Türkiye Cumhuriyet Merkez Bankası (TCMB), 4 Eylül 2026 tarihli ve 33360 sayılı Resmî Gazete’de yayımlanan değişiklikle Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmeliğin 41 inci maddesine iki yöntemi açıkça yazdı: uzaktan iletişim aracıyla kurulan çerçeve sözleşmede müşteri artık biyometrik yöntemlerle veya elektronik kimlik doğrulama kabiliyetini haiz kimlik belgeleriyle doğrulanabiliyor. Değişiklik yayımı tarihinde yürürlüğe girdi. Aynı Gazete’de Bilgi Sistemleri Tebliği de değişti; uzaktan kimlik tespiti sürecinin bazı adımları yeniden yazıldı ve yabancı uyruklu gerçek kişiler için pasaportla uzaktan kimlik tespiti yolu açıldı. Bir ödeme veya elektronik para kuruluşunda müşteri kabulü, ürün ya da uyum tarafındaysanız, ya da Türkiye pazarına girmeye hazırlanan yabancı bir kuruluşsanız, uygulamanızdaki onboarding akışının bundan sonra bu metinlere uyması gerekiyor.
41 inci madde önce ne diyordu, şimdi ne diyor?
41 inci madde çerçeve sözleşmeyi düzenliyor; fıkralarının çoğu uzaktan iletişim aracıyla (internet, telefon, kısa mesaj gibi tarafların fiziken karşılaşmadığı kanallar) kurulan çerçeve sözleşmelere ilişkin. Dördüncü fıkranın ilk cümlesi, müşteriden alınacak bilgi ve belgelerin posta, faks, e-posta, çevrim içi görüntülü görüşme, TCMB’nin uygun bulduğu merkezi bir yapı veya “günün teknolojisine uygun yenilikçi diğer yöntemler” ile temin edilebileceğini söylüyor. Değişen, ikinci cümle. Bu cümle şimdiye kadar iki kez değişti:
| Dönem | 41/4 ikinci cümle |
|---|---|
| İlk metin (RG 1.12.2021) | “Uzaktan iletişim aracı ile müşterinin kimliğinin doğrulanmasına imkan verecek şekilde kurulacak çerçeve sözleşme kapsamında müşteriden temin edilen bilgi ve belgelerin okunabilir ve doğrulanabilir olması esastır.” |
| 7.10.2023 sonrası | “kimliğinin” ve “müşteriden” ibareleri yürürlükten kaldırıldı. |
| 4.9.2026 sonrası | “Uzaktan iletişim aracı ile müşterinin biyometrik yöntemlerle veya elektronik kimlik doğrulama kabiliyetini haiz kimlik belgeleriyle doğrulanmasına imkan verecek şekilde kurulacak çerçeve sözleşme kapsamında temin edilen bilgi ve belgelerin okunabilir ve doğrulanabilir olması esastır.” |
Maddenin geri kalanı aynen duruyor ve hâlâ önemli: kuruluş, uzaktan sözleşmeyi hangi müşterilere ve hangi hizmetlerde sunacağına risk değerlendirmesiyle karar veriyor ve gerekirse yüz yüze sözleşme kurulmasını isteyebiliyor (41/7); TCMB uzaktan kurulan sözleşmelerdeki hizmetlere sınırlama getirebiliyor (41/8); müşterinin talebi ve önceden onayı şart (41/10); çalışanlar yılda en az bir kez kimlik avı, sosyal mühendislik ve zorlama risklerine karşı eğitiliyor (41/11).
Asıl prosedür Tebliğ’de
Tek başına okunduğunda Yönetmelik değişikliği küçük görünüyor. Anlamı, Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğ’in Ekim 2023’te yeniden yazılan 22 nci maddesiyle birlikte ortaya çıkıyor. O tarihten beri 22 nci madde asgari olarak şunları istiyor:
- kimlik belgesinin “esas olarak” yakın alan iletişimi (NFC) ile kontrolü, orijinallik, bütünlük, yıpranma ve tahrifat testleri ve bu kontrolün kesintisiz kayıt altına alınması;
- biyometrik verilerin kullanımına ve sürecin uzaktan yürütülmesine ilişkin kişinin onayının ve açık rızasının kayıt altına alınması;
- çevrim içi gerçek zamanlı video, gerçek zamanlı hareketli fotoğraf veya görüntülü görüşme ile canlılık testi ve kişinin yüzü ile çipteki (alınamazsa belge üzerindeki) fotoğrafın biyometrik karşılaştırması;
- cihaz ve ortam kontrolü ile iletişim bilgilerinin doğrulanması.
Canlılık testi, rastgele komutlarla en az üç görüntü üzerinden yapılıyor; önceden çekilmiş kayıt kabul edilmiyor ve tüm kayıtlar gerçek zamanlı olarak kuruluşun kendi sunucularına yazılıyor (22/2). Personelin manuel müdahalesinin bulunduğu hallerde süreç, görevler ayrılığı ilkesi gereği tek bir kişi tarafından başlatılıp onaylanıp tamamlanamıyor ve kullanılan sistemler kritik bilgi sistemi sayılıyor (22/4). Uyuşmazlıkta mevzuata uygun işlem yapıldığını ispat yükü kuruluşta (22/5). Yazılı süreç ve prosedürler yılda en az iki kez test ediliyor (22/6).
4 Eylül tarihli Tebliğ değişikliği, başka değişikliklerin yanında, 22/1’e “biyometrik verilerinin” ibaresini ekledi; “kimlik belgesi”ni Türkiye Cumhuriyeti Kimlik Kartı Yönetmeliğinde tanımlanan kimlik kartı olarak tanımladı; NFC doğrulaması yapılamadığında kullanılacak yedek yolu sıkılaştırdı: optik karakter tanıma, kart okuyucu veya MASAK’ın görüşü alınarak TCMB’nin belirleyeceği diğer yöntemlerle yapılan kontrol artık en az MASAK Genel Tebliği (Sıra No: 19)’da uygun görülen tür ve sayıdaki güvenlik unsurunu kapsamalı; ve Türk uyruklu olmayan gerçek kişilerin, aynı MASAK Tebliği’nin 4/C maddesi dâhilinde, ICAO 9303 standardına uygun NFC özellikli pasaportla uzaktan kimlik tespitine imkân tanıdı.
“Biyometrik yöntem” ve çip okuma pratikte ne demek, metin neyi söylemiyor?
Pratikte birbirine bağlı iki kontrol var. Belge kontrolünde müşterinin telefonu, kimlik kartının (yabancılar için pasaportun) çipini NFC ile okuyor; böylece veri, fotoğrafı çekilmiş bir karttan değil, düzenleyen makamın çipinden geliyor. Kişi kontrolünde ise canlılık testinin ardından yüz, çipteki fotoğrafla biyometrik olarak karşılaştırılıyor. 22/13 ayrıca önemli bir sonuç bağlıyor: 22 nci maddeye uygun yapılan uzaktan kimlik tespiti, 10 uncu madde kapsamındaki güçlü kimlik doğrulamanın gereklerini karşılamış sayılıyor.
Metnin söylemedikleri de bir o kadar önemli. Ne Yönetmelik ne de Tebliğ “biyometrik yöntem”i tanımlıyor; kabul edilen biyometrik türleri, eşleşme eşiklerini, hatalı kabul oranlarını, sertifikasyon veya tedarikçi şartlarını saymıyor. 22/7, kullanılacak belgeleri, güvenlik ve doğrulama özelliklerini ve kriterleri kuruluşun yazılı dokümantasyonuna bırakıyor; 22/15 ise TCMB’ye ilave usul ve esas belirleme yetkisi veriyor. TCMB böyle bir düzenleme yapmadıkça ayrıntı sizin prosedürlerinizde yaşayacak ve denetimde sınanacak. Ürün ekipleri için ayrı bir kural da var: 10/8 uyarınca, kuruluşun mobil uygulamasının değil cihaz üreticisinin kontrolündeki parola, PIN veya biyometrik veri güçlü kimlik doğrulama unsuru olarak kullanılamıyor. Telefonun yüz tanıma kilidi, 22 nci maddedeki biyometrik kontrolün yerini tutmuyor.
KVKK: biyometrik veri özel nitelikli
6698 sayılı Kanun’un 6 ncı maddesinin birinci fıkrası biyometrik verileri özel nitelikli kişisel veri sayıyor. 7499 sayılı Kanun’la yapılan ve 1 Haziran 2024’te yürürlüğe giren değişiklikten sonra 6/3, işlemenin yasak olduğunu söyleyip istisnaları sayıyor; bunlar arasında ilgili kişinin açık rızası, kanunlarda açıkça öngörülmesi ve bir hakkın tesisi, kullanılması veya korunması için zorunluluk var. 6/4 ise Kurul tarafından belirlenen yeterli önlemlerin alınmasını şart koşmaya devam ediyor.
Ödeme ve elektronik para kuruluşları açısından tartışma göründüğü kadar açık değil, çünkü Tebliğ’in 22/1(ç) bendi biyometrik verilerin kullanımına ilişkin açık rızanın kayıt altına alınmasını zaten istiyor. KVKK açık rızayı belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlıyor. Buradan iki tasarım sonucu çıkıyor. Biyometrik açık rıza, sözleşme şartlarının içine gömülmüş bir madde değil, ayrı ve bilgilendirilmiş bir adım olmalı. Biyometriyi reddetmek hizmetten tamamen vazgeçmek anlamına gelmesin diye, biyometrik olmayan bir yol (örneğin 41/7’nin zaten öngördüğü yüz yüze sözleşme) tutmak da ihtiyatlı olur. Kurum’un biyometrik veriye bakışını daha önceki yazımızda ele almıştık.
MASAK: uzaktan kimlik tespiti aynı zamanda bir AML kuralı
MASAK Genel Tebliği (Sıra No: 19) (RG 30.4.2021), 5549 sayılı Kanun kapsamında uzaktan kimlik tespiti yöntemlerinin usul ve esaslarını düzenliyor. Sıra No: 25 sayılı Tebliğ’le (RG 4.11.2023) eklenen 5/C maddesine göre ödeme ve elektronik para kuruluşları, sürekli iş ilişkisi tesisinde uzaktan kimlik tespitini TCMB’nin Bilgi Sistemleri Tebliği’nde belirlenen yöntem ve tedbirlerle yapıyor. TCMB Tebliği ise 22/14’te, MASAK Genel Tebliği (Sıra No: 19) hükümlerinin öncelikli olarak uygulanacağını söylüyor. İki metin birlikte okunmak zorunda; Sıra No: 19’a aykırılıkta 5549 sayılı Kanun’daki cezalar uygulanıyor (madde 7).
Yabancılar için yeni yol, Sıra No: 32 sayılı Tebliğ’le (RG 27.6.2026) eklenen 4/C maddesine dayanıyor ve yurt içi akıştan belirgin şekilde sıkı: özel eğitimli personelle görüntülü görüşme (4 üncü maddenin dokuzuncu fıkrasındaki şartları sağlayan yapay zekâ temelli uygulamalar canlılık testi ve fotoğraf karşılaştırmasında kullanılabiliyor); pasaport çipinin NFC ile zorunlu eşleştirilmesi, yapılamazsa iş ilişkisi kurulamaması; adresin en geç üç ay içinde teyidi ve teyitten önce para transferi ile nakit çekim yapılamaması; kuruluşun riskli belirlediği ülke vatandaşlarının bu yolla kabul edilememesi; yüksek risk grubunda izleme, kimlik bilgileriyle uyumlu bir banka hesabından veya kartından ilk transfer şartı dâhil; müşteri kabulüne başlandıktan sonra bir ay içinde MASAK’a bildirim ve üç aylık istatistik gönderimi.
Bankaların uzaktan müşteri edinimiyle karşılaştırma
Bankalar, MASAK Genel Tebliği (Sıra No: 19)’un yönlendirdiği ayrı bir BDDK düzenlemesine tabi: Bankalarca Kullanılacak Uzaktan Kimlik Tespiti Yöntemlerine ve Elektronik Ortamda Sözleşme İlişkisinin Kurulmasına İlişkin Yönetmelik (RG 1.4.2021, 31441). 2021’de yayımlanan haliyle temel farklar şöyleydi:
| Konu | Bankalar (BDDK Yönetmeliği, 2021 metni) | Ödeme ve e-para kuruluşları (TCMB Tebliği md. 22) |
|---|---|---|
| Yöntem | Eğitimli müşteri temsilcisiyle çevrim içi görüntülü görüşme | Gerçek zamanlı video, gerçek zamanlı hareketli fotoğraf veya görüntülü görüşmeyle canlılık testi; Türk vatandaşları için insan temsilci açıkça aranmıyor (MASAK hükümleri öncelikli) |
| Biyometri ve rıza | Özel nitelikli verilerden yalnızca biyometrik veri; açık rıza elektronik ortamda kayıt altında | Biyometrik kullanım için açık rıza kayıt altında; yüz ile çip fotoğrafının biyometrik karşılaştırması |
| Belge kontrolü | NFC ile çip doğrulaması | “Esas olarak” NFC |
| NFC yapılamazsa | En az dört görsel güvenlik unsuru ve ilk finansal hareketin kişinin başka bankadaki kendi hesabından yapılması | OCR, kart okuyucu veya MASAK görüşüyle TCMB’nin belirleyeceği yöntem, artı Sıra No: 19’da uygun görülen güvenlik unsurları |
Nereden başlamalı?
- Mevcut onboarding akışınızı değişen 22 nci maddeyle adım adım karşılaştırın, eksikleri yazılı hale getirin.
- Çip okumayı ana yol yapın; yedek yolu 22/1(c)’nin izin verdikleriyle sınırlayın.
- Biyometrik açık rızayı sözleşme onayından ayırın, aydınlatma metnini gözden geçirin ve KVKK 6/4 kapsamındaki yeterli önlemleri belgeleyin.
- Yazılı prosedürleri, yılda iki kez yapılacak testleri, yıllık personel eğitimini ve uzaktan müşteri kabulüne ilişkin risk değerlendirmesini güncelleyin.
- Pasaportla yabancı müşteri almayı planlıyorsanız önce MASAK 4/C kontrollerini, bir aylık bildirim dâhil, kurun.
- Tedarikçi sözleşmelerini kontrol edin: kayıtlar gerçek zamanlı olarak kuruluşun sunucularında tutulmalı.
Lisans tarafının bütün resmi için fintech hukuku sayfamıza, ödeme ve elektronik para kuruluşu lisansı sayfamıza ve asgari özkaynak değişikliğine bakabilirsiniz.
Bu değişiklikten önce ödeme kuruluşları müşteriyi uzaktan kabul edemiyor muydu?
Edebiliyordu. 41 inci madde uzaktan çerçeve sözleşmeye zaten izin veriyordu ve Tebliğ Ekim 2023’ten beri NFC ve biyometriye dayalı bir uzaktan kimlik tespiti süreci öngörüyordu. 2026 değişikliği biyometrik yöntemleri ve elektronik kimlik belgelerini Yönetmeliğin kendisine yazdı ve Tebliğ’deki süreci değiştirdi.
Yabancı bir müşteri ödeme veya elektronik para kuruluşunda uzaktan müşteri olabilir mi?
Evet, MASAK Genel Tebliği (Sıra No: 19) 4/C maddesi çerçevesinde ICAO 9303 uyumlu NFC özellikli pasaportla. Bu yol, diğer şartların yanında eğitimli personelle görüntülü görüşme, başarılı çip eşleşmesi ve yüksek risk muamelesi gerektiriyor.
TCMB hangi biyometrik teknolojinin veya tedarikçinin kullanılacağını belirliyor mu?
İncelediğimiz metinlerde hayır. Metinler adımları ve sonuçları belirliyor; kriterler kuruluşun kendi prosedürlerine giriyor ve TCMB ilave usul ve esas belirleme yetkisini saklı tutuyor.
Kaynak. Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelikte Değişiklik Yapılmasına Dair Yönetmelik, md. 1 (RG 4.9.2026, 33360); Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik, md. 41 (RG 1.12.2021, 31676); Değişiklik Yönetmeliği, md. 22 (RG 7.10.2023, 32332); Bilgi Sistemleri Tebliğinde Değişiklik Yapılmasına Dair Tebliğ, md. 1-3 (RG 4.9.2026, 33360); Bilgi Sistemleri Tebliği md. 22, değişik (RG 7.10.2023, 32332); Bilgi Sistemleri Tebliği md. 10/8 (RG 1.12.2021, 31676); MASAK Genel Tebliği (Sıra No: 19) (RG 30.4.2021, 31470); MASAK Genel Tebliği (Sıra No: 25), md. 5/C (RG 4.11.2023, 32359); MASAK Genel Tebliği (Sıra No: 32), md. 4/C (RG 27.6.2026, 33293); 6698 sayılı Kanun md. 3 ve 6 (RG 7.4.2016, 29677); 7499 sayılı Kanun md. 33 ve 40 (RG 12.3.2024, 32487); Bankalarca Kullanılacak Uzaktan Kimlik Tespiti Yöntemlerine ve Elektronik Ortamda Sözleşme İlişkisinin Kurulmasına İlişkin Yönetmelik, md. 4-8 (RG 1.4.2021, 31441).
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki tavsiye niteliği taşımaz; somut durum için hukuki destek alınmalıdır.
Yazar
Daha fazla Vircon İçgörüleri
15 Yaş Altına Sosyal Medya Yasağı 1 Kasım'da Başlıyor: Platformlar Neyi Değiştirmeli? (7578, 5651 Ek m.4)
12 Ekim 2026MASAK Eşikleri 7 Ekim 2026'da İkiye Katlandı: Ödeme, E-Para ve Kripto Şirketleri İçin Yükümlülükler
8 Ekim 2026Coğrafi Veri İzinleri Yönetmeliği: Konum Verisiyle Çalışan Şirketler Neyi Kontrol Etmeli?
16 Ekim 2026Hibrit Çalışma Artık Yönetmelikte: Uzaktan Çalışma Yönetmeliği m.9/2 ve İş Sözleşmelerinde Yapılması Gerekenler
27 Eylül 2026Uzaktan Şirket Efsaneleri: E-Residency, Sanal Ofis ve Gerçek Vergi Mukimliği
14 Eylül 2026Sosyal Medyada Yaş Doğrulama Yönetmeliği: e-Devlet Belirteci, 15-17 Yaş Kuralları ve Takvim
16 Ekim 2026İlgili Hizmet Alanlarımız
Gizlilik ve Siber Güvenlik
KVKK ve GDPR uyumu, veri ihlali yönetimi, siber güvenlik.
Hizmet sayfası →ABD Şirket Kuruluşları ve Flip-Up
Delaware C-Corp, flip-up, SAFE/convertible note, 83(b) seçimi.
Hizmet sayfası →Birleşme ve Devralmalar
M&A danışmanlığı: due diligence, yapılandırma, dokümantasyon, müzakere.
Hizmet sayfası →