MASAK + KVKK + Müşteri Bilgi Yönetimi
MASAK ve KVKK
MASAK ve KVKK
GKM1.8 · MASAK · KVKK · Müşteri Bilgi
MASAK (Mali Suçları Araştırma Kurulu): 5549 sayılı SGAÖK Kanunu kapsamında aklama suçu ve terörün finansmanı önleme + tespit kurumu; T.C. Hazine ve Maliye Bakanlığı'na bağlı. KVKK (Kişisel Verilerin Korunması Kanunu — 6698 sayılı): 2016'dan beri yürürlükte; AB GDPR uyumlu; ihlal cezası 1,5M TL'ye kadar. Aracı kurumlar için iki yükümlülük çakışması: (1) MASAK STR — şüpheli işlem bildirimi (m.4); (2) KVKK — müşteri veri koruması (m.5-6). 3 ana yükümlülük: KYC + müşteri tanıma (CDD), STR şüpheli işlem bildirimi, kayıt + saklama (8 yıl). İhlal yaptırımları: MASAK 50K-3M TL; KVKK 50K-1,8M TL; ağır halde TCK m.282 (aklama: 3-7 yıl hapis).
Salı sabahı 10:30 — bir şüpheli işlem
Bu içerik 5 SPL lisansının ortak müfredatıdır: Düzey 2 · Düzey 3 · Türev Araçlar · Kurumsal Yön. · Kredi Der.
Bu dersin kapsamına girmeyen sınavlar: Düzey 1 · Konut Değ. · Gayrimenkul Değ. · BS Denetim
İstanbul, Salı sabahı, aracı kurum AK-X. Müşteri Temsilcisi MT ofisinde 5 yıllık bir müşterinin (M) hesabını izliyor. M normalde aylık 50-100K TL işlem yapan bir KOBİ sahibi. Son 3 hafta: M hesabına 7 farklı kişiden farklı tutarlarda (45-49K TL) toplam 320K TL nakit yatırılmış; yatırılan paralar hemen 3 farklı offshore hesaba transfer edilmiş. M herhangi bir açıklama yapmıyor; sorulara "normal iş işlemi" diyor. MT compliance ekibine bildirir; AML uyum görevlisi 24 saat içinde inceler — bu klasik "smurfing + layering" paterni; kara para aklama şüphesi. Karar: STR (Şüpheli İşlem Bildirimi) MASAK'a 24 saat içinde gönderilir; müşteriye bildirilmez (tipping-off yasağı, 5549 m.4/2).
Bu sahnede iki paralel yükümlülük devreye girdi: (1) MASAK — 5549 sayılı SGAÖK m.4 STR yükümlülüğü; (2) KVKK — müşteri verilerinin koruması. Çakışma: KVKK "müşteri rızası" ister; MASAK "tipping-off yasağı" der. Çözüm: 5549 hukuki yükümlülük niteliğinde; KVKK m.5/2-ç (kanunla öngörülmüş işleme) gereği rıza gerekmez. Bu derste MASAK kurumu, aklama suçu, KYC + CDD, STR süreci, KVKK temel ilkeler, veri ihlali yönetimi, MASAK ↔ KVKK çakışma çözümleri, FATF + uluslararası çerçeveyi göreceğiz.
(1) MASAK kurumu + 5549 sayılı SGAÖK; (2) Aklama suçu (TCK m.282) + 3 aşama; (3) KYC + CDD süreci; (4) STR şüpheli işlem bildirimi; (5) KVKK temel ilkeler; (6) Veri ihlali + 72 saat bildirim; (7) MASAK ↔ KVKK çakışma çözümü; (8) FATF + uluslararası AML çerçevesi. SPL Geniş Kapsamlı Mevzuat sınavında %15-20 ağırlık.
5549 Sayılı SGAÖK + TCK m.282
MASAK: T.C. Hazine ve Maliye Bakanlığı bünyesinde faaliyet gösteren, aklama suçu ve terörün finansmanı önleme + tespit kurumu. Hukuki dayanak: 5549 sayılı SGAÖK (Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun, 2006). URL: masak.hmb.gov.tr. Üyelik: FATF + Egmont Group. Türkiye'nin FIU'su (Financial Intelligence Unit) — finansal istihbarat birimi.
Aklama Suçu — 3 Aşama (FATF Modeli)
Placement (Yerleştirme)
AŞAMA 1
Kara para finansal sisteme sokulur — banka hesabına yatırım, kasaya bırakma, şirket kuruluşu, lüks tüketim mal alımı.
Layering (Katmanlandırma)
AŞAMA 2
Çoklu işlemlerle izlerin gizlenmesi — birden fazla hesap, çoklu transfer, offshore, kripto, sahte ticari işlem.
Integration (Bütünleştirme)
AŞAMA 3
Aklanan para ekonomiye yasal şekilde döner — gayrimenkul, lüks tüketim, iş kurma, yatırım fonu paylaşımı.
Predicate Offense
+ ALT SUÇ
Aklamadan önce gerçekleşen alt suç — uyuşturucu, insan ticareti, yolsuzluk, vergi kaçakçılığı, organize suç.
TCK m.282 — Aklama Suçu Cezası
Tipik Aklama Yöntemleri
MASAK yıllık 100.000+ STR alır; ~%15-20'sini Cumhuriyet Savcılığı'na sevk; ~50-100 aklama davası açılır; mahkumiyet oranı %30-40. FATF Gri Liste (2021-2024): Türkiye 2021 Ekim'inde gri listeye alındı; AML/CFT eksiklikleri tespit edildi. 2024 Haziran'da çıkarıldı — kapsamlı reform sonrası. Bu süreçte 5549 + ilgili tebliğler güncellendi.
5549 m.3 + III-37.1 + III-39.1
- Kimlik Tespiti
TC kimlik + e-Devlet entegrasyonu
- Mali Durum
Gelir kaynağı + vergi beyanı
- Risk Sınıflandırma
Düşük/orta/yüksek/aşırı yüksek + PEP
- İşlem İzleme
Sürekli profil-işlem karşılaştırması
Risk Bazlı CDD (Aşamalı Müşteri Tanıma)
PEP (Politically Exposed Person)
PEP: siyasi nüfuz sahibi olan veya olmuş kişiler; aklama riski yüksek müşteri kategorisi. Yurt İçi PEP: bakanlar, milletvekilleri, üst düzey kamu yetkilileri, yargıçlar, askeri yetkililer + 1. derece akrabalar + yakın iş ortakları. Yurt Dışı PEP: yabancı ülke devlet başkanı + bakanları + üst düzey yetkilileri. Yükümlülük: zorunlu EDD; üst yönetim onayı; yıllık gözden geçirme; STR şüphesi varsa derhal bildirim.
Kimlik Tespiti Eşikleri (Tedbirler Yönetmeliği m.5)
5549 m.4 — Aracı Kurumların Temel Görevi
STR: 5549 sayılı SGAÖK m.4 kapsamında yükümlü kuruluşların aklama veya terörün finansmanı şüphesi taşıyan işlemleri MASAK'a bildirme yükümlülüğü. Eşik yok: tutar fark etmez; şüphe varsa bildirim zorunlu. Tipping-off yasağı (m.4/2): müşteriye STR yapıldığı bildirilemez; ihlal halinde TCK m.282 + idari para cezası.
STR Tetikleyicileri (Red Flags)
STR Süreci
aracı kurumun "şüphe taşıyıp taşımadığı" subjektif değerlendirmedir; ama bilerek STR yapmama ciddi ihlal. İhlal cezası: 5549 m.13 — 50K-3M TL idari para cezası; ağır halde TCK m.282 (3-7 yıl hapis). Pratik kural: tereddüt halinde STR yap; sonra MASAK değerlendirir. STR'nin müşteri ile ilişkiyi etkilememesi: tipping-off yasağı — müşteri normal hizmet almaya devam edebilir; ancak yeni risk eşiklerinde dikkat artırılır.
6698 Sayılı Kanun + GDPR Uyumu
KVKK: 6698 sayılı Kanun (2016 yürürlüğe); AB GDPR (General Data Protection Regulation) ile uyumlu hazırlanmış; kişisel veri işleme + koruma çerçevesi. Düzenleyici: KVK Kurumu (KVKK) — kvkk.gov.tr. Kişisel veri tanımı: kimliği belirli/belirlenebilir gerçek kişiye ilişkin her türlü bilgi (TC kimlik, ad, soyad, adres, e-posta, telefon, finansal bilgi, sağlık, biyometrik, IP adresi vb.).
5 Veri İşleme İlkesi (KVKK m.4)
Hukuka + Dürüstlük
İLKE 1
Yasaya uygun + dürüst işleme; aldatıcı yöntem yasak.
Doğruluk + Güncellik
İLKE 2
Veri doğru + güncel olmalı; eski/yanlış veriler düzeltilmeli.
Belirli + Açık + Meşru Amaç
İLKE 3
İşleme amacı baştan belirlenmeli; amaç dışı kullanım yasak.
Amaçla Bağlantılı + Sınırlı
İLKE 4
Aşırı veri toplamamak; sadece gerekli olan.
Süreyle Sınırlı Saklama
İLKE 5
Amacın sona ermesinden sonra silinmeli (özel kanun istisnaları hariç).
Özel Nitelikli Veriler
+ ÖZEL HÜKÜMLER
Irk, etnik köken, siyasi düşünce, din, sağlık, cinsel hayat, ceza mahkûmiyeti, biyometrik ve genetik veri — işlenmesi yasak; açık rıza ya da m.6/3 kapsamındaki diğer şartlardan biri (kanunda öngörülme, fiilî imkânsızlık, alenileştirme, hak tesisi vb.) varsa işlenebilir (m.6, 2024 değişikliği).
İşleme Şartları (KVKK m.5)
İlgili Kişi Hakları (KVKK m.11)
KVKK m.12 — Olay Sonrası Yükümlülükler
Veri İhlali: kişisel verilerin kanunsuz olarak başkaları tarafından elde edilmesi. Tipik durumlar: siber saldırı, çalışan hatası, üçüncü taraf ihlali, içeriden tehdit, fiziksel ihlal. Yükümlülük: veri sorumlusu 72 saat içinde KVKK Kurumu'na bildirim + makul süre içinde ilgili kişilere bildirim.
Veri İhlali Süreci
KVKK Yaptırımları (m.18)
KVKK Kurulu yıllık ~500-800 ihlal kararı; toplam idari para cezası 200-500M TL; en yüksek bireysel ceza ~1,8M TL. Aracı kurumlar KVKK Kurulu denetiminde finansal kuruluşlar olarak özel dikkat altındadır; siber güvenlik bütçeleri son 5 yılda 3-5 kat arttı.
İki Yükümlülük — Çözüm Çerçevesi
Pratik Yönetim Çerçevesi
(a) Anayasa m.20: özel hayatın gizliliği — temel hak. (b) 5549 + KVKK: özel kanunlar; KVKK m.28 "kanunlara dayalı işleme" bağışıklığı. (c) İçtihat: AYM + Yargıtay AML yükümlülüğünü genelde KVKK üzerinden tutar — kamu yararı önceliği. Pratik sonuç: AML/CFT yükümlülüğü KVKK haklarını sınırlayabilir; ama bu sınırlama "orantılı" olmalı + gerekçeli + dokümante edilmeli.
Egmont Group + AB AMLD + Yaptırımlar
Türkiye Gri Liste Etkileri (2021-2024)
MASAK + KVKK Pratik Uygulamaları
Bir senaryo seç:
MASAK Kurumu5549 + Hazine Bakanlığı
MASAK — KARA PARA AKLAMA ÖNLEME
5549 sayılı SGAÖK + T.C. Hazine ve Maliye Bakanlığı — MASAK (Mali Suçları Araştırma Kurulu): T.C. Hazine ve Maliye Bakanlığı bünyesinde faaliyet gösteren, aklama suçu ve terörün finansmanı önleme + tespit kurumu. Hukuki dayanak: 5549 sayılı SGAÖK (Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun, 2006). Kuruluş yılı: 1996 (orijinal). URL: masak.hmb.gov.tr. Üyelik: FATF (Financial Action Task Force) — uluslararası AML/CFT standartları kuruluşu; Egmont Group (FIU\'lar arası bilgi paylaşım birliği). Görevleri: (1) AML/CFT Politika: aklama + terörün finansmanı önleme stratejileri yayımlama. (2) STR Kabul ve İnceleme: yükümlü kuruluşlardan gelen şüpheli işlem bildirimlerini analiz etme. (3) Veri Tabanı Yönetimi: ulusal AML veri tabanı; finansal kurum bildirimleri toplama. (4) Soruşturma Koordinasyonu: gerekli durumlarda Cumhuriyet Savcılığı + emniyete sevk. (5) Uluslararası İşbirliği: Egmont Group + diğer FIU\'lar ile bilgi alışverişi. (6) Yükümlü Denetimi: bankalar, aracı kurumlar, sigorta, döviz büfeleri vb. denetimi. (7) Eğitim + Rehberlik: yükümlülere AML eğitimi + uygulama rehberi. Yükümlü Kuruluşlar: (a) Bankalar; (b) Aracı kurumlar + yatırım kuruluşları; (c) Sigorta + emeklilik şirketleri; (d) Döviz büfeleri; (e) Mali müşavirler + yeminli mali müşavirler; (f) Avukatlar (belirli işlem türleri); (g) Notlar, kuyumcular, ödeme kuruluşları, kripto varlık hizmet sağlayıcıları. 2024-2025 Türkiye: yıllık 100.000+ STR alır; ~%15-20\'sini Cumhuriyet Savcılığı\'na sevk; ~5-10 büyük aklama davası mahkumiyetle sonuçlanır.
Aklama SuçuTCK m.282 + 3 aşama
AKLAMA SUÇU (TCK m.282)
Suç gelirlerini meşrulaştırma — Aklama Suçu (Money Laundering — TCK m.282): alt suçtan elde edilen kara paranın yasal kaynaklı görünmesini sağlamaya yönelik eylem. Suç unsurları: (1) Alt Suç (Predicate Offense): aklamadan önce gerçekleştirilmiş bir suç olmalı — uyuşturucu kaçakçılığı, insan ticareti, yolsuzluk, vergi kaçakçılığı, organize suç vb. (2) Suç Geliri: alt suçtan elde edilen para/varlık. (3) Aklama Eylemi: 3 aşama — yerleştirme + katmanlandırma + bütünleştirme. (4) Kasıt: bilerek + kara para olduğunu bilerek. 3 Aşama Aklama (FATF Modeli): (a) Placement (Yerleştirme): kara para finansal sisteme sokulur — banka hesabına yatırım, kasaya bırakma, şirket kuruluşu. (b) Layering (Katmanlandırma): çoklu işlemlerle izlerin gizlenmesi — birden fazla hesap, çoklu transfer, offshore hesaplar, kripto. (c) Integration (Bütünleştirme): aklanan para ekonomiye yasal şekilde döner — gayrimenkul, lüks tüketim, iş kurma. Tipik aklama yöntemleri: (1) Smurfing — eşik altı çoklu nakit yatırım; (2) Shell company — hayali şirket üzerinden işlem; (3) Trade-based laundering — sahte ithalat/ihracat faturası; (4) Real estate — gayrimenkul alımı; (5) Casino — oyun makinasında para temizleme; (6) Cryptocurrency — kripto borsaları + tumbler servisleri. Cezası (TCK m.282): 3 yıldan 7 yıla kadar hapis + adli para cezası (yirmi bin güne kadar, m.282/1). Etkin pişmanlık (TCK m.282/6): kovuşturma başlamadan önce suç konusu malvarlığı değerlerinin ele geçirilmesini sağlayan veya yerini bildirerek kolaylaştıran kişi hakkında cezaya hükmolunmaz. Müsadere (TCK m.55): tüm aklanan varlıklar Hazine\'ye intikal eder. Türkiye 2024 verisi: yıllık ~50-100 aklama davası açılır; ortalama mahkumiyet oranı %30-40. FATF gri listede 2021-2024 arası Türkiye\'nin yer alması Türkiye\'nin AML rejimine ek dikkat çekti.
STR Şüpheli İşlem5549 m.4 + tipping-off
STR — ŞÜPHELİ İŞLEM BİLDİRİMİ
5549 m.4 — Yükümlü kuruluşların temel görevi — STR (Suspicious Transaction Report — Şüpheli İşlem Bildirimi): 5549 sayılı SGAÖK m.4 kapsamında yükümlü kuruluşların aklama veya terörün finansmanı şüphesi taşıyan işlemleri MASAK\'a bildirme yükümlülüğü. Yükümlü Kuruluşlar: bankalar, aracı kurumlar, sigorta, emeklilik, döviz büfeleri, mali müşavirler, avukatlar (belirli işlem), notlar, kuyumcular, ödeme kuruluşları, kripto hizmet sağlayıcıları. STR Tetikleyicileri (Red Flags): (1) Müşteri Profili Uyumsuzluğu: gelir seviyesinin çok üstünde işlem; gerçek meslek + işlem tipinin uyuşmaması. (2) Yapısal İşlemler (Structuring): eşik altı (50K TL) çoklu nakit yatırım; smurfing benzeri patern. (3) Hızlı Para Hareketleri: hesaba para girişi + hemen başka hesaba transfer; kısa sürede çoklu işlem. (4) Coğrafi Risk: yüksek risk ülkeleriyle işlem (FATF gri/kara liste); offshore hesaplar. (5) Aracı Kullanımı: müşteri kendi adına değil 3. kişi adına işlem; vekalet + kuyumcu üzerinden. (6) Belge Eksikliği: kaynak belgesi sunulmaması; vergi beyannamesi olmayan büyük işlem. (7) Stratejik Hatalar: müşterinin işlem mantığını açıklayamaması; soruları savsaklaması. STR Süreci: (1) Tespit: çalışan veya sistem otomatik tespit; (2) İçsel Değerlendirme: AML uyum görevlisi inceleme (24-72 saat); (3) STR Düzenleme: MASAK formatında elektronik bildirim; (4) Süre: tespit ardından 10 iş günü içinde MASAK\'a bildirim zorunlu; ağır şüphede 24 saat içinde \'acil bildirim\'. (5) Tipping-off Yasağı (m.4/2): müşteri STR\'den HABER ALAMAZ — ihlal halinde TCK m.282 + idari para. STR Bildiriminin Korunması: STR yapanın kimlik gizliliği + tazminata uğramama hakkı (5549 m.10). 2024 Türkiye verisi: yıllık 100.000+ STR; ortalama yıllık %30 artış; en çok bankalardan + ödeme kuruluşlarından geliyor.
KVKK Temel6698 + GDPR uyumu
KVKK — KİŞİSEL VERİ KORUMA
6698 sayılı Kanun + GDPR uyumu — KVKK (Kişisel Verilerin Korunması Kanunu — 6698 sayılı): 2016\'dan beri yürürlükte; AB GDPR (General Data Protection Regulation) ile uyumlu hazırlanmış; kişisel veri işleme + koruma çerçevesi. Hukuki dayanak: Anayasa m.20 (özel hayatın gizliliği) + 6698 sayılı KVKK. Düzenleyici: KVK Kurumu (KVKK) — kvkk.gov.tr. Temel Tanımlar: (a) Kişisel veri: kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi (TC kimlik no, ad, soyad, adres, e-posta, telefon, finansal bilgi, sağlık bilgisi, biyometrik veri, IP adresi vb.). (b) Veri Sorumlusu: kişisel verilerin işlenmesinden sorumlu gerçek/tüzel kişi (örn. aracı kurum). (c) Veri İşleyen: veri sorumlusu adına işleyen 3. kişi (örn. bulut hizmet sağlayıcı). (d) İlgili Kişi: kişisel verisi işlenen gerçek kişi (müşteri, çalışan). 5 Veri İşleme İlkesi (KVKK m.4): (1) Hukuka + Dürüstlük: yasaya uygun + dürüst işleme. (2) Doğruluk + Güncellik: veri doğru + güncel olmalı. (3) Belirli + Açık + Meşru Amaç: işleme amacı baştan belirlenmeli. (4) Amaçla Bağlantılı + Sınırlı: aşırı veri toplamamak. (5) Süreyle Sınırlı Saklama: amacın sona ermesinden sonra silinmeli. İşleme Şartları (m.5): kural açık rıza (m.5/1); rıza aranmayan hâller (m.5/2): (a) kanunlarda açıkça öngörülmesi; (b) fiilî imkânsızlık nedeniyle hayatın veya beden bütünlüğünün korunması; (c) sözleşmenin kurulması veya ifası (örn. müşteri ile aracılık sözleşmesi); (ç) hukuki yükümlülük (örn. MASAK STR); (d) ilgili kişinin kendisinin alenileştirmesi; (e) bir hakkın tesisi, kullanılması veya korunması; (f) meşru menfaat (temel hak ve özgürlüklere zarar vermemek kaydıyla). Özel Nitelikli Veriler (m.6): ırk, etnik köken, siyasi düşünce, dini inanç, sağlık, cinsel hayat, biyometrik ve genetik veri, ceza mahkûmiyeti — işlenmesi yasak; açık rıza veya m.6/3 kapsamındaki diğer şartlardan biri (kanunda öngörülme, fiilî imkânsızlık, alenileştirme, hak tesisi, sağlık hizmetleri, istihdam ve sosyal güvenlik yükümlülükleri vb.) varsa işlenebilir (2024 değişikliği). İlgili Kişi Hakları (m.11): bilgi alma, düzeltme, silme, işleme itiraz, otomatik karar reddi, tazminat. Veri İhlali Bildirim Süresi (m.12): 72 saat içinde KVKK\'ya bildirim zorunlu. İhlal cezası: 50K-1,8M TL (2026) idari para cezası + KVKK m.17 hapis 1-3 yıl (kasten ifşa).
KYC + CDDMüşteri tanıma + risk
KYC + CDD — MÜŞTERİ TANIMA
5549 m.3 + III-37.1 + 39.1 — Müşteri Tanıma (Customer Due Diligence — CDD): yükümlü kuruluşların müşteri kabul + işlem öncesi yapması gereken kimlik tespiti + risk değerlendirmesi süreci. Hukuki dayanak: 5549 sayılı SGAÖK m.3 + III-37.1 Yatırım Hizmetleri Tebliği + III-39.1 Uygunluk Testi Tebliği. 4 Aşamalı Süreç: (1) Kimlik Tespiti: TC kimlik kartı + fotoğraflı belge; 2026\'dan itibaren e-Devlet entegrasyonu standart. (2) Mali Durum Tespiti: gelir kaynağı + vergi beyannamesi + maaş bordrosu; aylık gelir + varlık beyanı. (3) Risk Sınıflandırma: düşük/orta/yüksek/aşırı yüksek risk profilleri; PEP (politically exposed person) kontrolü. (4) İşlem İzleme (Ongoing Monitoring): müşteri profili ile sürekli karşılaştırma; anomali tespiti. Müşteri Risk Faktörleri: (a) Yüksek Risk: PEP, yüksek risk ülke vatandaşı, nakit yoğun iş, anonim müşteri; (b) Standart Risk: düzenli gelirli birey, küçük şirket; (c) Düşük Risk: kamu kurumu, listelenmiş şirket, banka. Aşamalı CDD (Risk Bazlı): (1) Basitleştirilmiş CDD: düşük risk müşteri için; standart belge yeterli. (2) Standart CDD: orta risk müşteri için; tam belge + risk sorguları. (3) Sıkılaştırılmış CDD (EDD — Enhanced Due Diligence): yüksek risk müşteri için; ek belge, kaynak ispatı, üst yönetim onayı, periyodik gözden geçirme. PEP (Politically Exposed Person): (a) Yurt İçi PEP: bakanlar, milletvekilleri, üst düzey kamu yetkilileri, yargıçlar, askeri yetkililer + 1. derece akrabalar + yakın iş ortakları. (b) Yurt Dışı PEP: yabancı ülke devlet başkanı + bakanları + yargıç + askeri yetkilileri. (c) PEP işlemleri: zorunlu EDD; üst yönetim onayı; yıllık gözden geçirme; STR şüphesi varsa derhal bildirim. İşlem Kabul Eşikleri: nakit işlem 75K TL üstünde kimlik kontrolü zorunlu (5549 m.3 + Tebliğ); 200K+ TL üstü ek belge. Saklama: müşteri belgeleri + işlem kayıtları en az 8 yıl saklanmak zorunda (5549 m.8).
Veri İhlali72 saat bildirim
VERİ İHLALİ + 72 SAAT BİLDİRİM
KVKK m.12 + KVKK Kurulu yaptırımları — Veri İhlali (Data Breach — KVKK m.12): kişisel verilerin kanunsuz olarak başkaları tarafından elde edilmesi halinde veri sorumlusunun yükümlülükleri. İhlal Tespiti Sonrası 72 Saat İçinde: (1) KVKK Kurumu\'na Bildirim: kvkk.gov.tr/Veri-Ihlali-Bildirimi formu üzerinden online; ihlal niteliği + etkilenen veri türleri + kişi sayısı + alınan tedbirler. (2) İlgili Kişilere Bildirim: makul süre içinde etkilenen kişilere ihlal bilgisi + alınabilecek koruma tedbirleri. (3) Kayıt Tutma: ihlal kaynağı, etkilenen veri, alınan tedbir kayıtları. Tipik Veri İhlali Senaryoları: (1) Siber Saldırı: hack, ransomware, DDoS — müşteri veritabanı çalınması. (2) Çalışan Hatası: e-posta yanlış adrese, USB kayıp, yanlış paylaşım. (3) Üçüncü Taraf İhlali: bulut hizmet sağlayıcı veri ihlali; tedarikçi sızdırması. (4) İçeriden Tehdit: çalışan kötü niyetli veri çalması; sırrı ifşa. (5) Fiziksel İhlal: ofis hırsızlığı, dosya kayıp, çöpe atılan belgeler. KVKK Kurulu Yaptırımları: (a) İdari Para Cezası: 50K-1,8M TL (2026 üst sınır); ihlal ağırlığına göre. (b) Veri İşleme Faaliyeti Yasakları: belirli işleme faaliyetleri durdurulabilir. (c) İdari Tedbirler: silinme + düzeltme zorunluluğu. (d) Cezai Yaptırım (KVKK m.17): kasten ifşa = 1-3 yıl hapis; nitelikli halde 2-4 yıl. İlgili Kişi Tazminat Hakkı: TBK m.49 sebepsiz zenginleşme + tazminat; manevi tazminat dahil. 2024-2025 Türkiye verisi: KVKK Kurulu yıllık ~500-800 ihlal kararı; toplam idari para cezası 200-500M TL; en yüksek bireysel ceza ~1,8M TL. Pratik etki: aracı kurumlar siber güvenlik bütçesini son 5 yılda 3-5 kat artırdı.
MASAK ↔ KVKKÇakışma çözümü
MASAK ↔ KVKK ÇAKIŞMA
Hangi yükümlülük öncelik kazanır? — MASAK ↔ KVKK Çakışma: aracı kurumlar iki paralel yükümlülük altında — STR bildirimi (5549 m.4) ile müşteri verisi koruma (KVKK m.5-6) bazen çakışır. Çakışma Senaryoları: (1) STR Bildirimi vs Müşteri Onayı: KVKK normalde müşteri açık rızası ister; STR\'de tipping-off yasağı var (müşteri haber alamaz). Çözüm: 5549 \'hukuki yükümlülük\' niteliğinde; KVKK m.5/2-ç gereği rıza gerekmez. (2) Veri Saklama vs Silme Hakkı: KVKK m.7 \'amacın sona ermesi halinde silinmeli\' der; 5549 ise 8 yıl saklama zorunlu. Çözüm: AML saklama hukuki yükümlülük; KVKK silme hakkı önceliklenmez. (3) Bildirim Sırasında Tipping-off: müşteri \'verilerimi göstermeyin\' diye talep ederse — KVKK m.11 hakkı kullanılabilir mi? Çözüm: HAYIR — STR durumlarında KVKK hakları sınırlanır; tipping-off yasağı geçerlidir. Hiyerarşi: (a) Anayasa m.20: özel hayat gizliliği — temel hak. (b) 5549 + KVKK: özel kanunlar — KVKK m.28 \'kanunlara dayalı işleme\' ile uyumlu. (c) İçtihat: AYM + Yargıtay kararları AML yükümlülüğünü genelde KVKK üzerinden tutar — kamu yararı. Pratik Yönetim: (1) Aydınlatma Metni Genel: müşteriye \'verileriniz AML/KVKK yükümlülüğü gereği belirli durumlarda paylaşılabilir\' bildirimi (STR detayı verilmez). (2) Onay Tasarımı: müşterinin sözleşme ile rıza vermesi (örn. aracılık sözleşmesi madde X). (3) Compliance Koordinasyonu: AML görevlisi + KVKK görevlisi ortak çalışır; çakışma vakalarında yazılı not. (4) Kayıt: hangi veri hangi yükümlülük gereği işlendi/saklandı — sicile kaydedilir. Önemli: SPL meslek mensubu hem AML hem KVKK eğitimi almak zorunda; etik ihlal alarmı her ikisini içerebilir.
FATF + UluslararasıGri liste + Egmont
FATF + ULUSLARARASI ÇERÇEVE
Egmont Group + AB AMLD + Türkiye gri liste — FATF (Financial Action Task Force): 1989\'da G7 tarafından kurulan, uluslararası AML/CFT standartlarını belirleyen kuruluş. FATF 40 Tavsiye: küresel AML/CFT standardı; tüm üye ülkeler bu tavsiyelere uyumlu mevzuat çıkarmak zorunda. Türkiye + FATF: 1991\'den beri üye; 5549 sayılı SGAÖK FATF tavsiyelerine dayanır. FATF Gri Liste 2021-2024: Türkiye 2021 Ekim\'inde gri listeye alındı; AML/CFT eksiklikleri tespit edildi (özellikle terörün finansmanı önleme, müsadere, kripto, gayrimenkul). 2024 Haziran\'da çıkarıldı — kapsamlı reform sonrası. Etkileri 2021-2024: (a) Yabancı banka muhabir ilişkilerinde sıkılaştırma; (b) Yabancı yatırımcı tedirginliği; (c) Türk Lirası volatilite artışı; (d) Sermaye girişlerinde azalma. Egmont Group: dünyanın FIU\'ları (Financial Intelligence Unit) arası bilgi paylaşım birliği; MASAK üyesi; 170+ ülke. AB AMLD (AML Directives): AB\'nin aklama önleme direktifleri — 6. Direktif (6AMLD) 2021\'den itibaren yürürlükte; AB üyesi olmasa da Türkiye AB ile ticari ilişkilerde uyumlu olmak için takip ediyor. Uluslararası Yaptırımlar (Sanctions): ABD OFAC + AB + BM yaptırım listeleri — Türk aracı kurumlar bu listeleri otomatik tarama yapmak zorunda. OFAC SDN List: Specially Designated Nationals — yaptırımlı kişi/kuruluşlar; Türk bankaları + aracı kurumlar otomatik tarama; eşleşme halinde işlem reddi + STR. Crypto + FATF Travel Rule: 2019\'dan itibaren kripto işlemlerinde \'travel rule\' — 1.000 USD üstü işlemlerde gönderici + alıcı bilgisi paylaşımı zorunlu. Türkiye 2024 reformu kripto borsaları için uyum gerektirdi. FATF Mutual Evaluation: her 5-7 yılda bir üye ülke karşılıklı değerlendirme; Türkiye son değerlendirmesi 2019\'da; sonraki ~2026.
Aracı Kurum AML/KVKK Yapısı
5549 m.5 Sorumluluk
Aml Uyum Görevlisi
Yükümlü kuruluşun AML programını yönetir. Ana sorumluluklar: (1) STR bildirimlerini hazırlar + MASAK'a iletir; (2) Müşteri risk değerlendirmesi yapar; (3) Çalışanlara AML eğitimi verir (yıllık 4-8 saat); (4) Yıllık AML risk değerlendirmesi raporu hazırlar; (5) MASAK denetimine yanıt verir; (6) İç AML politikasını günceller; (7) İşlem izleme sistemlerini denetler. Bağımsızlık: doğrudan üst yönetime raporlar; bağımsız bütçe + ekip yetkili. SPL gerekliliği: genelde Düzey 3 + ek AML eğitimi. Yıllık ücret: 500K-3M TL aralığında; aracı kurum büyüklüğüne göre. İhlal sonucu: 5549 m.13 — AML görevlisi şahsen 100K-500K TL idari para cezası riski.
Kişisel Veri Koruma
KVKK VERİ KORUMA GÖREVLİSİ (DPO)
KVKK uyumunu yöneten birim. Ana sorumluluklar: (1) Aydınlatma metinleri + rıza süreçleri; (2) Veri Sorumluları Sicili (VERBİS) güncellemesi; (3) Veri ihlali yönetimi (72 saat süre); (4) İlgili kişi taleplerine yanıt (30 gün içinde); (5) KVKK Kurulu denetim koordinasyonu; (6) Çalışan eğitimleri; (7) Üçüncü taraf veri paylaşım sözleşmeleri. Tipik DPO profili: hukuk + IT + risk yönetimi karması; KVKK sertifikası tercih edilir. Yıllık aktiviteler: yıllık denetim, ihlal simülasyonları, çalışan eğitimi 100-1.000 vaka. İhlal sonucu — kurumsal: KVKK 50K-1,8M TL ceza + KVKK m.17 hapis (kasten ifşa). Bağımsızlık: ideal olarak compliance ekibinden ayrı; doğrudan üst yönetime raporlar.
Otomatik Şüpheli İşlem Tespiti
İŞLEM İZLEME SİSTEMİ (TM)
Tüm aracı kurumların kullanması zorunlu olan otomatik Transaction Monitoring sistemi. Ana özellikler: (1) Eşik Bazlı Uyarılar: 50K TL eşik altı çoklu işlem; 200K TL+ büyük işlem; profil dışı işlem. (2) Patern Tanıma: smurfing, layering, hızlı para hareketi; sahte fatura ile uyumlu tutarlar. (3) Yaptırım Listesi Eşleştirme: OFAC + BM + AB + iç liste; otomatik tarama her işlemde. (4) PEP Tarama: PEP veritabanları ile periyodik karşılaştırma. (5) Coğrafi Risk: yüksek risk ülkeleri ile işlemlerin işaretlenmesi. (6) Yapay Zeka: 2024+ ML modelleri anormal davranış tespit (anomaly detection). Aylık çıktı: 1.000-10.000+ uyarı (büyük aracı kurumda); AML uyum görevlisi inceleme; yıllık 100-500 STR. Sistem maliyeti: yıllık 5-25M TL (yazılım + lisans + personel).
e-KYC + Onboarding
MÜŞTERİ KABUL SÜRECİ — DİJİTAL
2026 itibariyle aracı kurumların büyük çoğunluğu dijital müşteri kabul süreci kullanıyor. e-KYC adımları: (1) e-Devlet entegrasyonu — TC kimlik bilgisi otomatik çekilir; (2) Yüz tanıma + selfie + canlılık testi (liveness detection); (3) Mali durum + gelir formu — banka API entegrasyonu (örn. Open Banking); (4) Risk profili anketi — uygunluk testi otomatik; (5) PEP + yaptırım listesi otomatik tarama; (6) Sözleşme + KVKK + AML rıza dijital imza; (7) Onay aşaması — düşük risk anlık, yüksek risk manuel inceleme. Avantajlar: hızlı (5-15 dakika); maliyet düşük (kişi başı ~50-100 TL); izlenebilir kayıt. Riskler: (a) Sahte kimlik (deepfake); (b) Çalınan TC kimlik; (c) Üçüncü taraf adına başvuru. Karşı tedbirler: çoklu doğrulama, biyometrik kontrol, davranışsal analiz.
Yaygın Tuzaklar — 4 Karıştırma
1. "STR yaparken müşteriye bilgi verilebilir" yanlış
Şüpheli işlem bildirimi yaparken müşteriye "verilerinizi MASAK'a bildiriyoruz" diyerek bilgi vermek hem KVKK gereği şeffaflık hem de etik zorunluluktur.
Tipping-off yasağı (5549 m.4/2) — Müşteri STR yapıldığını ASLA öğrenmemelidir. Tipping-off Yasağı Hukuki Çerçevesi: (1) Tanım: tipping-off = müşteriye veya 3. tarafa STR'nin yapıldığı / yapılacağı / yapılmış olduğu bilgisinin verilmesi. (2) Yasak Kapsamı: STR konusu işlem; ilgili müşteri; bildirim süreci; MASAK denetimi. (3) İhlal Cezası: 5549 m.13 idari para cezası 50K-3M TL + TCK m.282 (aklamaya yardım veya kolaylaştırma 3-7 yıl hapis riski) + bireysel SPL lisansı iptali. (4) Kapsam İçi İletişim: müşteriye normal hizmet sunulmaya devam edilir; müşteri sorduğunda "genel uyum süreçleri kapsamında" gibi neutral yanıt verilir; "şüpheli işlem var" denmez. (5) Çalışan İçi Gizlilik: STR sadece AML uyum görevlisi + üst yönetim arasında paylaşılır; diğer çalışanlar bilmez. KVKK ile Çakışma Çözümü: (a) KVKK m.5/2-ç "hukuki yükümlülük" istisna kapsamı — 5549 STR yükümlülüğü buna girer; (b) KVKK aydınlatma yükümlülüğü genel olarak yapılır ("verileriniz AML kapsamında paylaşılabilir"); ama spesifik STR'den haber verilmez. (c) Müşterinin KVKK m.11 "bilgi alma hakkı" sınırlanır — STR detayları paylaşılmaz. Pratik Örnek 2024: bir aracı kurum çalışanı uzun süreli müşterisini STR'den haberdar etti ("dikkat ol, MASAK'a bildirim yapıyoruz") → MASAK soruşturma → çalışana 4 yıl hapis cezası + 500K TL adli para; aracı kurum 5M TL idari para cezası. Doğru Yaklaşım: (a) STR yapıldıktan sonra müşteri ilişkisi normal devam eder; (b) Müşteri hesap kapatma talebi olursa süreç olağan; (c) Müşteri "neden veri istemişler" sorularsa "genel uyum süreçleri kapsamında" denir; (d) Kayıt + dokümantasyon eksiksiz olur. Önemli — STR yapan kişi koruması: 5549 m.10 STR yapanın kimlik gizliliği + tazminata uğramama hakkı. STR yapan çalışan veya aracı kurum hukuki sorumluluk üstlenmez (iyi niyetli bildirim halinde). Klasik tuzak: "şeffaflık iyi, müşteriye söyleyim" yanılgısı; gerçek: tipping-off ciddi suç; gizlilik korunmalı.
2. "KVKK her durumda müşteri rızası şart" yanlış
KVKK kapsamında müşteri verilerini işlemek için her zaman müşterinin açık rızası alınmalıdır; rıza olmadan veri işleme suçtur.
KVKK m.5'te açık rızanın yanında rıza aranmayan 7 işleme şartı vardır; rıza tek yol değildir. KVKK m.5 İşleme Şartları (kümülatif değil, alternatif): Açık Rıza (m.5/1): temel kural ama tek yol değil; belirli konuya ilişkin, bilgilendirmeye dayalı, özgür iradeyle açıklanır. (a) Kanunlarda Açıkça Öngörülmesi: özel kanun hükmü (örn. SPKn, TTK). (b) Fiilî İmkânsızlık: rızasını açıklayamayan kişinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması. (c) Sözleşme Gerekleri: aracılık sözleşmesi, mevduat sözleşmesi gibi — taraf olduğu sözleşmenin gerekleri. (ç) Hukuki Yükümlülük: 5549 STR, vergi beyannamesi gibi yasal zorunluluk — RIZA GEREKMEZ. (d) Aleniyet: ilgili kişinin kendisi alenileştirmiş bilgi (örn. sosyal medyada paylaşmış). (e) Hak Tesisi/Savunma: hukuki uyuşmazlıkta delil kullanımı. (f) Meşru Menfaat: sınırlı — temel hakları zedelememek koşuluyla. Aracı Kurum İçin Tipik Çakışmalar: (1) Müşteri KYC bilgisi → "sözleşme gerekleri" (m.5/2-c) + "hukuki yükümlülük" (m.5/2-ç); rıza gerekmez. (2) STR bildirimi → "hukuki yükümlülük" (m.5/2-ç) — 5549 m.4. (3) SPK denetimine veri sunumu → "hukuki yükümlülük". (4) Pazarlama amaçlı kullanım → AÇIK RIZA gerekir (m.5/1); sözleşme yetersiz. (5) Üçüncü taraf paylaşım (ortak veya rakip) → AÇIK RIZA + amaç bağlantılı olmalı. Özel Nitelikli Veriler (KVKK m.6): ırk, etnik, siyasi düşünce, din, sağlık, cinsel, biyometrik, ceza mahkumiyeti — işlenmesi yasak; açık rıza veya m.6/3'teki diğer şartlardan biri (kanunda öngörülme, fiilî imkânsızlık, alenileştirme, hak tesisi vb.) gerekir (2024 değişikliği). Pratik Örnek: bir aracı kurum müşterinin TC kimlik + adres + telefon bilgisini topluyor → KYC + sözleşme gerekleri (m.5/2-c) + hukuki yükümlülük (m.5/2-ç) yeterli; rıza gerekmez. AMA aynı bilgiyi başka şirkete satmak için rıza gerekli. Klasik tuzak: "her durumda rıza şart" yanılgısı; gerçek: açık rıza dışında 7 alternatif şart var. Önemli — Aydınlatma yükümlülüğü ayrı: rıza gerekmese bile aydınlatma metni vermek zorunlu (KVKK m.10) — "bu verileri şu amaçla, şu süre, şu şekilde işleyeceğiz" bilgisi. İhlal cezası: KVKK m.18 — aydınlatma + güvenlik ihlalleri 50K-1,8M TL idari para cezası.
3. "Veri ihlali olursa sadece sigorta öder, KVKK'ya bildirim gerekmez" yanlış
Aracı kurum siber saldırıya uğradı, müşteri verisi çalındı; ihlal sigortası tarafından kapsanır, KVKK'ya bildirim gerekmez çünkü müşteriler bilgilendirilirse panik olur.
KVKK m.12 — Veri ihlali tespit edildiğinde 72 saat içinde KVKK Kurumu'na bildirim ZORUNLU; ayrıca ilgili kişilere makul süre içinde bildirim. 72 Saat Bildirim Yükümlülüğü: (1) Tespit anı: ihlal fark edildiği an itibariyle saat sayımı başlar. (2) KVKK Kurumu Bildirim: 72 saat içinde kvkk.gov.tr/Veri-Ihlali-Bildirimi formu üzerinden online; ihlal niteliği + etkilenen veri türleri + kişi sayısı + alınan tedbirler. (3) İlgili Kişilere Bildirim: makul süre içinde (genelde 1-2 hafta); etkilenen kişilere ihlal bilgisi + alınabilecek koruma tedbirleri. (4) Kayıt Tutma: ihlal kaynağı + etkilenen veri + alınan tedbir kayıtları 5 yıl saklanır. Bildirim İçeriği (KVKK Kurulu Talimat): (a) İhlal niteliği — siber saldırı, çalışan hatası, üçüncü taraf vb.; (b) Etkilenen veri kategorileri — kimlik, finansal, sağlık vb.; (c) Etkilenen kişi sayısı; (d) Olası sonuçlar — kimlik hırsızlığı, finansal kayıp, itibar zararı; (e) Alınan teknik + idari tedbirler; (f) Kişilere yapılacak/yapılmış bildirim. Bildirim Yapmama Cezası: KVKK m.18 — 50K-1,8M TL idari para cezası + KVKK m.17 cezai yaptırım riski (kasten gizleme = nitelikli ifşa = 2-4 yıl hapis). Pratik Örnekler 2024-2025: (1) Bir Türk aracı kurum siber saldırı sonucu 50.000 müşterinin verisi çalındı; 72 saat içinde KVKK'ya bildirim yapıldı + müşterilere e-posta + KAP açıklaması; sonuç: 800K TL idari para cezası + müşteri tazmin davaları. (2) Bir başka aracı kurum 5 ay sonra ihlali açıkladı (geç bildirim); ek 1,5M TL ceza + KVKK Kurulu yıllık denetim hedefine alındı. Sigorta + KVKK Bildirim: (a) Siber sigorta sadece mali kayıpları öder (tazminat, restorasyon); (b) KVKK bildirim YASAL zorunluluk — sigorta bunu kaldırmaz; (c) Sigorta sözleşmesi genelde "yasal yükümlülüklerin yerine getirilmesi" şartını içerir. Önemli — Müşteri Bilgilendirme + Panik Yönetimi: KVKK Kurulu rehberi: "şeffaf + zamanında + yapıcı" bildirim önerir; "riski azaltma rehberi" ile birlikte. Müşteri panik yapmaması için: alınan tedbirler + kişisel koruma önerileri (parola değişimi vb.) + iletişim kanalları aktarılır. Klasik tuzak: "sigortayla halledilir" yanılgısı; gerçek: yasal yükümlülük + cezai risk + itibar yönetimi ayrı.
4. "AML saklama 8 yıl, KVKK silme öncelikli — silme hakkı her zaman uygulanır" yanlış
Müşteri "verilerimi silin" derse aracı kurum tüm AML kayıtları dahil siler; KVKK silme hakkı (m.7) her şeyden önceliklidir.
5549 m.8 — KYC + işlem kayıtları en az 8 yıl saklanmak zorunda; KVKK silme hakkı bu yükümlülük karşısında geri çekilir. Hukuki Hiyerarşi: (1) KVKK m.7 — Silme Hakkı: ilgili kişi verilerinin silinmesini talep edebilir; veri sorumlusu makul süre içinde silmelidir. (2) İSTİSNA — Diğer Kanun Yükümlülükleri: KVKK m.7/2-c — "diğer kanun hükümleri uyarınca işlenmesi gerekenler" silme hakkı kapsamı dışıdır. (3) 5549 m.8 Saklama Yükümlülüğü: KYC belgeleri + işlem kayıtları + STR raporları + bağımsızlık beyanları en az 8 yıl saklanır. (4) Bu Süre İçinde Silme YASAK: aracı kurum silmek isterse bile yapamaz; AML sicili devamı gerekir. Kapsam Detayları: (a) 8 yıl saklanması zorunlu kayıtlar: müşteri kimlik belgeleri, hesap açılış formu, işlem kayıtları, STR bildirimleri, AML risk değerlendirmeleri, MASAK yazışmaları, denetim raporları. (b) 8 yıl sonrasında: AML yükümlülük sona erer; KVKK silme hakkı uygulanabilir hale gelir. (c) Diğer kanun yükümlülükleri: vergi (5 yıl), TTK (10 yıl), iş hukuku (5 yıl) gibi paralel saklama. Müşteri Talep Yanıtı: müşteri silme talep ettiğinde aracı kurum: (1) 8 yıl saklama yükümlülüğünü açıklar; (2) Pazarlama amaçlı işleme durdurulur; (3) Aktif kullanım sonlandırılır; (4) Verilerin sadece AML/yasal yükümlülük kapsamında saklanacağı bildirilir. Pratik Örnek 2024: bir müşteri 2 yıl önce hesabını kapattı + KVKK silme talep etti. Aracı kurum yanıtı: "hesap aktif kullanım sonlandı; pazarlama amaçlı veri işleme durduruldu; 5549 m.8 gereği KYC + işlem kayıtları 6 yıl daha saklanacak; bu süre sonunda otomatik silinecek." KVKK Kurulu İçtihadı: KVKK Kurulu silme hakkını AML yükümlülüğü karşısında genelde geri çekmiştir — kamu yararı önceliği. İhlal cezası — yanlış silme: 5549 m.13 — 100K-1M TL idari para cezası (AML kayıt eksikliği); ayrıca MASAK soruşturmalarında delil yetersizliği nedeniyle ek yaptırım. Klasik tuzak: "KVKK üst, AML alt" yanılgısı; gerçek: özel kanun (5549) genel kanun (KVKK) önündedir kamu yükümlülüğü olduğunda.
2026 Mart ayında karmaşık bir AML/KVKK vakası: Aracı kurum AK-V. (1) Müşteri M (5 yıllık, KOBİ sahibi) son 6 ay 12 farklı hesaba ortalama 45K TL nakit yatırım yaptı (smurfing paterni); toplam 540K TL. (2) AK-V işlem izleme sistemi uyarı verdi ama AML uyum görevlisi 3 ay yanıt vermedi (STR gecikmesi). (3) Müşteri M'in hesabı 3. taraf siber saldırıyla tehlikeye girdi; 5.000 müşterinin verisi internete sızdı. AK-V 6 hafta sonra fark etti; KVKK'ya bildirim yapmadı. (4) M'in eşi M'in hesabını öğrenmek için AK-V çağrı merkezi aradı; bir çalışan müşteri rızası olmadan TC + adres + işlem geçmişini aktardı (KVKK m.17 ihlal). (5) M aslında bir uyuşturucu organizasyonu ile bağlantılı çıktı; MASAK kendi soruşturmasında 540K TL'nin alt suç olarak uyuşturucu kaçakçılığından elde edildiğini tespit etti. SPK + MASAK + KVKK + Cumhuriyet Savcılığı için yaptırımlar nasıl şekillenir?
Cevabı göster
AK-V — Çoklu Mevzuat İhlali Vakası
1. İHLALLERİN TESPİTİ + HUKUKİ NİTELENDİRME
İhlal 1 — STR Gecikmesi (5549 m.4):
• İşlem izleme sistemi 6 ay önce uyarı verdi
• AML uyum görevlisi 3 ay yanıt vermedi
• Yasal süre: tespit ardından 10 iş günü; ağır şüphede 24 saat
• Cezası: 5549 m.13 — 1-3M TL (kurumsal) + AML görevlisi bireysel 100-500K TL
İhlal 2 — Aklamaya Yardım (TCK m.282):
• AK-V smurfing paternini fark edip STR yapsaydı aklama erken tespit edilebilirdi
• Şartlı kasıt + ihmal varsa (3 ay süreçte yanıt yok) → aklamaya yardım veya kolaylaştırma riski
• Cezası: 3-7 yıl hapis (AML görevlisi + üst yönetim)
İhlal 3 — KVKK Veri İhlali Bildirim Eksikliği (m.12):
• 5.000 müşterinin verisi sızdı
• 72 saat içinde KVKK'ya bildirim yapılmadı
• 6 hafta sonra fark + bildirim yok
• Cezası: KVKK m.18 — 500K-1,8M TL idari para cezası
İhlal 4 — KVKK Kasten İfşa (m.17):
• Çağrı merkezi çalışanı müşteri rızası olmadan veri paylaştı
• Müşterinin eşi 3. kişi olarak bilgi aldı
• Cezası: KVKK m.17 — 1-3 yıl hapis (çalışan); kurumsal idari para 100-500K TL
İhlal 5 — Yetersiz Veri Güvenliği (KVKK m.12 + Veri İhlali):
• Siber saldırı 3. taraf üzerinden gerçekleşti
• AK-V tedarikçi denetimi yetersizdi
• Cezası: KVKK 200K-1,5M TL idari para cezası
İhlal 6 — Müşteri M (TCK m.282):
• Aklama suçu — alt suç uyuşturucu kaçakçılığı
• Cezası: 3-7 yıl hapis + adli para + 540K TL müsadere
2. KURUMSAL VE BİREYSEL YAPTIRIMLAR
| Sanık | İdari Para Cezası | Cezai Yaptırım |
|---|---|---|
| **AK-V (kurumsal)** | 3-7M TL (MASAK + KVKK + SPK) | — |
| **AML Uyum Görevlisi** | 100-500K TL bireysel | 2-5 yıl hapis riski (m.282) |
| **DPO (KVKK Görevlisi)** | 100-300K TL | KVKK m.17 1-3 yıl |
| **Çağrı Merkezi Çalışanı** | — | KVKK m.17 1-3 yıl + iş akdi feshi |
| **Müşteri M** | — | TCK m.282: 3-7 yıl hapis + müsadere |
| **Üst Yönetim (CEO+CFO)** | 200-500K TL bireysel | İhmal varsa cezai sorumluluk |
| **Toplam (kurumsal + bireysel)** | **3,5-8M TL** | **+ Cezai davalar** |
3. SPK + SPL EK YAPTIRIMI
SPK İdari: AK-V için 5-25M TL ek idari para cezası (yatırım hizmeti yetkisi sıkı denetimi)
SPL Yaptırımı: AML uyum görevlisi + DPO için SPL lisans askıya alma 6-12 ay; ağır halde iptal
Aracı Kurum Yetki Etkisi: bazı yetki kategorileri 12-24 ay askıya alınabilir; SPK gözetim listesi
4. CEZAİ SÜREÇ (CUMHURİYET SAVCILIĞI)
Müşteri M için:
• Ana suç: Aklama (TCK m.282) → 5-7 yıl hapis
• Alt suç: Uyuşturucu kaçakçılığı → ek 5-10 yıl hapis (TCK + 5237)
• Birleşik suç (TCK m.42): en ağır + 1/4 ile 3/4 artırma
• Adli para cezası: 5-15M TL
• Müsadere: 540K TL + faiz + uyuşturucu sürecinden ek varlıklar
AK-V AML Görevlisi için:
• İhmal/şartlı kasıt halinde aklamaya yardım → 3-5 yıl hapis
• Etkin pişmanlık (TCK m.282/6): kovuşturma başlamadan önce suç konusu değerlerin ele geçirilmesini sağlarsa → cezaya hükmolunmaz
Çağrı Merkezi Çalışanı için:
• KVKK m.17 kasten ifşa: 1-3 yıl hapis
• Müşteri sırrının açıklanması: TCK m.239 (ticari sır / müşteri sırrı); 6362'de genel bir sır ifşa suçu yoktur
• İş akdi feshedilir; tazminat hakkı kaybı
5. MÜŞTERİ TAZMİNATI
5.000 müşteri için (veri ihlali):
• Bireysel TBK m.49 sebepsiz zenginleşme + tazminat davaları
• Manevi tazminat dahil — kişi başı 5K-50K TL aralığında
• Toplu dava potansiyeli: 25-250M TL
Müşteri M'in eşi (kasten ifşa):
• Manevi tazminat — KVKK m.17 ihlali
• Bireysel dava: 50-200K TL
6. UZUN VADELİ KURUMSAL ETKİLER (AK-V)
(1) MASAK Yıllık Denetim: 2-3 yıl boyunca sıkı denetim
(2) KVKK Kurulu Periyodik Denetim: yıllık denetim + ek tedbir gereksinimleri
(3) SPK Gözetim Listesi: 18-36 ay
(4) İtibar Zararı: müşteri kaybı %30-50
(5) Siber Güvenlik Reform: 5-15M TL ek yatırım
(6) AML Programı Yenileme: tüm prosedürler + sistemler güncellenir
(7) Personel Eğitimi: tüm çalışanlar için ek AML + KVKK eğitimi
(8) Bağımsız Danışmanlık: dış uzmanlar 1-2 yıl tedarik
(9) Yıllık Bağımsız Denetim: AML + KVKK uyumu üçüncü taraf doğrulama
(10) Yetki Askıya Alma: bazı yatırım hizmeti kategorileri 12-24 ay
(11) Sigorta Primlerinde Artış: siber + mesleki sorumluluk sigortası 2-3 kat
(12) Üst Yönetim Değişikliği: CEO + CFO + Compliance Officer pozisyonları yenilenir
SPL/SPK SINAV İPUCU
Bu vakada 12 kritik kavram:
• STR yükümlülüğü (5549 m.4): 10 iş günü süre + tipping-off yasağı
• Aklama suçu (TCK m.282): 3-7 yıl hapis + 3 aşama
• Smurfing: eşik altı çoklu nakit yatırım
• KVKK 72 saat veri ihlali bildirim: m.12 zorunluluğu
• KVKK m.17 kasten ifşa: 1-3 yıl hapis (cezai)
• Çoklu yaptırım çerçevesi: MASAK + KVKK + SPK + Cumhuriyet Savcılığı
• 5549 m.8 — 8 yıl saklama: KVKK silme hakkı sınırlanır
• Aklamaya yardım (m.282/2): ihmal halinde finansal kuruluş sorumluluğu
• Etkin pişmanlık (m.282/6): kovuşturmadan önce değerlerin ele geçirilmesini sağlayana ceza verilmez
• Müşteri tazmini: TBK m.49 + manevi tazminat
• FATF Travel Rule: kripto + kara para önleme
• İşlem izleme sistemi: zorunlu otomatik tespit
SPL Geniş Kapsamlı Mevzuat sınavının %15-20'si MASAK + KVKK + müşteri bilgi yönetimi konularıdır.
Kendini dene
Mini Quiz
Özet — Akılda Kalanlar
- MASAK (Mali Suçları Araştırma Kurulu): T.C. Hazine ve Maliye Bakanlığı'na bağlı; aklama + terörün finansmanı önleme; masak.hmb.gov.tr.
- 5549 sayılı SGAÖK: 2006'dan beri yürürlükte; AML/CFT temel mevzuatı.
- FATF üyesi: 1989 G7 kuruluşu; 40 Tavsiye küresel AML standardı.
- FATF Gri Liste 2021-2024: Türkiye 2021 Ekim'de alındı; 2024 Haziran'da çıkarıldı.
- Egmont Group: dünya FIU'ları arası bilgi paylaşım birliği; MASAK üyesi.
- Aklama suçu (TCK m.282): 3-7 yıl hapis + adli para + müsadere.
- 3 aşama (FATF modeli): Placement (yerleştirme) + Layering (katmanlandırma) + Integration (bütünleştirme).
- Alt suç (predicate): aklamadan önce gerçekleşen suç (uyuşturucu, insan ticareti, yolsuzluk, vergi).
- Tipik aklama yöntemleri: smurfing, shell company, trade-based, gayrimenkul, casino, kripto, hawala.
- Etkin pişmanlık (TCK m.282/6): kovuşturma başlamadan önce suç konusu değerlerin ele geçirilmesini sağlayana cezaya hükmolunmaz.
- STR yükümlülüğü (5549 m.4): yükümlü kuruluşlar şüpheli işlemleri MASAK'a bildirmeli.
- STR süresi: tespit ardından 10 iş günü; ağır şüphede 24 saat acil.
- Tipping-off yasağı (m.4/2): müşteri STR'den haber alamaz; ihlal halinde ceza.
- STR yapan koruma (5549 m.10): kimlik gizliliği + tazminata uğramama hakkı.
- STR red flags: profil uyumsuzluğu, smurfing, hızlı para hareketi, coğrafi risk, aracı kullanımı, belge eksikliği, stratejik hatalar, yaptırım listesi.
- Kimlik tespiti eşikleri: 370.000 TL ve üzeri işlem, 30.000 TL ve üzeri elektronik transfer (RG 7.10.2026); şüphede eşik yok.
- KYC (5549 m.3): kimlik tespiti + mali durum + risk sınıflandırma + işlem izleme.
- Risk bazlı CDD: basitleştirilmiş (düşük), standart (orta), sıkılaştırılmış EDD (yüksek).
- PEP (Politically Exposed Person): yurt içi + yurt dışı; zorunlu EDD.
- Saklama süresi (5549 m.8): KYC + işlem kayıtları en az 8 yıl.
- KVKK (6698 sayılı, 2016): AB GDPR uyumlu; düzenleyici KVK Kurumu — kvkk.gov.tr.
- 5 işleme ilkesi (m.4): hukuka uygunluk, doğruluk, belirli amaç, sınırlı veri, süreyle sınırlı saklama.
- İşleme şartları (m.5): açık rıza (m.5/1) ya da rıza aranmayan 7 şart (m.5/2) — kanunda öngörülme, fiilî imkânsızlık, sözleşme, hukuki yükümlülük, alenileştirme, hak tesisi, meşru menfaat.
- Özel nitelikli veriler (m.6): ırk, din, sağlık, cinsel hayat, biyometrik/genetik, ceza mahkûmiyeti — kural olarak yasak; açık rıza veya m.6/3'teki diğer şartlarla işlenebilir (2024 değişikliği).
- İlgili kişi hakları (m.11): bilgi alma, düzeltme, silme, itiraz, tazminat.
- Veri ihlali bildirim (m.12): 72 saat içinde KVKK Kurumu'na + makul sürede ilgili kişilere.
- KVKK m.17 — Kasten ifşa: 1-3 yıl hapis (cezai); nitelikli halde 2-4 yıl.
- KVKK idari para cezaları: 50K-1,8M TL (2026 üst sınır).
- MASAK ↔ KVKK çakışma: 5549 hukuki yükümlülük (m.5/2-ç) → rıza gerekmez; AML saklama silme hakkı önceliklenir.
- Yaptırım listesi: OFAC SDN + BM + AB; aracı kurumlar otomatik tarama zorunlu.
- FATF Travel Rule: kripto işlem 1.000 USD üstü gönderici + alıcı bilgisi paylaşımı.
- Klasik tuzaklar: "STR'de müşteriye bilgi ver" yanlış (tipping-off); "her durumda rıza şart" yanlış (7 alternatif şart); "sigorta öder, KVKK gerek yok" yanlış (72 saat zorunlu); "silme hakkı her zaman uygulanır" yanlış (8 yıl AML saklama önce).
- SPL ağırlığı: Geniş Kapsamlı Mevzuat sınavında MASAK + KVKK + müşteri bilgi yönetimi %15-20.
Dayanak ve kaynaklar
- Açık Kaynak Mevzuat ve Referanslar
- 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun (SGAÖK). mevzuat.gov.tr.
- 5549 m.3 — Müşteri tanıma (KYC) yükümlülüğü. mevzuat.gov.tr.
- 5549 m.4 — Şüpheli işlem bildirimi (STR) + tipping-off yasağı. mevzuat.gov.tr.
- 5549 m.8 — Belge ve kayıt saklama yükümlülüğü (8 yıl). mevzuat.gov.tr.
- 5549 m.13 — İdari para cezası (50K-3M TL). mevzuat.gov.tr.
- 5237 sayılı Türk Ceza Kanunu m.282 — Suç gelirleri aklama (3-7 yıl hapis). mevzuat.gov.tr.
- TCK m.282/6 — Etkin pişmanlık: kovuşturma öncesi değerlerin ele geçirilmesini sağlayana cezaya hükmolunmaz. mevzuat.gov.tr.
- TCK m.55 — Müsadere (kazanç + araç). mevzuat.gov.tr.
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK). mevzuat.gov.tr.
- KVKK m.4 — 5 veri işleme ilkesi. mevzuat.gov.tr.
- KVKK m.5-6 — İşleme şartları + özel nitelikli veriler. mevzuat.gov.tr.
- KVKK m.7 — Verilerin silinmesi/yok edilmesi. mevzuat.gov.tr.
- KVKK m.11 — İlgili kişi hakları. mevzuat.gov.tr.
- KVKK m.12 — Veri ihlali + 72 saat bildirim. mevzuat.gov.tr.
- KVKK m.17 — Kasten ifşa cezası (1-3 yıl hapis). mevzuat.gov.tr.
- KVKK m.18 — İdari para cezası (50K-1,8M TL). mevzuat.gov.tr.
- MASAK Resmi Web Sitesi: masak.hmb.gov.tr. AML/CFT rehberleri, STR formları, yıllık faaliyet raporu.
- MASAK Genel Tebliğleri: müşteri tanıma, STR, eğitim, şüpheli işlem örnekleri. masak.hmb.gov.tr.
- KVK Kurumu Resmi Web Sitesi: kvkk.gov.tr. Karar arşivi, rehberler, veri ihlali bildirim formu.
- FATF (Financial Action Task Force): fatf-gafi.org. 40 Tavsiye + Mutual Evaluation Reports + Türkiye değerlendirmesi.
- Egmont Group: egmontgroup.org. FIU üyelik + bilgi paylaşımı.
- OFAC (US Office of Foreign Assets Control): treasury.gov/ofac. SDN List + yaptırım rehberleri.
- AB AMLD 6 (Sixth Anti-Money Laundering Directive): eur-lex.europa.eu. AB AML standartları.
- SPK III-37.1 Yatırım Hizmetleri Tebliği: müşteri sınıflandırma + KYC. mevzuat.spk.gov.tr.
- SPK III-39.1 Uygunluk Testi Tebliği: müşteri uygunluk + KYC. mevzuat.spk.gov.tr.
- Resmi Gazete: kanun + tebliğ + KVKK + MASAK düzenlemeleri yayımı. resmigazete.gov.tr.
- CC0 / Kamu Malı / Resmî
- Tüm referanslar kamu erişimine açık, telifsiz ve resmî kaynaklardır. 5549 + KVKK + TCK + ilgili mevzuat Türkiye Cumhuriyeti Resmi Gazete ile kamu malı; MASAK + KVKK Kurumu + SPK + Hazine ve Maliye düzenlemeleri kamu erişimine açıktır. FATF + Egmont + OFAC + AB AMLD belgeleri uluslararası akademik + düzenleyici kamu malıdır. Ders içeriği bu kaynaklardan paraphrase edilerek hazırlanmış olup hiçbir telifli eğitim materyali kullanılmamıştır.