İnternette ürün satan bir müşteriye “alıcı” bir link gönderiyor. Müşteri, bankasının sitesinin aynısı görünen bir sayfaya girip internet bankacılığı bilgilerini yazıyor ve hesabından yaklaşık 700 avro çıkıyor. Ertesi gün bankaya bildiriyor. Banka iadeyi reddediyor: şifresini kendisi kaptırdı, ağır ihmal var. Avrupa Birliği Adalet Divanı 15 Ekim 2026’da bankanın sırayı yanlış kurduğuna karar verdi. AB Ödeme Hizmetleri Direktifi’ne (PSD2) göre banka önce iade eder, ihmal tartışmasını sonra yapar (C-70/25). Bu yazı kararı ve Türk hukukundaki karşılığını anlatıyor; Türkiye’de kural, sağlayıcıya iadeyi erteleme konusunda daha geniş bir alan bırakıyor.
Divan ne dedi?
Başvuru bir Polonya mahkemesinden geldi. Olay, çevrim içi pazaryerlerinde sık görülen oltalama (phishing) kalıbı: sahte alıcı, sahte platform sayfası, bankanın taklit sitesi, girilen şifreler, dolandırıcının hesabına giden yaklaşık 700 avro ve ertesi gün bankaya yapılan bildirim (Divan basın bülteni; LTO haberi). Banka iadeyi ağır ihmal gerekçesiyle reddetti. Divan’ın tespitleri:
- Önce iade. Müşteri yetkisiz işlemi gecikmeksizin bildirdiyse sağlayıcı tutarı derhal, en geç bir sonraki iş gününün sonuna kadar iade etmelidir (PSD2 m. 73/1).
- Ağır ihmal iddiası, iadeyi reddetmenin veya geciktirmenin gerekçesi olamaz. Madde 73/1’deki tek istisna, sağlayıcının müşterinin hilesinden şüphelenmek için makul gerekçeleri bulunması ve bu gerekçeleri yazılı olarak yetkili ulusal otoriteye bildirmesidir.
- Zarar sonra paylaştırılır. Sağlayıcı, zararın müşterinin yükümlülüklerini, özellikle kişisel güvenlik bilgilerini koruma yükümlülüğünü kasten veya ağır ihmalle ihlal etmesinden doğduğunu ispat ederse tutarı sonradan geri isteyebilir (m. 69 ve 74/1). İspat yükü sağlayıcıdadır.
Divan’ın gerekçesi pratik: bankalar yalnızca ağır ihmal iddiasıyla iadeyi tutabilseydi derhal iade kuralı anlamını yitirir, müşteri parasını geri almak için dava açmak zorunda kalırdı. Karar, taklit sitede şifre girmenin ağır ihmal olup olmadığına hükmetmiyor. Bu soru, ispat yükünün bankada olduğu sonraki aşamaya bırakılıyor.
Kararın dayandığı PSD2 kuralları
| Kural | PSD2 |
|---|---|
| Müşteri güvenlik bilgilerini korur, kayıp veya kötüye kullanımı gecikmeksizin bildirir | m. 69 |
| Sağlayıcı kimlik doğrulamayı, doğru kaydı ve teknik arıza olmadığını ispat eder; kayıtlı kullanım tek başına yetkilendirmenin veya ağır ihmalin ispatı sayılmayabilir | m. 72 |
| Derhal, en geç ertesi iş günü sonuna kadar iade; istisna yalnızca otoriteye yazılı bildirilen makul hile şüphesi | m. 73/1 |
| Kayıp, çalıntı veya kötüye kullanılan araçta müşteri en fazla 50 avro; hile, kast veya ağır ihmalde zararın tamamı | m. 74/1 |
| Sağlayıcı güçlü müşteri doğrulaması istemediyse, hile dışında müşteri zarara katlanmaz | m. 74/2 |
Genel çerçeve için PSD2 sözlük maddemize bakabilirsiniz.
Türk hukukunda kural: iade var, ama araştırma payıyla
Ödeme hizmetlerinde sorumluluk kuralları, 6493 sayılı Kanun’a dayanan Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik’te (TCMB) yer alıyor. Kurallar ödeme hizmeti sağlayıcılarına uygulanıyor; bu kavram bankaları, ödeme kuruluşlarını, elektronik para kuruluşlarını ve PTT’yi kapsıyor (6493 s. Kanun m. 13). Yapı PSD2’yi izliyor, ancak bir cümle önemli bir fark yaratıyor:
- Müşteri gecikmeksizin ve her hâlükârda on üç ay içinde bildirimde bulunmalıdır (Yönetmelik m. 54/1).
- Müşteri işlemi yetkilendirmediğini ileri sürerse, işlemin onaylandığını, doğru kaydedildiğini ve teknik bir arızadan etkilenmediğini ispat yükü sağlayıcıdadır (m. 54/2).
- İşlemin yetkilendirilmeden gerçekleştiği ispatlanınca sağlayıcı tutarı derhâl iade eder. Ancak hileli kullanıma ya da güvenlik yükümlülüklerinin kasten veya ağır ihmalle ihlaline dair kuvvetli şüphe varsa, iadeden önce makul bir süre araştırma yapabilir (m. 54/3).
- Kayıp veya çalıntı ödeme aracı ya da gereği gibi korunmayan güvenlik bilgileri nedeniyle müşteri, bildirimden önceki yirmi dört saatteki zararın en fazla 250 TL’sinden sorumludur; bildirimden sonrası için sorumlu değildir (m. 54/4). Hile ya da 53 üncü maddedeki yükümlülüklerin kasten veya ağır ihmalle ihlali hâlinde bu sınır uygulanmaz (m. 54/5).
- Sağlayıcı TCMB düzenlemelerinin gerektirdiği kimlik doğrulamayı istemediyse, 54/5 hâlleri dışında müşteri bu zarardan sorumlu tutulamaz (m. 54/9).
| Soru | AB (PSD2, C-70/25 yorumuyla) | Türkiye (TCMB Yönetmeliği) |
|---|---|---|
| İade ne zaman yapılır? | Derhal, en geç ertesi iş günü sonuna kadar | İşlemin yetkisiz olduğu ispatlanınca derhal |
| Ağır ihmal şüphesi iadeyi geciktirebilir mi? | Hayır | Evet: kuvvetli şüphe varsa önce makul süre araştırma yapılabilir |
| Hile şüphesi istisnası | Yalnızca gerekçelerin ulusal otoriteye yazılı bildirilmesiyle | Otoriteye bildirim şartı yok |
| Bildirimden önceki kötüye kullanımda müşteri sınırı | 50 avro | 250 TL (bildirimden önceki 24 saat) |
| Ağır ihmali kim ispat eder? | Sağlayıcı | Yetkilendirmenin ispatı sağlayıcıda; sınır yalnızca hile, kast veya ağır ihmalde kalkar |
Buradan iki sonuç çıkıyor. Birincisi, Türk metni sağlayıcıya AB’de Divan’ın artık kapattığı meşru bir bekleme payı tanıyor. İkincisi, bu pay dar: kuvvetli bir şüphe ve makul bir süre gerektiriyor. Kanaatimizce, her oltalama başvurusunu “şifrenizi paylaştınız” diyerek reddeden standart bir yazı 54/3 anlamında araştırma sayılmaz. Sağlayıcı ayrıca şikâyete 20 gün içinde gerekçeli cevap vermek zorunda (Yönetmelik m. 74/1).
Kartlar ayrı bir yoldan gider
6493 sayılı Kanun, 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu’nun düzenlediği hususlarda uygulanmaz (6493 s. Kanun m. 24/1). Dolandırıcı internet bankacılığı bilgileri yerine kart bilgilerini kullandıysa uyuşmazlık 5464 sayılı Kanun’a taşınır. Kart hamili, bildirimden önceki yirmi dört saatteki hukuka aykırı kullanımdan en fazla 150 TL ile sorumludur; ağır ihmal, kast veya bildirimin yapılmaması hâlinde bu sınır uygulanmaz (m. 12). Bu sınır kaybolan veya çalınan kart ya da kart bilgisi için yazılmıştır; oltalama sayfasında verilen bilgileri kapsayıp kapsamadığı yorum meselesidir. Kredi kartı hesap özetine son ödeme tarihinden itibaren on gün içinde itiraz edilebilir, kuruluş 20 gün içinde cevap verir (m. 11). Bu hükümlerin hiçbiri PSD2 m. 73/1’deki gibi bir iade süresi öngörmüyor.
Karar Türkiye’de neden önemli?
- AB’de şirketi olan Türk grupları. AB müşterilerine AB lisanslı bir ödeme veya elektronik para kuruluşu üzerinden hizmet veren bir Türk fintech’i C-70/25’i bugünden uygulamak zorunda. Türkiye’deki araştırma payına göre yazılmış iade politikaları, şikâyet yanıt şablonları ve dolandırıcılık prosedürleri AB şirketine olduğu gibi taşınamaz.
- Türkiye’deki uyuşmazlıklar. Karar Türk mahkemelerini ve hakem heyetlerini bağlamıyor. Ancak Türk Yönetmeliği PSD2 örnek alınarak hazırlandı; sağlayıcı 54/3’teki araştırma payını toptan bir ret aracına dönüştürdüğünde Divan’ın gerekçesi ikna edici bir argüman olur. Türkiye’de mahkemeye taşınan uyuşmazlıklar genellikle kusur paylaşımı üzerinden çözülüyor: bir yanda sağlayıcının basiretli tacir yükümlülüğü (TTK m. 18/2) ve izleme yükümlülükleri, diğer yanda tek kullanımlık şifreyi okumak gibi müşterinin müterafik kusuru (TBK m. 52 ve 114).
- AB’nin yönü. PSD3 ve Ödeme Hizmetleri Tüzüğü (PSR) paketi son kabul aşamasında; Konsey’in PSD3’e ilişkin 21 Ekim 2026 tarihli ilk okuma tutumu (8535/26 sayılı belge) 23 Ekim’de kamuya açıklandı. Uzlaşı metni, dolandırıcının müşterinin kendi bankasını taklit ettiği bazı yetkilendirilmiş ödemelerde de iade öngörüyor ve alıcı adı kontrolünü zorunlu hâle getiriyor. Paketin tamamı için PSD3 ve PSR yazımıza, yetkilendirilmiş ödemelerde Türkiye’de neden bugün kanuni iade olmadığı için deepfake ve APP dolandırıcılığı yazımıza bakabilirsiniz.
Ne yapmalı?
Türkiye’de oltalamaya uğradıysanız:
- Bankayı veya ödeme kuruluşunu hemen arayın ve yazılı bildirimde bulunun. Hile, kast veya ağır ihmal yoksa bildirimden sonraki işlemlerden sorumlu değilsiniz; bildirimden önceki 24 saat için sorumluluğunuz en fazla 250 TL.
- Yetkisiz işlemin iadesini TCMB Yönetmeliği m. 54’e, kart kullanımında 5464 sayılı Kanun’a dayanarak yazılı isteyin ve bildirim tarihini ispatlanabilir şekilde saklayın.
- Suç duyurusunda bulunun; bilişim sistemlerinin veya bankaların araç olarak kullanılması suretiyle dolandırıcılık nitelikli dolandırıcılıktır (TCK m. 158/1-f).
- 20 gün içinde cevap gelmezse veya cevap olumsuzsa uyuşmazlık yollarına gidin: ilgili birliğin hakem heyeti, tüketici hakem heyeti (2026’da 186.000 TL’nin altında zorunlu) ya da arabuluculuk ve ardından tüketici mahkemesi.
Ödeme veya elektronik para kuruluşu yönetiyorsanız:
- Yetkisiz olduğu ispatlanan işlemler için “önce iade” esasını yazın, 54/3’ü istisna olarak ele alın. Kuvvetli şüphenin neye dayandığını kayda geçirin ve araştırma için iç bir süre belirleyin.
- “Müşteri şifresini girdi” tespitini ağır ihmalle eşitlemeyin. TCMB düzenlemelerinin (bankalarda BDDK düzenlemelerinin) gerektirdiği kimlik doğrulamayı isteyip istemediğinizi kontrol edin; istemediyseniz zarar büyük ihtimalle size kalır (m. 54/9).
- İzleme ve uyarı kayıtlarını saklayın. Kusura dayalı uyuşmazlıklar, sağlayıcının olağan dışı işlem kalıplarını fark edip harekete geçip geçmediğine göre sonuçlanıyor.
- AB’de şirketiniz varsa prosedürlerini C-70/25’e uyarlayın: ertesi iş günü içinde iade, sonra rücu; hile istisnası ancak otoriteye bildirimle.
Daha fazlası için fintech hukuku sayfamıza ve açık bankacılık rehberimize bakabilirsiniz.
Sık sorulan sorular
AB Adalet Divanı C-70/25 kararında ne dedi?
15 Ekim 2026’da, PSD2 uyarınca bankanın, müşterinin ağır ihmalli davrandığını düşünse bile yetkisiz işlemi derhal, en geç ertesi iş günü sonuna kadar iade etmesi gerektiğine karar verdi. Banka, kast veya ağır ihmali ispat ederse tutarı sonradan geri isteyebilir. İadeyi tutmanın tek gerekçesi, ulusal otoriteye yazılı bildirilen makul bir hile şüphesidir.
C-70/25 Türkiye’de uygulanır mı?
Doğrudan uygulanmaz. Türkiye Divan kararlarıyla bağlı değil ve TCMB Yönetmeliği, hile, kast veya ağır ihmale dair kuvvetli şüphesi olan sağlayıcıya iadeden önce makul bir süre araştırma imkânı tanıyor (m. 54/3). Karar, Türk gruplarının AB lisanslı şirketlerine doğrudan uygulanır.
Türkiye’de oltalama mağduru ne kadar zarara katlanır?
Ödeme hizmetlerinde, bildirimden önceki 24 saatteki zararın en fazla 250 TL’sine; bildirimden sonrası için hiçbir şeye. Müşteri hileli, kasıtlı veya ağır ihmalli davrandıysa sınır uygulanmaz (TCMB Yönetmeliği m. 54/4-5). Kart kullanımında 5464 sayılı Kanun m. 12 aynı istisnalarla 150 TL sınırı öngörüyor.
Sahte banka sitesine şifre girmek ağır ihmal midir?
Somut olaya bağlıdır; ne Divan ne de Türk kuralı bunu otomatik olarak ağır ihmal sayıyor. AB’de banka önce iade eder, ağır ihmali sonra ispat eder. Türkiye’de yetkilendirmeyi ispat yükü sağlayıcıdadır ve müşterinin davranışının sınırı kaldırıp kaldırmadığı her olayda ayrıca değerlendirilir.
Sahte bir aramadan sonra ödemeyi kendim yaptıysam?
Bu, yetkilendirilmiş itme ödemesi (APP) dolandırıcılığıdır. Yukarıdaki yetkisiz işlem kuralları uygulanmaz ve Türkiye’de bugün bunun için kanuni bir iade yok; ayrıntılar deepfake ve APP dolandırıcılığı yazımızda.
Kaynaklar. ABAD, C-70/25, 15 Ekim 2026 tarihli karar, 147/26 sayılı basın bülteni (ABAD; LTO); 2015/2366 sayılı Direktif (PSD2), m. 69, 72, 73, 74; 6493 sayılı Kanun (RG 27.6.2013, 28690), m. 13, 24/1; Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik (RG 1.12.2021, 31676, değişiklikleriyle), m. 53, 54, 74; 5464 sayılı Kanun (RG 1.3.2006, 26095), m. 11, 12; 6102 sayılı TTK m. 18/2; 6098 sayılı TBK m. 52, 114; 5237 sayılı TCK m. 158/1-f; AB Konseyi, PSD3 ilk okuma tutumu (21 Ekim 2026).
Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş niteliği taşımaz; somut durumunuz için danışmanlık alınız.
