Kimlik doğrulama, kimlik fotoğrafı çekmekten çipe, canlılık testine ve AB’de devlet destekli bir dijital kimlik cüzdanına geçiyor. Türkiye Cumhuriyet Merkez Bankası (TCMB), 4 Eylül 2026’da ödeme ve elektronik para kuruluşlarının uzaktan kimlik tespiti kurallarına biyometrik yöntemleri ve elektronik kimlik doğrulama kabiliyetini haiz kimlik belgelerini ekledi. AB’de ise her üye devlet, hesabımıza göre 24 Aralık 2026’ya kadar (Komisyonun ifadesiyle “2026 sonuna kadar”) bir Avrupa Dijital Kimlik Cüzdanı sunmak zorunda; bankacılık ve finansal hizmetler dahil güçlü kullanıcı doğrulaması kullanmak zorunda olan özel şirketler ise cüzdanı bir yıl sonra, talep halinde kabul etmek zorunda. Hem Türk hem AB müşterisi kazanan fintech’ler iki kural setini yan yana işletecek. Bu yazı Ekim 2026 itibarıyla iki tarafı birlikte ele alıyor.
Trend tek paragrafta
Müşteriler kim olduklarını artık devletin zaten doğruladığı bir unsurla kanıtlıyor. Türkiye’de bu, telefonla okunan ve canlı yüzle eşleştirilen kimlik kartı veya pasaport çipi. AB’de ise yalnızca istenen nitelikleri paylaşan, devlet destekli bir cüzdan uygulaması olacak. İki yol da müşteriyi kabul eden şirketin aklama ve kişisel verilerin korunması yükümlülüklerini ortadan kaldırmıyor.
AB: eIDAS 2 ne istiyor, ne zaman?
eIDAS 2 (910/2014 sayılı Tüzüğü değiştiren (AB) 2024/1183 sayılı Tüzük) açısından temel hükümler şöyle:
- Herkese cüzdan (md. 5a/1). Her üye devlet, 5a(23) ve 5c(6) maddelerinde öngörülen uygulama işlemlerinin yürürlüğe girdiği tarihten itibaren 24 ay içinde en az bir Avrupa Dijital Kimlik Cüzdanı sağlamakla yükümlü. Bu uygulama işlemlerinin tamamı (5a(23). madde uyarınca (AB) 2024/2977, 2024/2979, 2024/2980 ve 2024/2982; 5c(6). madde uyarınca 2024/2981 sayılı Uygulama Tüzükleri) 4 Aralık 2024’te yayımlandı ve yayımı izleyen yirminci gün, yani 24 Aralık 2024’te yürürlüğe girdi. Hesabımıza göre cüzdan için son tarih bu nedenle 24 Aralık 2026; Komisyon bunu “2026 sonuna kadar” diye ifade ediyor. Güvenen tarafların kaydına ilişkin (AB) 2025/848 sayılı Uygulama Tüzüğü de aynı tarihte, 24 Aralık 2026’da uygulanmaya başlayacak. (AB) 2026/1731 sayılı Uygulama Tüzüğü (ABRG 22.7.2026) bu işlemlerden dördündeki teknik standartları güncelledi ve cüzdan kullanıcısının portre görüntüsünün zorunlu kimlik verileri arasına alınması gibi bazı özellikleri 11 Ağustos 2028’e erteledi; bu değişikliğin son tarihleri kaydırdığı görüşünde değiliz.
- Bireylere ücretsiz, yüksek güvence seviyesi (md. 5a/11 ve 13). Cüzdanlar yüksek güvence seviyesindeki bir elektronik kimlik şeması altında sunuluyor; cüzdanın verilmesi, kullanılması ve iptali gerçek kişiler için ücretsiz.
- Güvenen taraflar kayıt olur (md. 5b/1). Cüzdana dayanmak isteyen güvenen taraf, yerleşik olduğu üye devlette kayıt olmak zorunda.
- Özel sektörde kabul yükümlülüğü (md. 5f/2). AB hukuku, ulusal hukuk veya sözleşme gereği çevrim içi kimlik tespitinde güçlü kullanıcı doğrulaması kullanmak zorunda olan özel güvenen taraflar (bankacılık ve finansal hizmetler açıkça sayılıyor), aynı uygulama işlemlerinin yürürlüğünden itibaren en geç 36 ay içinde, yalnızca kullanıcının gönüllü talebi üzerine cüzdanı kabul etmek zorunda. Mikro ve küçük işletmeler kapsam dışı. Aynı hesapla bu tarih 24 Aralık 2027.
- Çok büyük çevrim içi platformlar (md. 5f/3) da kullanıcı doğrulamasında, kullanıcının gönüllü talebi üzerine ve gerekli asgari veriyle sınırlı olarak cüzdanı kabul etmek zorunda.
AB aklama mevzuatı: cüzdan bir müşteri tanıma aracına dönüşüyor
Yeni AB Aklamayla Mücadele Tüzüğü ((AB) 2024/1624, “AMLR”) 10 Temmuz 2027’den itibaren uygulanacak. 22(6). madde, yükümlülerin müşteri kimliğini bir kimlik belgesiyle ya da 910/2014 sayılı Tüzüğün “önemli” veya “yüksek” güvence seviyesi şartlarını karşılayan elektronik kimlik araçları ve ilgili nitelikli güven hizmetleriyle doğrulamasına imkân veriyor. 66 numaralı gerekçe, bu tür elektronik kimliğin yükümlülerce dikkate alınması ve kabul edilmesi gerektiğini söylüyor. 28. madde uyarınca AB Aklamayla Mücadele Otoritesi (AMLA), bu araçların taşıması gereken nitelikleri belirleyecek düzenleyici teknik standart taslaklarını 10 Temmuz 2026’ya kadar Komisyona sunacaktı.
Türkiye: dört kural seti, tek müşteri yolculuğu
Türkiye’de uzaktan kimlik tespiti sektörel olarak düzenleniyor; hangi kurala tabi olduğunuz lisansınıza göre değişiyor.
Bankalar. BDDK’nın Bankalarca Kullanılacak Uzaktan Kimlik Tespiti Yöntemlerine ve Elektronik Ortamda Sözleşme İlişkisinin Kurulmasına İlişkin Yönetmeliği (RG 1.4.2021, 31441; yürürlük 1.5.2021), eğitimli müşteri temsilcisiyle gerçek zamanlı görüntülü görüşmeyi esas alıyor (md. 4 ve 5). Kimlik kartı yongasındaki bilgiler yakın alan iletişimiyle (NFC) doğrulanıyor (md. 7/2); bu yapılamazsa en az dört görsel güvenlik unsuru doğrulanıyor ve ilk finansal hareketin kişinin başka bir bankadaki kendi hesabından yapılması zorunlu tutuluyor (md. 7/3). Canlılık tespiti ve biyometrik yüz karşılaştırması şart (md. 8). Özel nitelikli verilerden yalnızca biyometrik veri kullanılabiliyor ve açık rıza elektronik ortamda kayda alınıyor (md. 6/2); müşteriye veya üçüncü bir tarafa yükümlülük doğuran işlemlerde itiraz halinde ispat yükü bankada (md. 11/1). 2023 değişikliği süreci tüzel kişilere genişletti (md. 7/A-7/C) ve yapay zekâ temelli yöntemlere ilişkin usul ve esasları belirleme yetkisini Kurula verdi (Ek Madde 1).
Ödeme ve elektronik para kuruluşları. Lisans ve denetim makamı TCMB. 4.9.2026 tarihli ve 33360 sayılı Resmî Gazete’de yayımlanan değişiklik, Ödeme Hizmetleri Yönetmeliğinin 41. maddesinin dördüncü fıkrasına “biyometrik yöntemlerle veya elektronik kimlik doğrulama kabiliyetini haiz kimlik belgeleriyle” ibaresini ekledi. Aynı gün yayımlanan tebliğ değişikliği, bilgi sistemleri tebliğinin 22. maddesinde NFC ile doğrulamayı esas yol yaptı ve Türk uyruklu olmayanlar için pasaport yolunu açtı (md. 22/16). Ayrıntıları TCMB’nin biyometrik uzaktan kimlik tespiti düzenlemesi yazımızda ele aldık.
MASAK (aklama katmanı). MASAK Genel Tebliği (Sıra No: 19) (RG 30.4.2021, 31470) uzaktan kimlik tespitinin aklama mevzuatı açısından esaslarını düzenliyor. Bankalar BDDK yönetmeliğine (md. 5), ödeme ve elektronik para kuruluşları ise TCMB tebliğine (2023’te eklenen md. 5/C) tabi. 27 Haziran 2026’dan beri 4/C maddesi (Sıra No: 32), Türk uyruklu olmayan gerçek kişilerin ICAO 9303 standardına uygun, NFC özellikli pasaportla uzaktan tespitine sıkı şartlarla izin veriyor: eğitimli personelle görüntülü görüşme (canlılık testi veya fotoğraf karşılaştırması için şartları sağlayan yapay zekâ uygulamaları kullanılabilir), zorunlu çip doğrulaması, en geç üç ay içinde adres teyidi ve teyitten önce para transferi ile nakit çekim yasağı, müşteri adına bir banka hesabından ya da kartından doğrulama transferi, yüksek risk grubunda izleme, müşteri kabulüne başlanmasından itibaren bir ay içinde Başkanlığa bildirim ve üç aylık istatistik. Yükümlünün riskli olarak belirlediği ülkelerin vatandaşları bu yolla müşteri olarak kabul edilemiyor.
e-Devlet ve e-imza. e-Devlet girişinde diğer yöntemlerin yanında mobil imza, elektronik imza ve T.C. Kimlik Kartı kullanılabiliyor. 5070 sayılı Elektronik İmza Kanunu uyarınca güvenli elektronik imza, elle atılan imza ile aynı hukuki sonucu doğuruyor (md. 5); ancak kanunların resmî şekle veya özel bir merasime tabi tuttuğu hukuki işlemler ile banka teminat mektupları ve Türkiye’de yerleşik sigorta şirketlerinin düzenlediği kefalet senetleri dışındaki teminat sözleşmeleri güvenli elektronik imzayla yapılamıyor. Ekim 2026 itibarıyla, Resmî Gazete’de yayımlanmış ve özel şirketlerin dayanmasını zorunlu kılan veya açıkça izin veren resmî bir Türk dijital kimlik cüzdanı tespit etmedik.
Biyometri: iki tarafta da özel nitelikli veri
6698 sayılı KVKK’nın 6(1). maddesine göre biyometrik ve genetik veriler özel nitelikli kişisel veri. 7499 sayılı Kanunla değişen 6(3). madde, 1 Haziran 2024’ten beri bu verilerin işlenmesini yasaklıyor ve yalnızca sayılan hallerde (ör. açık rıza, kanunlarda açıkça öngörülme, bir hakkın tesisi, kullanılması veya korunması için zorunluluk) izin veriyor. BDDK yönetmeliği biyometrik adım için hâlâ açık rıza arıyor. GDPR’ın 9(1). maddesi ise “bir gerçek kişiyi benzersiz şekilde tanımlamak amacıyla” işlenen biyometrik veriyi kapsıyor; özçekimin çipteki fotoğrafla eşleştirilmesi tam olarak budur. GDPR 3(2)(a) maddesi, AB’deki kişilere hizmet sunan Türk şirketini de kapsama alıyor.
AB cüzdanı ve Türk e-KYC yolları karşılaştırması
| Konu | Avrupa Dijital Kimlik Cüzdanı | Türkiye’de uzaktan kimlik tespiti |
|---|---|---|
| Hukuki dayanak | eIDAS 2 (2024/1183), md. 5a-5f; 10 Temmuz 2027’den itibaren AMLR md. 22(6)(b) | BDDK yönetmeliği (bankalar); TCMB Yönetmeliği md. 41/4 ve tebliğ md. 22 (ödeme/e-para); MASAK Tebliği (Sıra No: 19) |
| Kimliğe kim kefil | Üye devletçe doğrudan, onun yetkisiyle veya onun tanımasıyla sağlanan cüzdan, yüksek güvence seviyesi | Kimlik kartı veya pasaport çipi aracılığıyla düzenleyen devlet; kontrolü şirket yapar |
| İnsan katılımı | eIDAS görüntülü görüşme şartı koymuyor | Eğitimli personelle görüntülü görüşme; yapay zekâ desteği yalnızca kuralların izin verdiği ölçüde |
| Biyometri | Cüzdan ekosistemi içinde; GDPR md. 9 | Canlılık ve yüz eşleştirmesini şirket yapar; KVKK md. 6 |
| Yabancı müşteri | AB içinde sınır ötesi kullanım için tasarlandı | Türk uyruklu olmayanlar: MASAK md. 4/C kapsamında NFC’li pasaport, yüksek risk rejimi |
| Şirketin yükümlülüğü | Yerleşik olunan üye devlette kayıt; güçlü kullanıcı doğrulaması kullanmak zorunda olan özel güvenen taraflar hesabımıza göre 24 Aralık 2027’ye kadar talep halinde kabul | İsteğe bağlı yol; kullanılırsa tüm şartlar karşılanır ve süreç kayda alınır |
| Kullanıcıya maliyet | Gerçek kişilere ücretsiz | İncelediğimiz kurallarda düzenlenmemiş |
Belirsiz kalan noktalar
Birincisi kapsam: 5f(2). madde AB çerçevesindeki özel güvenen taraflardan söz ediyor ve kayıt, yerleşik olunan üye devlete bağlanmış. 5b. maddede ve 2025/848 sayılı Uygulama Tüzüğünde AB dışında yerleşik bir güvenen taraf için bir yol bulamadık. Bizim okumamıza göre kabul yükümlülüğü, mikro veya küçük işletme olmayan AB lisanslı grup şirketini bağlar; Türk ana şirketi değil. İkincisi ters yön: incelediğimiz Türk düzenlemelerinden hiçbiri AB cüzdanını kabul edilen bir uzaktan kimlik tespiti aracı olarak saymıyor. Türk lisanslı bir şirket için cüzdan sunumu, NFC’li pasaport ve görüntülü görüşme yolunun yerini tutmuyor.
Nereden başlamalı?
- Müşterileri uyruk ve belgeye göre ayırın ve her grubu tabi olduğu kurala eşleyin (BDDK, TCMB veya MASAK md. 4/C).
- Yabancıları uzaktan kabul edecekseniz 4/C kontrollerini kurun: riskli ülke listesi, adres teyidi, doğrulama transferi, MASAK bildirimi ve üç aylık raporlama.
- Yüz eşleştirmesini özel nitelikli veri işleme olarak ele alın: dayandığınız KVKK 6(3) şartını (AB kullanıcıları için GDPR md. 9) belgeleyin, sektör kuralı istiyorsa açık rızayı alın.
- AB’de bir şirketiniz varsa veya planlıyorsanız cüzdan kabulü ve güvenen taraf kaydı için bütçe ayırın; müşteri tanıma sürecini 10 Temmuz 2027’den itibaren AMLR md. 22(6)’ya göre tasarlayın.
- Kimlik katmanını değiştirilebilir modüller (NFC okuma, canlılık, cüzdan sunumu) ve ülke bazlı kurallarla kurun.
- Genel tablo için fintech hukuku sayfamıza göz atın.
Türk bir fintech, AB Dijital Kimlik Cüzdanı ile müşteri kabul edebilir mi?
Ekim 2026 itibarıyla Türk kuralları açısından tek başına bir yol olarak hayır. İncelediğimiz Türk düzenlemeleri NFC çip kontrolü, canlılık ve görüntülü görüşmeyi tarif ediyor ve hiçbiri AB cüzdanını saymıyor. Grubunuzdaki AB lisanslı bir şirket ise AMLR’nin uygulanacağı 10 Temmuz 2027’den itibaren AB müşterileri için cüzdanı müşteri tanıma sürecinde kullanabilir.
Türk bir ödeme kuruluşu AB cüzdanını kabul etmek zorunda kalacak mı?
eIDAS 2’nin 5f(2). maddesi, bankacılık ve finansal hizmetler dahil güçlü kullanıcı doğrulaması kullanmak zorunda olan özel güvenen tarafların cüzdanı talep halinde kabul etmesini, hesabımıza göre 24 Aralık 2027’ye kadar şart koşuyor. Bizim okumamıza göre bu yükümlülük, mikro veya küçük işletme olmayan AB’de yerleşik şirketleri kapsıyor; AB’de yerleşik olmayan bir Türk şirketini değil.
Özçekim eşleştirmesi KVKK’ya göre biyometrik veri midir?
Evet. 6698 sayılı Kanunun 6(1). maddesi biyometrik veriyi özel nitelikli veri sayıyor; 7499 sayılı Kanunla değişen ve 1 Haziran 2024’te yürürlüğe giren 6(3). madde de işlemeye yalnızca sayılan hallerde izin veriyor. AB kullanıcıları için GDPR 9(1). madde, kişiyi benzersiz şekilde tanımlamak için kullanılan biyometrik veriyi kapsıyor.
Kaynak. (AB) 2024/1183 sayılı Tüzük (eIDAS 2), md. 5a, 5b, 5f, OJ L, 30.4.2024; (AB) 2024/2977, 2024/2979, 2024/2980, 2024/2981 ve 2024/2982 sayılı Uygulama Tüzükleri, OJ L, 4.12.2024; (AB) 2026/1731 sayılı Uygulama Tüzüğü, OJ L, 22.7.2026; (AB) 2025/848 sayılı Uygulama Tüzüğü, OJ L, 7.5.2025; (AB) 2024/1624 sayılı Tüzük (AMLR), md. 22, 28, gerekçe 66, OJ L, 19.6.2024; (AB) 2016/679 sayılı Tüzük (GDPR), md. 3(2), 9(1); BDDK Uzaktan Kimlik Tespiti Yönetmeliği, RG 1.4.2021/31441, değişiklikler RG 6.4.2022/31801 ve RG 25.5.2023/32201; TCMB Ödeme Hizmetleri Yönetmeliği değişikliği ve tebliğ değişikliği, RG 4.9.2026/33360; MASAK Genel Tebliği (Sıra No: 19), RG 30.4.2021/31470, değişiklikler Sıra No: 25 (RG 4.11.2023/32359) ve Sıra No: 32 (RG 27.6.2026/33293); 6698 sayılı Kanun, md. 6, 7499 sayılı Kanunla değişik (RG 12.3.2024/32487); 5070 sayılı Elektronik İmza Kanunu, md. 4 ve 5 (RG 23.1.2004/25355).
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki tavsiye niteliği taşımaz; somut durum için hukuki destek alınmalıdır.
Yazar
Daha fazla Vircon İçgörüleri
Stablecoin, Tokenize Mevduat ve Toptan Dijital Para: Türk Şirketleri İçin Hukuki Durum (Ekim 2026)
21 Ekim 2026Türkiye'de Açık Bankacılık: Fintech'ler İçin Pratik Hukuki Rehber (2026)
18 Ekim 2026TCMB Biyometrik Uzaktan Kimlik Doğrulamayı Ödeme Hizmetleri Yönetmeliğine Yazdı: Ödeme ve E-Para Kuruluşları Neyi Değiştirmeli? (RG 4.9.2026)
16 Ekim 2026İklim Fintech'i: SKDM (CBAM), Türkiye ETS, Karbon Kredisi ve ESG Verisi
22 Ekim 2026Türkiye'de Uygulama İçi Satın Alma ve İade: Dijital İçerik İstisnası, Ön Bilgilendirme ve Elmas Satın Alan Çocuk
21 Ekim 2026MASAK'ın Hawala ve Kiralık Hesap Rehberleri: Ödeme, E-Para ve Kripto Şirketleri Ne Yapmalı? (Ekim 2026)
20 Ekim 2026İlgili Hizmet Alanlarımız
Gizlilik ve Siber Güvenlik
KVKK ve GDPR uyumu, veri ihlali yönetimi, siber güvenlik.
Hizmet sayfası →ABD Şirket Kuruluşları ve Flip-Up
Delaware C-Corp, flip-up, SAFE/convertible note, 83(b) seçimi.
Hizmet sayfası →Birleşme ve Devralmalar
M&A danışmanlığı: due diligence, yapılandırma, dokümantasyon, müzakere.
Hizmet sayfası →