Bankacılıkta Kişisel Verilerin Korunması ve İyi Uygulamalar

Bankacılık Sektörü İyi Uygulamalar Rehberi ve Hukuki Çerçeve

Kişisel Verilerin Korunmasına İlişkin Bankacılık Sektörü İyi Uygulamalar Rehberi, Kişisel Verileri Koruma Kurumu ile Türkiye Bankalar Birliği iş birliğiyle hazırlanarak 05.08.2022 tarihinde yayımlanmıştır. Bu çalışma, 12.03.2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanun ile 6698 sayılı Kişisel Verilerin Korunması Kanunu'nda gerçekleştirilen değişikliklere uyumlu hale getirilmiştir. Bankacılık faaliyetlerinde yoğun biçimde kişisel veri işlenmesi, dijital bankacılık ve açık bankacılık modellerinin gelişmesiyle veri kategorilerinin çeşitlenmesi ve hukuka aykırı elde edilmesi halinde telafisi güç zararlar doğurabilecek özel nitelikli kişisel verilerin mevcudiyeti sektörel ilkelerin belirlenmesini gerekli kılmaktadır.

Rehber; bankacılık faaliyetlerinde veri sorumlusu ve veri işleyen ilişkileri ile bankaların yükümlülüklerini, kişisel veri işleme şartlarını, açık rızanın unsurlarını ve temin yöntemlerini ele almaktadır. Ayrıca 5411 sayılı Bankacılık Kanunu ile Sır Niteliğindeki Bilgilerin Paylaşılması Hakkında Yönetmelik hükümleri ile kişisel verilerin korunması mevzuatı arasındaki ilişkiyi, yapılacak paylaşımlardaki öncelik sırasını, veri aktarımlarını ve diğer yasal yükümlülükleri somut uygulama örnekleriyle açıklamaktadır.

Bankaların Veri Sorumlusu ve Veri İşleyen Sıfatının Belirlenmesi

Bankalar, 5411 sayılı Bankacılık Kanunu'nun 4. maddesinde belirtilen faaliyet konuları kapsamında gerçekleştirdikleri işlemler bakımından veri sorumlusu sıfatını taşımaktadır. Buna karşılık acente veya aracı kuruluş olarak dahil olunan sigorta, bireysel emeklilik, yatırım araçları, uluslararası hızlı para transferi ile fatura, vergi ve harç tahsilatı işlemlerinde veri sorumlusu ya da veri işleyen sıfatının tayini somut olayın özelliklerine göre belirlenmektedir. Örneğin, sigortacılık faaliyetlerinde işleme amaç ve vasıtalarını banka belirlemiyor ve veri kayıt sisteminin kurulması ile idaresi sigorta kuruluşunda bulunuyorsa banka veri işleyen konumunda kabul edilmektedir. Aynı şekilde Türkiye'de yerleşik bir bankanın yurt dışında bulunan bağlı ortaklığı adına kredi sözleşmesi akdedilmesine yönelik sağladığı aracılık hizmeti de veri işleyen sıfatı kapsamındadır.

Bankaların diğer kuruluşlarla müşterek veri sorumlusu olduğu durumlarda veri işleme yükümlülükleri bağımsız bir sözleşmeyle veya asıl hizmet sözleşmesi içerisinde düzenlenebilir ve bu anlaşmaların yazılı şekilde yapılması tavsiye edilmektedir. 6698 sayılı Kanun'un 16. maddesi uyarınca veri işleyen gerçek ve tüzel kişilerin veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolması kural olmakla birlikte, işlenen verinin niteliği, sayısı veya kanundan kaynaklanması gibi objektif kriterler gözetilerek Kurul tarafından kayıt zorunluluğuna istisna getirilebilmektedir. Sicil kayıt yükümlülüğü altındaki veri sorumlusu bankalar, kişisel veri işleme envanterine dayalı bildirimde bulunmak ve sunulan bilgilerde değişiklik olması halinde durumu derhâl bildirmekle yükümlüdür.

6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 16Kaynağı aç

MADDE 16- (1) Kurulun gözetiminde,
Başkanlık tarafından kamuya açık olarak Veri Sorumluları Sicili tutulur.
(2) Kişisel verileri işleyen
gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline
kaydolmak zorundadır. Ancak, işlenen kişisel verinin niteliği, sayısı, veri işlemenin
kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek
objektif kriterler göz önüne alınmak suretiyle, Kurul tarafından, Veri Sorumluları
Siciline kayıt zorunluluğuna istisna getirilebilir.
(3) Veri Sorumluları Siciline
kayıt başvurusu aşağıdaki hususları içeren bir bildirimle yapılır:
a) Veri sorumlusu ve varsa
temsilcisinin kimlik ve adres bilgileri.
b) Kişisel verilerin hangi
amaçla işleneceği.
c) Veri konusu kişi grubu
ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar.
ç) Kişisel verilerin aktarılabileceği
alıcı veya alıcı grupları.
d) Yabancı ülkelere aktarımı
öngörülen kişisel veriler.
e) Kişisel veri güvenliğine
ilişkin alınan tedbirler.
f) Kişisel verilerin işlendikleri
amaç için gerekli olan azami süre.
(4) Üçüncü fıkra uyarınca
verilen bilgilerde meydana gelen değişiklikler derhâl Başkanlığa bildirilir.
(5) Veri Sorumluları Siciline
ilişkin diğer usul ve esaslar yönetmelikle düzenlenir.
BEŞİNCİ BÖLÜM
Suçlar ve Kabahatler
Suçlar

Kişisel Veri İşleme Şartları ve Açık Rıza Standartları

Bankacılık işlemlerinde kişisel veri işleme şartları değerlendirilirken, 6698 sayılı Kanun'un 5. maddesi kapsamında öncelikle açık rıza dışındaki hukuka uygunluk şartlarının mevcut olup olmadığı incelenmelidir. Kanunlarda açıkça öngörülme, fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi, verinin ilgili kişi tarafından alenileştirilmiş olması, bir hakkın tesisi, kullanılması veya korunması ile ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati şartlarından en az birinin bulunması halinde açık rıza aranmaksızın veri işlenmesi mümkündür. Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan açık rıza herhangi bir şekil şartına tabi değildir. Bununla birlikte açık rızanın alındığını ispat yükümlülüğü bankaya aittir. Kullanıcıların şifreyle kimlik doğrulaması yaptığı ve işlem kayıtlarının tutulduğu internet bankacılığı ve mobil bankacılık kanalları ispata elverişli alanlar olarak değerlendirilmektedir.

6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 5Kaynağı aç

MADDE 5- (1) Kişisel veriler ilgili
kişinin açık rızası olmaksızın işlenemez.
(2) Aşağıdaki şartlardan birinin
varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi
mümkündür:
a) Kanunlarda açıkça öngörülmesi.
b) Fiili imkânsızlık nedeniyle
rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan
kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması
için zorunlu olması.
c) Bir sözleşmenin kurulması
veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait
kişisel verilerin işlenmesinin gerekli olması.
ç) Veri sorumlusunun hukuki
yükümlülüğünü yerine getirebilmesi için zorunlu olması.
d) İlgili kişinin kendisi
tarafından alenileştirilmiş olması.
e) Bir hakkın tesisi, kullanılması
veya korunması için veri işlemenin zorunlu olması.
f) İlgili kişinin temel hak
ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için
veri işlenmesinin zorunlu olması.
Özel nitelikli kişisel verilerin
işlenme şartları

Açık rızanın özgür iradeyle verilmiş olması zorunludur ve rıza verilmesi bir ürün veya hizmetten faydalanmanın ön şartı haline getirilemez. Bunun yanında 5378 sayılı Engelliler Hakkında Kanun ve ilgili mevzuat uyarınca erişilebilirlik imkanlarından yararlanmak amacıyla engellilik durumunu gösteren belgeyi bankaya ibraz eden ilgilinin açık rıza verdiği kabul edilebilmektedir. 5411 sayılı Kanun ve ilgili mevzuat gereğince risk grubunda yer alan kişilerin verileri açık rıza alınmaksızın işlenebilmektedir. Benzer biçimde sözleşmenin kurulması aşamasında ve kredi sözleşmeleri çerçevesinde taraflara bildirim yapılması amacıyla yürütülen veri işleme faaliyetlerinde de açık rıza aranmamaktadır.

Alacakların tahsili veya müşteri verilerinin üçüncü kişilerin eline geçmesini engellemek amacıyla kimlik doğrulaması yapılması hakkın tesisi, kullanılması veya korunması gerekçesine dayanır. Dolandırıcılık tedbirleri, müşteri segmentasyonu, uygun ürün sunumu ve müşteri memnuniyeti gibi süreçlerde veri sorumlusunun meşru menfaatine dayanılabilmesi için amaç, gereklilik ve orantılılık unsurlarını içeren ölçülülük ilkesi karşılanmalıdır. 6698 sayılı Kanun'un 6. maddesinde sınırlı sayılan biyometrik ve sağlık verileri gibi özel nitelikli verilerin işlenmesini önlemek adına kimlik belgesinin amaca özgü sayfasında işlem yapılması veya özel nitelikli kısımların karartılması iyi uygulama niteliğindedir. Bu verilerin işlenmesinde Kurul tarafından belirlenen yeterli önlemlerin alınması zorunludur.

6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 6Kaynağı aç

MADDE 6- (1) Kişilerin ırkı, etnik
kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık
ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti
ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel
nitelikli kişisel veridir.
(2) (Mülga:2/3/2024-7499/33
md.)
(3) (Değişik:2/3/2024-7499/33
md.) Özel nitelikli kişisel verilerin işlenmesi yasaktır. Ancak bu
verilerin işlenmesi;
a) İlgili kişinin açık
rızasının olması,
b) Kanunlarda açıkça
öngörülmesi,
c) Fiili imkânsızlık
nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki
geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya
beden bütünlüğünün korunması için zorunlu olması,
ç) İlgili kişinin
alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun
olması,
d) Bir hakkın tesisi,
kullanılması veya korunması için zorunlu olması,
e) Sır saklama yükümlülüğü
altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının
korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin
yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı
amacıyla gerekli olması,
f) İstihdam, iş sağlığı
ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki
hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
g) Siyasi, felsefi, dini
veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen
kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak,
faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla;
mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla
düzenli olarak temasta olan kişilere yönelik olması,
halinde mümkündür.
(4) Özel nitelikli kişisel
verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması
şarttır.
Kişisel verilerin silinmesi,
yok edilmesi veya anonim hâle getirilmesi

Bankacılıkta Aydınlatma Yükümlülüğünün Kapsamı

Bankacılık Kanunu'nun 4. maddesi uyarınca bankaların müşteri edinimi ve hesap açılışı, kredi ve yatırım süreçlerine özgülenmiş aydınlatma yapması ve önce kısa, kolay anlaşılır bir metin sunup eş zamanlı olarak detaylı açıklamaları gösteren katmanlı aydınlatma yöntemini benimsemesi önerilmektedir. Tüzel kişi müşterilerin gerçek kişi temsilcilerinin kendi kuruluşlarınca bilgilendirildiği kabul edildiğinden bankalar, bu temsilcileri amaçla sınırlı veri işleme süreçleri için ayrıca aydınlatmak zorunda değildir. Kredi başvurusunda bulunan risk grubundaki kişilere her işlem için ayrı aydınlatma yapılması yerine kolay erişilebilir genel bir aydınlatma sağlanması yeterli bulunmaktadır. Maaş ödeme protokolleri çerçevesinde toplu hesap açılması sonrasındaki süreçlerde ise bankacılık faaliyetlerine ilişkin aydınlatma yükümlülüğü bankalara aittir.

Veri Aktarımları, Sır Saklama Düzenlemeleri ve Yurt Dışı Paylaşımları

Bankanın kendi tüzel kişiliği bünyesindeki veri paylaşımları aktarım sayılmazken, aynı şirketler topluluğu içinde yer alan diğer veri sorumlusu şirketlere yapılan aktarımlar üçüncü kişilere veri aktarımı niteliğindedir. Rehber'in VIII. bölümünde, özel nitelikli kişisel verilerin yurt içinde aktarılması şartlarına dair açıklamalar 6698 sayılı Kanun'un 6. maddesindeki değişikliklerle uyumlu hale getirilmiştir. Bankaların müşteri ve banka sırlarını kanunen yetkili mercilere ve 5549 sayılı Kanun çerçevesinde MASAK'a bildirmesi ise kanuni bir yükümlülüktür.

5411 sayılı Bankacılık Kanunu'nun 73. maddesi ve Sır Niteliğindeki Bilgilerin Paylaşılması Hakkında Yönetmelik hükümleri saklı olup öncelikle uygulanır. Müşteri sırrı niteliğindeki bilgiler, sır saklama yükümlülüğünün istisnaları hariç tutulmak üzere, ilgili kişinin açık rızası bulunsa dahi müşterinin talebi veya talimatı olmaksızın aktarılamaz. Bankacılık Kanunu hükümleri 6698 sayılı Kanun'a nazaran özel hüküm vasfı taşıdığından, müşterinin talebi veya talimatı bulunmadıkça açık rıza olsa bile müşteri sırrı yurt dışına aktarılamaz.

5411 sayılı BANKACILIK KANUNU m. 73Kaynağı aç

Madde 73 —
Kurul başkan ve üyeleri ile Kurum personeli, Fon Kurulu başkan ve üyeleri ile
Fon personeli görevleri sırasında öğrendikleri bankalara ve bunların bağlı
ortaklık, iştirak, birlikte kontrol edilen ortaklıkları ve müşterilerine ait
sırları bu Kanuna ve özel kanunlarına göre yetkili olanlardan başkasına
açıklayamaz ve kendilerinin veya başkalarının yararlarına kullanamazlar.
Kurumun dışarıdan destek hizmeti aldığı kişi ve kuruluşlar ile bunların
çalışanları da bu hükme tâbidir. Bu yükümlülük görevden ayrıldıktan sonra da
devam eder.
Bu
Kanun hükümleri uyarınca Kurumun, yurt dışındaki muadili denetim mercileri ile
düzenleyeceği mutabakat zabıtları çerçevesinde vereceği bilgi ve belgeler
birinci fıkradaki sır kapsamında değildir. Kurul düzenleyeceği mutabakat
zabıtları veya zabıtlar dışında elde edeceği sırların korunmasını sağlamakla
görevlidir. Kurumun elde edeceği sır niteliğindeki bilgi ve belgeler, kuruluş
ve faaliyet izni verilmesinde, faaliyetlerin denetiminde, düzenlemelere uyulup
uyulmadığının izlenmesinde ve Kurul kararlarına karşı açılacak idarî davaların
görülmesinde kullanılabilir. (Değişik dördüncü cümle: 13/2/2011-6111/146
md.) Kurumun bu fıkra kapsamında elde edeceği sır niteliğindeki bilgi ve
belgeler, ceza soruşturması ve kovuşturması kapsamında savcılıklar ile ceza
mahkemeleri, görevden ayrılmış olsalar dahi, görevleriyle bağlantılı olarak
işledikleri iddia edilen suçlardan dolayı başlatılan soruşturma ve
kovuşturmalar ile bağlantılı olarak talepte bulunacak Kurul Başkanı ve üyeleri ile
Kurum personeli dışında hiçbir kişi, kurum ve kuruluşa verilemez. Mahkeme
kararına bağlanmış sır kapsamına giren bilgilerin verilmesinden Kurum sorumlu
tutulamaz.
(Değişik
üçüncü fıkra: 13/2/2011-6111/146 md.) Sıfat ve görevleri dolayısıyla
bankalara veya müşterilerine ait sırları öğrenenler, söz konusu sırları bu
konuda kanunen açıkça yetkili kılınan mercilerden başkasına açıklayamazlar. Bu
yükümlülük görevden ayrıldıktan sonra da devam eder. (Ek
cümleler:20/2/2020-7222/10 md.) Bankacılık faaliyetlerine özgü olarak
bankalarla müşteri ilişkisi kurulduktan sonra oluşan gerçek ve tüzel kişilere
ait veriler, müşteri sırrı hâline gelir. Diğer kanunların emredici hükümleri
saklı kalmak kaydıyla, müşteri sırrı niteliğindeki bilgiler, bu maddede
belirtilen sır saklama yükümlülüğünden istisna tutulan hâller haricinde,
24/3/2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca
müşterinin açık rızası alınsa dahi, müşteriden gelen bir talep ya da talimat
olmaksızın yurt içindeki ve yurt dışındaki üçüncü kişilerle paylaşılamaz ve
bunlara aktarılamaz. Kurul ekonomik güvenliğe ilişkin yapacağı değerlendirme
neticesinde, müşteri sırrı ya da banka sırrı niteliğinde olan her türlü
verinin, yurt dışındaki üçüncü kişilerle paylaşılmasını ya da bunlara aktarılmasını
yasaklamaya, ayrıca bankaların faaliyetlerini yürütmede kullandıkları bilgi
sistemleri ve bunların yedeklerinin yurt içinde bulundurulması hususunda karar
almaya yetkilidir. Bu maddede belirtilen sır saklama yükümlülüğünden istisna
tutulan hâllerde yapılacak paylaşımlar da dâhil olmak üzere, müşteri sırrı ve
banka sırrı niteliğindeki bilgiler, sadece belirtilen amaçlarla sınırlı olmak
ve ölçülülük ilkesine uygun olarak bu amaçların gerektirdiği kadar veriyi
içermek kaydıyla paylaşılabilir. 22/4/1926 tarihli ve 818 sayılı Borçlar
Kanunu, 13/6/1952 tarihli ve 5953 sayılı Basın Mesleğinde Çalışanlarla
Çalıştıranlar Arasındaki Münasebetlerin Tanzimi Hakkında Kanun, 20/4/1967
tarihli ve 854 sayılı Deniz İş Kanunu ile 22/5/2003 tarihli ve 4857 sayılı İş Kanunu
kapsamında çalıştırılan işçi, gemi adamı ve gazetecinin ücret, prim, ikramiye
ve bu nitelikte her çeşit istihkak ödemelerinin özel olarak açılan banka
hesabına yapılması halinde, bu hesaplara ilişkin bilgi ve belgelerin Çalışma ve
Sosyal Güvenlik Bakanlığı, Maliye Bakanlığı ve Hazine Müsteşarlığı ile bunlara
bağlı ve ilgili kurum ve kuruluşlara verilmesi ile 31/5/2006 tarihli ve 5510
sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanununun 8 inci ve 100 üncü
maddelerinin uygulanması ile genel sağlık sigortalılığında gelir testinin
yapılmasına ilişkin bilgi ve belgelerin Sosyal Güvenlik Kurumuna ve il veya
ilçe sosyal yardımlaşma ve dayanışma vakıflarınca yapılan sosyal yardım hak
sahiplerinin tespiti ile gelir testi işlemlerinin yürütülmesi amacıyla Aile ve
Sosyal Politikalar Bakanlığı Sosyal Yardımlar Genel Müdürlüğüne verilmesi
sırrın ifşası sayılmaz. Bu bilgi ve belgelerin verilmesine ilişkin usûl ve
esaslar Çalışma ve Sosyal Güvenlik Bakanlığı, Maliye Bakanlığı, Hazine
Müsteşarlığının bağlı olduğu Bakanlık ile Kurulca belirlenir.[13]
(Değişik dördüncü fıkra:
13/2/2011-6111/146 md.) Kurumun gözetim ve denetimine tabi kuruluşların, bunların ortaklarına,
bağlı ortaklık, iştirak, birlikte kontrol edilen ortaklıklarının faaliyetlerine
veya müşterilerine ilişkin yabancı ülke kanunlarına göre denetime yetkili ve
Kurum muadili mercilerin taleplerinin Kurumca karşılanması, gizlilik sözleşmesi
yapılması ve sadece belirtilen amaçlar ile sınırlı kılınması koşuluyla
bankaların ve finansal kuruluşların, kendi aralarında doğrudan doğruya ya da
risk merkezi veya en az beş banka ya da finansal kuruluş tarafından kurulacak
şirketler vasıtasıyla yapacakları her türlü bilgi ve belge alışverişinin yanı
sıra doğrudan veya dolaylı pay sahipliği yoluyla sermayelerinin yüzde onunu ve
daha fazlasını temsil eden paylarının satışı amacıyla muhtemel alıcıların
yapacakları değerleme çalışmalarında ya da sermayelerinin yüzde on veya daha
fazlasına sahip olan yurt içinde veya yurt dışında yerleşik kredi kuruluşu ile
finansal kuruluşlar da dâhil ana ortaklıkların konsolide finansal tablo
hazırlama çalışmalarında, risk yönetimi ve iç denetim uygulamalarında veya
kredileri de dâhil varlıklarının ya da bunlara dayalı menkul kıymetlerin satışı
amacıyla yapılacak değerleme çalışmalarında ya da değerleme, derecelendirme
veya destek hizmeti alınması ile bağımsız denetim faaliyetlerinde ve gerekli
tedbirlerin alınması kaydıyla hizmet alımlarına yönelik işlemlerde kullanılmak
üzere bilgi ve belge taleplerinin karşılanması sırasında banka ya da müşteri
sırrı niteliğindeki bilgilerin öğrenilmesi sır saklama yükümlülüğü dışındadır.
(Ek fıkra:20/2/2020-7222/10 md.) Sır niteliğindeki bilgilerin, üçüncü
ve dördüncü fıkralar uyarınca yapılacak paylaşım ve aktarımlarına ilişkin
kapsam, şekil, usul ve esasları belirlemeye veya bunlara ilişkin sınırlamalar
getirmeye Kurul yetkilidir.
İtibarın
korunması

6698 sayılı Kanun'un 9. maddesi doğrultusunda kişisel verilerin yurt dışına aktarımı; 5. ve 6. maddelerdeki işleme şartlarından birinin varlığı ile birlikte hedef ülke, sektör veya kuruluş hakkında Kişisel Verileri Koruma Kurulu tarafından verilmiş bir yeterlilik kararının bulunması halinde mümkündür. Yeterlilik kararı Resmî Gazete'de yayımlanır ve en geç dört yılda bir değerlendirilir. Yeterlilik kararının bulunmaması durumunda; Kanun'un 5. ve 6. maddelerindeki şartlardan birinin mevcudiyeti, ilgili kişinin aktarım yapılacak ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla Kanun'da sayılan uygun güvencelerden birinin sağlanması gerekir. İlan edilen standart sözleşmenin güvence olarak tercih edilmesi halinde, sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi zorunludur. Yeterlilik kararı ve uygun güvencelerin sağlanamadığı durumlarda ise ancak 9. maddenin altıncı fıkrasında sınırlı olarak sayılan hallerde ve münhasıran arızi olmak kaydıyla yurt dışına aktarım yapılabilir. Bu kapsamda bankanın belirli bir yabancı bankaya tekil para transferi talebini yerine getirmesi; risklerin bildirilerek açık rıza alınması, aktarımın mutat, sürekli veya düzenli olmaması ve nadiren gerçekleşmesi şartıyla arızi aktarım olarak değerlendirilebilir. Benzer şekilde bir dava sürecinin yürütülmesi amacıyla yurt dışına veri aktarımı da bir hakkın tesisi, kullanılması veya korunması için zorunlu olması ve işlemin mutat ya da sürekli olmaması kaydıyla mümkündür. 6698 sayılı Kanun'un 9. maddesinin onuncu fıkrası uyarınca kişisel verilerin yurt dışına aktarılmasına ilişkin diğer kanunlarda yer alan hükümler ise saklıdır.

6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 9Kaynağı aç

MADDE 9- (Değişik:2/3/2024-7499/34
md.)
(1) Kişisel veriler, 5
inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı ve
aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası
kuruluşlar hakkında yeterlilik kararı bulunması halinde, veri sorumluları ve
veri işleyenler tarafından yurt dışına aktarılabilir.
(2) Yeterlilik kararı,
Kurul tarafından verilir ve Resmî Gazete’de yayımlanır. Kurul, ihtiyaç duyması
halinde ilgili kurum ve kuruluşların görüşünü alır. Yeterlilik kararı, en geç
dört yılda bir değerlendirilir. Kurul, değerlendirme sonucunda veya gerekli
gördüğü diğer hallerde, yeterlilik kararını ileriye etkili olmak üzere
değiştirebilir, askıya alabilir veya kaldırabilir.
(3) Yeterlilik kararı
verilirken öncelikle aşağıdaki hususlar dikkate alınır:
a) Kişisel verilerin
aktarılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar ile
Türkiye arasında kişisel veri aktarımına ilişkin karşılıklılık durumu.
b) Kişisel verilerin
aktarılacağı ülkenin ilgili mevzuatı ve uygulaması ile kişisel verilerin
aktarılacağı uluslararası kuruluşun tâbi olduğu kurallar.
c) Kişisel verilerin
aktarılacağı ülkede veya uluslararası kuruluşun tâbi olduğu bağımsız ve etkin
bir veri koruma kurumunun varlığı ile idari ve adli başvuru yollarının
bulunması.
ç) Kişisel verilerin
aktarılacağı ülkenin veya uluslararası kuruluşun, kişisel verilerin
korunmasıyla ilgili uluslararası sözleşmelere taraf veya uluslararası
kuruluşlara üye olma durumu.
d) Kişisel verilerin
aktarılacağı ülkenin veya uluslararası kuruluşun, Türkiye’nin üye olduğu
küresel veya bölgesel kuruluşlara üye olma durumu.
e) Türkiye’nin taraf
olduğu uluslararası sözleşmeler.
(4) Kişisel veriler,
yeterlilik kararının bulunmaması durumunda, 5 inci ve
6 ncı maddelerde belirtilen şartlardan birinin varlığı, ilgili
kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun
yollarına başvurma imkânının bulunması kaydıyla, aşağıda belirtilen uygun
güvencelerden birinin taraflarca sağlanması halinde veri sorumluları ve veri işleyenler
tarafından yurt dışına aktarılabilir:
a) Yurt dışındaki kamu
kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye’deki kamu kurum
ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında
yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul
tarafından aktarıma izin verilmesi.
b) Ortak ekonomik
faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü
oldukları, kişisel verilerin korunmasına ilişkin hükümler ihtiva eden ve Kurul
tarafından onaylanan bağlayıcı şirket kurallarının varlığı.
c) Kurul tarafından ilan
edilen, veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları,
veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli
kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden standart
sözleşmenin varlığı.
ç) Yeterli korumayı
sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul
tarafından aktarıma izin verilmesi.
(5) Standart sözleşme,
imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen
tarafından Kuruma bildirilir.
(6) Veri sorumluları ve
veri işleyenler, yeterlilik kararının bulunmaması ve dördüncü fıkrada öngörülen
uygun güvencelerden herhangi birinin sağlanamaması durumunda, arızi olmak
kaydıyla sadece aşağıdaki hallerden birinin varlığı halinde yurt dışına kişisel
veri aktarabilir:
a) İlgili kişinin,
muhtemel riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza
vermesi.
b) Aktarımın, ilgili kişi
ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi
üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması.
c) Aktarımın, ilgili kişi
yararına veri sorumlusu ve diğer bir gerçek veya tüzel kişi arasında yapılacak
bir sözleşmenin kurulması veya ifası için zorunlu olması.
ç) Aktarımın üstün bir
kamu yararı için zorunlu olması.
d) Bir hakkın tesisi,
kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu
olması.
e) Fiili imkânsızlık
nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki
geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden
bütünlüğünün korunması için kişisel verilerin aktarılmasının zorunlu olması.
f) Kamuya veya meşru
menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile
erişmek için gereken şartların sağlanması ve meşru menfaati olan kişinin talep
etmesi kaydıyla aktarım yapılması.
(7) Altıncı fıkranın (a),
(b) ve (c) bentleri, kamu kurum ve kuruluşlarının kamu hukukuna tâbi
faaliyetlerine uygulanmaz.
(8) Veri sorumlusu ve
veri işleyenler tarafından, yurt dışına aktarılan kişisel verilerin sonraki
aktarımları ve uluslararası kuruluşlara aktarımlar bakımından da bu Kanunda yer
alan güvenceler sağlanır ve bu madde hükümleri uygulanır.
(9) Kişisel veriler,
uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye’nin veya ilgili
kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili
kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına
aktarılabilir.
(10) Kişisel verilerin
yurt dışına aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır.
(11) Bu maddenin
uygulanmasına ilişkin usul ve esaslar yönetmelikle düzenlenir.
ÜÇÜNCÜ BÖLÜM
Haklar ve Yükümlülükler
Veri sorumlusunun aydınlatma
yükümlülüğü

Veri Güvenliği ve Belge Saklama Süreleri

6698 sayılı Kanun'un 12. maddesi uyarınca veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ile muhafazasını sağlamak amacıyla gerekli her türlü teknik ve idari tedbiri almak, kurumunda gerekli denetimleri yapmak veya yaptırmakla yükümlüdür. Verilerin başka bir kişi tarafından işlenmesi halinde güvenlik tedbirleri bakımından veri sorumlusu bu kişilerle müştereken sorumludur. Ayrıca veri sorumlusu ile veri işleyenlerin sır saklama yükümlülüğü görevden ayrıldıktan sonra da devam eder; kanuni olmayan yollarla veri elde edilmesi halinde durum en kısa sürede ilgilisine ve Kurula bildirilir. Bununla birlikte bankaların bağlı oldukları sektörel denetim mevzuatının, 6698 sayılı Kanun'un 12. maddesinde öngörülen denetim yükümlülüklerini karşıladığı kabul edilmektedir. Öte yandan 5411 sayılı Bankacılık Kanunu'nun 42. maddesi gereğince bankalar, alınan yazılar ve faaliyetlere ilişkin belgelerin asıllarını veya sıhhatli kopyaları ile yazılan yazıların suretlerini on yıl süreyle saklamakla yükümlüdür. Bankalar saklama ve imha politikalarını bu yasal çerçeveye göre belirler.

5411 sayılı BANKACILIK KANUNU m. 42Kaynağı aç

Madde
42 —
Alınan yazılar ve faaliyetler ile ilgili belgelerin asılları veya bunun mümkün
olmadığı hâllerde sıhhatlerinden şüpheye mahal vermeyecek kopyaları ve yazılan
yazıların makine ile alınmış, tarih ve numara sırası verilerek düzenlenecek
suretleri, usûlleri çerçevesinde ilgili banka nezdinde on yıl süreyle saklanır.
Bu belgelerin mikrofilm, mikrofiş şeklinde veya elektronik, manyetik veya
benzeri ortamlarda saklanmaları mümkündür. Bu maddenin uygulanmasına ilişkin
usûl ve esaslar Kurulca belirlenir.
DÖRDÜNCÜ
KISIM
Koruyucu
Hükümler
BİRİNCİ
BÖLÜM
Özkaynaklar
ve Standart Oranlar
Koruyucu
düzenlemeler

6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 12Kaynağı aç

MADDE 12- (1) Veri sorumlusu;
a) Kişisel verilerin hukuka
aykırı olarak işlenmesini önlemek,
b) Kişisel verilere hukuka
aykırı olarak erişilmesini önlemek,
c) Kişisel verilerin muhafazasını
sağlamak,
amacıyla uygun güvenlik düzeyini
temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.
(2) Veri sorumlusu, kişisel
verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde,
birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte
müştereken sorumludur.
(3) Veri sorumlusu, kendi
kurum veya kuruluşunda, bu Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli
denetimleri yapmak veya yaptırmak zorundadır.
(4) Veri sorumluları ile veri
işleyen kişiler, öğrendikleri kişisel verileri bu Kanun hükümlerine aykırı olarak
başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük görevden
ayrılmalarından sonra da devam eder.
(5) İşlenen kişisel verilerin
kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu
bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde
bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan
edebilir.
DÖRDÜNCÜ BÖLÜM
Başvuru, Şikâyet ve Veri Sorumluları
Sicili
Veri sorumlusuna başvuru

Müşteri sırrı niteliğindeki kişisel veriler açık rızayla yurt dışına aktarılabilir mi?

5411 sayılı Bankacılık Kanunu'nun 73. maddesi uyarınca müşteri sırrı niteliğindeki bilgiler, sır saklama istisnaları hariç olmak üzere, 6698 sayılı Kanun kapsamında açık rıza bulunsa dahi müşterinin talebi veya talimatı olmaksızın yurt içine veya yurt dışına aktarılamaz.

Bankacılık ürün veya hizmeti sunulurken açık rıza şart koşulabilir mi?

Açık rızanın geçerli olabilmesi için özgür iradeyle verilmesi şarttır; bu nedenle açık rıza bir bankacılık hizmeti veya ürününden yararlanmanın ön şartı haline getirilemez.

Yurt dışına para transferlerinde kişisel verilerin arızi aktarımı hangi şartlara tabidir?

Yeterlilik kararı ve uygun güvence bulunmadığı hallerde, diğer kanunların emredici ve saklı hükümleri gözetilmek kaydıyla; müşteriye risklerin bildirilerek açık rızasının alınması, işlemin mutat, sürekli veya düzenli olmaması ve nadiren gerçekleşmesi şartıyla belirli bir para transferi talebi arızi olarak gerçekleştirilebilir.

Bankalar gerçekleştirdikleri işlemlere ait belgeleri ne kadar süre saklamak zorundadır?

5411 sayılı Bankacılık Kanunu'nun 42. maddesi uyarınca bankalar, faaliyetlerine ilişkin belgelerin asıllarını veya sıhhatli kopyaları ile yazışma suretlerini on yıl süreyle saklamakla yükümlüdür.

Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.

Hazırlayan: Av. Erdal Ersoy

Avukat Erdal Ersoy İletişim ve randevu

Bilişim hukuku