Uzaktan Kimlik Tespiti ve E-Sözleşme

III-42.1.A (28.2.2026 RG 33182) ile Tebliğ kapsamı genişledi: Aracı Kurum + PYŞ + Kripto Varlık Hizmet Sağlayıcılar + Yapay Zeka temelli kimlik tespiti (m.14/A) + MASAK Genel Tebliği Sıra No:19 esasları.

Bu içerik şu sınavların ortak müfredatıdır: Düzey 1 · Düzey 2 · Düzey 3 · Türev Araçlar

Bu dersin kapsamına girmeyen sınavlar: Kurumsal Yön. · Kredi Der. · Konut Değ. · Gayrimenkul Değ. · BS Denetim

Aracı Kurumlar, Portföy Yönetim Şirketleri ve Kripto Varlık Hizmet Sağlayıcılar Tarafından Kullanılacak Uzaktan Kimlik Tespiti Yöntemlerine ve Elektronik Ortamda Sözleşme İlişkisinin Kurulmasına İlişkin Tebliğ. Yayım: 8.2.2022 tarihli ve 31744 sayılı RG; yürürlük: 8.3.2022 (yayımdan 1 ay sonra). 2026 Değişikliği: III-42.1.A (28.2.2026 tarihli ve 33182 sayılı RG) ile kapsam genişletildi — KVHS'ler eklendi; m.14/A AI temelli kimlik tespiti yetkilendirildi. Yasal dayanak: 6362 sayılı SPKn'nun m.42/2. Düzenleme amacı (m.1, 2026 güncel): "aracı kurumlar, portföy yönetim şirketleri ve kripto varlık hizmet sağlayıcılar tarafından yeni müşteri kabulünde kullanılabilecek uzaktan kimlik tespiti yöntemlerine ve mesafeli olsun olmasın bir bilişim veya elektronik haberleşme cihazı üzerinden yazılı şeklin yerine geçecek şekilde ya da mesafeli olarak sözleşme ilişkisinin kurulmasına yönelik usul ve esasları düzenlemek".

İki taraf vardır: (1) Personel — "uzaktan kimlik tespiti sürecini yönetmek amacıyla aracı kurum, PYŞ veya KVHS'ce görevlendirilmiş kişi". Personel: aracı kurumun çalışanı; eğitimli; etik kurallarına tabi; sahtecilik tespit kapasitesi olan; ses ve görüntü kalitesi sağlayan ortamda çalışan. (2) Kişi — "uzaktan kimlik tespiti yapılacak gerçek kişi veya gerçek kişi tacir". Yani Tebliğ kapsamında uzaktan kimlik tespiti yalnızca gerçek kişiler ve gerçek kişi tacirler için uygulanır; tüzel kişi (anonim, limited şirket vb.) müşteriler için bu rejim uygulanmaz — onlar yetkili imza sirküleri, vergi levhası, ticaret sicil kayıtları gibi ek kurumsal belgelerle yüz yüze veya farklı yöntemlerle kabul edilir. 2026 yeniliği: m.14/A ile personel yerine yapay zeka temelli sistem de süreci yürütebilir.

Personel ile kişi fiziksel olarak aynı ortamda bulunmasına gerek olmadan, çevrim içi olarak görüntülü görüşmesi ve birbiriyle iletişim kurması ile uzaktan kimlik tespiti yapılır. Pratik akış: (1) Müşteri mobil uygulama veya web sitesi üzerinden uzaktan müşteri edinim sürecini başlatır; (2) Önce kimlik belgesi yüklenir (TC kimlik kartı, pasaport) — OCR + canlılık testi (liveness); biyometrik doğrulama (yüz tanıma); NFC çip okunması; (3) Video görüşmesi başlar — personel müşteri ile çevrimiçi karşı karşıya gelir; kimliği canlı doğrular; sahtecilik kontrolü yapar; sorular sorar; (4) Müşteri irade beyanı + sözleşme imzalama 2FA ile elektronik ortamda alınır. Çevre şartları: video kalitesi yüksek; aydınlatma yeterli; ses temiz; ekran paylaşımı şeffaf. Kayıt: tüm video görüşmesi 10 yıl saklanır (TTK m.82 + III-45.1 m.27).

Uzaktan veya yüz yüze kimlik tespitinin yapılmasını müteakiben, müşterilerce gerçekleştirilmek istenen işlemlere yönelik olarak sözleşme ilişkisinin mesafeli olarak kurulabilmesi için iki ana şart vardır: (1) Müşterinin sözleşmeyi kuran irade beyanının elektronik ortamda Belge Kayıt Tebliği m.5/A'nın birinci fıkrasına uygun olarak gerçekleştirilmiş bir kimlik doğrulama sonrasında alınması; (2) Sözleşmenin tüm şartlarının müşterinin okuyabileceği şekilde elektronik ortamda iletilmesi. İrade beyanı zamanlaması: m.13/2 — "mesafeli olarak sözleşme kurulmasına ilişkin müşteri irade beyanının, bu Tebliğde yer alan şartlar dâhilinde gerçekleştirilen uzaktan kimlik tespiti görüşmesi esnasında veya kimlik tespitini müteakip görüşme sonlandırılmadan önce alınması" gerekir.

Bilişim veya haberleşme cihazı üzerinden yazılı şeklin yerine geçecek nitelikte bir sözleşme ilişkisi kurulmak istenmesi halinde: (a) Söz konusu sözleşmenin bütün şartlarının, müşterinin okuyabileceği şekilde elektronik ortamda müşteriye iletilmesi; (b) (a) bendine göre müşteriye iletilen sözleşme ve bu sözleşme ile birlikte müşterinin sözleşmeyi kuran irade beyanının, Belge Kayıt Tebliğinin 5/A maddesinin ikinci ve üçüncü fıkralarında belirtilen müşteriye özgü şifreleme gizli anahtarı ile imzalanarak aracı kuruma, PYŞ veya KVHS'ye iletilmesi; (c) (a) bendine göre iletilen sözleşmede müşteriye sözleşme içeriği olarak hangi bilgiler gösterilmiş ise (b) bendine göre müşteri tarafından yalnızca o bilgilerin imzalanmasının sağlanması — yani müşteri gördüğü ve kabul ettiği şartlardan farklı bir şey imzalayamaz. Eşitlik ilkesi: müşteri için görüntülenen ile imzalanan içerik birebir aynı olmalıdır — manipülasyon önlemi.

"Uzaktan kimlik tespitinde personel tarafından yürütülecek işlemlerin yapay zekâ temelli yöntemler kullanılarak gerçekleştirilmek istenmesi hâlinde, asgari olarak Mali Suçları Araştırma Kurulu Genel Tebliği (Sıra No: 19)'nin 4 üncü maddesinin dokuzuncu fıkrasında yer alan esaslar dikkate alınır". Anlam: Tebliğin 5-12. maddelerinde "personel" ifadesi geçen tüm fiiller (görsel kimlik doğrulama, canlılık testi, kimlik belgesi okuma, soru cevap) yapay zeka temelli sistemlerle gerçekleştirilebilir. AI sistemi yapacaklar: (1) Kimlik belgesi OCR + holographic özellik kontrolü; (2) Yüz tanıma ile selfie + kimlik fotoğrafı eşleştirme; (3) Canlılık testi (liveness) — gözlerini kapama, başını çevirme, gülümseme; (4) Sahtecilik tespiti — yapay görüntü/deepfake kontrol, kimlik manipülasyonu; (5) Risk skoru hesaplama — yüksek riskli profillere ek doğrulama. Sınırlama: SPK "yapay zeka yöntemlerini kullanacak kuruluşlar için ilave usul ve esaslar belirlemeye yetkili" — kullanılan AI sisteminin SPK denetimine açık olması zorunlu; algoritma şeffaflığı; karar verme süreçlerinin denetlenebilir olması.

MASAK Genel Tebliği Sıra No:19 — finansal kuruluşların müşteri tanıma yükümlülüğü ve uzaktan kimlik tespiti standartlarını detaylandırır. m.4/9 fıkrası: "AI temelli sistemlerin kimlik tespitinde kullanımı için asgari teknik standartlar" başlığı altında: (a) Kimlik belgesi otantiklik kontrolü; (b) Biyometrik eşleşme doğruluk oranı (≥%99); (c) Canlılık testi anti-spoofing standartları (PAD/Presentation Attack Detection); (d) Risk bazlı yaklaşım — yüksek riskli müşteriler için ek doğrulama; (e) Sistem performans testleri ve düzenli denetim; (f) Hata ve sahtecilik vakalarının raporlanması; (g) Veri güvenliği ve şifreleme. SPK + MASAK iş birliği: III-42.1.A ile m.14/A AI hükmü eklenirken MASAK'ın teknik standartlarına atıf yapıldı — düzenleyici kurumlar arası uyum. İhlal sonuçları: SPK + MASAK + KVKK ayrı yaptırımlar uygulayabilir; AI sistemi yetkisi geri çekilebilir.

11.10.2006 tarihli ve 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun: aracı kurumlar, PYŞ ve KVHS'ler "yükümlü" sıfatıyla MASAK'a tabidir. m.4/1 (III-42.1) hükmü: "Uzaktan kimlik tespiti yöntemi, 5549 sayılı Kanun ile bu Kanunla ilgili mevzuatta yer alan yükümlülükler saklı kalmak kaydıyla uygulanır". MASAK yükümlülükleri: (1) Müşteri tanıma kuralı (KYC) — kimlik tespiti zorunlu; (2) Şüpheli işlem bildirimi — anormal işlem desenleri MASAK'a bildirilir; (3) Risk bazlı yaklaşım — yüksek riskli müşterilere ek inceleme; (4) PEP kontrolü — siyasi nüfuz sahibi kişilerin tespiti; (5) Yaptırım kontrolleri — uluslararası yaptırım listelerinde olan kişilerin engellenmesi (BM, AB, OFAC, BMK Kararı). Müşteri sınıfları: düşük risk, orta risk, yüksek risk — uzaktan kimlik tespitinde yüksek riskli müşterilere ek personel doğrulaması zorunlu kılınabilir.

24.3.2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanunu: kişisel verilerin işlenmesi, saklanması, paylaşılması için yasal çerçeve. Uzaktan kimlik tespitinde KVKK boyutu: (a) Aydınlatma yükümlülüğü (m.10) — müşteriye veri toplama amacı, hukuki sebep, hangi verilerin alındığı bildirilir; (b) Açık rıza (m.5) — biyometrik veriler için ayrı açık rıza zorunlu; (c) Özel nitelikli kişisel veriler (m.6) — biyometrik veri (yüz, parmak izi, iris) özel nitelikli sayılır; ek koruma; (d) Veri güvenliği (m.12) — şifreleme, erişim kontrolü, sistem güvenliği; (e) Saklama süresi — TTK m.82 + III-45.1 m.27 ile 10 yıl; sonrasında imha; (f) Veri sorumlusu: aracı kurum/PYŞ/KVHS — VERBİS kayıt zorunlu. İhlal halinde: Kişisel Verileri Koruma Kurulu (KVKK) idari para cezası uygular; bunun yanında SPK ve MASAK ayrı yaptırımlar uygulayabilir.

III-45.1 m.5/A (Belge ve Kayıt Düzeni Tebliği — YK1.3'te işlendi): "aracı kurumun elektronik ortamda sunulan yatırım hizmet ve faaliyetleri için müşterilerine birbirinden bağımsız en az iki bileşenden oluşan bir kimlik doğrulama mekanizması uygulaması" zorunlu. Üç sınıf: (1) Bildiği — parola, PIN; (2) Sahip olduğu — telefon/SMS OTP, token, kart; (3) Biyometrik karakteristik — parmak izi, yüz tanıma. Şart: farklı 2 sınıftan seçilmiş bileşenler; bağımsızlık (bir bileşenin ele geçirilmesi diğerinin güvenliğini tehlikeye atmamalı). III-42.1 ile bağlantı: m.13 elektronik sözleşmenin imzalanması için 2FA zorunlu; m.13/3/(b) "müşteriye özgü şifreleme gizli anahtarı" 2FA çerçevesinde işler. Pratik: müşteri sözleşmeyi ekranda görür → "Onaylıyorum" tuşuna basar → SMS OTP gelir → onaylar → 2FA ile imza tamamlanır → sözleşme yazılı sayılır.