Ödeme Hizmetlerinde Veri Paylaşımı: Hukuki Çerçeve ve Yükümlülükler

Ödeme hizmetlerinin dijitalleşmesiyle birlikte müşterilere ait finansal veriler artık yalnızca tek bir banka veya ödeme kuruluşunun sisteminde kullanılmamaktadır. Bankalar, ödeme kuruluşları, elektronik para kuruluşları, açık bankacılık hizmet sağlayıcıları, işyerleri ve teknik hizmet sağlayıcıları arasında çok sayıda veri akışı gerçekleşmektedir.

Bir müşterinin farklı bankalardaki hesaplarını tek uygulamadan görüntülemesi, banka hesabından üçüncü taraf uygulama üzerinden ödeme başlatması, dijital cüzdana kart eklemesi veya bir ödeme kuruluşunun başka bir finansal kuruluşla API üzerinden iletişim kurması ödeme hizmetlerinde veri paylaşımı konusunu doğrudan gündeme getirmektedir.

Ancak finansal verilerin teknik olarak paylaşılabiliyor olması, bu verilerin hukuken sınırsız şekilde aktarılabileceği anlamına gelmez.

Türkiye’de ödeme hizmetlerinde veri paylaşımı başta 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun, TCMB tarafından çıkarılan ödeme hizmetleri düzenlemeleri ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) olmak üzere birden fazla mevzuatın birlikte uygulanmasını gerektirmektedir.

TCMB’nin güncel mevzuatında ödeme hizmetleri alanındaki veri paylaşım servisleri ayrıca düzenlenmiş; veri paylaşım servislerinin güvenliği, müşteri onayı, güçlü kimlik doğrulama, API altyapısı ve tarafların sorumlulukları bakımından ayrıntılı kurallar getirilmiştir.

Ödeme Hizmetlerinde Veri Paylaşımı Nedir?

Ödeme hizmetlerinde veri paylaşımı; müşterinin finansal veya ödeme işlemlerine ilişkin bilgilerinin mevzuatta izin verilen amaç ve yöntemlerle başka bir ödeme hizmeti sağlayıcısına, teknik hizmet sağlayıcıya veya yetkili üçüncü kişiye aktarılmasını ifade edebilir.

Paylaşılan veriler iş modeline göre;

• müşteri kimlik bilgilerini,
• ödeme hesabı bilgilerini,
• IBAN bilgilerini,
• hesap bakiyelerini,
• hesap hareketlerini,
• kart bilgilerini,
• ödeme emri bilgilerini,
• alıcı ve gönderici bilgilerini,
• işlem tarihini ve tutarını,
• cihaz ve oturum bilgilerini

içerebilir.

TCMB düzenlemelerinde “müşteri bilgisi” kavramı oldukça geniş tutulmuş ve işlem bilgisi, bakiye bilgisi, kişisel veri, kimlik tanımlayıcı ve müşterinin kişisel veya finansal durumuna ilişkin doğrudan veya dolaylı olarak edinilen bilgiler bu kapsamda değerlendirilmiştir.

Bu nedenle ödeme şirketlerinin veri uyumunu yalnızca ad, soyadı ve T.C. kimlik numarası gibi klasik kişisel veriler üzerinden değerlendirmesi yeterli değildir.

Ödeme Verisi Kişisel Veri midir?

Ödeme verilerinin önemli bir bölümü gerçek kişilerle ilişkilendirilebildiği ölçüde KVKK kapsamında kişisel veri niteliğindedir.

Örneğin gerçek kişiye ait;

IBAN, hesap hareketleri, ödeme geçmişi, para transferi bilgileri, kart hareketleri ve işlem taraflarına ilişkin bilgiler kişiyi belirli veya belirlenebilir hâle getirebildiği ölçüde kişisel veri mevzuatına tabidir.

Kişisel Verileri Koruma Kurumu da ödeme ve elektronik para sektörüne özel yayımladığı iyi uygulamalar rehberinde veri sorumlusu ve veri işleyen ayrımı, işlenen kişisel veriler, hukuki işleme şartları, veri aktarımı ve veri güvenliği konularını ayrıca ele almaktadır.

Dolayısıyla bir ödeme kuruluşunun TCMB mevzuatı kapsamında belirli verileri kullanmaya yetkili olması, KVKK yükümlülüklerinin ortadan kalktığı anlamına gelmez.

Hassas Müşteri Verisi Nedir?

Ödeme mevzuatındaki hassas müşteri verisi kavramı ile KVKK’daki “özel nitelikli kişisel veri” kavramı aynı değildir.

TCMB Tebliğine göre hassas müşteri verisi; ödeme emrinin verilmesinde veya müşterinin kimliğinin doğrulanmasında kullanılan ve üçüncü kişilerce ele geçirilmesi veya değiştirilmesi hâlinde dolandırıcılığa ya da müşteri adına sahte işlem yapılmasına imkân sağlayabilecek kişisel veriler ile müşteri güvenlik bilgilerini ifade etmektedir.

Örneğin;

• doğrulama bilgileri,
• ödeme aracı güvenlik bilgileri,
• müşteri güvenlik bilgileri,
• bazı kimlik doğrulama verileri

bu kategoriye girebilir.

Hassas müşteri verilerinin korunması bakımından normal müşteri bilgilerinden daha sıkı kurallar uygulanmaktadır.

Hassas Müşteri Verileri Üçüncü Kişilerle Paylaşılabilir mi?

TCMB düzenlemeleri hassas müşteri verilerinin paylaşımını önemli ölçüde sınırlandırmaktadır.

Tebliğin veri güvenliği ve mahremiyetine ilişkin hükümlerine göre hassas müşteri verileri, mevzuatta izin verilen hâller saklı kalmak üzere dış hizmet sağlayıcılar ve kanunlarla açıkça yetkilendirilen merciler dışındaki taraflara verilemez. Ayrıca hassas müşteri verileri ve müşteri bilgilerinin gizliliğini ve güvenliğini sağlayacak yazılı politika ve prosedürlerin oluşturulması zorunludur.

Bu nedenle örneğin bir ödeme kuruluşunun müşteri güvenlik bilgilerini ticari iş birliği yaptığı başka bir şirkete sıradan müşteri verisi gibi aktarması mümkün değildir.

Verinin türünün öncelikle doğru sınıflandırılması gerekir.

Müşteri Bilgileri Üçüncü Kişilere Hangi Şartlarla Aktarılabilir?

TCMB Tebliğinde müşteri bilgileri bakımından da özel bir koruma rejimi öngörülmektedir.

Kanunla açıkça yetkilendirilen merciler dışındaki kişilere müşteri bilgisi aktarılması bakımından müşterinin paylaşımın sınırları hakkında aydınlatılması ve mevzuatta öngörülen hâllerde açık rızasının alınması gerekmektedir. Tebliğ ayrıca bu rızanın KVKK’ya uygun ve güvenli yöntemlerle alınmasını öngörmektedir.

Ancak ödeme sektöründe veri aktarımı değerlendirilirken yalnızca “açık rıza var mı?” sorusuna odaklanılması doğru değildir.

KVKK kapsamında veri aktarımı;

• kanunda açıkça öngörülme,
• sözleşmenin kurulması veya ifası,
• hukuki yükümlülüğün yerine getirilmesi,
• bir hakkın tesisi, kullanılması veya korunması,
• meşru menfaat

gibi farklı hukuki sebeplere de dayanabilir.

Bu nedenle her veri paylaşımının hem TCMB ödeme mevzuatı hem de KVKK’daki veri işleme ve aktarım şartları bakımından ayrı ayrı değerlendirilmesi gerekir.

Müşterinin Veri Paylaşımına Rıza Vermesi Hizmet İçin Zorunlu Tutulabilir mi?

Her durumda hayır.

TCMB Tebliğinde, müşterinin bilgilerinin paylaşılmasına ilişkin rıza göstermesinin verilecek hizmetin bir ön şartı hâline getirilemeyeceği açıkça belirtilmektedir.

Bu düzenleme özellikle dijital ödeme uygulamalarında önemlidir.

Örneğin kullanıcıya;

“Verilerinizin bütün grup şirketlerimizle reklam amacıyla paylaşılmasını kabul etmezseniz ödeme hesabınızı kullanamazsınız.”

şeklinde zorunlu bir mekanizma oluşturulması ödeme mevzuatı ve KVKK açısından sorun doğurabilir.

Ödeme hizmetinin sunulması için gerçekten gerekli veri işleme faaliyetleri ile pazarlama veya farklı ticari amaçlarla yapılacak veri paylaşımları birbirinden ayrılmalıdır.

Ödeme Hizmetlerinde Açık Bankacılık Veri Paylaşımı

Ödeme hizmetlerinde veri paylaşımının en önemli uygulama alanlarından biri açık bankacılıktır.

6493 sayılı Kanunun 12. maddesinde;

ödeme emri başlatma hizmeti ve
hesap bilgisi hizmeti

ayrı ödeme hizmetleri olarak düzenlenmiştir.

TCMB bu iki hizmeti Ödeme Hizmetleri Veri Paylaşım Servisleri (ÖHVPS) kapsamında değerlendirmektedir.

Açık bankacılık sisteminde müşteri verileri standart API altyapıları üzerinden yetkilendirilmiş ödeme hizmeti sağlayıcıları arasında paylaşılabilir.

Bu yapı, müşterinin internet bankacılığı şifresini üçüncü taraf bir fintech şirketine vermesinden farklıdır.

Amaç, müşterinin finansal verilerine güvenli, kontrollü ve yetkilendirilmiş bir altyapı üzerinden erişim sağlamaktır.

ÖHVPS Nedir?

Ödeme Hizmetleri Veri Paylaşım Servisleri (ÖHVPS), açık bankacılık kapsamında hesap bilgisi ve ödeme emri başlatma hizmetlerinin yürütülmesini sağlayan veri paylaşım yapısını ifade etmektedir.

Bu sistemde temel olarak üç farklı rol bulunmaktadır:

Hesap Hizmeti Sağlayıcısı (HHS): Müşterinin ödeme hesabını nezdinde tutan kuruluş.

Hesap Bilgisi Hizmeti Sağlayıcısı (HBHS): Müşterinin farklı hesaplarına ilişkin bilgileri müşteriye sunan yetkili kuruluş.

Ödeme Emri Başlatma Hizmeti Sağlayıcısı (ÖBHS): Müşterinin başka bir ödeme hizmeti sağlayıcısındaki hesabından ödeme emri başlatmasını sağlayan yetkili kuruluş.

TCMB Rehberine göre hesap bilgisi hizmetinde veri paylaşımı HBHS ile HHS arasında; ödeme emri başlatma hizmetinde ise ÖBHS ile HHS arasında gerçekleştirilmektedir. Türkiye’deki standart ÖHVPS mimarisinde bağlantıların GEÇİT üzerinden uçtan uca güvenli şekilde sağlanması esastır.

GEÇİT Veri Paylaşımında Nasıl Bir Rol Oynar?

Türkiye’deki standart açık bankacılık altyapısında BKM API Geçidi – GEÇİT, yetkili ödeme hizmeti sağlayıcıları arasındaki veri paylaşımının ortak teknik altyapılarından biridir.

TCMB Tebliği uyarınca veri paylaşım servislerinde tarafların TCMB tarafından belirlenen elektronik sertifikaları kullanması ve yetkilendirilmiş olduklarının kontrol edilmesi gerekir. HHS’lerin ilgili standart veri paylaşım servislerini HBHS ve ÖBHS’lere sunması öngörülmektedir.

Bu nedenle bir fintech şirketinin herhangi bir bankanın özel API’sine teknik olarak bağlanabilmesi, kendisine otomatik olarak düzenlemeye tabi açık bankacılık hizmeti sunma yetkisi vermez.

Hizmeti sunan kuruluşun ayrıca gerekli TCMB yetkilendirmesine sahip olması gerekir.

Ödeme Hizmetlerinde Müşteri Onayı Nasıl Alınmalıdır?

Açık bankacılık kapsamındaki veri paylaşımında müşterinin onayı sistemin temel unsurlarından biridir.

TCMB Tebliği uyarınca müşterinin hesap bilgisi veya ödeme emri başlatma hizmetleri kapsamındaki her bir bilgi talebi ve ödeme emri başlatma işlemi bakımından ayrı onay vermesi esastır. Hesap bilgisi hizmetinde ilgili hesaplar ve bu hesaplar üzerinde tanımlanmış işlemler bakımından onayın sözleşmeyle verilmesi de mümkün olabilmektedir.

Dolayısıyla kullanıcının;

“açık bankacılığı kabul ediyorum”

şeklinde tek ve sınırsız bir onay vermesi, bütün finansal verilerine süresiz erişilebileceği anlamına gelmez.

Onayın kapsamının hangi hesapları ve hangi işlemleri içerdiği açık biçimde belirlenmelidir.

Müşteri Onayı ile KVKK Açık Rızası Aynı Şey midir?

Her durumda değildir.

Bu ayrım ödeme hizmetlerinde veri paylaşımı bakımından son derece önemlidir.

TCMB mevzuatında müşterinin belirli bir ödeme hizmetinin sunulmasına veya hesap bilgilerinin kullanılmasına ilişkin verdiği işlem/hizmet onayı bulunabilir.

KVKK kapsamında ise belirli veri işleme faaliyetleri bakımından açık rıza gündeme gelebilir.

Örneğin müşteri;

farklı bankalardaki hesaplarını tek uygulamada görüntülemek için fintech şirketini yetkilendirebilir.

Ancak bu durum fintech şirketinin aynı hesap hareketlerini müşterinin tüketim alışkanlıklarını analiz ederek üçüncü taraf reklam şirketlerine aktarmasına otomatik olarak izin vermez.

Bu nedenle;

ödeme hizmeti onayı + kişisel veri işleme hukuki sebebi + aydınlatma yükümlülüğü

birbirinden ayrı analiz edilmelidir.

Güçlü Kimlik Doğrulama Veri Paylaşımında Zorunlu mudur?

Açık bankacılık veri paylaşımında kimlik doğrulama ve işlem güvenliği son derece önemlidir.

TCMB Tebliğine göre hesap bilgisi hizmetinde müşterinin onayının alınması sırasında kural olarak güçlü kimlik doğrulama uygulanmaktadır. Ödeme emri başlatma hizmetinde de müşteriye güçlü kimlik doğrulama uygulanması ve işlem doğrulama koduyla müşterinin onayının alınması esastır.

Güçlü kimlik doğrulama sistemleri, tek bir şifreye dayalı güvenlikten daha kapsamlıdır.

Bilgi, sahiplik veya biyometrik özellik sınıflarından bağımsız unsurların kullanılması yoluyla ödeme işlemlerindeki kimlik güvenliğinin artırılması amaçlanmaktadır.

API Üzerinden Veri Paylaşımında Güvenlik Nasıl Sağlanmalıdır?

TCMB düzenlemeleri ödeme verilerinin paylaşılmasında yalnızca hukuki yetkilendirmeyi değil teknik güvenliği de zorunlu tutmaktadır.

Veri paylaşım servislerinin taraflarının müşterilerle olan bağlantılar dâhil olmak üzere uçtan uca güvenli iletişim kurması ve işlemlerin takip edilebilirliğini sağlaması gerekir.

Ayrıca işlem ve oturumların denetim izleriyle kayıt altına alınması, veri bütünlüğünün ve güncelliğinin korunması ve API iletişiminin güvenli şekilde gerçekleştirilmesi öngörülmektedir.

Dolayısıyla bir ödeme kuruluşunun API güvenliği yalnızca yazılım geliştirme standardı değildir.

Aynı zamanda düzenleyici uyum yükümlülüğüdür.

Ödeme Verileri Şifrelenmek Zorunda mıdır?

TCMB Tebliğinde hassas müşteri verileri ve müşteri bilgilerinin kural olarak şifrelenmiş şekilde veya güvenli bileşenlerde saklanması esası benimsenmiştir.

Kablosuz veya internet üzerinden yapılan aktarımlarda hassas müşteri verileri, müşteri bilgileri ve rekabete duyarlı verilerin uçtan uca güvenli iletişimle aktarılması gerekmektedir.

Bu nedenle ödeme verilerinin veri tabanında açık biçimde saklanması veya güvenli olmayan kanallar üzerinden gönderilmesi önemli mevzuat riski oluşturabilir.

Ödeme Şirketleri Dış Hizmet Sağlayıcılara Veri Aktarabilir mi?

Ödeme ve elektronik para şirketleri çeşitli faaliyetleri için dış hizmet sağlayıcılardan yararlanabilir.

Örneğin;

• KYC hizmetleri,
• çağrı merkezi,
• siber güvenlik,
• fraud sistemleri,
• yazılım hizmetleri,
• veri merkezi,
• bulut altyapısı

için dış hizmet alınabilir.

Ancak ödeme kuruluşunun hizmeti dışarıdan alması, veri güvenliği bakımından kendi sorumluluğunun sona erdiği anlamına gelmez.

TCMB Tebliği, kuruluşun dış hizmet sağlayıcının faaliyetlerine ilişkin sorumluluğunu korumakta ve dış hizmet sağlayıcıya verilecek erişimin işin gerektirdiği bilgilerle sınırlandırılmasını öngörmektedir.

Bu nedenle dış hizmet sözleşmelerinde özellikle;

• veri güvenliği,
• erişim yetkileri,
• alt yükleniciler,
• denetim hakkı,
• veri ihlalleri,
• hizmet sona erdiğinde verilerin silinmesi,
• TCMB denetimine erişim

gibi konular ayrıntılı düzenlenmelidir.

Ödeme Şirketleri Bulut Sistem Kullanabilir mi?

Evet; ancak finansal verilerin işlendiği bulut sistemleri bakımından özel sınırlamalar bulunmaktadır.

TCMB Tebliği, ödeme kuruluşlarının yurt içinde tesis edilmiş bulut bilişim hizmetlerinden yararlanabilmesine imkân tanımaktadır. Hassas müşteri verisi, kişisel veri veya müşteriyi belirlenebilir hâle getiren bilgilerin işlendiği modellerde ise kullanılan bulut hizmetinin niteliğine ilişkin daha sıkı şartlar öngörülmektedir.

Bu nedenle ödeme kuruluşunun;

“Standart bir global SaaS hizmeti kullanıyoruz.”

demesi tek başına mevzuata uygunluk anlamına gelmez.

Bulut hizmetinin;

• hangi verileri işlediği,
• fiziksel altyapının nerede bulunduğu,
• hangi personelin eriştiği,
• alt hizmet sağlayıcıların kim olduğu,
• veri yedeklerinin nerede tutulduğu

ayrıca incelenmelidir.

Ödeme Verileri Türkiye’de mi Saklanmalıdır?

TCMB bilgi sistemleri düzenlemelerinde veri lokalizasyonuna ilişkin önemli kurallar bulunmaktadır.

Tebliğ uyarınca ödeme ve elektronik para kuruluşlarının birincil ve ikincil sistemleri ile veri yedekleme merkezlerinin yurt içinde bulunması zorunludur. Aynı şekilde müşteriler arasındaki ödeme işlemlerinin yürütülmesinde kullanılan bilgi sistemleri ve bunların yedeklerinin kural olarak yurt içinde tutulması esastır.

Bu nedenle bir ödeme kuruluşunun bütün müşteri ve işlem altyapısını herhangi bir yabancı ülkedeki sunucuda tutması yalnızca KVKK açısından değil, TCMB bilgi sistemleri mevzuatı açısından da sorun oluşturabilir.

Yurt Dışına Ödeme Verisi Aktarılabilir mi?

Ödeme işleminin sınır ötesi niteliği nedeniyle bazı verilerin yurt dışındaki taraflarla paylaşılması gerekebilir.

TCMB Tebliğinde 2023 yılında yapılan değişiklik kapsamında, ödeme işleminin taraflarından birinin yurt dışında bulunduğu durumlarda verilerin yurt içinde saklanmaya devam edilmesi kaydıyla, ödemenin gerçekleştirilmesi için gerekli olan verilerin ölçülü şekilde ve işlem için gerekli olanla sınırlı olarak yurt dışındaki ilgili üçüncü kişilerle paylaşılmasına imkân tanınmıştır.

Ancak bu aktarımda KVKK’nın yurt dışına veri aktarımına ilişkin 9. maddesinden doğan yükümlülükler de saklı tutulmuştur.

Dolayısıyla ödeme mevzuatının yurt dışına belirli veri akışına izin vermesi, KVKK m.9 bakımından ayrıca hukuki mekanizma kurulmasına gerek olmadığı anlamına gelmez.

KVKK Kapsamında Yurt Dışına Veri Aktarımı Nasıl Yapılır?

KVKK’nın yurt dışına kişisel veri aktarımı rejimi 2024 yılında önemli ölçüde değiştirilmiştir.

Güncel sistemde yeterlilik kararının bulunması, uygun güvencelerin sağlanması veya Kanunda belirtilen arızi aktarım şartlarının oluşması gibi mekanizmalar öngörülmektedir.

Uygun güvence yöntemleri arasında standart sözleşmeler ve bağlayıcı şirket kuralları da bulunmaktadır.

Bu durum özellikle;

• yabancı bulut sağlayıcıları,
• uluslararası fraud şirketleri,
• yabancı ana şirketler,
• grup şirketleri,
• yurt dışındaki yazılım sağlayıcıları

ile çalışan fintech şirketleri açısından önemlidir.

Ödeme kuruluşunun yurt dışına veri akışını yalnızca ticari hizmet sözleşmesi üzerinden yürütmesi yeterli olmayabilir.

Standart Sözleşme ile Veri Aktarımı Yapılabilir mi?

KVKK kapsamında yurt dışına veri aktarımında Kurul tarafından yayımlanan standart sözleşmeler uygun güvence yöntemlerinden biridir.

Farklı aktarım ilişkileri için;

veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna

yönelik farklı standart sözleşmeler bulunmaktadır.

Dolayısıyla fintech şirketi, kullandığı yabancı hizmet sağlayıcının veri işleme rolünü doğru belirlemeli ve uygun aktarım mekanizmasını buna göre seçmelidir.

Ödeme Hizmetlerinde Veri Paylaşımı Pazarlama Amacıyla Yapılabilir mi?

Finansal verinin ödeme hizmetinin yürütülmesi amacıyla elde edilmesi, aynı verinin otomatik olarak pazarlama amacıyla kullanılmasına izin vermez.

Örneğin ödeme kuruluşu müşterinin;

• alışveriş yaptığı mağazaları,
• harcama tutarlarını,
• para gönderdiği kişileri,
• düzenli ödemelerini,
• kart hareketlerini

biliyor olabilir.

Ancak hizmetin yürütülmesi amacıyla edinilen bu bilgilerin üçüncü şirketlerle reklam veya müşteri profilleme amacıyla paylaşılması farklı bir hukuki işlem oluşturabilir.

Bu durumda KVKK’nın veri işleme amaçları, hukuki sebepler ve veri minimizasyonu ilkeleriyle birlikte TCMB’nin müşteri bilgilerinin paylaşımına ilişkin sınırlamaları dikkate alınmalıdır. TCMB Tebliği ayrıca müşterinin veri paylaşımına rıza vermesinin hizmet için ön şart hâline getirilemeyeceğini düzenlemektedir.

Hesap Bilgisi Hizmeti Sağlayıcısı Verileri İstediği Amaçla Kullanabilir mi?

Hayır.

Bir açık bankacılık şirketinin müşterinin banka hesaplarına erişebilmesi, söz konusu şirketin hesap hareketlerini sınırsız şekilde kullanabileceği anlamına gelmez.

Hesap bilgisi hizmetinde erişimin;

• müşterinin verdiği yetkinin kapsamıyla,
• sunulan hizmetin amacıyla,
• ilgili hesaplarla ve
• ilgili veri kategorileriyle

sınırlı olması gerekir.

Bu nedenle kullanıcının yalnızca kişisel finans yönetimi hizmeti almak amacıyla verdiği hesap erişiminin, sonradan başka şirketlere kredi pazarlaması yapmak için kullanılması ayrıca değerlendirilmelidir.

Ödeme Hizmetlerinde Veri Sorumlusu Kimdir?

Ödeme hizmetlerinde aynı işlem zincirinde birden fazla şirket bulunduğu için veri sorumlusu ve veri işleyen ayrımı önem taşımaktadır.

Örneğin;

• ödeme kuruluşu,
• banka,
• elektronik para kuruluşu,
• KYC sağlayıcısı,
• bulut hizmet sağlayıcısı,
• teknik API şirketi

aynı işlemde farklı roller üstlenebilir.

Bir şirketin sözleşmede “veri işleyen” olarak adlandırılmış olması, hukuken mutlaka veri işleyen olduğu anlamına gelmez.

Verinin hangi amaçlarla ve hangi yöntemlerle işleneceğine gerçekte kimin karar verdiği incelenmelidir. KVKK Kurumunun ödeme ve elektronik para sektörüne ilişkin iyi uygulamalar rehberi de veri sorumlusu ve veri işleyen ayrımını sektör özelinde ele almaktadır.

Veri Paylaşımı Sözleşmelerinde Neler Bulunmalıdır?

Ödeme hizmetlerinde veri aktarımı bulunan iş birliklerinde sözleşmeler yalnızca ticari ücret ve hizmet seviyelerini düzenlememelidir.

Somut iş modeline göre sözleşmede;

• paylaşılacak veri türleri,
• paylaşım amacı,
• tarafların hukuki rolleri,
• erişim yetkileri,
• veri güvenliği tedbirleri,
• saklama süreleri,
• yurt dışı aktarım durumu,
• alt yükleniciler,
• veri ihlali bildirimi,
• denetim hakkı,
• hizmet sona erdiğinde verilerin silinmesi veya iadesi,
• sorumluluk ve tazmin hükümleri

açıkça düzenlenmelidir.

Özellikle dış hizmet sağlayıcılarla yapılan sözleşmeler bakımından TCMB Tebliği, veri ve belgelerin imhasından denetim haklarına kadar çeşitli asgari sözleşme şartları öngörmektedir.

Veri İhlali Meydana Gelirse Ne Olur?

Ödeme verilerinin yanlış kişiye gönderilmesi, API anahtarının ele geçirilmesi, müşteri veri tabanının sızdırılması veya dış hizmet sağlayıcısında güvenlik açığı meydana gelmesi kişisel veri ihlali ve bilgi güvenliği olayı oluşturabilir.

Bu durumda hem KVKK mevzuatı hem de kuruluşun tabi olduğu TCMB bilgi sistemleri ve olay bildirim düzenlemeleri birlikte değerlendirilmelidir.

TCMB Tebliğinde veri paylaşım servislerine ilişkin önemli olayların Bankaya ivedilikle raporlanması öngörülmektedir.

Dolayısıyla ödeme kuruluşunun veri ihlali müdahale planının yalnızca bilgi teknolojileri departmanının teknik müdahalesinden ibaret olmaması gerekir.

Hukuk, uyum, bilgi güvenliği ve yönetim birimlerinin birlikte hareket edeceği olay müdahale prosedürlerinin önceden hazırlanması önem taşır.

2026 Yılında Ödeme Hizmetlerinde Veri Paylaşımında Neler Değişti?

Türkiye’deki ÖHVPS altyapısı 2026 yılında fonksiyonel olarak genişlemeye devam etmiştir.

TCMB tarafından 17 Mart 2026 tarihinde ÖHVPS 2.0.0 sürümü kullanıma alınmış; hesap bilgisi hizmetlerinin kapsamına kart bilgileri ve kart hareketlerine ilişkin yeni özellikler eklenmiştir.

Aynı sürüm kapsamında ileri tarihli ödeme emri başlatma ve düzenli ödeme emri başlatma hizmetleri de kullanıma açılmıştır.

Bu gelişme, ödeme hizmetlerinde paylaşılabilecek veri türlerinin ve açık bankacılık kullanım senaryolarının genişlediğini göstermektedir.

Dolayısıyla daha önce yalnızca hesap bakiyesi ve hesap hareketi işleyen bir fintech şirketinin veri envanteri ve kullanıcı yetkilendirme sistemi, yeni hizmetler devreye alındığında yeniden değerlendirilmelidir.

Ödeme Hizmetlerinde Veri Paylaşımında En Sık Yapılan Hatalar

Ödeme ve fintech şirketlerinde sık karşılaşılan hataların başında, finansal verilerin şirketin sahip olduğu ticari veri gibi değerlendirilmesi gelmektedir.

Özellikle;

• ödeme hizmeti için alınan verilerin pazarlama amacıyla kullanılması,
• hassas müşteri verisi ile sıradan müşteri bilgisinin birbirine karıştırılması,
• müşteri onayının çok geniş ve belirsiz alınması,
• ödeme hizmeti onayı ile KVKK açık rızasının aynı kabul edilmesi,
• dış hizmet sağlayıcıların veri erişimlerinin sınırlandırılmaması,
• API anahtarları ve hassas verilerin yeterince korunmaması,
• yurt dışındaki yazılım ve bulut hizmetlerine yapılan veri aktarımlarının fark edilmemesi,
• veri lokalizasyonu kurallarının gözden kaçırılması,
• mevcut açık bankacılık yetkisinin bütün finansal verileri kullanmaya izin verdiğinin düşünülmesi,
• veri paylaşım sözleşmelerinin yalnızca ticari hükümlerden oluşturulması

önemli hukuki ve düzenleyici riskler doğurabilir.

Sıkça Sorulan Sorular

Ödeme kuruluşları müşteri verilerini başka şirketlerle paylaşabilir mi?

Paylaşımın niteliğine göre mümkündür; ancak veri türü, aktarımın amacı, TCMB mevzuatındaki sınırlar ve KVKK’daki veri işleme ve aktarım şartlarının birlikte değerlendirilmesi gerekir. Hassas müşteri verileri bakımından daha sıkı sınırlamalar bulunmaktadır.

Hesap hareketleri kişisel veri midir?

Gerçek kişiyle ilişkilendirilebilen hesap ve ödeme hareketleri kişisel veri niteliği taşıyabilir ve KVKK hükümlerine tabi olur. Kişisel Verileri Koruma Kurumu ödeme ve elektronik para sektöründeki kişisel veri işleme ve aktarım faaliyetleri için ayrıca sektör rehberi yayımlamıştır.

Müşteri açık rıza verirse bütün finansal veriler paylaşılabilir mi?

Hayır. Açık rıza dahi sınırsız veri işleme yetkisi vermez. İşleme ve aktarımın belirli, açık ve meşru amaçlarla yapılması ve sektörel ödeme mevzuatındaki özel sınırlamalara uyulması gerekir.

Açık bankacılıkta her veri talebi için müşteri onayı gerekir mi?

TCMB Tebliğinde (f) ve (g) kapsamındaki her bir bilgi talebi ve ödeme emri başlatma işlemi bakımından ayrı onay esası bulunmaktadır. Hesap bilgisi hizmetindeki belirli hesap ve işlemler bakımından onay sözleşmeyle de düzenlenebilir.

Ödeme verileri yurt dışında saklanabilir mi?

Ödeme ve elektronik para kuruluşlarının birincil ve ikincil sistemleri ile veri yedekleme merkezlerinin kural olarak Türkiye’de bulunması gerekir. Sınır ötesi ödeme işlemlerinde gerekli verilerin belirli şartlarla yurt dışındaki ilgili taraflara aktarılması mümkün olmakla birlikte verilerin yurt içinde saklanmaya devam etmesi ve KVKK m.9 yükümlülüklerine uyulması gerekir.

Yabancı bulut hizmeti kullanmak serbest midir?

Ödeme kuruluşlarının bulut ve dış hizmet kullanımı TCMB’nin bilgi sistemleri düzenlemelerine tabidir. İşlenen verinin türü ve bulut modelinin özellikleri dikkate alınmalıdır. Bu nedenle sıradan bir teknoloji şirketine uygun olan bulut modeli ödeme kuruluşu bakımından yeterli olmayabilir.

Veri paylaşımında güçlü kimlik doğrulama gerekir mi?

Özellikle açık bankacılık kapsamındaki hesap bilgisi ve ödeme emri başlatma hizmetlerinde güçlü kimlik doğrulama ve güvenli işlem onayı mekanizmaları öngörülmektedir.

Sonuç: Ödeme Verisi Serbestçe Kullanılabilecek Ticari Bir Veri Değildir

Ödeme hizmetlerinde veri paylaşımı, fintech ekosisteminin çalışması için gerekli olmakla birlikte son derece sıkı bir hukuki ve teknik rejime tabidir.

Müşterinin hesap bilgileri, işlem geçmişi, bakiye bilgileri ve ödeme güvenlik verileri ödeme kuruluşunun dilediği gibi kullanabileceği veya üçüncü kişilere aktarabileceği sıradan ticari veriler değildir.

Ödeme ve elektronik para kuruluşlarının veri paylaşım süreçlerinde;

6493 sayılı Kanun + TCMB ödeme hizmetleri düzenlemeleri + bilgi sistemleri mevzuatı + KVKK

birlikte değerlendirilmelidir. TCMB düzenlemeleri veri paylaşım servislerinde ilgili verilerin gizliliğinin, bütünlüğünün, güncelliğinin ve güvenliğinin korunmasını açıkça zorunlu tutmaktadır.

Özellikle açık bankacılık, dijital cüzdan, API entegrasyonları, yabancı bulut hizmetleri ve grup şirketleri arası veri aktarımı içeren fintech projelerinde ürün geliştirme aşamasından önce bir veri akış haritası hazırlanması önem taşımaktadır.

Bu haritada;

hangi verinin kimden alındığı → hangi amaçla işlendiği → hangi kuruluşla paylaşıldığı → paylaşımın hangi hukuki sebebe dayandığı → verinin nerede saklandığı → yurt dışına aktarılıp aktarılmadığı → ne kadar süre tutulduğu

açıkça belirlenmelidir.

Böylece ödeme hizmetlerinde veri paylaşımı yalnızca sonradan hazırlanacak KVKK metinleriyle değil, doğrudan ürünün teknik ve hukuki mimarisinin bir parçası olarak yönetilebilir.