7 Ekim 2023 CUMARTESİ Resmî Gazete Sayı : 32332 TEBLİĞ Türkiye Cumhuriyet Merkez Bankasından: ÖDEME VE ELEKTRONİK PARA KURULUŞLARININ BİLGİ SİSTEMLERİ İLE ÖDEME HİZMETİ SAĞLAYICILARININ ÖDEME HİZMETLERİ ALANINDAKİ VERİ PAYLAŞIM SERVİSLERİNE İLİŞKİN TEBLİĞDE DEĞİŞİKLİK YAPILMASINA DAİR TEBLİĞ MADDE 1- 1/12/2021 tarihli ve 31676 sayılı Resmî Gazete’de yayımlanan Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğin 3 üncü maddesinin birinci fıkrasının (c) bendinde yer alan “kimlik tespiti veya doğrulaması yapılmamış,” ibaresinden sonra gelmek üzere “9/4/2008 tarihli ve 26842 sayılı Resmî Gazete’de yayımlanan Mali Suçları Araştırma Kurulu Genel Tebliği (Sıra No: 5)’nin 2.2.9 uncu maddesinin birinci paragrafında ve 2.2.11 inci maddesinin birinci paragrafında belirtilen parasal sınırlar dahilinde kalan,” ibaresi eklenmiş, (m) bendi aşağıdaki şekilde değiştirilmiş, (ttt) bendinde yer alan “radyo, televizyon,” ibaresi yürürlükten kaldırılmış ve aynı fıkraya aşağıdaki bentler eklenmiştir. “m) BSİSBDHY: 31/12/2021 tarihli ve 31706 altıncı mükerrer sayılı Resmî Gazete’de yayımlanan Bilgi Sistemleri ve İş Süreçleri Bağımsız Denetimi Hakkında Yönetmeliği,” “zzz) MASAK: Hazine ve Maliye Bakanlığı Malî Suçları Araştırma Kurulu Başkanlığını, aaaa) Yakın alan iletişimi: Elektronik cihazlar arasında iletişimi sağlamak için bu cihazların birbirine temas ettirilmesiyle veya yakın mesafede temassız olarak yaklaştırılmasıyla ortaya çıkan manyetik alan üzerinden veri iletiminin sağlandığı kısa menzilli kablosuz bağlantı teknolojisini,” MADDE 2- Aynı Tebliğin 9 uncu maddesinin üçüncü fıkrasının ilk cümlesi aşağıdaki şekilde değiştirilmiştir. “Hassas müşteri verileri ve müşteri bilgilerinin şifrelenmiş bir şekilde ya da güvenli bileşenlerde saklanması esastır.” MADDE 3- Aynı Tebliğin 13 üncü maddesinin üçüncü fıkrasının (d) bendi aşağıdaki şekilde değiştirilmiş, sekizinci fıkrasında yer alan “izin verilmez” ibaresi “izin verilmemesi esastır” şeklinde değiştirilmiş ve aynı fıkraya aşağıdaki cümleler eklenmiştir. “d) Erişimin veya işlemin gerçekleştiği uygulama, iletişim ağı protokolü, zaman ve kaynak ile hedef port ve IP bilgileri,” “Denetim izi kayıt sistemi tekrar devreye alınana kadar gerçekleşen işlemlere ait denetim izlerinin, denetim izi kayıt sisteminin süreklilik hedefleri kapsamında tekrar devreye alındıktan sonra güvenliği ve bütünlüğü korunarak denetim izi kayıt sistemine kaydedilmesi sağlanır. Denetim izi kayıt sistemi durduğunda işlemlerin gerçekleşmeye devam ettiği durumlarda, gerçekleştirilen her türlü işlem için gerçekleştirilen işlemin yetkili kişiler tarafından Yönetmelik ve bu Tebliğ hükümlerine uygun şekilde yapıldığını ispat etme yükümlülüğü kuruluşa aittir. Yönetmeliğin 54 üncü maddesi hükümleri saklı kalmak kaydıyla, bu işlemler sebebiyle herhangi bir tarafın zarara uğraması durumunda kuruluş, tarafların uğradığı zararı tazmin etmekle yükümlüdür.” MADDE 4- Aynı Tebliğin 16 ncı maddesinin yedinci fıkrasında yer alan “bir kredi kuruluşu veya finansal kuruluş” ibaresinden sonra gelmek üzere “ya da bunlara bilgi sistemleri ile alakalı olarak hizmet sunan bağlı ortaklıkları” ibaresi eklenmiş ve aynı maddeye aşağıdaki fıkralar eklenmiştir. “(12) Verilerin gizliliği, bütünlüğü ve erişilebilirliği ile kuruluşun sunduğu hizmetlerin sürekliliğini etkileme potansiyeli olmayan, hassas müşteri verileri ve müşteri bilgilerinin dış hizmet sağlayıcı ile paylaşılmasına sebebiyet vermeyen ve kuruluşa özel olarak tasarlanıp sunulmayan hizmet alımlarına ilişkin olarak dokuzuncu fıkra hükümleri niteliğiyle bağdaştığı ölçüde uygulanır. (13) Kritik bilgi sistemleri ve güvenlik kapsamında alınacak ürün ve hizmetlerin Türkiye’de üretilmesi veya üreticilerinin ar-ge merkezlerinin Türkiye’de bulunması için azami özen gösterilir ve dış hizmet alımında önemli bir kriter olarak değerlendirilir. Bu tür sağlayıcıların ve üreticilerin Türkiye’de müdahale ekiplerinin bulunması şarttır. Banka, kuruluşların kullanacağı güvenlik ürünleri ve diğer bilgi teknolojileri unsurları hakkında ilave şartlar belirlemeye yetkilidir.” MADDE 5- Aynı Tebliğin 19 uncu maddesinin dördüncü fıkrasının (e) bendi ve yedinci fıkrasının (ç) bendinde yer alan “T.C. Hazine ve Maliye Bakanlığı Mali Suçları Araştırma Kurulu” ibareleri “MASAK” şeklinde, yedinci fıkrasının (d) bendinde yer alan “T.C. Hazine ve Maliye Bakanlığı Mali Suçları Araştırma Kuruluna” ibaresi “MASAK’a” şeklinde değiştirilmiştir. MADDE 6- Aynı Tebliğin 21 inci maddesine aşağıdaki fıkra eklenmiştir. “(4) Ödeme işleminin taraflarından birinin (kendisinin veya hizmet sağlayıcısının) yurt dışında bulunduğu durumlarda kuruluş; verilerin yurt içinde saklanmaya devam edilmesi kaydıyla, sadece ödeme işleminin sorunsuz şekilde gerçekleşebilmesinin gerektirdiği kadarıyla sınırlı olmak şartıyla ve ölçülülük ilkesine uygun olarak ihtiyaç duyulan veriyi, ödeme işlemine ilişkin müşteriden gelen talep ya da talimata bağlı olarak ve 6698 sayılı Kanunun 9 uncu maddesine ilişkin yükümlülükler saklı kalmak üzere yurt dışındaki ilgili üçüncü kişilerle paylaşabilir. Banka, yapacağı değerlendirme neticesinde ödemeler alanının gelişimini olumsuz etkileyeceğine karar vermesi durumunda, bu fıkra uyarınca yapılan paylaşımları durdurabilir veya bunlara ilişkin ilave sınırlandırma getirebilir.” MADDE 7- Aynı Tebliğin 22 nci maddesi aşağıdaki şekilde değiştirilmiştir. “MADDE 22 – (1) Kuruluş, uzaktan iletişim aracı ile yürütülecek kimlik tespiti ve sözleşme ilişkisinin kurulması süreçlerinde, Banka tarafından uygun bulunan merkezi bir yapının kullanılmaması durumunda uzaktan kimlik tespitine ve kimliği tespit edilecek kişinin doğrulanmasına imkân verecek internet tabanlı yöntemleri kullanır ve asgari olarak aşağıdaki hususları yerine getirir: a) Kimlik tespitinin yapılabilmesi için kimliği tespit edilecek kişiden alınması gerekli bilgi ve belgelerin temin edilmesi. b) Uzaktan kimlik tespiti için temin edilen belgenin ve belgede bulunan veri ve bilgilerin doğruluğunun esas olarak yakın alan iletişimi kullanılarak kontrol edilmesi, beyaz ışık altında görsel olarak ayırt edilebilen güvenlik ögeleri, fotoğraf ve imza başta olmak üzere söz konusu belgenin ve belgede bulunan veri ve bilgilerin orijinallik, bütünlük, yıpranma ile tahrif edilme durumlarına ilişkin testlerinin yapılması ve belgenin ön ve arka yüzünün görsel ögeler yönünden kontrolü sürecinin kesintisiz bir şekilde kayıt altına alınması. c) (b) bendi uyarınca yakın alan iletişimi kullanılarak doğrulamanın herhangi bir nedenle yapılamaması halinde, söz konusu belgenin ve belgede bulunan veri ve bilgilerin doğruluğunun optik karakter tanıma, kart okuyucu veya MASAK’ın görüşü alınarak Banka tarafından belirlenen diğer yöntemlerden en az birisi kullanılarak kontrol edilmesi, beyaz ışık altında görsel olarak ayırt edilebilen güvenlik ögeleri, fotoğraf ve imza başta olmak üzere söz konusu belgenin ve belgede bulunan veri ve bilgilerin orijinallik, bütünlük, yıpranma ile tahrif edilme durumlarına ilişkin testlerin yapılması ve belgenin ön ve arka yüzünün görsel ögeler yönünden kontrolü sürecinin kesintisiz bir şekilde kayıt altına alınması. ç) Uzaktan kimlik tespitinin yapılabilmesi için biyometrik verilerin kullanımına ve sözleşme sürecinin uzaktan iletişim aracı ile yürütüleceğine ilişkin kimliği tespit edilecek kişinin onayının ve açık rızasının kayıt altına alınması. d) Kimliği tespit edilecek kişinin çevrim içi gerçek zamanlı video, çevrim içi gerçek zamanlı hareketli fotoğraf veya çevrim içi görüntülü görüşme yöntemleri kullanılarak canlılık testinin yapılması ve uzaktan kimlik tespiti sürecinde kişinin yüzü ile kimlik belgesinden yakın alan iletişimi kullanılarak alınabilmesi halinde temassız yongadaki fotoğrafın, alınamaması halinde ise kimlik belgesi üzerinde yer alan fotoğrafın biyometrik karşılaştırmasının yapılması ve kimlik belgesindeki fotoğrafın ve kişisel bilgilerin kişi ile uyuştuğunun doğrulanması. e) Işık ve gürültü seviyesi, sinyal gücü ve benzeri kıstaslar açısından cihaz ve ortam kontrolünün yapılması. f) Uzaktan iletişim aracı olarak kullanılacak yöntem ile ilgili iletişim bilgilerinin uygun yöntemlerle doğrulanması. (2) Birinci fıkra uyarınca yapılan canlılık testi işlemlerinde çevrim içi gerçek zamanlı video veya çevrim içi gerçek zamanlı hareketli fotoğraf yöntemlerinin kullanılması halinde, kimliği tespit edilecek kişi tarafından söz konusu video veya hareketli fotoğrafın yapılacak yönlendirmelere uygun şekilde anlık olarak çekilmesi, bu kapsamda önceden çekilen bir video veya hareketli fotoğraf kaydının canlılık testine dahil edilmesine izin vermeyecek bir yapı oluşturulması ve bu kapsamda yapılacak tüm kayıtların gerçek zamanlı olarak kuruluş sunucularında kaydedilmesinin sağlanması zorunludur. Kimliği tespit edilecek kişinin canlılık testinin yapılması esnasında kimliği tespit edilecek kişiye üçüncü taraflarca öngörülemezliği sağlayacak şekilde belirlenmiş olan seçenekler arasından rastgele verilecek komutlar çerçevesinde en az üç görüntü üzerinden gerekli kontrollerin yapılması ve söz konusu sürecin kesintisiz bir şekilde kayıt altına alınması gerekir. (3) Anonim ön ödemeli araçlar, 5549 sayılı Kanun ve ilgili mevzuat hükümleri kapsamında kimlik tespiti yapılması zorunlu olmayan ve sürekli iş ilişkisi kapsamına girmeyen tek seferlik ödeme işlemleri ile Mali Suçları Araştırma Kurulu Genel Tebliği (Sıra No: 5)’nin 2.2.11 inci maddesinin üçüncü paragrafı kapsamında sanal terminal hizmeti sunan tüzel kişiler için gerekli bilgi, sözleşme, dekont ve benzeri belgelere ilişkin süreçlerin işletilmesi esnasında uzaktan iletişim aracı kullanılması halinde birinci fıkra hükümlerinin uygulanması zorunlu değildir. (4) Birinci fıkra kapsamında uzaktan iletişim aracı ile yürütülen süreçler, personelin manuel müdahalesinin bulunduğu hallerde görevler ayrılığı prensibine uygun olarak, tek bir kişi tarafından başlatılması, onaylanması ve tamamlanmasına imkân verilmeyecek şekilde tasarlanır ve işletilir. Bu madde kapsamında uzaktan iletişim aracı ile yürütülen süreçlerde kullanılan bilgi sistemleri 16 ncı maddenin on üçüncü fıkrası kapsamında kritik bilgi sistemi olarak kabul edilir. (5) Birinci fıkra kapsamında uzaktan iletişim aracı ile yürütülen süreçler, tüm adımları içerecek şekilde kayıt altına alınır ve elde edilen veriler, Kanun, Yönetmelik ve bu Tebliğ ile diğer ilgili düzenlemelere uygun bir şekilde saklanır. Uyuşmazlık durumunda, uzaktan iletişim aracı ile yürütülen süreçler esnasında Yönetmelik ve bu Tebliğde yer alan hükümlere uygun işlem tesis edildiğinin ispatından kuruluş sorumludur. (6) Kuruluş, birinci fıkra kapsamında uzaktan iletişim aracı ile yürütülecek süreçlere ilişkin izlenecek süreç ve prosedürleri yazılı olarak oluşturur, oluşturulan süreç ve prosedürleri yılda en az iki defa olmak üzere düzenli olarak test eder ve test sonuçlarında ortaya çıkan eksiklik, hata, zayıflık ve açıklara ilişkin olarak teknolojik ve operasyonel gereklilikler başta olmak üzere tüm önlemleri alır ve gerekli güncellemeleri yapar. (7) Birinci fıkra kapsamında uzaktan iletişim aracı ile yürütülecek süreçlerde kimliği tespit edilecek kişiden alınacak belgeler, bu belgelerin doğrulanması esnasında dikkat edilecek güvenlik ve doğrulama özellikleri ile bu kapsamda kullanılacak kriterler ve kimliği tespit edilecek kişinin doğrulanması esnasında dikkate alınacak güvenlik ve doğrulama özellikleri ile bu kapsamda kullanılacak kriterler yazılı olarak dokümante edilir. (8) Birinci fıkra kapsamında uzaktan iletişim aracı ile yürütülecek süreçlerde, görüşme esnasında kimliği tespit edilecek kişinin kimlik tespitinin yapılması, doğrulanması ve sözleşmenin başka bir tarafın zoru ya da zorlamasıyla yapılmadığından emin olunabilmesi için sorulacak sorular ve yönlendirme amacıyla kullanılacak ifadeler; görüşmenin seyrine ilişkin aşamalar ile her aşamada sorulacak sorular ve yönlendirme amacıyla kullanılacak ifadeler yazılı olarak oluşturulur ve güncel gelişme ve tehditler çerçevesinde düzenli olarak güncellenir. (9) Kuruluş, birinci fıkra kapsamında belirtilen yöntemler yoluyla yürütülecek süreçlerde aşağıdaki şartları yerine getirmekle yükümlüdür: a) Sürecin gerçek zamanlı ve kesintisiz şekilde yürütülmesi gerekir. b) Süreç uçtan uca güvenli iletişim ile gerçekleştirilir. c) Kullanılan yöntemdeki görüntü ve ses kalitesinin, bu madde uyarınca gerekli kontrollerin etkin bir şekilde yapılmasını sağlayacak şekilde yeterli seviyede olması sağlanır ve süreç boyunca görüntü kalitesinin istenilen seviyede olduğunu gösterecek kontroller oluşturulur. Görüntü kalitesinin ölçülmesinde asgari olarak, görüşme yapılan kişinin görsel olarak net bir şekilde görüntülenebilmesinin, sunulan belgenin beyaz ışık altında görsel olarak doğrulanabilmesinin ve sunulan belgenin tahrif edilmemiş olduğunun kontrol edilebilmesinin mümkün olmasına dikkat edilir. ç) Süreç esnasında kimliği tespit edilecek kişi tarafından sunulan belgenin geçerliliği hususunda ya da dolandırıcılık veya sahtecilik teşkil edebilecek eylemlerden şüphe edilmesi durumunda, süreç sonlandırılır. (10) Bu maddede yer alan şartlara uyulmadığı durumlarda birinci fıkranın (d) bendinde belirtilen yöntemler yoluyla sözleşme kurulamaz, bu şekilde kurulan sözleşmelerde yetkilendirilmemiş, hatalı gerçekleşmiş veya benzeri sorunlu işlemlerde tüm sorumluluk kuruluşa ait olur. (11) Kuruluş, uzaktan iletişim aracı ile kimlik tespiti yaptığı kişileri ve kurduğu sözleşmelere taraf müşterilerini farklı bir risk profilinde izler. Bu müşterilerce yapılan işlemlerin türüne ve tutarına bağlı olarak ilave güvenlik ve kontrol yöntemleri uygulanır. (12) Birinci fıkra uyarınca uzaktan iletişim aracı ile kurulacak sözleşmelerde, uzaktan kimlik tespitinin yapılmasının ya da müşteri kimliğinin yüz yüze tespit edilmesinin ardından, müşterinin sözleşmeyi kuran irade beyanının, çevrim içi görüntülü görüşme ya da sözleşme ilişkisinin elektronik kanal üzerinden kurulmasının tercih edilmesi durumunda 10 uncu madde kapsamında güçlü kimlik doğrulama yapılması sonrasında aynı elektronik kanal üzerinden alınması şarttır. Bu fıkranın uygulanmasında Yönetmeliğin dördüncü kısmının ikinci bölümünde yer alan hükümler saklıdır. (13) Bu maddede yer alan şartlar dâhilinde uzaktan kimlik tespitinin yapılması halinde 10 uncu madde kapsamında güçlü kimlik doğrulamanın gerekleri yerine getirilmiş sayılır. (14) Bu maddenin uygulanmasında 30/4/2021 tarihli ve 31470 sayılı Resmî Gazete’de yayımlanan Mali Suçları Araştırma Kurulu Genel Tebliği (Sıra No: 19) hükümleri öncelikli olarak uygulanır. (15) Banka, ihtiyaç duyulması halinde bu madde kapsamında uygulanacak diğer usul ve esasları belirlemeye yetkilidir.” MADDE 8- Aynı Tebliğin geçici 1 inci maddesinin ikinci fıkrasına aşağıdaki cümleler eklenmiş, üçüncü fıkrasına aşağıdaki cümle ve bentler eklenmiş, aynı maddenin beşinci fıkrasında yer alan “BSDHY” ibareleri “BSİSBDHY” şeklinde değiştirilmiş ve aynı maddeye aşağıdaki fıkra eklenmiştir. “Nezdinde bulunan ödeme hesapları için müşterilerine doğrudan çevrim içi erişim imkânı sağlamayan ödeme hizmeti sağlayıcıları bu Tebliğin 24 üncü maddesinin birinci fıkrası kapsamında yerine getirmesi gereken yükümlülükleri 31/12/2025 tarihine kadar yerine getirir. Nezdinde ödeme hesabı bulunduran ödeme hizmeti sağlayıcılarının, Kanunun geçici 3 üncü maddesinin üçüncü fıkrası uyarınca Bankaya faaliyet izni başvurusunda bulunmuş olup faaliyet izni değerlendirme süreci devam edenler ile Yönetmeliğin 4 üncü maddesinin birinci fıkrasının (f) ve (g) bentlerinde belirtilen ödeme hizmetlerini sunmak üzere Bankadan izin almış olan kuruluşlara bu Tebliğin 24 üncü maddesinin birinci fıkrası kapsamında teknik gereklilikleri belirlenmiş veri paylaşım servisleri ile ilgili sunduğu hizmetleri, standart olmayan servisleri kullanarak vermesi 30/6/2024 tarihine kadar bu fıkraya aykırılık olarak değerlendirilmez.” “Bu fıkranın uygulanmasında aşağıdaki bentlerde yer alan istisnalar saklıdır: a) Kanunun geçici 3 üncü maddesinin üçüncü fıkrası uyarınca Bankaya faaliyet izni başvurusunda bulunmuş olup faaliyet izni değerlendirme süreci devam edenler, bu Tebliğin 24 üncü maddesinin birinci fıkrası kapsamında teknik gereklilikleri belirlenmiş veri paylaşım servisleri hizmetlerini, 30/6/2024 tarihine kadar standart olmayan servisleri kullanarak verebilir. Banka, bu süreyi, altı ayı aşmamak üzere uzatmaya yetkilidir. b) 5411 sayılı Kanun kapsamındaki bankalar ile Yönetmeliğin 4 üncü maddesinin birinci fıkrasının (f) ve (g) bentlerinde belirtilen ödeme hizmetlerini sunmak üzere Bankadan izin almış olan kuruluşlar, Banka Ödeme Sistemlerinde 2020 yılı içerisinde gerçekleştirilen hesaba ödeme işlemleri açısından, toplam adedine göre ilk on katılımcı arasında yer almayan ödeme hizmeti sağlayıcıları nezdinde bulunan ödeme hesapları ile ilgili olarak bu Tebliğin 24 üncü maddesinin birinci fıkrası kapsamında teknik gereklilikleri belirlenmiş veri paylaşım servisleri hizmetlerini 30/6/2024 tarihine kadar standart olmayan servisleri kullanarak verebilir. Banka, bu süreyi, altı ayı aşmamak üzere uzatmaya yetkilidir.” “(6) Kanunun yürürlüğe girdiği tarih itibarıyla, Bankacılık Düzenleme ve Denetleme Kurumu tarafından para havalesi işleminin taraflarından birinin hizmet sağlayıcısının yurt dışında olduğu işlemlerin gerçekleştirilmesi, bunun dışında faaliyette bulunulmaması ve bu faaliyetlerin sadece temsilcilerin gişeleri aracılığıyla yürütülmesi başta olmak üzere çeşitli önkoşullara bağlı olarak Kanunun 12 nci maddesinin birinci fıkrasının (ç) bendinde belirtilen ödeme hizmetinin sunulmasına ilişkin sınırlı şekilde faaliyet izni verilmiş olan kuruluşlar, bu Tebliğin 21 inci maddesi hükümlerine, Bankacılık Düzenleme ve Denetleme Kurumu tarafından faaliyet izni verilirken ortaya konulan önkoşullara uyum sağlamaya devam etmek şartı ile, 30/6/2024 tarihine kadar uyum sağlamakla yükümlüdür. Banka, bu süreyi, her defasında altı ayı aşmamak üzere iki kez uzatmaya yetkilidir.” MADDE 9- Bu Tebliğ yayımı tarihinde yürürlüğe girer. MADDE 10- Bu Tebliğ hükümlerini Türkiye Cumhuriyet Merkez Bankası Başkanı yürütür.