Finansal Kiralama, Faktoring, Finansman ve Tasarruf Finansman Şirketlerince Kullanılacak Uzaktan Kimlik Tespiti Yöntemlerine ve Elektronik Ortamda Sözleşme İlişkisinin Kurulmasına İlişkin Yönetmelik

6 Şubat 2022

11/01/2022 tarihli 31716 sayılı Resmî Gazete’de Finansal Kiralama, Faktoring, Finansman ve Tasarruf Finansman Şirketlerince Kullanılacak Uzaktan Kimlik Tespiti Yöntemlerine ve Elektronik Ortamda Sözleşme İlişkisinin Kurulmasına İlişkin Yönetmelik (“Yönetmelik”) 11/02/2022 tarihinde yürürlüğe girmek üzere yayımlanmıştır. Yönetmelik hükümleri, Bankacılık Düzenleme ve Denetleme Kurumu Başkanı (“Başkan”) tarafından yürütülecektir.

I-) Amaç ve Kapsam

Yönetmeliğin amacı, finansal kiralama, faktoring, finansman ve tasarruf finansman şirketi tarafından yeni müşteri kazanımında kullanılabilecek uzaktan kimlik tespiti yöntemlerine ve müşteri kimliğinin tespit edilmesini müteakip sunulacak hizmetlere yönelik olarak mesafeli olsun olmasın bir bilişim veya elektronik haberleşme cihazı üzerinden yazılı şeklin yerine geçecek şekilde ya da mesafeli olarak sözleşme ilişkisinin kurulmasına yönelik usul ve esasları düzenlemektir.

II-) Tanımlar

Yönetmeliğin Tanımlara ilişkin 3. maddesi uyarınca;

Açık rıza: Kişisel Verilerin Korunması Kanunu’nda tanımlanan açık rızayı,
Beyaz ışık: Gün ışığı gibi görünürde renksiz olan ışığı,
Bilgi Sistemleri Tebliği: 06/04/2019 tarihli ve 30737 sayılı Resmî Gazete’de yayımlanan Finansal Kiralama, Faktoring ve Finansman Şirketlerinin Bilgi Sistemlerinin Yönetimine ve Denetimine İlişkin Tebliği,
Elektronik imza: 15/1/2004 tarihli ve 5070 sayılı Elektronik İmza Kanununda tanımlanan elektronik imzayı,
Güvenlik ögeleri: Kimlik belgesinde yer alan giyoş, gökkuşağı baskı, optik değişken mürekkep, gizli görüntü, hologram ve mikro yazıyı,
Kimlik belgesi: 3/12/2019 tarihli ve 30967 sayılı Resmî Gazete’de yayımlanan Türkiye Cumhuriyeti Kimlik Kartı Yönetmeliğinde tanımlanan kimlik kartını,
Kimlik Paylaşımı Sistemi: 20/8/2020 tarihli ve 2837 sayılı Cumhurbaşkanı Kararıyla yürürlüğe konulan Kimlik Paylaşımı Sistemi Yönetmeliğinde tanımlanan Kimlik Paylaşımı Sistemini,
Kişi: Uzaktan kimlik tespiti yapılacak gerçek kişiyi veya gerçek kişi taciri,
Kurul: Bankacılık Düzenleme ve Denetleme Kurulunu,
Kurum: Bankacılık Düzenleme ve Denetleme Kurumunu,
MRZ: Optik karakter okuma yöntemlerini kullanarak makine okuması için biçimlendirilmiş, zorunlu ve isteğe bağlı verileri kapsayan, kimlik belgesi üzerinde yer alan sabit boyutlu alanı,
Müşteri temsilcisi: Kişinin uzaktan kimlik tespitini yapacak şirket personelini ya da dış hizmet alımı yoluyla istihdam edilen personeli,
SMS OTP: Elektronik haberleşme işletmecilerinin sunduğu kısa mesaj servisi aracılığıyla iletilen tek kullanımlık parolayı,
Şirket: Türkiye’de kurulu finansal kiralama şirketleri, faktoring şirketleri, finansman şirketleri ve tasarruf finansman şirketlerini,
Yakın alan iletişimi: Elektronik cihazların güvenilir, temassız işlem yapabilmesini ve sayısal içeriğe ve/veya elektronik cihazlara erişimini mümkün kılan, veri okuma ve yazmakta kullanılan kısa menzilli kablosuz teknolojiyi,

ifade edecektir.

III-) Uzaktan Kimlik Tespiti Sürecine İlişkin Şartlar

A-) Süreç Başlatılmadan Önce Uyulması Gereken Genel İlkeler

Uzaktan kimlik tespiti, müşteri temsilcisi ile kişinin; fiziksel olarak aynı ortamda bulunmasına gerek olmadan, çevrimiçi olarak görüntülü görüşmesi ve birbiriyle iletişim kurması ile yapılacaktır. Uzaktan kimlik tespiti yapılırken bu Yönetmelik’te belirtilen şartlara uyulacaktır. Ayrıca, uzaktan kimlik tespit süreci de yüz yüze yapılan kimlik tespiti yöntemine benzer ve asgari seviyede risk teşkil edecek şekilde tasarlanacaktır.

Yönetmeliğin 4. maddesi uyarınca, uzaktan kimlik tespiti, kritik bir işlem olarak değerlendirilecektir. Bu doğrultuda söz konusu işlemin, bilgi teknolojileri veya müşteri temsilcisi tarafından tek başına başlatılmasına, onaylanmasına ve tamamlanmasına imkân tanınmayacaktır. Müşteri temsilcisi ve bilgi teknolojileri, sürecin başlangıcından sonlandırılma aşamasına kadar sürece ilişkin gerekli kontrolleri sağlayacaktır. Bu noktada, müşteri temsilcisi tarafından yapılan kontrollerde işlemin riskli bulunması durumunda işlem ikinci bir onaya gönderilecek veya sonlandırılacaktır.

Uzaktan kimlik tespitine ilişkin kullanılacak süreç, sistem, ürün ve hizmetlerin Türkiye’de üretilmesi veya üreticilerinin AR-GE merkezlerinin Türkiye’de bulunması için azami özen gösterilecek ve dış hizmet alımında önemli bir kriter olarak değerlendirilecektir. Yönetmelik ile, bu tür sağlayıcıların ve üreticilerin Türkiye’de müdahale ekiplerinin bulunması şart koşulmuştur.

Şirketin belirlediği uzaktan kimlik tespiti sürecinin uygulanmasından önce, süreç dokümanları oluşturulacak ve sürecin etkinliği test edilerek sonuçları yazılı hale getirilecektir. Test sonuçlarının başarılı bulunmaması durumunda süreçte gerekli güncellemeler yapılacaktır. Süreç için gereken yeterlilik sağlanamaz ise süreç uygulanmayacaktır.

Uzaktan kimlik tespiti süreci yılda en az bir defa gözden geçirilecektir. Bu doğrultuda;

güvenlik ihlallerinin tespit edilmesi veya gerçekleşmesi,
ilgili mevzuatta değişiklik yapılması,
Şirketin muhtemel dolandırıcılık veya sahtecilik teşkil edebilecek eylemlerden haberdar olması,
Kullanılan uzaktan kimlik tespiti yöntemine ilişkin zayıflıkların ortaya çıkması

gibi durumlarda teknolojik gelişmeler ve uygulamada kazanılan deneyimler dikkate alınarak sürecin ayrıca gözden geçirilmesi sağlanacak ve gerekli güncellemeler yapılacaktır.

B-) Uzaktan Kimlik Tespitini Yapacak Müşteri Temsilcisi ve Çalışma Ortamı

Uzaktan kimlik tespitinin görüntülü görüşme aşaması, bu konuda eğitim almış müşteri temsilcisi tarafından gerçekleştirilecektir. Müşteri temsilcisinin, kimlik tespitinde kullanılabilecek belgelerin özelliklerini ve bu belgeler için uygulanan geçerli doğrulama yöntemlerini öğrenmesi ve dolandırıcılık veya sahtecilik teşkil edebilecek eylemlere, bu Yönetmelikte ve ilgili diğer mevzuatta yer alan yükümlülüklere ilişkin bilgi sahibi olması sağlanacaktır.

Müşteri temsilcisinin;

uzaktan kimlik tespiti sürecine ilişkin yılda en az bir defa ve her bir güncelleme sonrasında kişisel verilerin korunması mevzuatı da dâhil olmak üzere,
kişinin Şirket müşterisi olma veya Şirketin sunduğu hizmetlerden yararlanma isteğini kendi iradesiyle Şirketten talep ettiğine dair karar verebilmesi konusunda

eğitim alması sağlanacaktır.

Uzaktan kimlik tespiti sürecinde müşteri temsilcisinin, yaşanılabilecek güvenlik ihlallerinin engellenmesine yönelik gerekli tedbirlerin alındığı, erişimi sınırlandırılmış ayrı alanlarda çalışması sağlanacaktır. Bununla beraber, engelli kişilere hizmet verebilmek amacıyla en az bir müşteri temsilcisine de gerekli eğitimler verilecektir.

Dış hizmet alımıyla müşteri temsilcisi istihdam edilmesi durumunda ise söz konusu müşteri temsilcisinin Şirkete özel erişimi sınırlandırılmış ayrı bir alanda çalışması Bankacılık Düzenleme ve Denetleme Kurumu’nun iznine tabi olacaktır.

C-) Sürecin Başlatılması ile Uyulması Gereken Genel İlkeler

Yönetmeliğin 6.maddesine göre, müşteri ile görüntülü görüşme başlatılmadan önce, kişinin başvurusu uzaktan kimlik tespiti sürecinin işletildiği Şirket uygulaması üzerinden elektronik ortamda doldurulan bir form ile alınacak, alınan veriler kullanılarak kişi hakkında risk değerlendirmesi gerçekleştirilecektir. Risk değerlendirmesi sonucunda gerekli görülmesi durumunda, görüntülü görüşme başlatılmadan süreç sonlandırılabilecektir.

Yönetmelik kapsamında uygulanacak uzaktan kimlik tespiti sürecinde, kişinin uzaktan kimlik tespitinin yapılması amacıyla özel nitelikli kişisel verilerden sadece biyometrik verisi kullanılabilecektir. Bu doğrultuda kişinin buna dair açık rızası elektronik ortamda kayıt altına alınmalıdır.

Uzaktan kimlik tespitinin görüntülü görüşme aşaması gerçek zamanlı ve kesintisiz şekilde yapılacaktır. Müşteri temsilcisi ile kişi arasındaki görsel-işitsel iletişimin bütünlüğünün ve gizliliğinin yeterli seviyede olması sağlanacaktır. Bu nedenle yapılan görüntülü görüşme, uçtan uca güvenli iletişim ile gerçekleştirilecektir.

Gerçekleşen iletişimin görüntü ve ses kalitesinin, bu Yönetmelikte yer alan hükümler ve kontroller çerçevesinde şüpheye yer bırakmayacak ve kimlik tespitinde herhangi bir kısıtlamaya imkân vermeyecek şekilde tüm görüşme esnasında yeterli seviyede olması sağlanacaktır. Uzaktan kimlik tespiti sürecinde kişiye yalnızca yapılan kimlik tespiti işlemi için geçerli, merkezi olarak üretilen SMS OTP iletilecektir. İletilen SMS OTP’nin kişi tarafından çevrimiçi olarak uygulama ara yüzü üzerinden geri gönderilmesi sağlanacaktır. İlgili SMS OTP’nin sistemde başarılı şekilde onaylanmasıyla beraber kişinin cep telefonu numarası da doğrulanacaktır.

D-) Kullanılabilecek Kimlik Belgesi ve Doğrulanması

Yönetmeliğin 7. maddesi ile, uzaktan kimlik tespiti sürecinde beyaz ışık altında görsel olarak ayırt edilebilen güvenlik ögelerine, fotoğraf ve ıslak imzaya sahip olan bir kimlik belgesinin kullanılabileceği hüküm altına alınmıştır.

Kişinin kimlik bilgileri;

kullanılan kimlik belgesinin, belgeyi çıkaran yetkili makam tarafından verildiği ve belgenin temassız yongası üzerindeki bilgilerin değiştirilmediği,
kimlik belgesinin temassız yongası üzerindeki anahtarların kopyalanarak oluşturulmadığı,

kontrol edilerek “yakın alan iletişimi” doğrulaması yapılacaktır.

Doğrulamanın yakın alan iletişimi kullanılarak herhangi bir nedenle yapılamaması halinde, kimlik belgesinin sahip olduğu görsel güvenlik unsurlarından en az dört adedinin şekil ve içerik bakımından doğrulanması sağlanacaktır.

Sadece görsel güvenlik unsurlarının doğrulanması hallerinde Şirket ilave olarak kişi ile sürekli iş ilişkisi tesisi öncesinde risk temelli yaklaşım çerçevesinde ilgili mevzuatta geçen sıkılaştırılmış tedbirlerden bir veya birden fazlasını ya da tamamını uygulayacaktır. Yürütülen işlemlerde ispat yükümlülüğü Şirkete aittir.

Müşteri temsilcisi, kimlik doğrulama sürecinde, kişinin hareketlerinden alınan, kesilen ve büyütülen tekil görselleri kullanarak, beyaz ışık altında görsel olarak ayırt edilebilen tüm güvenlik ögeleri ile birlikte kimlik belgesinin doğru açıyla tam olarak kapsandığını ve kimlik belgesinin üzerindeki kısımlar arasındaki geçiş noktalarında tahrifatı ve sahteliği gösteren hiçbir yapaylık bulunmadığını kontrol edecektir.

E-) Kimliği Tespit Edilecek Kişinin Doğrulanması

Uzaktan kimlik tespitinin görüntülü görüşme aşamasında kişinin canlılığını tespit edici yöntemler kullanılacaktır. Bu sebeple, Şirket sahte yüz teknolojisine dair riskleri önlemeye yönelik ilave tedbirler almalıdır. Kişinin yüzü ile kimlik belgesinden yakın alan iletişimi kullanılarak alınabilmesi halinde temassız yongadaki fotoğrafın, alınamaması halinde ise kimlik belgesi üzerinde yer alan fotoğrafın biyometrik karşılaştırması müşteri temsilcisi tarafından gerçekleştirilecektir.

Müşteri temsilcisi, kimlik tespiti sürecinde kişi ile kuracağı diyalog ve yapacağı gözlemler neticesinde kimlik belgesindeki bilgilerin, görüşme esnasında kişi tarafından sağlanan bilgilerin ve belirtilen niyetin inandırıcı ve yeterli olduğu sonucuna varmalıdır. Bu kapsamda kimlik avına, sosyal mühendisliğe, başka bir tarafın zorlamasıyla baskı altında gerçekleşen hareketlere ve benzeri dolandırıcılık yöntemlerine ilişkin riskler göz önünde bulundurulacaktır.

Uzaktan kimlik tespitinin görüntülü görüşme aşamasının sonunda kişinin Şirket tarafından verilecek hizmetler hakkında bilgilendirilmesi ve Şirket müşterisi olacağını kabul ettiğine ilişkin sözlü onay alınması ile süreç tamamlanacaktır.

F-) Verilerin Kaydedilmesi ve Saklanması

Yönetmeliğin 10.maddesine göre, uzaktan kimlik tespiti sürecinin tamamı, sürecin tüm adımlarını içerecek ve denetlenebilir olmasını sağlayacak şekilde kayıt altına alınacak ve saklanacaktır. Bu kapsamda, bilgi ve belge saklama gerekliliklerine ilişkin ilgili mevzuat hükümleri saklı tutulmuştur.

G-) Uzaktan Kimlik Tespitinde Sorumluluk

Şirket, uzaktan kimlik tespiti için kullanılan çözümlerin kişiyi yanlış tespit riskini en aza indirecek şekilde kullanılmasını sağlamakla yükümlüdür. Bu doğrultuda Şirket, uzaktan kimlik tespiti ile kimlik tespiti yaptığı kişileri farklı bir risk profilinde izleyecek, bu kişilerce yapılan işlemin türüne ve tutarına bağlı olarak ilave güvenlik ve kontrol yöntemleri uygulayacaktır. Kişilere ya da üçüncü bir tarafa yükümlülük doğuran işlemlerde itiraz halinde ispat yükümlülüğü Şirkete ait olacaktır.

Bankacılık Düzenleme ve Denetleme Kurulu, Şirketin Bilgi Sistemleri Tebliği’nde ve bu Yönetmelikte yer alan hükümlere uyum durumunu, şikâyetler ile sahtecilik veya dolandırıcılık teşkil edebilecek eylemleri değerlendirilmesi neticesinde ve gerekli gördüğü diğer hallerde, Şirketin uzaktan kimlik tespiti kullanımını kısıtlamaya veya durdurmaya yetkili kılınmıştır.

IV-) Elektronik Ortamda Sözleşme İlişkisinin Kurulması

A-) Kimlik Doğrulama ve İşlem Güvenliği

Yönetmelik uyarınca; müşteri bilgilerinin görüntülenmesi gibi finansal sonuç veya yükümlülük doğurmayan işlemler hariç olmak üzere, elektronik ortamda sunulan hizmetler için şirketin müşterilerine birbirinden bağımsız en az iki bileşenden oluşan bir kimlik doğrulama mekanizması uygulanacak ve bu bileşenlerin kimlik doğrulama sürecinde kullanılmaları esnasında barındırdıkları kimlik doğrulama verilerinin gizliliğini sağlayacak önlemler alınacaktır.

Bu iki bileşen; müşterinin “bildiği”, “sahip olduğu” veya “biyometrik bir karakteristiği olan” unsur sınıflarından farklı ikisine ait olmak üzere seçilecektir. Bileşenlerin bağımsız olması, bir bileşenin ele geçirilmesinin diğer bileşenin güvenliğini tehlikeye atmamasını ifade etmektedir. Müşterinin sahip olduğu bileşenin müşteriye özgü olması ve taklit edilememesi gerekmektedir.

B-) Kimlik Tespitini Müteakip Sözleşme İlişkisinin Kurulması

Yönetmelikte belirtilen şartlar dâhilinde uzaktan kimlik tespitinin yapılması ya da müşteri kimliğinin yüz yüze tespit edilmesi sonrası;

Şirket ile müşteri arasında kurulacak sözleşmenin bütün şartlarının, müşterinin okuyabileceği şekilde internet veya mobil hizmet kanalları üzerinden müşteriye iletilmesi,
Müşterinin iletilen sözleşmenin kurulması için irade beyanını ortaya koyması,
Sözleşmenin müşteriye özgü şifreleme gizli anahtarı ile imzalanması

durumlarında müşteri ile Şirket arasında mesafeli bir şekilde yazılı şeklin yerine geçecek nitelikte bir sözleşme ilişkisi kurulmuş olacaktır.

Bununla beraber, müşteri ve Şirket arasında müşteriye sunulacak hizmetlere yönelik bir sözleşme ilişkisinin kurulabilmesi için, sözleşmeyi kuran irade beyanının müşteri tarafından uzaktan kimlik tespit işleminin görüntülü aşamasında belirtilmesi de yeterli olacaktır.

Finansal Kiralama, Faktoring, Finansman ve Tasarruf Finansman Şirketlerince Kullanılacak Uzaktan Kimlik Tespiti Yöntemlerine ve Elektronik Ortamda Sözleşme İlişkisinin Kurulmasına İlişkin Yönetmelik ile ilgili metne buradan ulaşabilirsiniz.