Müşteri Sırrı ve Banka Sırrının Paylaşım Şartları

Sıfatı veya görevi nedeniyle bankaya ya da müşteriye ait bir sırrı öğrenen kişi, bu sırrı yalnızca kanunen açıkça yetkili kılınan mercilere açıklayabilir. Müşteri sırrı niteliğindeki bilgiler, diğer kanunların emredici hükümleri ve kanunda istisna tutulan haller saklı kalmak kaydıyla, müşterinin açık rızası bulunsa bile müşteriden gelen talep veya talimat olmadan yurt içindeki ya da yurt dışındaki üçüncü kişilere paylaşılamaz ve aktarılamaz. İstisna kapsamındaki paylaşımlar da dahil olmak üzere veri, belirtilen amaçla sınırlı olmalı ve ölçülülük ilkesine uygun olarak yalnızca o amacın gerektirdiği kadarını içermelidir.

Sır saklama yükümlülüğünün kapsamı

Yükümlülük, Kurul başkan ve üyeleri ile Kurum personelini, Fon Kurulu başkan ve üyeleri ile Fon personelini kapsar. Bu kişiler, görevleri sırasında öğrendikleri bankalara, bağlı ortaklık, iştirak ve birlikte kontrol edilen ortaklıklara ve müşterilere ait sırları, Bankacılık Kanunu ile özel kanunlara göre yetkili olanlardan başkasına açıklayamaz. Sırları kendilerinin veya başkalarının yararına kullanmaları da yasaktır. Kurumun dışarıdan destek hizmeti aldığı kişi ve kuruluşlar ile çalışanları aynı hükme tabidir. Yükümlülük görevden ayrılınca sona ermez.

Bankalara veya müşterilerine ait sırları sıfat ve görevleri dolayısıyla öğrenenler için de açıklama, kanunen açıkça yetkili mercilerle sınırlıdır ve görevden ayrıldıktan sonra devam eder. Görüşe açılan taslak, bu yasağı bankacılık mevzuatıyla aynı doğrultuda düzenler. Taslağa göre yasak, müşteri sırrının otomatik olmayan yöntemlerle veya bir veri kayıt sisteminin parçası olmayan yollarla elde edilmesi ve öğrenilmesi halinde de geçerlidir.

Kurumun elde ettiği sır niteliğindeki bilgi ve belgeler, kuruluş ve faaliyet izninin verilmesinde, faaliyetlerin denetiminde, düzenlemelere uyulup uyulmadığının izlenmesinde ve Kurul kararlarına karşı açılacak idari davaların görülmesinde kullanılabilir.

Müşteri sırrının kanuni sınırı

Bankacılık faaliyetlerine özgü olmak ve bankayla müşteri ilişkisi kurulduktan sonra oluşmak kaydıyla, gerçek ve tüzel kişilere ait veriler müşteri sırrı haline gelir. Kanundaki tanım bu iki şarta bağlıdır.

Görüşe açılan taslak, kanundaki tanımı daha geniş bir açıklamayla ele alır. Taslakta, gerçek veya tüzel kişi müşterinin banka müşterisi olduğunu gösteren her türlü bilgi müşteri sırrı kapsamında sayılır. Müşteri ilişkisi kurulmamış olsa bile başka bir banka nezdindeki müşteri sırrı niteliğindeki bilgilerin elde edilmesi ve öğrenilmesi de sır saklama yükümlülüğü içinde değerlendirilir.

Taslak, ilişkiden önce de var olan veriler için ayrı bir sonuç öngörür. Bu veriler başka bir bankanın müşteri sırrı niteliğinde değilse, ilgili kişinin banka müşterisi olduğunu gösterecek şekilde tek başına veya müşteri ilişkisinden sonra oluşan verilerle birlikte işlendiğinde müşteri sırrı haline gelir. Bu hükümler taslağın içeriğidir; yürürlüğe girecek metin farklı olabilir.

Yasağın dışında kalan paylaşımlar

Banka sırrı veya müşteri sırrı niteliğindeki bilgilerin, bu konuda kanunen açıkça yetkili kılınan mercilerle paylaşılması sır saklama yükümlülüğüne aykırılık oluşturmaz. Hüküm, yetkili mercileri bu fıkrada tek tek sıralamaz.

Kurumun, yurt dışındaki muadili denetim mercileriyle düzenleyeceği mutabakat zabıtları çerçevesinde vereceği bilgi ve belgeler, birinci fıkradaki sır kapsamında değildir. Kurul, bu zabıtlar çerçevesinde veya zabıtlar dışında elde edeceği sırların korunmasını sağlamakla görevlidir.

Kurumun bu kapsamda elde ettiği sır niteliğindeki bilgi ve belgeler, ceza soruşturması ve kovuşturması kapsamında savcılıklar ile ceza mahkemelerine verilebilir. Görevden ayrılmış olsalar dahi, görevleriyle bağlantılı olarak işledikleri iddia edilen suçlar nedeniyle başlatılan soruşturma ve kovuşturmalarla bağlantılı talepte bulunacak Kurul başkanı ve üyeleri ile Kurum personeline de verilebilir. Bunların dışında hiçbir kişi, kurum ve kuruluşa verilemez. Mahkeme kararına bağlanmış ve sır kapsamına giren bilgilerin verilmesinden Kurum sorumlu tutulamaz.

Taslak, ayrıca bazı hallerde gizlilik sözleşmesi yapılmasını ve paylaşımın belirtilen amaçlarla sınırlı kalmasını şart koşar. Bu koşullarla banka sırrı veya müşteri sırrı paylaşımı yükümlülüğe aykırı sayılmaz. Anlatılan haller taslağın bütün istisnalarını kapatmaz. Özetlenenler arasında bankalar ve finansal kuruluşlar arasındaki bilgi ve belge alışverişi, konsolide finansal tablo hazırlama ile risk yönetimi ve iç denetim uygulamaları, pay satışı amaçlı değerleme çalışmaları, değerleme, derecelendirme, destek hizmeti, bağımsız denetim faaliyetleri ve hizmet alımları için bilgi ve belge verilmesi bulunur. Yalnızca bankaya ait olup müşteri sırrı içermeyen banka sırrı, yönetim kurulu kararıyla üçüncü taraflarla paylaşılabilir. Kamu kurum ve kuruluşlarına müşteri talebiyle verilen bilgilerin doğru olup olmadığı da ilgili bankalar, risk merkezi veya en az beş banka ya da finansal kuruluş tarafından kurulmuş şirketler üzerinden, yalnızca doğru olup olmadığı yönünden cevap verilerek teyit edilebilir.

Taslak, risk yönetimi amacıyla yapılacak paylaşımların, iç sistemler ve içsel sermaye yeterliliği değerlendirme sürecine ilişkin yönetmelikte yer verilen uyum, kredi ve itibar riskleri dahil tüm risk yönetimi faaliyetlerini kapsadığını ifade eder. Destek hizmeti alımında hizmet birincil sistemler kapsamında değilse, bu kapsamdaki bilgi paylaşımı için müşteriden talep veya talimat alınması zorunluluğu devam eder.

Amaç sınırı, ölçülülük ve kimliksizleştirme

Bankacılık Kanunu, istisna tutulan hallerdeki paylaşımlar dahil müşteri sırrı ve banka sırrı niteliğindeki bilgilerin yalnızca belirtilen amaçlarla sınırlı paylaşılmasını kabul eder. Veri aynı zamanda ölçülülük ilkesine uygun olmalı ve bu amaçların gerektirdiği kadarı aşmamalıdır. İki şart birlikte aranır.

Taslak da paylaşımların ölçülülük ilkesine uygun, belirtilen amaçlarla sınırlı ve amaç için gerekli olması gerektiğini vurgular. Paylaşılan veriler toplulaştırıldığında, anonim hale getirildiğinde veya kimliksizleştirildiğinde amaç yine gerçekleştirilebiliyorsa bu yöntemler uygulanmalıdır.

Taslak, kimliksizleştirmeyi bankacılık faaliyetleri ve finans sektörünün özellikleri dikkate alınarak tanımlar. Müşteriye ilişkin veriler, kimliği belirli veya belirlenebilir gerçek ya da tüzel kişi müşteriyle ilişkilendirilmemesi için teknik ve idari tedbirler alınarak işlenir. Farklı bir ortamda muhafaza edilen diğer verilerle bir araya getirilmeksizin, müşteriyle ilişkilendirilemeyecek şekilde işlem yapılmalıdır.

Gerçek kişi verileri ile sağlık ve cinsel hayat bilgileri

Kişisel veriler, ancak Kişisel Verilerin Korunması Kanununda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir. İşlemede hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ile ilgili mevzuatta öngörülen veya işlenme amacı için gerekli süre kadar muhafaza edilme ilkelerine uyulması zorunludur.

Taslak, gerçek kişi müşterilere ilişkin sır niteliğindeki bilgilerin paylaşımında bu genel ilkelere uyulmasını zorunlu tutar. Müşteri sırrı niteliğinde olsa bile sağlık ve cinsel hayata ilişkin verilerin yurt içine ve yurt dışına aktarımı taslakta açıkça yasaklanır. Bu yasak, görüşe açılan taslakta yer alan bir düzenlemedir.

Açık rıza, talep ve işlemin başlatılması

Açık rızanın alınmış olması, müşteri sırrının üçüncü kişilerle paylaşılması için kanunun aradığı ek şartı ortadan kaldırmaz. Diğer kanunların emredici hükümleri saklı kalmak ve sır saklama yükümlülüğünden istisna tutulan haller dışında, müşteriden gelen talep veya talimat bulunmadıkça müşteri sırları yurt içindeki ve yurt dışındaki üçüncü kişilerle paylaşılamaz ve bunlara aktarılamaz. Taslak, Bankacılık Kanununun ilgili hükmüyle uyumlu olarak aynı sınırı tekrarlar.

Taslağa göre müşteri talep ve talimatı yazılı olabilir. Kanıtlanabilir olmak kaydıyla kalıcı veri saklayıcısı yoluyla da alınabilir. İşlemin doğası gereği banka, ödeme hizmeti sağlayıcısı veya ödeme ya da mesajlaşma sistemleriyle etkileşim gerekliyse ve müşteri sırrının paylaşılması işlemin tamamlanması için zorunlu unsur ise, yurt içi veya yurt dışı fon transferi, yurt dışı akreditif, teminat mektubu ve referans mektubu gibi işlemlerde müşterinin işlemi başlatması ya da elektronik bankacılık dağıtım kanallarından emir girmesi talep veya talimat yerine geçer.

Kurulun yetkisi ve ikincil düzenleme süreci

Kurul, ekonomik güvenliğe ilişkin değerlendirmesi sonucunda müşteri sırrı veya banka sırrı niteliğindeki her türlü verinin yurt dışındaki üçüncü kişilerle paylaşılmasını ya da bunlara aktarılmasını yasaklamaya yetkilidir. Bankaların faaliyetlerini yürütürken kullandıkları bilgi sistemleri ile yedeklerinin yurt içinde bulundurulması konusunda da karar alabilir. Hüküm bir yetki tanır; belirli bir yasak kararının alındığını göstermez.

Sır niteliğindeki bilgilerin üçüncü ve dördüncü fıkralar uyarınca paylaşılması ve aktarılmasının kapsam, şekil, usul ve esaslarını belirlemeye veya bunlara sınırlama getirmeye Kurul yetkilidir. Kurum, Kanun ve ilgili diğer mevzuat çerçevesindeki yetkilerini Kurulca tesis edilecek düzenleyici işlemler veya özel nitelikli kararlarla kullanır. Kurul kararıyla bu Kanunun uygulanmasına ilişkin yönetmelikler ve tebliğler çıkarabilir.

İç düzenleme sayılmayan düzenleyici işlemler yürürlüğe konulmadan önce, sektör stratejisi ve politikaları yönünden ilişkili Bakanlığın, kalkınma planı ve yıllık program yönünden Devlet Planlama Teşkilatı Müsteşarlığının ve ayrıca diğer ilgili kurum ve kuruluşların görüşü istenir. Adı geçen Bakanlık ile Müsteşarlık yedi gün dolmadan yanıt vermezse olumlu görüş verilmiş kabul edilir. Hazırlanan ikincil düzenleme taslakları da asgari yedi gün boyunca, öncelikle Kurumun internet sayfasında ve bunun yanında uygun başka araçlarla ilgililerin bilgisine açılır.

Sır saklama yükümlülüğünü, istisnalarını ve müşteri sırrı kavramını açıklığa kavuşturmayı amaçlayan metin, ilgililerin görüşüne sunulmuş bir yönetmelik taslağı olarak ele alınmıştır. Görüşlerin e-posta ile Kuruma iletilebileceği belirtilmiştir. Yürürlüğe girecek hükümlerin taslaktakilerden farklı olması mümkündür.

Bilgi paylaşım komitesi ve dönemsel bildirim

Taslak, bankalara müşteri sırrı ve banka sırrı niteliğindeki bilgilerin paylaşımını koordine etmek ve gelen paylaşım taleplerinin uygunluğunu değerlendirmekle sorumlu bir bilgi paylaşım komitesi kurma yükümlülüğü öngörür. Komite asgari olarak, paylaşımı talep eden veya kendisinden bilgi talep edilen iş kolu, iç kontrol birimi, uyum birimi ve hukuk birimi temsilcileri ile ilgili varlık sahiplerinden oluşur.

Taslağın yürürlüğe girmesiyle birlikte, sır saklama yükümlülüğünün istisnası kabul edilen bazı hallerde yapılan paylaşımlara ilişkin aktarım ayrıntılarının ve alınan teknik ve idari tedbirlerin altı aylık dönemler halinde Bankacılık Düzenleme ve Denetleme Kurumuna raporlanması beklenir. Bu bildirimde gizlilik sözleşmesinin bir örneğinin de yer alması beklenir. Hangi istisna hallerinin bildirime gireceği, bazı haller ifadesiyle sınırlıdır.

Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.

Hazırlayan: Av. Erdal Ersoy