Bankacılık Düzenleme ve Denetleme Kurumu tarafından 11.08.2022 tarihinde yürürlüğe konulan 2022/1 sayılı Sır Niteliğindeki Bilgilerin Paylaşılması Hakkında Genelge, 5411 sayılı Bankacılık Kanunu'nun 73 ve 93. maddeleri kapsamında çıkarılan Sır Niteliğindeki Bilgilerin Paylaşılması Hakkında Yönetmelik hükümlerinin uygulanmasını somut kurallara bağlamaktadır. Bankacılık Kanunu'nun 73. maddesinin 5. fıkrası uyarınca sır niteliğindeki bilgilerin paylaşım ve aktarımlarına ilişkin kapsam, şekil, usul ve esasları belirleme ile bu aktarımlara sınırlama getirme yetkisi Bankacılık Düzenleme ve Denetleme Kurulu'na aittir. Düzenleme; ortak müşteri kavramı, ana ve hakim ortaklıkla bilgi paylaşımı ile özel nitelikli kişisel verilerin aktarım rejimini açıklığa kavuşturmaktadır.
5411 sayılı BANKACILIK KANUNU m. 73Kaynağı aç
Banka Sırrı ve Müşteri Sırrının Yasal Çerçevesi
5411 sayılı Kanun m. 73/3 gereğince, bankacılık faaliyetlerine özgü olarak müşteri ilişkisi kurulduktan sonra teşekkül eden gerçek ve tüzel kişilere ait her türlü veri müşteri sırrı niteliği taşır. Sıfat ve görevleri dolayısıyla bankalara veya müşterilerine ait sırları öğrenenlerin, bu sırları kanunen açıkça yetkili kılınan mercilerden başkasına açıklamama yükümlülüğü görevden ayrıldıktan sonra da sürmektedir.
Kurul başkan ve üyeleri, Kurum personeli, Tasarruf Mevduatı Sigorta Fonu personeli ve dışarıdan destek hizmeti alınan kişi ile kuruluşlar da görevleri sırasında öğrendikleri sırları yetkili merciler haricindekilere açıklayamaz ve kendi veya üçüncü kişilerin yararına kullanamaz. Öte yandan Kurul, ekonomik güvenliğe ilişkin yapacağı değerlendirme neticesinde müşteri veya banka sırrı niteliğindeki verilerin yurt dışına aktarılmasını yasaklamaya ve bankaların bilgi sistemleri ile yedeklerinin yurt içinde tutulmasına karar vermeye kanunen yetkilidir.
Açık Rıza ve Müşteri Talimatı Kuralı
Bankacılık Kanunu m. 73/3 doğrultusunda, mevzuatta yer alan emredici hükümler saklı kalmak üzere, müşteri sırrı niteliğindeki bilgiler müşterinin açık rızası bulunsa dahi müşteriden gelen somut bir talep veya talimat olmaksızın yurt içi veya yurt dışındaki üçüncü kişilerle paylaşılamaz. Ayrıca müşterinin bilgilerini paylaşmaya dair açık rıza göstermesi bankanın vereceği hizmetler için bir ön şart haline getirilemez.
Özel nitelikli kişisel veriler arasında yer alan sağlık ve cinsel hayata ilişkin bilgiler, müşteri sırrı niteliği kazanmış olsa dahi, ilgili müşterinin açık rızası bulunmadıkça sır saklama yükümlülüğünün istisnası olan hallere dayanılarak yurt içindeki veya yurt dışındaki taraflarla paylaşılamaz.
Ortak Müşteri Kavramı ve Ana Ortaklıkla Bilgi Paylaşımı
Bir müşterinin ortak müşteri kabul edilebilmesi için aynı anda hem bankanın hem de bankanın ana ortaklığı veya hakim ortağının müşterisi olması şarttır. Bu hukuki bağ bulunmadığı sürece müşteri ortak müşteri statüsünde değerlendirilmez.
Sır saklama yükümlülüğünün istisnası olarak konsolide finansal tablo hazırlama çalışmaları, risk yönetimi ve iç denetim uygulamaları kapsamında gizlilik sözleşmesi düzenlenmesi ve yalnızca bu amaçlarla sınırlı kalınması kaydıyla banka veya müşteri sırrı paylaşılabilir. Bu kapsamda bankaların sermayelerinin yüzde on veya daha fazlasına sahip olan yurt içi veya yurt dışı kredi ve finansal kuruluş niteliğindeki ana ortaklıklarına bilgi ve belge aktarılması kanuni istisnalar arasında yer almaktadır.
Ölçülülük İlkesi ve Kimliksizleştirme Zorunluluğu
İstisna kapsamında ana ortaklığa veya yetkili mercilere yapılacak paylaşımların tamamı ölçülülük ilkesine tabidir. Paylaşımın sadece amaca yetecek kadar veri içermesi ve aktarılan veri setinin tamamının hedeflenen amaç açısından gerekliliğinin gösterilebilir olması zorunludur. Paylaşılacak bilginin ait olduğu müşteri aynı zamanda ana ortaklığın veya hakim ortağın da müşterisi değilse, aktarılacak sırların müşterinin kimliğini belirli veya belirlenebilir kılmayacak nitelikte olması şarttır.
Ortak müşteri statüsünde olmayan kişilere ait verilerin kimliksizleştirme yapılmaksızın risk yönetimi gerekçesiyle ana veya hakim ortakla paylaşılması Kurumun uygunluk görüşüne bağlıdır. Yapılacak başvuruda hangi verilerin aktarılacağı, bu verilerin amaç için zorunlu olup olmadığı, talebin geçerli bir mevzuat hükmüne dayanıp dayanmadığı somutlaştırılmalı ve Bilgi Paylaşım Komitesi'nin ölçülülük değerlendirmesi kuruma iletilmelidir.
Uyum Riski Kapsamındaki Paylaşımlar ve Banka Sırrı Rejimi
Yabancı bir düzenleyici otoritenin yetkisi kapsamında ana ortaklıktan bilgi talep etmesi ve talebin yerine getirilmemesinin yaptırım riski doğurması hali uyum riski çerçevesinde kabul edilir. Benzer şekilde ana ortaklığın muhabir banka olarak aracılık ettiği fon transferlerinde mali suç riskinin önlenmesi amacıyla talep edilen veriler de uyum riski çerçevesinde değerlendirilir; ancak bu taleplerde de ölçülülük ilkesi geçerliliğini korur. Müşteriye kullandırılan sistem kurallarının zorunlu kılmadığı ve sırf ana ortaklığın iç risk kontrollerine dayanan paylaşımlar ise müşteri talimatı niteliği taşımaz.
Müşteri sırrı niteliğinde olmayıp sadece bankaya ait bilgileri içeren banka sırlarının paylaşılabileceği üçüncü taraflar, mevzuatta sır saklama yükümlülüğünden istisna tutulan haller dışındaki tarafları ifade eder.
Banka çalışanlarına ait veriler, banka sırrı niteliğinde bir veriyle birlikte işlenmedikçe 6698 sayılı Kişisel Verilerin Korunması Kanunu ilkeleri çerçevesinde korunur. Ancak çalışanlara ait insan kaynakları verileri; bankanın mali yapısı, mevduat veya kredi gibi temel faaliyet yönetim esasları, uygulanan teknik usuller veya banka potansiyeli hakkında bilgi barındırıyorsa banka sırrı niteliği kazanır.
Yasal İstisnalar ve Yetkili Mercilerle Bilgi Paylaşımı
Çalışanların ücret hesaplarına ilişkin bilgiler ile sosyal güvenlik ve genel sağlık sigortası gelir testi işlemlerine dair verilerin yetkili kamu kurumlarına verilmesi sırrın ifşası sayılmaz. Bu aktarımların usul ve esasları ilgili bakanlıklar ile Kurul tarafından ortaklaşa tespit edilir.
Kurumun yabancı muadili denetim mercileriyle düzenleyeceği mutabakat zabıtları çerçevesinde verilecek bilgi ve belgeler ile bu mercilerin denetim taleplerinin karşılanması sır saklama yükümlülüğü dışındadır. Gizlilik sözleşmesi yapılması ve sadece belirtilen amaçlarla sınırlı kılınması koşuluyla bankaların ve finansal kuruluşların kendi aralarında doğrudan ya da risk merkezi veya en az beş banka ya da finansal kuruluş tarafından kurulacak şirketler vasıtasıyla yapacakları bilgi ve belge alışverişi de bu istisna kapsamındadır. Kurumun elde edeceği sır niteliğindeki bilgi ve belgeler kuruluş ve faaliyet izni verilmesinde, faaliyetlerin denetiminde, düzenlemelere uyumun izlenmesinde ve idari davalarda kullanılabilir. Bu kapsamda elde edilen veriler; ceza soruşturma ve kovuşturmalarında savcılıklar ve ceza mahkemeleri ile görevleriyle bağlantılı isnatlar sebebiyle talepte bulunacak ilgililer haricinde hiçbir kişi veya kuruluşa verilemez.
Kimler ortak müşteri sayılır?
Bir müşterinin ortak müşteri kabul edilebilmesi için aynı anda hem bankanın hem de bankanın ana ortaklığı veya hakim ortağının müşterisi olması şarttır.
Müşteri sırrı yalnızca açık rıza ile üçüncü kişilere verilebilir mi?
Hayır, açık rıza bulunsa dahi müşteriden gelen açık bir talep veya talimat olmaksızın müşteri sırrı niteliğindeki veriler üçüncü kişilerle paylaşılamaz.
Bilgi paylaşım rızası bankacılık hizmeti için şart koşulabilir mi?
Hayır, müşterinin sır niteliğindeki verilerinin aktarılmasına açık rıza göstermesi, bankanın sunacağı hizmetler için bir ön şart yapılamaz.
Sağlık ve cinsel hayata ilişkin veriler rıza olmadan aktarılabilir mi?
Hayır, bu veriler müşteri sırrı haline gelse dahi müşterinin açık rızası olmaksızın kanuni sır istisnalarına dayanılarak paylaşılamaz.
Ortak olmayan müşterilerin kimlik bilgileri ana ortaklığa doğrudan iletilebilir mi?
Hayır, ortak olmayan müşterilerin bilgileri kimliksizleştirilmeden aktarılamaz; kimliksizleştirme olmaksızın risk yönetimi amaçlı aktarım için Kurumdan uygunluk görüşü alınması zorunludur.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy