Türkiye Cumhuriyet Merkez Bankası (TCMB), 17 Mart 2026 tarihli basın duyurusuyla Ödeme Hizmetleri Veri Paylaşım Servisleri’nin (ÖHVPS) 2.0.0 sürümünün kullanıma sunulduğunu açıkladı. Hesap bilgisi hizmetine kart bilgi ve hareketleri eklendi; ödeme emri başlatma tarafında ileri tarihli ve düzenli ödeme emri başlatma devreye alındı. TCMB’ye göre altyapının 53 katılımcısı, 16,4 milyon kullanıcısı ve günlük ortalama 12,3 milyon işlem hacmi var. Bu altyapı üzerine ürün kuran bir fintech için asıl sorular ise hukuki: ürününüz düzenlenmiş iki hizmetten hangisini sunuyor, TCMB’den faaliyet izni gerekiyor mu, onay ve kimlik doğrulama nasıl kurgulanmalı ve bir ödeme hatalı gittiğinde zararı kim üstleniyor?
6493 sayılı Kanun’un 12. maddesindeki iki hizmet
7192 sayılı Kanun ile 2019’da yapılan değişiklikten bu yana 6493 sayılı Kanun’un 12. maddesinin birinci fıkrası, piyasada açık bankacılık olarak anılan iki hizmeti sayıyor:
- Ödeme emri başlatma hizmeti (f bendi): ödeme hizmeti kullanıcısının isteği üzerine, başka bir ödeme hizmeti sağlayıcısında bulunan ödeme hesabıyla ilgili sunulan hizmet.
- Hesap bilgisi hizmeti (g bendi): kullanıcının onayının alınması koşuluyla, ödeme hizmeti sağlayıcıları nezdindeki bir veya daha fazla ödeme hesabına ilişkin konsolide bilgilerin çevrim içi platformlarda sunulması.
TCMB, bu iki hizmeti ÖHVPS olarak adlandırıyor ve PSD2 ile uyumlu şekilde tanımlandığını belirtiyor. Ayrıntılar, 1 Aralık 2021 tarihli ve 31676 sayılı Resmî Gazete’de yayımlanan iki TCMB düzenlemesinde: Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik (“Yönetmelik”, özellikle 59-61. maddeler) ve Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğ (“Tebliğ”, 23-27. maddeler).
Yönetmeliğin 4. maddesinin on altıncı fıkrasına göre bir işlemin ödeme emri başlatma sayılması için gönderenin, hesabının bulunduğu kuruluş dışında bir ödeme hizmeti sağlayıcısı kullanması gerekiyor.
Kimler sunabilir, nasıl girilir?
Kanun’un 13. maddesine göre ödeme hizmetini yalnızca bankalar, elektronik para kuruluşları, ödeme kuruluşları ve PTT sunabilir. Banka dışı bir şirket için yol, (f) veya (g) bendini ya da her ikisini kapsayan bir TCMB faaliyet iznidir; izin makamı BDDK değil TCMB’dir. TCMB’nin Nisan 2023 tarihli rehberine göre üçüncü taraf rolündeki bankaların faaliyet izni almasına gerek yok, ancak aynı teknik sertifikasyonu tamamlamaları gerekiyor.
Yalnızca hesap bilgisi hizmeti sunacak kuruluş için rejim daha hafif: Kanun’un 14/A maddesinin birinci fıkrası pay senetlerinin nakit karşılığı çıkarılması, nama yazılı olması ve asgari sermaye şartlarını aramıyor; bunun yerine Yönetmeliğin 33. maddesinin dokuzuncu fıkrası, müşteri sayısıyla artan bir mesleki sorumluluk sigortası veya teminat öngörüyor. Genel başvuru sürecini ödeme ve elektronik para kuruluşu lisansı sayfamızda anlattık.
Açık bankacılık sürece teknik bir adım ekliyor. Yönetmeliğin 59. maddesinin üçüncü ve dördüncü fıkralarına göre TCMB’nin teknik ve operasyonel gerekliliklerine uyumu Bankalararası Kart Merkezi A.Ş. (BKM) değerlendiriyor; süreci tamamlayanlar BKM tarafından kayda alınıp internet sitesinde duyuruluyor ve TCMB izninin ardından yetkili ödeme hizmeti sağlayıcısı (YÖS) sayılıyor. BKM belgesi, 11. maddenin onuncu fıkrasının (c) bendi uyarınca nihai onay dosyasının parçası. TCMB rehberi ayrıca Yönetmeliğin 18. maddesi çerçevesinde temsilcilik modelini kabul ediyor; şartı, müşterilerin izinli kuruluşun müşterisi olması ve temsilcinin hizmeti kendi adına sunuyormuş izlenimi yaratmaması.
İzinsiz faaliyetin yaptırımı ağır: ödeme kuruluşu gibi izinsiz faaliyet gösterenlere bir yıldan üç yıla kadar hapis ve beş bin güne kadar adli para cezası öngörülüyor (Kanun m. 28).
Geçit: GEÇİT ve hesap hizmeti sağlayıcısının yükümlülükleri
Tebliğ, “BKM-API Geçidi”ni Yönetmeliğin 59. maddesinin beşinci fıkrası uyarınca BKM tarafından kurulacak yapı olarak tanımlıyor; TCMB’nin 2022 tarihli duyurusu ise altyapıyı “Açık Bankacılık Geçidi” (GEÇİT) olarak anıyor. Hesap hizmeti sağlayıcıları (HHS) servislerini bu geçit üzerinden sunuyor, YÖS’ler de tek bir entegrasyonla sisteme dahil oluyor. TCMB rehberine göre HHS ile YÖS birbiriyle sözleşme imzalamıyor, her ikisi BKM ile taahhütname imzalıyor. Yönetmeliğin 60 ve 61. maddelerinin dördüncü fıkraları da ücret dışında konuya özgü bir anlaşma şartı aramıyor; HHS’nin alacağı ücret maliyetle orantılı ve makul olmalı, TCMB bunlara üst sınır getirebilir veya hiç ücret alınmamasına karar verebilir (m. 59/7).
Tebliğin 24. maddesine göre HHS istekleri gecikmeksizin karşılamak, teknik değişiklikleri üç ay önceden bildirmek, test ortamı sağlamak, kendi çevrim içi kanalından farksız bir performans sunmak ve hizmetin amacı dışında akışlar veya pazarlama faaliyetleri gibi ek zorluklar çıkarmamakla yükümlü. 28 Mart 2025 tarihli Resmî Gazete’de yayımlanan değişiklikle Yönetmeliğin 59. maddesine eklenen dokuzuncu fıkra, bağlanma yükümlülüğünü FAST katılımcıları ile katılımcı olmayanlardan her yıl ödeme hacmine göre ilk ona girenlerle sınırladı. Tebliğin geçici 1. maddesi FAST katılımcılarına ve 2024 ödeme hacmine göre ilk ona giren katılımcı olmayan kuruluşlara 31 Aralık 2025’e kadar süre tanıdı.
Bankalar açısından BDDK’nın Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliği (15 Mart 2020 tarihli ve 31069 sayılı Resmî Gazete) de devrede. Yayımlandığı haliyle 3. maddenin birinci fıkrasının (a) bendi açık bankacılık servislerini, müşterilerin veya onlar adına hareket eden tarafların API, web servis, dosya transfer protokolü gibi yöntemlerle bankanın servislerine uzaktan eriştiği elektronik dağıtım kanalı olarak tanımlıyor. 41. madde, 34. maddedeki iki bileşenli kimlik doğrulama kuralından ancak uçtan uca güvenli iletişim, telafi edici ilave kontroller ve bağlantı kaynaklarına kısıtlama şartıyla ayrılmaya izin veriyor ve hizmetlerin usul ve esaslarını belirleme yetkisini Kurul’a bırakıyor.
Onay, kimlik doğrulama ve veri sınırları
İki kavramı karıştırmamak gerekiyor. Birincisi ödeme hizmetine ilişkin onay: Tebliğin 23. maddesinin yedinci fıkrasına göre her bilgi talebi ve her ödeme emri başlatma işlemi için ayrı onay veriliyor; hesap bilgisi hizmetinde ilgili hesaplar ve işlemler için onay sözleşmeyle de verilebiliyor. İkincisi 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) anlamında açık rıza. Yönetmeliğin 62. maddesinin beşinci fıkrası ve Tebliğin 9. maddesinin yedinci fıkrası, kişisel veri işleme faaliyetlerinde 6698 sayılı Kanun hükümlerinin öncelikle uygulanacağını söylüyor.
Güçlü kimlik doğrulamayı üçüncü taraf değil HHS uyguluyor (Tebliğ m. 26); ödeme emri başlatmada ayrıca işlem doğrulama koduyla müşterinin onayı alınıyor, istisnaları TCMB belirliyor. ÖHVPS API İlke ve Kuralları’nın ilk sürümü (Sürüm 1.0.0, Şubat 2022), HHS’nin asgari olarak tarayıcı tabanlı yönlendirmeli güçlü kimlik doğrulamayı desteklemesini zorunlu tutuyor.
Ödeme emri başlatma hizmeti sağlayıcısı (ÖBHS) gönderenin fonunu hiçbir zaman kendi nezdinde tutamaz, alıcıyı veya tutarı değiştiremez, hassas müşteri verilerini saklayamaz (Yönetmelik m. 60/3). Hesap bilgisi hizmeti sağlayıcısı (HBHS) yalnızca belirlenen hesaplara erişebilir ve hassas müşteri verisi talep edemez (m. 61/2). Bu hizmetlerle elde edilen veriler, müşterinin onayı olsa dahi müşteriden gelen bir talep veya talimat olmaksızın yurt içindeki ve yurt dışındaki üçüncü kişilerle paylaşılamaz (m. 62/4). Bilgi paylaşımına rıza, hizmet için ön şart haline getirilemez (Tebliğ m. 9/6).
İşler ters gittiğinde sorumluluk
ÖBHS aracılığıyla başlatılan yetkisiz bir işlemde müşteri düzeltmeyi hesabının bulunduğu kuruluştan ister; HHS tutarı derhal iade eder. Yetkisiz işlem ÖBHS’nin kusurundan veya sorumluluğundaki altyapıdaki bir hatadan kaynaklanıyorsa ÖBHS, zarar dahil HHS’nin katlandığı maliyetleri öder (Yönetmelik m. 54/7-8). İşlemin onaylandığını, doğru kaydedildiğini ve teknik bir arızadan etkilenmediğini ispat yükü, kontrol alanı ölçüsünde ÖBHS’dedir (m. 54/2). Gerçekleşmeyen veya hatalı gerçekleşen işlemlerde 71. madde aynı mantığı uygular.
BKM, geçit üzerinden gerçekleşen işlemlerin denetim izlerini beş yıl saklar ve taraflar arasındaki uyuşmazlıklarda bu kayıtlar geçerli olur (m. 59/6). Taraflar, ispat yükü taşıdıkları ölçüde oturumları 5070 sayılı Kanun’a dayalı zaman damgasıyla ayrıntılı kaydetmek zorunda (Tebliğ m. 25). HHS, hileli veya yetkisiz erişim gibi objektif ve ispat edilebilir gerekçelerle YÖS’ün erişimini engelleyebilir; ancak müşteriyi bilgilendirmesi ve durumu TCMB’ye bildirmesi gerekir (Yönetmelik m. 53/8-9).
Ürünüm faaliyet izni gerektiriyor mu?
Tablo TCMB’nin Nisan 2023 rehberine dayanıyor. TCMB nihai değerlendirmenin iş modeline göre yapılacağını vurguluyor; tabloyu bir ön eleme olarak okuyun, sonuç olarak değil.
| Ürün | Muhtemel değerlendirme |
|---|---|
| Kullanıcının farklı bankalardaki hesaplarını tek ekranda gösteren kişisel finans uygulaması | Hesap bilgisi hizmeti (g bendi). Kural olarak TCMB izni veya izinli bir kuruluşla temsilcilik ilişkisi gerekir. |
| Bankalarla kendisi protokol yapıp müşterilerinin hesap hareketlerini çeken muhasebe veya ERP aracı | TCMB bunu (g) bendi kapsamında görüyor; izin gerekir. |
| Şirketin bankayla doğrudan sözleşme yaptığı, aracın yalnızca veriyi işlediği veya lisanslı yazılım olarak çalıştığı model | TCMB, 12. maddenin ikinci fıkrasının (ğ) bendindeki teknik hizmet istisnası kapsamında (f) ve (g) bentleri dışında değerlendiriyor. |
| Ödeme sayfasında, gönderenin banka hesabından transfer başlatan “hesaptan öde” çözümü | Ödeme emri başlatma (f bendi). Ödemeyi başlatan kuruluşun TCMB izni ya da izinli bir kuruluşla temsilcilik ilişkisi gerekir. |
| Başka bankaların kartlarını saklayıp işyerlerine ödeme yaptıran dijital cüzdan | TCMB rehberi bu akışı sanal POS hizmetine ek olarak ödeme emri başlatma sayıyor; işlem GEÇİT dışında yürüyor. |
| Grup şirketlerinin hesaplarına tek bir holding IP’si üzerinden erişen grup hazinesi | ÖHVPS kapsamında, ancak TCMB 12. maddenin ikinci fıkrasının (j) bendindeki grup içi istisnaya işaret ediyor. |
AB ile karşılaştırma: bugün PSD2, yarın PSR
PSD2 (2015/2366 sayılı Direktif), hesap çevrim içi erişilebilir olduğunda kullanıcıya ödeme emri başlatma ve hesap bilgisi hizmeti sağlayıcılarını kullanma hakkı tanıyor (m. 66, 67) ve çevrim içi hesap erişimi ile elektronik ödeme başlatmada güçlü kimlik doğrulama istiyor (m. 97). PSD2’de erişimi her hesap hizmeti sağlayıcısı kendisi sağlıyor; Türkiye ise standart trafiği tek bir geçitten geçiriyor. Her iki sistem de yalnızca hesap bilgisi hizmeti sunanlara daha hafif bir rejim uyguluyor (PSD2 m. 33).
Konsey’in 2 Ekim 2026 tarihli durum notu, Parlamento ile 27 Kasım 2025’te geçici uzlaşıya varıldığını ve metinlerin 22 Nisan 2026’da COREPER tarafından teyit edildiğini gösteriyor. 8 Ekim 2026 itibarıyla resmi kabul ve AB Resmî Gazetesi’nde (Official Journal) yayım henüz gerçekleşmemişti; dolayısıyla PSD3 ve PSR henüz uygulanmıyor. 17 Nisan 2026 tarihli Ödeme Hizmetleri Tüzüğü (PSR) uzlaşı metninde (madde numaraları değişebilir) 35. madde çevrim içi hesaplar için özel bir arayüz zorunluluğu getiriyor; 43. madde ise HHS’lerin kullanıcılara verdikleri rızaları izleyip yönetebilecekleri bir panel sunmasını istiyor. İki rejimdeki gelişmeleri fintech hukuku merkezimizde takip ediyoruz.
Nereden başlamalı?
- Ürünün her akışını (f) ve (g) bentlerine göre haritalayın; istisnaya dayandığınız akışların gerekçesini yazılı tutun.
- Yolu seçin: kendi TCMB izniniz, mevcut izninizin genişletilmesi ya da izinli bir kuruluşla temsilcilik.
- BKM teknik sertifikasyonu ve Tebliğ kapsamındaki bilgi sistemleri bağımsız denetimi için zaman ve bütçe ayırın.
- Ödeme hizmetine ilişkin onay ile KVKK açık rızasını ayrı tutun; ikisini tek kutucukta birleştirmeyin.
- Onay süresi dolduğunda veya müşteri ilişkisi sona erdiğinde verinin akıbetini belirleyen saklama kuralları koyun.
- 54 ve 71. maddeler kapsamındaki ispat yükünü taşıyabilecek bir kayıt altyapısı kurun.
PSD2 lisanslı yabancı bir kuruluş GEÇİT üzerinden Türk kullanıcılara hizmet verebilir mi?
AB lisansıyla hayır. Yönetmeliğin 4. maddesinin ikinci fıkrası ödeme hizmetlerini TCMB, bankalar, TCMB’den faaliyet izni almış Türkiye’de kurulu kuruluşlar ve PTT ile sınırlıyor. Türkiye’de izinli bir şirket ya da izinli bir kuruluş etrafında kurulmuş bir yapı gerekiyor.
Kullanıcının internet bankacılığı şifresiyle ekran kazıma bir alternatif mi?
Güvenli bir alternatif değil. Geçide bağlanma yükümlülüğü bulunan HHS’ler, yetkili olmayan kişilerin bu hizmetleri sunmak amacıyla ödeme hesaplarına erişmesini engellemek için önlem almak zorunda (Yönetmelik m. 59/5); izinsiz hizmet sunmak da suç teşkil ediyor.
Onay süresi dolduktan sonra hesap verilerini saklayabilir miyiz?
TCMB rehberine göre ancak müşterinin onayıyla. Müşteri ilişkisi sona erdiğinde, saklanması zorunlu denetim izleri dışındaki veriler silinmeli. KVKK’nın silme ve imha yükümlülükleri de ayrıca uygulanır.
Kaynak. 6493 sayılı Kanun (RG 27.6.2013/28690), m. 12, 13, 14/A, 28; Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik (RG 1.12.2021/31676, RG 28.3.2025/32855 dahil değişiklikleriyle), m. 4, 11, 18, 33, 53, 54, 59-62, 71; Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğ (RG 1.12.2021/31676, değişiklikleriyle), m. 3, 9, 23-27, geçici m. 1; TCMB Ödeme Hizmetlerinde Veri Paylaşım Servislerine İlişkin Rehber (30 Nisan 2023); ÖHVPS API İlke ve Kuralları Sürüm 1.0.0 (Şubat 2022); TCMB basın duyuruları 2022-48 ve 2026-13; Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik (RG 15.3.2020/31069), m. 3, 34, 41; 2015/2366 sayılı AB Direktifi (PSD2) (OJ L 337, 23.12.2015), m. 33, 66, 67, 97; AB Konseyi belgeleri 8221/26 (PSR), 8222/26 (PSD3) ve 13589/26.
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki tavsiye niteliği taşımaz; somut durum için hukuki destek alınmalıdır.
