaz; asgari İngilizce, mümkünse müşterinin beyan ettiği dilde bir sürüm hazırlanmalıdır.
7. 8/A-1(ç) kapsamında toplanan konum verisi ve teknik bilgiler kişisel veridir.
8. Cihaz parmak izi niteliğine ulaşan toplama, Kurul’un çerez uygulamalarına ilişkin rehberi ile birlikte değerlendirilmelidir.
9. Tüm bunlar açısından amaca uygun kullanım ilkesi önemlidir.
10. 9/A-6 uyarınca ortaklık yapısının araştırılması, müşteri sıfatı bulunmayan gerçek kişilerin (ortaklar, nihai faydalanıcılar, imza sirkülerinde adı geçen diğer yetkililer) verilerinin işlenmesi sonucunu doğurur. Veriler ilgili kişiden değil tüzel kişi müşteriden temin edildiğinden, aydınlatmanın nasıl yapılacağı pratik bir sorundur.
11. 8/A-3’teki zorunlu yüksek risk sınıflandırması özünde bir profilleme faaliyetidir. 14/A kapsamındaki yapay zekâ uygulamalarının süreci tek başına sonlandırması hâlinde, KVKK m. 11/1-(g) uyarınca ilgili kişinin münhasıran otomatik sistemlerle analiz sonucu aleyhine doğan sonuca itiraz hakkı doğar. Bu nedenle olumsuz sonuçlarda insan müdahalesine açık bir gözden geçirme mekanizması kurulmalı ve karar gerekçeleri kayıt altına alınmalıdır.
12. Kimlik tespitine ilişkin belge ve kayıtlar, görüntülü görüşme kayıtları dâhil, 5549 sayılı Kanun uyarınca son işlem tarihinden itibaren sekiz yıl saklanır. Saklama süreleri, kişisel veri saklama ve imha politikasında süreç bazında (uzaktan kimlik tespiti, reddedilen başvuru, MASAK bildirimi) ayrı ayrı gösterilmeli; VERBİS kayıtları yeni veri kategorileri ve aktarım alıcı grupları bakımından güncellenmelidir.
13. Veri güvenliği bakımından KVKK m. 12 yükümlülüklerinin yanı sıra, Kurulun biyometrik verilerin işlenmesine ilişkin rehberinde öngörülen tedbirler esas alınmalıdır: verinin şifreli olarak saklanması, erişim yetkilerinin sınırlandırılması, mümkün olduğunca merkezî bir biyometrik veri tabanı oluşturulmaması ve ilgili kişiye alternatif yöntem sunulması.
14. İhlal hâlinde Kurula 72 saat içinde bildirim yükümlülüğü, bilgi sistemleri mevzuatı kapsamında SPK’ya yapılacak bildirimlerden bağımsızdır ve her ikisi de yerine getirilmelidir.

6. Sonuç

III-42.1.b, uzaktan müşteri ediniminin kapsamını yabancı gerçek kişiler ve tüzel kişiler bakımından genişletmekle birlikte, bu genişlemeyi sıkı bir kontrol mimarisiyle dengelemektedir. Düzenlemenin pratik değeri, kurumların bu kontrolleri sisteme gömülü hâle getirip getiremeyeceğine bağlıdır; özellikle SWIFT eşleştirmesi, adres teyidi takibi ve zorunlu yüksek risk izlemesi manuel süreçlerle sürdürülebilir değildir.

Kişisel veri boyutu ise Tebliğ metninde hiç ele alınmadığından, uyum yükünün tamamı veri sorumlusu kurumların üzerindedir ve mevcut aydınlatma ile rıza mimarilerinin yabancı müşteriler ve gerçek faydalanıcılar bakımından yeniden kurgulanmasını gerektirmektedir.