Ödeme ve Elektronik Para Faaliyetlerinde Veri İşleme Esasları
6493 sayılı Kanun çerçevesinde sunulan para transferi, POS çözümleri, fatura tahsilatına aracılık, mobil ödeme ve elektronik para ihracı gibi işlemler kapsamlı kişisel veri işleme süreçleri barındırır. Bu hizmetleri sağlayan kuruluşların veri güvenliğini temin etmesi ve yasal standartlara uyum göstermesi amacıyla sektörel iyi uygulama ilkeleri tatbik edilir.
Sektörel Aktörlerin Veri Sorumlusu Konumu
Ödeme ekosistemindeki tarafların veri sorumlusu niteliği, yürütülen hizmetin özelliklerine ve taraflar arasındaki hukuki bağa göre tayin edilir. Bankacılık mevzuatına tabi bankaların yanı sıra ödeme kuruluşları, elektronik para kuruluşları ve Posta ve Telgraf Teşkilatı bu sıfatı haizdir. Bununla birlikte iş modelinin kurgusuna göre mobil operatörler ile üye işyerleri de veri sorumlusu kapsamında değerlendirilebilir.
İşlenen Veri Türleri ve Kimlik Tespiti Süreci
Sektördeki operasyonlar kapsamında kimlik, iletişim, finansal hareketler, işlem güvenliği verileri ve biyometrik nitelikli bilgiler ilgili sektörel ve teknik düzenlemelere göre işlenir. Müşteri kabulü ile kimlik doğrulama süreçleri ise MASAK 5 No'lu Tebliğ hükümleri ile bağlantılı mevzuat doğrultusunda icra edilir.
Sessiz Taraf Kavramı ve Veri İşleme Sınırları
Hizmet sağlayıcı ile doğrudan sözleşmesel bağı bulunmayan fakat ödeme işleminin yerine getirilmesi amacıyla verileri sürece dahil edilen şahıslar sessiz taraf olarak nitelendirilir. Avrupa Veri Koruma Kurulunun ödeme hizmetleri ile genel veri koruma kuralları etkileşimine dair 06/2020 sayılı Rehberi doğrultusunda, sessiz tarafların verileri münhasıran sözleşmenin ifası amacıyla bağlantılı, sınırlı ve ölçülü biçimde işlenebilir; farklı gayelerle işleme yapılabilmesi için açık bir hukuki dayanak aranır.
Teknik ve İdari Güvenlik Tedbirleri ile Denetim
Veri işleme süreçlerinde aydınlatma, rıza alma, özel nitelikli verilerin muhafazası, yurt dışı aktarımı, veri sorumlusu ve veri işleyen ilişkilerinin tanzimi, Veri Sorumluları Sicili kaydı ile saklama, imha ve başvuru yollarının işletilmesi zorunludur. İşlemlerin hukuka uygunluğu ve şeffaflığı, Türkiye Cumhuriyet Merkez Bankası denetimlerindeki kişisel veri boyutu ve bağımsız denetim mekanizmaları vasıtasıyla güvenceye alınır.
Ödeme işlemlerinde sessiz taraf kimdir?
Doğrudan ödeme hizmeti sağlayıcısının müşterisi olmadığı halde işlemin gerçekleştirilmesi için bilgileri işlenen kişiler sessiz taraftır; bu veriler yalnızca sözleşmenin ifası gayesiyle bağlantılı, sınırlı ve ölçülü işlenebilir.
Ödeme ve elektronik para alanında kimler veri sorumlusudur?
Hizmetin özelliklerine göre bankalar, ödeme kuruluşları, elektronik para kuruluşları, Posta ve Telgraf Teşkilatı, mobil operatörler ve işyerleri veri sorumlusu sıfatı taşıyabilir.
Kimlik tespitinde hangi yasal düzenleme uygulanır?
Kimlik tespiti süreçleri MASAK 5 No'lu Tebliğ ve ilgili teknik mevzuat kuralları doğrultusunda yürütülür.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy