Özet

Türkiye’de uzaktan kimlik tespit; 2020’de oluşturulan hukuki temel üzerine bankacılık, ödeme ve elektronik para hizmetleri, sermaye piyasası ve kripto varlık hizmetleri bakımından sektör bazlı düzenlemelerle gelişmiştir. 27 Haziran 2026 tarihli Mali Suçları Araştırma Kurulu Genel Tebliği (Sıra No: 32), Türk uyruklu olmayan gerçek kişilerin ICAO Doc 9303’e uygun, NFC özellikli pasaportlarla uzaktan kimlik tespitine imkân tanıyarak yabancı müşteri ediniminde yeni bir dönem başlatmıştır. Bu çalışmada söz konusu gelişim kronolojik ve sektörel açıdan incelenmekte; yüz yüze ve uzaktan kimlik tespiti yöntemleri karşılaştırılmaktadır. Ayrıca pasaportla uzaktan kimlik tespitinde öngörülen adres teyidi, teknik veri analizi, ilk doğrulama transferi, yüksek risk sınıflandırması, transfer kısıtlamaları ve raporlama yükümlülükleri; suç gelirlerinin aklanmasının ve terörün finansmanının önlenmesi, veri koruma, finansal kapsayıcılık ve risk temelli yaklaşım bakımından değerlendirilmektedir.

Anahtar Kelimeler

Uzaktan kimlik tespiti, dijital müşteri edinimi, pasaport, MASAK, müşterinin tanınması (KYC).

1. Giriş

Finansal hizmetlerde dijitalleşmenin ilk döneminde, mevcut müşterinin şubede kurduğu ilişkiyi internet ve mobil kanallardan sürdürmesi esas alınmaktaydı. Daha sonraki aşamada ise yalnızca işlemlerin değil, müşteri kabulünün, kimlik kontrolünün ve sözleşmenin kurulmasının da elektronik ortama taşınması gündeme gelmiştir. Böylece dijital kanal, şubenin tamamlayıcısı olmaktan çıkarak müşteri ilişkisinin başladığı asli kanallardan biri hâline gelmiştir.

Bu değişim, finansal kuruluşların karşısına birbirine bağlı fakat hukuken farklı iki soru çıkarmıştır. İlk soru, elektronik kanaldaki kişinin iddia ettiği kişi olduğunun hangi delillerle ve hangi güvence seviyesinde ortaya konulacağıdır. İkinci soru ise kimliği belirlenen kişinin belirli bir ürün veya hizmete ilişkin iradesinin nasıl alınacağı, saklanacağı ve gerektiğinde ispatlanacağıdır. Birincisi kimlik tespiti ve doğrulama; ikincisi elektronik ortamda sözleşme ilişkisinin kurulmasıyla ilgilidir. Uygulamada bu iki süreç aynı müşteri yolculuğunda birleşse de birindeki eksiklik diğerinin varlığıyla giderilememektedir.

Müşteri kimliğinin belirlenmesine ilişkin temel yükümlülük, 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun’un 3’üncü maddesinde yer almaktadır. Düzenleme, yükümlülerin işlem yapılmadan önce işlem yapan kişi ile nam veya hesabına işlem yapılan kişinin kimliğini tespit etmesini ve müşterinin tanınmasına yönelik diğer tedbirleri almasını öngörür.¹ Tedbirler Yönetmeliği ise kimlik tespitinin hangi durumlarda yapılacağını, hangi bilgilerin alınacağını, gerçek faydalanıcının nasıl araştırılacağını ve iş ilişkisinin nasıl izleneceğini ayrıntılandırır.²

Suç gelirlerinin aklanması ve terörün finansmanının önlenmesine dair yürütme yetkisi T.C. Hazine ve Maliye Bakanlığı bünyesinde suç gelirlerinin aklanması ve terörizmin finansmanı ile mücadele eden Mali Suçları Araştırma Kurulu’na (“MASAK”) aittir. MASAK aynı zamanda Financial Action Task Force / Mali Eylem Görev Gücü’nün (” FATF”) belirlediği bu küresel standartların Türkiye'deki ulusal uygulayıcısı, takipçisi ve muhatabıdır. Süreç içerisinde teknolojik ihtiyaçlar çerçevesinde müşterinin tanınması hususunda FATF uzaktan kimlik doğrulama ve yabancılara uygulanacak tedbirler bakımından öneriler yayımlamış; bu öneriler MASAK tarafından da dikkate alınarak ilgili hususların düzenlendiği Mali Suçları Araştırma Kurulu Genel Tebliği (Sıra No: 32) (“Tebliğ No: 32”) yürürlüğe girmiştir.

Uzaktan kimlik tespiti, müşterini tanı (know your customer- “KYC”) yükümlülüğünün basitleştirilmiş bir biçimi değildir. Yüz yüze ortamda belge aslı, fiziksel gözlem ve ıslak imza üzerinden sağlanan güvence; dijital ortamda elektronik belge verisi, temassız çip okuma, canlılık kontrolü, biyometrik karşılaştırma, görüntülü görüşme, cihaz verisi ve işlem izleme katmanlarının birlikte kullanılmasıyla kurulur. Değişen, müşterinin tanınması yükümlülüğünün amacı ve niteliği değil, bu amaca ulaşmak için kullanılan delil ve kontrol mimarisidir. Bu dönüşümün en güncel ve kapsamlı adımını ise Türk uyruklu olmayan gerçek kişilerin pasaportla uzaktan kimlik tespitine ilişkin 27 Haziran 2026 tarihli düzenleme oluşturmaktadır. Söz konusu düzenleme, yabancı müşteri ediniminde var olan belge altyapısı boşluğunu ICAO 9303 standardına³ göre uyumlu NFC aracılığıyla okunabilen elektronik pasaport⁴ standardıyla kapatmakta ve çok katmanlı bir güvence mimarisi kurmaktadır.

2. Kavramsal Çerçeve: Kimlik Tespiti, Kimlik Doğrulama ve Müşterinin Tanınması (KYC)

2.1. Kimlik Tespiti KYC’nin Başlangıcıdır; Tamamı Değildir

Bu nedenle kimliği teknik olarak doğru biçimde doğrulanmış bir müşteri hakkında müşterinin tanınması (know your customer- “KYC”) süreçlerinin tamamlandığı söylenemez. Kimlik belgesi, kişinin kim olduğunu açıklayabilir; ancak işlemin ekonomik veya hukuki amacını, fonların kaynağını, hesabın başkası için kullanılıp kullanılmadığını, müşterinin yaptırım riskini veya tüzel kişilik arkasındaki gerçek faydalanıcıyı tek başına ortaya koymaz. Uzaktan kimlik tespiti, müşterinin tanınması sürecine giriş kapısıdır.

2.2. Uzaktan Kimlik Tespitinin Güvence Katmanları

Uzaktan kimlik tespiti, müşteri ile finansal kuruluş görevlisinin fiziksel olarak aynı yerde bulunmadığı bir ortamda, görüntülü iletişim ve teknolojik doğrulama araçları kullanılarak kimliğin belirlenmesi sürecidir. Türk hukukunda bu yöntem, 30 Nisan 2021 tarihinde Resmî Gazete'de yayımlanan Mali Suçları Araştırma Kurulu Genel Tebliği (Sıra No: 19) ile AML/CFT bakımından ilk kez genel esaslara kavuşturulmuştur.

Türk mevzuatı çerçevesinde güvenilir bir uzaktan kimlik tespiti modelinin dört temel soruya ayrı ayrı cevap vermesi gerekmektedir:

1. Belge gerçekten yetkili bir makamca düzenlenmiş ve değiştirilmemiş midir: Belgenin optik güvenlik unsurları, makine tarafından okunabilir alanı, çip verisi, geçerlilik süresi ve bütünlük kontrolleri bu soruya yöneliktir.

2. Başvuran kişi belgedeki kişi midir: Belgeden elde edilen fotoğraf ile canlı görüntünün biyometrik veya uzman değerlendirmesiyle karşılaştırılması, kişi-belge bağını kurmaya çalışır.

3. Kamera karşısındaki kişi gerçek ve o anda işlem yapan bir kişi midir: Canlılık kontrolü, önceden kaydedilmiş video, ekran tekrarı, maske, sanal kamera veya yapay olarak üretilmiş yüz gibi saldırıların ayırt edilmesini amaçlar.

4. Kimliği doğrulanan kişiyle iş ilişkisi kurulması kabul edilebilir midir: Yaptırım, siyasi nüfuz sahibi kişi, ülke, ürün, fon kaynağı, cihaz ve davranışsal riskler bu aşamada değerlendirilir; gerektiğinde sıkılaştırılmış tedbirler uygulanır.

Bu katmanlardan birinin başarılı olması diğerlerinin yerine geçmemektedir. Örneğin pasaport çipinin geçerli olması, kameradaki kişinin pasaport sahibi olduğunu otomatik olarak kanıtlamaz; başarılı yüz eşleşmesi de müşterinin başkası hesabına hareket etmediği sonucunu doğurmaz. Sistemin toplam güvence seviyesi, katmanların birlikte çalışmasına ve başarısızlık hâlinde işlemin durdurulabilmesine bağlıdır.

2.3. Uzaktan Kimlik Tespiti ile Elektronik Sözleşme Aynı İşlem Değildir

Finansal kuruluşların dijital müşteri edinim akışlarında kimlik doğrulama ile sözleşme onayı çoğu kez aynı uygulama içinde birkaç dakika arayla tamamlanmaktadır. Buna rağmen kimlik tespiti, tarafın kim olduğuna; sözleşme kurulması ise belirli şartlara bağlanma iradesine ilişkindir. Bu ayrım kayıt ve ispat bakımından önemlidir. Görüntülü görüşmenin başarılı tamamlanması, sözleşme metninin müşteriye sunulduğunu ve kabul beyanının geçerli yöntemle alındığını tek başına göstermeyecektir.

2.4. Risk Temelli Yaklaşım ve Uluslararası Çerçeve

FATF’in dijital kimliğe ilişkin rehberi, yüz yüze olmayan ilişkiyi tek başına yüksek risk göstergesi saymak yerine kullanılan dijital kimlik sisteminin güvence düzeyi ile somut müşteri ve işlem riskinin birlikte değerlendirilmesini önerir. Yeterli güvenceye sahip bağımsız bir sistem, uygun risk azaltıcı kontrollerle desteklendiğinde standart veya bazı koşullarda daha düşük riskli müşteri edinimine imkân verebilir. Bu yaklaşım, teknolojiyi soyut biçimde güvenli ya da güvensiz saymaktan çok performansının ve yönetişiminin ölçülmesini gerektirir.⁶

3. Türkiye’de Uzaktan Kimlik Tespitinin Kronolojik Mevzuat Gelişimi

Türkiye’de uzaktan kimlik tespiti tek bir düzenlemeyle ve bütün finans sektörleri için aynı anda oluşturulmamıştır. Genel AML/CFT yükümlülükleri, elektronik sözleşmeye ilişkin kanuni dayanak ve sektör bazlı teknik düzenlemeler zaman içinde üst üste eklenmiştir. Aşağıdaki kronoloji bu gelişimin ana dönüm noktalarını göstermektedir.

Tablo 1: Türkiye’de Uzaktan Kimlik Tespitinin Kronolojik Gelişimi

Kaynak: Mevzuat metinleri ve literatür esas alınarak yazar tarafından oluşturulmuştur.

3.1. 2006-2020: Genel Müşterinin Tanınması Rejiminden Dijital Sözleşme Altyapısına

5549 sayılı Kanun ve Tedbirler Yönetmeliği, kimlik tespiti ile müşterinin tanınmasının genel çerçevesini kurmuş; 26 Haziran 2020 tarihli 7247 sayılı Kanunla yapılan değişiklikler ise elektronik ortamda sözleşme kurulmasına ve uzaktan kimlik tespiti yöntemlerinin düzenlenmesine imkân tanıyan açık bir kanuni zemin sağlamıştır.

3.2. 2021: Bankacılıkta İlk Kapsamlı Model ve MASAK Çerçevesi

1 Nisan 2021 tarihli BDDK Yönetmeliği Türkiye'deki ilk ayrıntılı sektörü⁷ düzenlemiş olmuş; 30 Nisan 2021 tarihli MASAK Genel Tebliği (Sıra No: 19) ise uzaktan yöntemin AML/CFT bakımından iki katmanlı modelini kesinleştirmiştir.

3.3. 2021-2022: Finans Sektörünün Diğer Alanlarına Yayılma

2021-2022 döneminde düzenleme ödeme ve elektronik para hizmetleri (Aralık 2021), finansal kiralama, faktoring ve finansman şirketleri (Ocak 2022) ile aracı kurumlar ve portföy yönetim şirketlerine (Şubat 2022) yayılmış; her sektörün özgün işlem ve risk yapısına uygun teknik çerçeveler oluşturulmuştur.

3.4. 2022: Pasaport Kullanımının Sınırlı Öncülü- YUVAM Modeli

6 Nisan 2022 tarihli BDDK değişikliği ve 18 Mayıs 2022 tarihli MASAK Genel Tebliği (Sıra No: 20) ile YUVAM hesaplarıyla sınırlı olmak üzere ICAO 9303 uyumlu NFC pasaportla uzaktan kimlik tespiti ilk kez uygulamaya girmiş; bu deneyim, 2026 modelinin düzenleyici altyapısını hazırlayan pilot işlevi görmüştür.

3.5. 2023: Tüzel Kişiler, Yapay Zekâ ve Sektörler Arası Uyum

2023 yılında ticaret sicilindeki tüzel kişilerin uzaktan kimlik tespiti kapsamına alınması (Nisan), yapay zekâ tabanlı canlılık ve yüz karşılaştırmanın belirli koşullarla mevzuata girmesi (Ağustos) ve ödeme sektörünün AML/CFT düzenine bağlanması (Ekim-Kasım) gerçekleştirilmiştir.

3.6. 2024-2026: Kripto Varlık Hizmetleri ve Genel Pasaport Modeli

2024-2026 döneminde kripto varlık hizmet sağlayıcıları geçiş rejimi (Aralık 2024) ve SPK kapsamına eklenmesiyle (Haziran 2025 ve Şubat 2026) sisteme tam olarak dahil edilmiş; 27 Haziran 2026 tarihli MASAK Genel Tebliği (Sıra No: 32) ise Türk uyruklu olmayan gerçek kişiler için ICAO uyumlu NFC pasaportla uzaktan kimlik tespitini genel bir yönteme dönüştürmüştür.

4. Uzaktan Kimlik Tespitinin Sektörel Gelişimi

Tablo 2: Sektörler İtibarıyla Uzaktan Kimlik Tespiti

Kaynak: Mevzuat metinleri ve literatür esas alınarak yazar tarafından oluşturulmuştur.

4.1. Bankalar ve Dijital Bankalar

Bankacılık, uzaktan kimlik tespitinin hem ilk düzenlendiği hem de en geniş ölçekte kullanıldığı alan olmuş, altyapının genişliği erişimi kolaylaştırırken yanlış kabul edilen tek bir kimliğin ödeme, kredi ve para transferi gibi çok farklı işlemleri etkileyebilmesi nedeniyle operasyonel, siber ve itibar risklerinin birlikte yönetilmesini beraberinde getirmiştir.

4.2. Banka Dışı Finansman Şirketleri

Finansal kiralama, faktoring, finansman ve tasarruf finansman şirketlerinde uzaktan kimlik tespiti başarısı ürünün ekonomik gerçekliğini doğrulamaz; kimlik tespitinin önceliğinde alacağın varlığı, finansman amacı, temsil yetkisi ve gerçek faydalanıcı gibi ürüne özgü kontroller ayrıca yürütülmelidir.

4.3. Ödeme ve Elektronik Para Hizmetleri

Ödeme ve elektronik para sektöründe müşteri edinimi genellikle kısa ve düşük sürtünmeli bir mobil akış olarak tasarlanmakta olup bu yapı erişimi artırırken aynı cihazdan çoklu başvuru, telefon hattı ile kimlik tutarsızlığı ve hesabın üçüncü kişilere kullandırılması gibi sektöre özgü risk göstergelerini de öne çıkarmaktadır.

4.4. Sermaye Piyasaları ve Kripto Varlık Hizmetleri

Sermaye piyasalarında müşteri edinimi yatırımcı profili, ürün uygunluğu ve varlık transferleri ile birlikte değerlendirilirken kripto varlık hizmetlerinde platform ve zincir üzerindeki transfer hızı ile sahte yüz teknolojisine karşı ek kontroller bu sektörün ayırt edici risk alanını oluşturmaktadır.

4.5. Sigortacılık ve Bireysel Emeklilik Bakımından Ayrım

Sigorta ve bireysel emeklilik alanında mesafeli sözleşme kurulabilmesi ile MASAK mevzuatı anlamında özel bir uzaktan kimlik tespiti yönteminin varlığı aynı şey değildir; 11 Temmuz 2026 itibarıyla bu sektör için bankacılık ve ödeme hizmetleriyle aynı ayrıntı seviyesinde ayrı bir uzaktan KYC çerçevesi görünmemektedir.

5. Yüz Yüze KYC’den Uzaktan KYC’ye Geçiş

Yüz yüze KYC’den uzaktan KYC’ye geçiş, mevcut şube sürecinin kamera karşısında tekrarlanmasından ibaret değildir. Fiziksel mevcudiyetin sağladığı bağlamsal güvence, dijital kanalda çok sayıda bağımsız veri ve kontrolün bir araya getirilmesiyle yeniden teşkil etmektedir.

Tablo 3: Yüz Yüze ve Uzaktan Kimlik Tespitinin Karşılaştırılması

Kaynak: Mevzuat metinleri ve literatür esas alınarak yazar tarafından oluşturulmuştur.

Geçişin başlıca itici güçleri müşteri beklentilerinin değişmesi, mobil cihazların yaygınlaşması, pandemide fiziksel temasın sınırlanması, dijital bankaların ortaya çıkması ve düzenleyicilerin elektronik sözleşmeye açık dayanak sağlamasıdır. Bununla birlikte uzaktan müşteri ediniminin kalıcılaşmasını yalnızca pandemiyle açıklamak eksik olacaktır. Müşteri deneyimi, ülke çapında erişim, maliyet yapısı ve rekabet avantajı, yöntemin olağan iş modeline dönüşmesinde belirleyici olmuştur.

Uzaktan modelde insan kontrolü tamamen ortadan kalkmamıştır. Mevzuat birçok süreçte özel eğitimli personel ile teknolojik kontrollerin birlikte çalışmasını öngörmektedir. En güvenli yaklaşım, insanın veya algoritmanın tek başına karar verdiği bir model yerine, düşük belirsizlikteki işlemlerin otomatik yürüdüğü; tutarsızlıkların ise uzman incelemesine yönlendirildiği hibrit bir yapıdır.

Dijital kayıtların çokluğu, kararı daha ispatlanabilir gösterse de yalnızca kayıt tutulması yeterli değildir. Kayıtların bütünlüğü, erişim yetkileri, saklama süresi ve olay anında anlamlı biçimde birleştirilebilmesi gerekir. Aksi takdirde çok sayıda veri, etkin bir denetim izine dönüşmeden yalnızca veri güvenliği riskini büyütür.

6. Uzaktan Kimlik Tespitinin Avantajları

6.1. Finansal Hizmetlere Erişim ve Kapsayıcılık

Uzaktan kimlik tespiti, şube bulunmayan bölgelerde yaşayanlar, hareket kabiliyeti sınırlı kişiler, yoğun çalışma düzeni nedeniyle fiziksel başvuru yapamayanlar ve yurt dışındaki müşteriler için finansal hizmete erişimi kolaylaştırabilir. Güvenilir dijital kimlik altyapısı, resmî finansal sisteme katılımın maliyetini düşürerek finansal kapsayıcılığa katkı sağlayabilir. Dünya Bankası ve FATF çalışmalarında da dijital kimliğin doğru güvence seviyesiyle kullanılmasının erişimi destekleyebileceği kabul edilmektedir.⁸

6.2. Hız, Süreklilik ve Operasyonel Verimlilik

Müşteri, randevu ve şube yolculuğu olmadan başvuru yapabildiği için edinim süresi kısalabilir. Finansal kuruluşlar da belge kabulü, arşivleme ve standart kontrollerin bir bölümünü merkezileştirebilir. Biyometrik teknoloji, görüntülü görüşme kapasitesi, dolandırıcılık izleme, model doğrulama, siber güvenlik ve uzman personel yatırımları yeni maliyet kalemleri yaratır. Dolayısıyla verimlilik, kontrol seviyesinin düşürülmesinden değil, doğru otomasyon ve risk ayrıştırmasından doğmalıdır.

6.3. Standartlaştırma ve Denetlenebilirlik

Şubelerdeki belge incelemesi, personelin deneyimine ve işlem yoğunluğuna göre farklılaşabilir. Uzaktan süreçte sorulacak sorular, başarısızlık nedenleri, görüntü kalitesi eşikleri ve uzman yönlendirme kuralları merkezî olarak belirlenebilir. Görüşme ve teknik günlüklerin kayıt altına alınması, şikâyet, denetim ve olay incelemesinde geriye dönük bir iz oluşturur. Bu avantajın gerçekleşmesi için kayıtların değiştirilemez ve erişilebilir biçimde saklanması gerekir.

6.4. Rekabet, Yeni İş Modelleri ve Sınır Ötesi Erişim

Uzaktan müşteri edinimi, sınırlı şube ağına sahip kuruluşların ülke çapında hizmet vermesini ve dijital bankacılık gibi şubesiz iş modellerini mümkün kılar. Pasaportla uzaktan kimlik tespitinin genişlemesi ise yabancı çalışanlar, öğrenciler, yatırımcılar ve Türkiye ile ekonomik ilişkisi bulunan kişiler bakımından uluslararası erişimi artırabilir. Bu imkân, finansal kuruluşların müşteri tabanını genişletirken sınır ötesi yaptırım, vergi mukimliği ve fon kaynağı kontrollerini de daha önemli hâle getirir.

7. Dezavantajlar ve Risk Alanları

7.1. Belge ve Kişi Sahteciliği

Uzaktan kimlik tespiti sürecinde gerçek bir kimlik belgesi başkası tarafından kullanılabilir, belge görüntüsü değiştirilebilir veya gerçek bilgiler sentetik bir kimlik profili içinde birleştirilebilir. Belge doğrulaması yalnızca fotoğraf yüklemeye dayanıyorsa, fiziksel güvenlik unsurlarının önemli bölümü görünmez hâle gelebilir. NFC çipi bu riski azaltmakla birlikte çip okuma işleminin doğru yapılması, çipteki bilgiler ile belgedeki görsel bilgilerin karşılaştırılması ve belge bütünlüğünün kontrol edilmesi gerekir.

7.2. Deepfake ve Yapay Zekânın Çift Yönlü Etkisi

Yapay zekâ savunma tarafında anomali tespiti, yüz karşılaştırması, canlılık analizi ve zararlı davranışların sınıflandırılmasını destekleyebilir. Aynı teknikler daha inandırıcı sahte içerik üretmek, saldırıları ölçeklendirmek ve savunma modellerini sınamak için de kullanılabilir. Mijwil ve diğerlerinin değerlendirmeleri, yapay zekâ uygulamalarında yanlış pozitifler, eğitim verisinin niteliği ve teknolojinin kötüye kullanımı gibi sınırlılıkların göz ardı edilmemesi gerektiğine işaret etmektedir.¹⁰

Uygulamada kamera kaynağının doğrulanması, oturum bütünlüğü, rastlantısal görevler, cihaz ve ağ verileri, pasaportun temassız çipi, davranışsal tutarlılık ve uzman incelemesi birlikte çalışmalıdır. Bir modelin geçmiş dönemde başarılı olması, yeni saldırı teknikleri karşısında aynı performansı sürdüreceğini göstermez.

7.3. Siber Güvenlik, Dış Hizmet ve Model Riski

Uzaktan kimlik tespiti; kamera, mobil uygulama, ağ bağlantısı, belge okuma yazılımı, biyometrik model, bulut altyapısı ve kamu veri servisleri gibi birçok bileşene dayanır. Bu bileşenlerden birindeki zafiyet tüm süreci etkileyebilir. Büyük ölçekli dijital kimlik sistemleri, aynı zafiyetin çok sayıda başvuruda eş zamanlı kullanılabilmesi nedeniyle fiziksel sahteciliğe kıyasla daha geniş etki üretebilir.

Belge okuma, yüz karşılaştırma veya canlılık hizmetinin üçüncü kişiden alınması, finansal kuruluşun sorumluluğunu ortadan kaldırmaz. Hizmet sağlayıcının alt yüklenicileri, verinin işlendiği ülke, model güncellemeleri, hata oranları, kesinti planı ve denetim hakkı sözleşmede ve fiilî gözetimde açıkça yönetilmelidir. Kuruluş, yalnızca sağlayıcının “başarılı” sonucuna dayanmak yerine sonucun hangi veri ve eşiklerle üretildiğini anlayabilecek yönetişim kapasitesine sahip olmalıdır.

Yıldırım’ın çalışmasında sınıflandırılan siber, operasyonel ve itibarî riskler, uzaktan kimlik tespitinin yalnızca teknoloji birimlerinin sorumluluğunda görülemeyeceğine işaret etmektedir.¹¹ Kimlik doğrulama sisteminde yaşanacak veri ihlali; müşteri zararı, mevzuata uyumsuzluk, işlem iptali ve güven kaybını aynı anda doğurabilen çok boyutlu bir risktir.

7.4. Biyometrik Veri, Ölçülülük ve Güncel KVKK Çerçevesi

Yüz karşılaştırması ve canlılık kontrolü, kişinin ayırt edici fiziksel özelliklerinin işlenmesini gerektirebilir. Biyometrik veri, değiştirilmesi mümkün olmayan veya son derece güç olan özelliklerle bağlantılı olduğu için ihlal hâlinde parola verisinden farklı ve kalıcı sonuçlar doğurabilir. Bu nedenle hangi ham görüntünün, biyometrik şablonun ve işlem kaydının hangi amaçla ve ne kadar süre saklandığı açıkça belirlenmelidir.

Şıracı’nın değerlendirmeleri, biyometrik veri işleme faaliyetinde yalnızca hukuki dayanağın değil; amaçla bağlılık, gereklilik, ölçülülük ve daha az müdahaleci seçeneklerin de incelenmesi gerektiğini ortaya koymaktadır.¹²  7499 sayılı Kanunla 6698 sayılı Kanun’un özel nitelikli kişisel verilere ilişkin 6’ncı maddesi değiştirilmiş ve değişiklik 1 Haziran 2024’te yürürlüğe girmiştir.¹³ Bu tarihten sonra özel nitelikli kişisel verilerin işlenmesi yalnızca açık rızaya dayanmaz; Kanun’un 6’ncı maddesinde sayılan işleme şartlarından birinin bulunması gerekir. Biyometrik verinin hangi amaçla ve hangi hukuki sebebe dayanılarak işlendiği somut süreç bakımından ayrıca belirlenmeli ve Kurulca öngörülen yeterli önlemler alınmalıdır.

Hukuki dayanak bulunması, sınırsız veri işleme yetkisi vermeyecektir. Amaçla bağlantılılık, gereklilik, ölçülülük, saklama süresinin sınırlandırılması, özel nitelikli veriler için yeterli tedbirler ve yurt dışı aktarım kuralları ayrıca yerine getirilmelidir. Özellikle yabancı teknoloji sağlayıcılarının kullanıldığı modellerde verinin fiilen nerede işlendiği ve hangi alt işleyenlere aktarıldığı belirlenmelidir.

7.5. Yanlış Kabul, Yanlış Ret ve Dijital Dışlanma

Kimlik doğrulama sistemlerinde iki temel hata türü bulunur. Yanlış kabul, yetkisiz bir başvurunun gerçek müşteri olarak onaylanmasıdır. Yanlış ret ise gerçek müşterinin sistem tarafından başarısız sayılmasıdır. Güvenlik eşiğini yükseltmek yanlış kabulü azaltırken kötü ışık, eski cihaz, engellilik, yaş veya algoritmik performans farklılıkları nedeniyle yanlış reddi artırabilir.

Bu sorun yalnızca müşteri deneyimi meselesi değildir. Belirli grupların sistematik olarak daha fazla reddedilmesi, finansal hizmete erişimde dolaylı dışlanma doğurabilir. Kuruluşların hata oranlarını toplam ortalama üzerinden değil, belge türü, cihaz, yaş grubu ve başvuru koşulları gibi anlamlı kırılımlarla izlemesi; başarısız başvurular için güvenli alternatif kanal sunması gerekir.

7.6. AML/CFT, Hesap Kullandırma ve Sürekli İzleme

Uzaktan müşteri ediniminde dolandırıcılık ve AML/CFT riskleri çoğu zaman birlikte de görülebilmektedir. Sahte veya ele geçirilmiş kimlikle açılan hesaplar suç gelirlerinin aklanması, yasa dışı bahis, dolandırıcılık veya başkası hesabına işlem yapılması için kullanılabilmektedir. Bu nedenle ilk başvurunun başarıyla tamamlanması son kontrol değil, işlem davranışının izlenmeye başladığı nokta olarak karşımıza çıkmaktadır.

Acar’ın KYC, güçlendirilmiş müşteri incelemesi, gerçek faydalanıcı ve dijital gözetim araçlarına ilişkin değerlendirmelerinden hareketle, kimlik teknolojilerinin ancak kurumsal uyum ve sürekli izleme süreçleriyle bütünleştiğinde koruyucu işlev gösterebileceği sonucuna varılabilir.¹⁴ Bu nedenle cihaz ve kimlik verileri, müşterinin beklenen işlem profili ve sonraki para hareketleriyle ilişkilendirilmelidir.

Uzaktan kimlik tespitiyle edinilen hesabın kısa sürede çok sayıda üçüncü kişiden fon alması, müşterinin beyanıyla uyuşmayan ülkelere transferlere konu olması, aynı cihazda başka müşterilere ait hesaplarla kullanılması veya ilk fonlama sonrasında hızla boşaltılması gibi göstergeler dinamik risk güncellemesini gerektirmektedir. Uzaktan müşteri kabulü sistemi ne kadar güçlü olursa olsun işlem izleme sisteminde zafiyet olduğu sürece beklenen güvenliği sağlayamaz.

8. Pasaportla Uzaktan Kimlik Tespiti Neden Önemlidir?

8.1. Ulusal Kimlik Altyapısına Dayalı İlk Modelin Sınırı

Uzaktan kimlik tespiti, esas itibarıyla Türkiye Cumhuriyeti kimlik kartının İçişleri Bakanlığına bağlı Kimlik Paylaşım Sistemi (‘KPS’) üzerinden doğrulanması esasına dayanmakta olup kimlik belgesinin görüntülü görüşme sırasında ibraz edilmesi, kişinin canlılığının teyit edilmesi ve bilgilerin KPS sorgusuyla eşleştirilmesi sürecin temel unsurlarını oluşturmaktadır. Türkiye’deki ilk uzaktan kimlik tespiti modelleri T.C. kimlik kartı ve bu karta ilişkin ulusal doğrulama altyapısı üzerine kurulmuştur. Pasaportlar bakımından aynı doğrulama imkânının bulunmaması, yabancı gerçek kişilerin uzaktan müşteri edinimini sınırlamıştır. Bu durum, Türkiye'de faaliyet gösteren bankalar, ödeme kuruluşları, elektronik para kuruluşları ve kripto varlık hizmet sağlayıcıları gibi yükümlülerin yabancı uyruklu gerçek kişilerle uzaktan iş ilişkisi kurmak istemesi hâlinde önemli bir açık doğurmaktaydı. İlgili kişiler için herhangi bir uzaktan kimlik tespiti yöntemi bulunmadığından, yükümlüler ya fiziksel başvuru şartı aramak ya da bu müşteri segmentine hiç hizmet sunmamak durumunda kalmaktaydı.

Yabancı bir kimlik belgesinin düzenlendiği ülkenin nüfus veri tabanına doğrudan erişim çoğu kuruluş için mümkün değildir. Belge türleri, alfabe, isim yapısı, doğum yeri, adres ve belge güvenlik düzeyi ülkeden ülkeye değişir. Bu farklılık, yabancı müşterilerin fiziksel başvuruya yönlendirilmesine veya dijital müşteri ediniminden tamamen dışlanmasına yol açmıştır.

8.2. Pasaportun Uluslararası Belge Niteliği ve ICAO Standardı

Pasaport, devlet tarafından düzenlenen ve uluslararası seyahatte kimlik işlevi gören bir seyahat belgesidir. ICAO Doc 9303, makine tarafından okunabilir seyahat belgelerine ilişkin birbirini tamamlayan teknik şartnamelerden oluşur; pasaportların optik okunabilir alanı, güvenlik unsurları ve elektronik belgelerde biyometrik verilerin temassız çipte saklanmasına ilişkin bölümler içerir. Bu ortak teknik çerçeve, farklı ülkelerce düzenlenen belgelerin asgari ölçütler üzerinden değerlendirilmesini kolaylaştırır.¹⁵

NFC özellikli elektronik pasaportlarda kimlik verileri ve yüz görüntüsü çip üzerinde bulunabilir. Çip verisinin belgenin basılı alanıyla karşılaştırılması, yalnızca fotoğraf veya taranmış belge üzerinden yapılan kontrole kıyasla daha güçlü bir bütünlük kanıtı sağlar. Ancak çip verisinin, pasaport sahibinin adresini, vergi mukimliğini, fon kaynağını veya yaptırım riskini doğrulayamayacağını unutmamak gerekir. Pasaport her ne kadar güçlü bir belge delili olsa da KYC’nin tamamı değildir.

8.3. Yabancı Müşteriler ve Sınır Ötesi Finansal Erişim

Türkiye’de çalışan, öğrenim gören, yatırım yapan veya uzaktan ekonomik ilişki kuran yabancılar bakımından fiziksel şube zorunluluğu ciddi bir erişim maliyeti yaratabilir. Pasaportla uzaktan kimlik tespiti, belge altyapısı uygun olan yabancıların ülkeye gelmeden veya şubeye gitmeden düzenlenmiş finansal hizmetlere erişmesini sağlayabilir.

Bu imkân, finansal kapsayıcılık kadar rekabet bakımından da önemlidir. Ancak sınır ötesi erişim, yükümlünün yaptırım listeleri, yüksek riskli ülkeler, siyasi nüfuz sahibi kişiler, vergi mukimliği ve uluslararası veri aktarımı konularında daha gelişmiş bir kontrol kapasitesine sahip olmasını gerektirir. Yerel müşteri edinim sürecinin pasaport eklenerek aynen yabancılara uygulanması yeterli değildir.

8.4. YUVAM Deneyiminin Düzenleyici Önemi

2022 tarihli YUVAM modeli, pasaport çipi ile uzaktan doğrulamanın Türkiye’de mevzuat ve uygulama bakımından sınanmasını sağlamıştır. Kendi hesabından para transferi, yüksek riskli izleme ve sınır ötesi hareketlerin sınırlandırılması gibi tedbirler daha sonra 2026 modelinde de görülmektedir. Bu devamlılık, son değişikliğin bütünüyle yeni bir teknoloji deneyi değil, daha önce sınırlı alanda uygulanan yöntemin genişletilmiş ve sistematik hâli olduğunu göstermektedir.

9. 27 Haziran 2026 Tarihli Değişiklik Ne Getirmiştir?

27 Haziran 2026 tarihli ve 33293 sayılı Resmî Gazete’de yayımlanan Mali Suçları Araştırma Kurulu Genel Tebliği (Sıra No: 32), 19 Sıra No.lu Tebliğe “Türk uyruklu olmayan gerçek kişilerin uzaktan kimlik tespitine ilişkin genel esaslar” başlıklı 4/C maddesini eklemiş ve yayımlandığı gün yürürlüğe girmiştir.¹⁶ Düzenlemenin temel unsurları aşağıda ayrı ayrı ele alınmaktadır.

9.1. Kapsam ve Sektör Mevzuatıyla Birlikte Uygulanma Gereği

Yeni madde, yükümlülerin Türk uyruklu olmayan gerçek kişilerin kimliğini ICAO Doc 9303’e uygun, NFC özellikli pasaportla uzaktan tespit edebileceğini düzenlemektedir. Ayrıca ticaret siciline kayıtlı bir tüzel kişiyi temsile yetkili Türk uyruklu olmayan gerçek kişinin kimliği de temsilciler için aranan bilgiler alınmak şartıyla aynı yöntemle tespit edilebilir.

Bununla birlikte “yükümlüler” ifadesi, tüm finansal ve finansal olmayan yükümlülerin yalnızca bu maddeye dayanarak uzaktan müşteri edinimine başlayabileceği şeklinde yorumlanmamalıdır. 19 Sıra No.lu Tebliğ’in sistematiği gereği, ilgili yükümlü grubunun uzaktan kimlik tespiti yapabileceğine dair hem 19 Sıra No.lu Tebliğ’in “Yükümlüler İtibarıyla Uzaktan Kimlik Tespiti” bölümünde izin yer almalı hem de ilgili sektör mevzuatında yüz yüze gelmeden sözleşme kurulmasına ve uzaktan kimlik tespitine izin veren bir dayanak bulunmalıdır. Bu sebeple yeni hükmün fiilî kapsamı, her sektörün özel düzenlemesiyle birlikte belirlenir.¹⁷

9.2. Pasaport ve Görüntülü Görüşme Şartları

Kullanılacak pasaportun ICAO Doc 9303’e uygun ve NFC özellikli olması zorunludur. Pasaportun temassız çipindeki kimlik bilgilerinin belge üzerindeki bilgilerle eşleşmesi ve doğrulanması NFC aracılığıyla gerçekleştirilir. Bu doğrulama yapılamazsa uzaktan yöntemle iş ilişkisi kurulamaz. Dolayısıyla çipsiz, çipi okunamayan veya elektronik bütünlük kontrolü başarısız olan belgeler için alternatif bir uzaktan kimlik tespiti yöntemi öngörülmemiştir.¹⁸

Süreç, pasaportla uzaktan kimlik tespiti konusunda özel eğitim almış personel tarafından görüntülü görüşmeyle yürütülür. Canlılık testi veya fotoğraf karşılaştırması amacıyla, 19 Sıra No.lu Tebliğ’in 4’üncü maddesinin dokuzuncu fıkrasında yer alan şartları sağlayan yapay zekâ temelli uygulamalardan yararlanılabilir ancak bu durum pasaportla uzaktan kimlik tespitinin, bu konuda özel eğitim almış personel tarafından görüntülü görüşmeyle yürütülmesi zorunluluğunu ortadan kaldırmaz. Kimlik Paylaşımı Sisteminden doğrulama zorunluluğu hariç olmak üzere, 4/A maddesinde kimlik belgesi için öngörülen tüm esaslar pasaport bakımından da uygulanır. Görüşme sırasında kişiyi ve pasaport üzerindeki bilgileri gösteren görüntüler alınır.

9.3. Adres Teyidi ve Teknik Veri Analizi

Pasaport kural olarak müşterinin güncel adresini kanıtlamaz. Bu nedenle uzaktan kimlik tespiti sırasında alınan adres bilgisi; yerleşim yeri belgesi, ilgili kişi adına işlem tarihinden önceki üç ay içinde düzenlenmiş elektrik, su veya doğal gaz gibi adres temelli abonelik faturası, bir kamu kurumu tarafından verilen belge ya da ilgili ülkenin kamuya açık veri tabanları üzerinden risk temelli yaklaşımla en geç üç ay içinde teyit edilir. Adres teyidi tamamlanmadan para transferi ve nakit çekim yapılamaz.

9.4. Kurumsal Risk Yönetimi, Ülke Riski ve Bildirim

Pasaportla uzaktan müşteri kabul edecek yükümlülerin, riskleri tanımlaması, derecelendirmesi, izlemesi ve azaltması; müşterinin tanınması, risk yönetimi ile izleme ve kontrol faaliyetlerini içeren bir uygulama rehberi hazırlaması gerekir. Uyum programı oluşturmakla yükümlü kuruluşların ise bu tedbirleri ayrıca kurum politika ve prosedürlerine dâhil etmesi zorunludur. Yükümlü, kendi risk değerlendirmesinde riskli olarak belirlediği ülkelerin vatandaşlarını bu yöntemle müşteri olarak kabul edemez. Müşteri kabulüne başlanmasından itibaren bir ay içinde alınan tedbirler ile oluşturulan prosedür ve rehberler hakkında MASAK Başkanlığına bildirim yapılır. Bu yaklaşım ülke riskinin kuruluş bazında yönetilmesine imkân verirken, farklı kuruluşlarda farklı kabul sonuçlarının doğmasına da yol açabilir.²⁰

9.5. Yüksek Risk Sınıflandırması ve İlk Doğrulama Transferi

Bu yöntemle edinilen müşterilerin tamamı yüksek risk grubunda değerlendirilir ve buna uygun izleme ve kontrol tedbirlerine tabi tutulur. Müşteri profili veya iş ilişkisinin amacıyla bağdaşmayan işlemler bakımından gerekli tedbirlerin alınması ayrıca zorunludur.

Kimlik bilgilerinin doğrulanması amacıyla, müşterinin kimlik bilgileriyle uyumlu yurt içinde veya yurt dışında mukim bir banka hesabından ya da banka veya kredi kartından para transferi yapılması zorunludur. Transfer mesajındaki ayırt edici bilgiler ile uzaktan kimlik tespitinde alınan bilgiler eşleştirilir ve bu kontrol müşteri hesabından başka bir işlem yapılmadan önce tamamlanır. Yükümlünün prosedür ve rehberlerinde belirlenecek makul süre içinde doğrulama transferi tamamlanmazsa Tedbirler Yönetmeliği’nin 22’nci maddesine göre işlem tesis edilerek iş ilişkisi sonlandırılır.²¹

Bu kontrol, daha önce başka bir finansal kuruluş tarafından kurulmuş müşteri ilişkisinden ek güvence olarak yararlanır. Ancak ilk kuruluşun doğrulama kalitesi, hesabın ele geçirilmiş olması veya mesaj alanlarının ülke ve sistemler arasında farklılık bulunması gibi sebeplerle tek başına kesin kanıt sayılmamakla birlikte tamamlayıcı bir tedbir olarak görülür.

9.6. Sınır Ötesi Transfer Kısıtlamaları ve Kimlik Tespitinin Tamamlanması

Bu yöntemle açılan hesaba yalnızca kişinin yurt dışında kendi adına açılmış banka hesaplarından para gönderilebilir; hesaptan yurt dışına para çıkışı da yalnızca aynı kişi adına açılmış banka hesaplarına yapılabilir. Kimlik tespitinin 19 Sıra No.lu Tebliğ’in 6’ncı maddesinin ikinci fıkrası kapsamında yapılması yani müşteriyle yüz yüze gelinmesi hâlinde gerekli kimlik tespit süreçleri tamamlandıktan sonra nakit çekim ve söz konusu transfer kısıtları uygulanmaz. Bu yöntemle iş ilişkisi kurulan müşterinin hesabından nakit yatırma veya çekme işlemi yapılması hâlinde Tedbirler Yönetmeliği’nin 18’inci maddesi ayrıca göz önünde bulundurulur.²²  Bu doğrultuda karmaşık ve olağandışı büyüklükteki işlemler ile görünürde makul hukuki ve ekonomik amacı bulunmayan işlemlere özel dikkat gösterilir; talep edilen işlemin amacı hakkında yeterli bilgi edinilmesi amacıyla gerekli tedbirler alınır; bu kapsamda elde edilen bilgi, belge ve kayıtlar, yetkili mercilere talep edilmesi hâlinde sunulmak üzere muhafaza edilir. Düzenleme, bu müşteri grubunun başkaları adına para toplama veya sınır ötesi aktarma amacıyla kullanılmasını başlangıç aşamasında sınırlandırmayı hedeflemektedir. Buna karşılık üçüncü kişilere ödeme yapılması gereken gerçek ticari veya kişisel işlemler bakımından kullanım kabiliyetini azaltır. Bu nedenle ürün tasarımı, müşteriye kısıtlamaların kapsamını baştan açıkça anlatmalıdır.

9.7. Sonradan Vatandaşlık veya Vergi Mükellefiyeti ve Periyodik Raporlama

Müşterinin sonradan Türk vatandaşlığını kazanması veya Türkiye’de vergi mükellefiyetinin tesis edilmesi hâlinde kimlik kartı örneği ya da vergi kimlik numarası elektronik ortamda alınarak mevcut müşteri kaydıyla ilişkilendirilir. Böylece müşteri verisinin yaşam döngüsü içinde güncellenmesi öngörülmektedir.²³

Bu yöntemle kabul edilen müşterilere ilişkin istatistiki bilgiler, takvim yılı esas alınarak her üç aylık dönemin son ayında MASAK Başkanlığına gönderilir.

9.8. “Kripto Varlık Hizmet Sağlayıcılar”ın Uzaktan Kimlik Tespiti Yapabilir Duruma Gelmesi

Tebliğ ayrıca 5/A maddesinin birinci fıkrasındaki kuruluş listesine “Kripto Varlık Hizmet Sağlayıcılar” ibaresini eklemiştir.²⁴ Böylece Kripto Varlık Hizmet Sağlayıcılar da uzaktan kimlik tespiti kullanabilir finansal kuruluşlar arasına girmiştir.

10. Pasaport Düzenlemesinin Fırsat ve Riskleri

Tablo 4: Pasaport Düzenlemesinin Fırsat ve Riskleri

Kaynak: Mevzuat metinleri ve literatür esas alınarak yazar tarafından oluşturulmuştur.

10.1. Olumlu Yönler

Düzenlemenin en önemli katkısı, Türk uyruklu olmayan gerçek kişilerin güvenli bir uluslararası belge standardı üzerinden dijital müşteri edinimine dâhil edilebilmesidir. Her tür yabancı belgenin kabulü yerine ICAO Doc 9303’e uygun, NFC özellikli pasaport şartının aranması asgari belge güvenliği bakımından nesnel bir eşik oluşturur.

İkinci güçlü yön, kimlik doğrulamanın tek bir kontrole bırakılmamasıdır. Çip doğrulaması, görüntülü görüşme, canlılık ve yüz karşılaştırması, teknik veri analizi, adres teyidi, kendi hesap/kart doğrulaması, yüksek riskli izleme ve sınır ötesi transfer sınırlaması birlikte uygulanır. Katmanlı mimari, tek bir kontrolün aşılması hâlinde diğer kontrollerin riski azaltmasına imkân verir.

Üçüncü olarak bildirim ve üç aylık istatistik yükümlülüğü, düzenleyici otoritenin uygulamayı erken dönemde izlemesine imkân tanır. Kuruluş bazında başarısızlık oranı, kabul edilen müşteri profili, şüpheli başvuru ve işlem davranışları zaman içinde karşılaştırılarak gerekirse ek rehberlik geliştirilebilir.

10.2. Kategorik Yüksek Risk Yaklaşımı

Bu yöntemle edinilen müşterilerin tamamının yüksek risk grubunda değerlendirilmesi, yeni ve sınır ötesi bir uygulamaya karşı ihtiyatlı bir tercihtir. Bununla birlikte vatandaşlık, uzaktan edinim, belgeyi düzenleyen ülke, yerleşim yeri, ürün, işlem limiti, fon kaynağı ve doğrulama güvence seviyesi her müşteride aynı risk düzeyini doğurmayabilir.

10.3. Teknolojik ve Sosyal Erişim Sınırı

NFC zorunluluğu güvenliği güçlendirirken çipsiz veya teknik olarak okunamayan pasaportları sistem dışında bırakır. Ayrıca müşterinin telefonunun NFC desteği, kamera kalitesi, bağlantı hızı ve dijital okuryazarlığı başvurunun başarısını etkiler. Düzenleme uzaktan erişimi genişletirken yeni bir “uyumlu belge ve cihaz” eşiği yaratmaktadır. Başarısız başvuru için güvenli bir alternatif kanal sunulmaması, özellikle geçerli belgesi olduğu hâlde teknik sebeple doğrulama yapamayan müşterilerde dışlanma yaratabilir. Kuruluşların fiziksel veya destekli alternatif süreçleri açıkça tasarlaması gerekir.

10.4. Başka Finansal Kuruluşa Bağımlı Doğrulama

Kendi banka hesabı veya kartı üzerinden doğrulama, müşterinin daha önce başka bir kuruluşta tesis edilmiş kimliğinden yararlanır. Bu yöntem faydalı bir ek güvence olmakla birlikte finansal sisteme ilk kez girecek kişilerin erişimini sınırlar ve önceki kuruluşun kimlik doğrulama kalitesine kısmi bağımlılık yaratır.

Yabancı bankalardan gelen transfer mesajlarında ad-soyad alanlarının farklı yazılması, birden fazla soyadı, farklı alfabe veya kısaltma kullanılması eşleşme sorununa yol açabilir. Eşleştirme kurallarının hem sahteciliğe tolerans vermeyecek hem de gerçek müşteriyi gereksiz yere reddetmeyecek şekilde tasarlanması gerekir.

10.5. Ülke Riski ve Uygulama Birliği

Yükümlülerin riskli olarak belirledikleri ülke vatandaşlarını kabul edememesi, kuruluşların risk iştahına göre farklı sonuçlar doğurabilir. Aynı kişi bir kuruluşta kabul edilirken başka bir kuruluşta reddedilebilir. Bu farklılık, risk temelli yaklaşımın doğal sonucu olmakla birlikte müşteriye açıklanabilir ve denetlenebilir kriterlere dayanmalıdır. Vatandaşlık tek başına ülke riskinin tamamını yansıtmaz. Kişinin yerleşim ülkesi, başvurunun yapıldığı konum, fonun geldiği ülke, vergi mukimliği ve iş ilişkisinin amacı ayrı ayrı değerlendirilmelidir. Vatandaşlık temelinde otomatik sonuç üreten model, somut riskin bazı yönlerini gözden kaçırabilir.

10.6. “Hesap” Merkezli Hükümlerin Sektörlere Uygulanması

4/C maddesi “yükümlüler” için genel bir çerçeve kurmasına rağmen ilk fonlama, açılan hesap, nakit çekim ve yurt dışı transfer gibi kavramlar hesap temelli finansal hizmetleri esas almaktadır. Banka, ödeme hesabı veya yatırım hesabı bakımından bu hükümler daha doğrudan uygulanabilir. Hesap açılmayan veya farklı sözleşme yapısına sahip ürünlerde ise hükmün işlevsel karşılığının nasıl kurulacağı sektör özelinde açıklığa kavuşturulmalıdır.

11. Finansal Kuruluşlar İçin Uygulamaya Yönelik Öneriler

1. Sektör ve ürün uygunluğu önceden doğrulanmalıdır: Kuruluş, 32 Sıra No.lu Tebliğ yanında kendi sektör mevzuatında uzaktan müşteri edinimi ve elektronik sözleşme dayanağını belirlemeli; hangi ürünlerin yöntem kapsamına alınacağını yazılı hukuk görüşü ve risk değerlendirmesiyle kararlaştırmalıdır.

2. Ülke-pasaport risk matrisi kurulmalıdır: Belgeyi düzenleyen ülke, pasaport türü, çip güvenliği, yaptırım durumu, AML/CFT değerlendirmeleri ve başvurunun yapıldığı coğrafya ayrı değişkenler olarak puanlanmalıdır. Vatandaşlık, yerleşim ve işlem ülkesi birbirine karıştırılmamalıdır.

3. NFC kontrolü yalnızca veri okuma olarak tasarlanmamalıdır: Çip verisinin basılı alanla eşleşmesinin yanı sıra elektronik imza ve sertifika zinciri, veri bütünlüğü ve klonlama göstergeleri teknik olarak doğrulanmalıdır. Başarısızlığın nedenleri ayrı kodlarla izlenmelidir.

4. Deepfake ve canlılık testleri sürekli sınanmalıdır: Sanal kamera, ekran tekrarı, yüksek çözünürlüklü video, maske, yüz değiştirme ve ses sentezi senaryolarıyla düzenli saldırı testleri yapılmalı; model sürümü ve eşik değişiklikleri kontrollü değişiklik yönetimine tabi tutulmalıdır.

5. Yapay zekâ kararları için insan gözetimi ve itiraz yolu bulunmalıdır: Düşük güven skorları ve tutarsızlıklar uzman incelemesine yönlendirilmeli; sistematik yanlış ret tespit edildiğinde müşteriye güvenli alternatif kanal sağlanmalıdır. Modelin karar mantığı, hata oranı ve veri seti sınırlılıkları yönetişim organlarınca anlaşılabilir olmalıdır.

6. İlk fonlama kontrolü sonraki işlem izlemeyle birleştirilmelidir: Kendi hesabından gelen ilk transfer, ilişki boyunca güvenilirlik karinesi yaratmamalıdır. İlk fonlamadan hemen sonra üçüncü kişilerden yoğun para gelişi, hızlı yurt dışı çıkışı veya profil dışı işlem oluşması hâlinde dinamik risk artışı uygulanmalıdır.

7. Biyometrik veri için hukuki dayanak ve veri yaşam döngüsü belgelenmelidir: KVKK m. 6’daki işleme şartlarından hangisine dayanıldığı, sektör düzenlemelerindeki özel hükümler, saklama süresi, erişim yetkisi, silme yöntemi ve yurt dışı aktarım modeli açıkça belgelenmelidir. Ham görüntü ile biyometrik şablonun amaçları birbirinden ayrılmalıdır.

8. Dış hizmet sağlayıcıları fiilen denetlenmelidir: Sözleşmeler model değişikliği bildirimi, alt yüklenici, veri lokasyonu, olay bildirimi, denetim hakkı, hizmet sürekliliği ve verinin iadesi/silinmesi hükümlerini içermelidir. Sertifika veya sağlayıcı beyanı tek başına yeterli kabul edilmemelidir.

9. Başarısız ve şüpheli başvurular ortak dolandırıcılık verisine dönüştürülmelidir: Aynı cihaz, ağ, telefon, pasaport veya yüzle tekrarlanan başvurular ilişkilendirilmeli; başarısız başvuru verisi yalnızca operasyonel istatistik olarak değil erken uyarı kaynağı olarak kullanılmalıdır.

10. Müşteri iletişimi şeffaf kurulmalıdır: Yüksek risk sınıflandırması, adres teyidine kadar geçerli işlem kısıtları, ilk doğrulama transferi, yurt dışı transferlerde aynı kişi adına hesap şartı ve 19 Sıra No.lu Tebliğ’in 6’ncı maddesinin ikinci fıkrası kapsamında kimlik tespiti yapılması sonrasında kaldırılabilecek kısıtlar, müşteriye ilişki kurulmadan önce açık ve anlaşılır biçimde anlatılmalıdır.

11. Sektörler arası düzenleyici koordinasyon geliştirilmelidir: Hesap temelli hükümler ile hesap dışı ürünlerin farklı yapısı için örnek senaryolar, asgari teknik standartlar ve raporlama veri sözlüğü yayımlanması uygulama birliğini güçlendirecektir. EBA’nın uzaktan müşteri edinimi rehberinde olduğu gibi ortak sonuç ve güvence kriterleri sektör otoriteleri arasında uyumlaştırılabilir.²⁵

12. Sonuç

Uzaktan kimlik tespiti, finansal hizmetlerde şubeden dijital kanala geçişin teknik bir ayrıntısı değil, müşterinin tanınması yükümlülüğünün delil yapısını değiştiren hukuki ve operasyonel bir dönüşümdür. Bu dönüşüm, kimlik tespitinin amacını ortadan kaldırmamış; belge güvenliği, kişi-belge bağı, canlılık, teknik oturum verisi ve işlem izleme gibi yeni güvence araçlarını öne çıkarmıştır.

Türkiye’de süreç, 5549 sayılı Kanun ve Tedbirler Yönetmeliği’yle kurulan genel müşterinin tanınması rejiminden 2020’deki elektronik sözleşme dayanağına; 2021-2023 dönemindeki sektör bazlı uzaktan kimlik tespiti düzenlemelerinden 2024 tarihli 7518 sayılı Kanunla kripto varlık hizmet sağlayıcıları için kurulan SPK çerçevesine; 2025-2026 dönemindeki SPK ve MASAK ikincil düzenlemelerine doğru aşamalı biçimde gelişmiştir. Bu kronoloji, finans sektöründe tek tip bir uzaktan KYC rejimi bulunmadığını; ortak MASAK yükümlülükleri ile sektör otoritelerinin özel düzenlemelerinin birlikte uygulanması gerektiğini göstermektedir.

Pasaportla uzaktan kimlik tespiti bakımından 2022 tarihli YUVAM düzenlemeleri sınırlı bir öncü model oluşturmuş; 27 Haziran 2026 tarihli 32 Sıra No.lu Tebliğ ise Türk uyruklu olmayan gerçek kişiler için genel bir yöntem kabul etmiştir. ICAO Doc 9303’e uygun NFC özellikli pasaport, görüntülü görüşme, yapay zekâ destekli canlılık ve yüz karşılaştırması, adres teyidi, teknik veri analizi, hesap veya kart üzerinden doğrulama, yüksek riskli izleme ve transfer kısıtları birlikte değerlendirildiğinde düzenlemenin çok katmanlı ve ihtiyatlı bir güvenlik modeli kurduğu görülmektedir.

Yeni sistemin başlıca kazanımı, şartları sağlayan yabancı müşterilerin finansal hizmetlere erişimini ve Türkiye’deki kuruluşların uluslararası müşteri edinim kapasitesini artırmasıdır. Başlıca güçlükleri ise NFC özellikli pasaportu veya uyumlu cihazı olmayan kişilerin yararlanamaması, bu yöntemle edinilen müşterilerin tamamının yüksek risk grubunda değerlendirilmesi, adres ve hesap veya kart üzerinden doğrulamanın operasyonel yükü, biyometrik ve teknik verilerin yoğun işlenmesi ile sektörler arasında uygulama birliği ihtiyacıdır.

Sonuç olarak pasaport, yabancı müşteri edinimindeki önemli bir belge boşluğunu gidermekte; ancak müşterinin tanınması sürecinin tamamının yerini almamaktadır. Başarılı bir uygulama, yalnızca hesap açılış süresinin kısalmasıyla değil; gerçek müşterilerin makul bir deneyimle kabul edilmesi, sahte başvuruların engellenmesi, kişisel verilerin korunması ve müşteri ilişkisinin sonraki işlemler boyunca risk temelli olarak izlenmesiyle ölçülmelidir.

Kaynakça