Açık Bankacılık ve Fintech İş Birlikleri: Veri Paylaşımında Sorumluluk

Veri paylaşımında sorumluluk neden belirsizleşir?

Hesap toplama uygulamaları, kişisel finans yönetimi araçları ve ödeme başlatma hizmetleri, müşterinin birden fazla bankadaki hesabını tek ekranda görmesini veya alışverişi doğrudan banka hesabından ödemesini sağlıyor. Açık bankacılık KVKK açısından ise yeni bir soru doğuruyor: Veri bankadan çıkıp fintech'e ulaştığında, bir aksaklıkta veya amaç dışı kullanımda kim sorumlu?

Bu yazıda açık bankacılık veri akışını, banka, fintech ve müşteri rollerini, rıza yönetimini, API erişim güvenliğini ve sözleşme ile denetim maddelerini ele alıyoruz. Sonda, iş birliğine başlamadan önce kullanabileceğiniz bir kontrol listesi ve seçenekleri karşılaştıran bir karar tablosu bulunuyor.

Açık bankacılık veri akışı

Türkiye'de açık bankacılığın hukuki zemini 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun ile kurulmuştur. Kanun'un 12. maddesi ödeme hizmetleri arasında ödeme emri başlatma hizmetini ve hesap bilgisi hizmetini sayar. Ayrıntılar, Türkiye Cumhuriyet Merkez Bankası (TCMB) tarafından 01.12.2021 tarihli Resmî Gazete'de yayımlanan Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik ve aynı gün yayımlanan veri paylaşım servislerine ilişkin Tebliğ ile düzenlenir.

Akış üç taraf arasında kurulur: nezdinde ödeme hesabı bulunan hesap hizmeti sağlayıcı (çoğunlukla banka), hesap bilgisi veya ödeme emri başlatma hizmeti sunan yetkili ödeme hizmeti sağlayıcı (fintech) ve müşteri. Tebliğ, bankaların bu servisleri TCMB'nin belirlediği teknik gereklilikler çerçevesinde, ortak bir API geçidi üzerinden sunmasını öngörür.

Hesap bilgisi hizmeti: Müşterinin onayıyla bakiye ve hesap hareketleri fintech'e aktarılır; veri, tek ekranda gösterim, harcama analizi veya finansal danışmanlık için kullanılır.

Ödeme emri başlatma hizmeti: Müşteri, fintech üzerinden kendi banka hesabından ödeme başlatır; banka işlemi müşterinin kimliğini doğrulayarak gerçekleştirir.

Diğer iş birlikleri: Kredi değerlendirmesi, gömülü finans ve ortak ürün gibi sözleşmeye dayalı paylaşımlar, ödeme hizmetleri mevzuatının dışında kalabilir ve ayrıca değerlendirilmelidir.

Banka, fintech ve müşteri rolleri

KVKK'da rol, işleme amacını ve vasıtalarını kimin belirlediğine göre tespit edilir. Açık bankacılıkta banka, hesabı yönetmek ve mevzuatın öngördüğü servisi sunmak için veri işler; fintech ise müşteriyle kurduğu kendi hizmet ilişkisi için veri alır ve bu veriyi kendi ürün mantığıyla işler. Bu nedenle iki taraf çoğu durumda birbirinden bağımsız veri sorumlusudur; fintech, bankanın veri işleyeni değildir.

Bu nitelendirmenin üç sonucu vardır. Birincisi, her iki taraf da müşteriye kendi aydınlatmasını yapar. İkincisi, banka API üzerinden veri sunarken mevzuattan doğan yükümlülüğüne, fintech ise müşteriyle kurduğu sözleşmenin ifasına dayanabilir; bu eşleştirmenin her ürün için ayrıca belgelenmesi gerekir. Üçüncüsü, bir veri ihlalinde ihlalin gerçekleştiği tarafın Kurul'a ve ilgili kişilere bildirim yükümlülüğü doğar; diğer tarafın da kendi sistemlerine etkisini değerlendirmesi gerekir.

Müşteri ise ilgili kişidir ve KVKK'nın 11. maddesindeki haklarını her iki veri sorumlusuna karşı ayrı ayrı kullanabilir. Fintech'in müşteri verisini bir bulut sağlayıcı veya analiz hizmeti üzerinden işlemesi hâlinde bu sağlayıcılar fintech'in veri işleyenleridir ve zincir sözleşmelerle güvenceye alınmalıdır. Kişisel veri müşteri tanıma süreçlerinde de dolaşıma girer; bu konuyu müşteri tanıma KVKK yazımızda ele aldık.

Rıza yönetimi

Açık bankacılıkta “onay” kelimesi iki farklı anlamda kullanılır ve en sık karışıklık burada yaşanır. Tebliğ, her bilgi talebi ve ödeme emri başlatma işlemi için müşterinin ayrı onay vermesini; hesap bilgisi hizmetinde ise ilgili hesaplar ve işlemler için onayın sözleşmeyle de verilebilmesini düzenler. Bu onay, ödeme hizmetinin yürütülmesine ilişkin bir talimattır; KVKK anlamında açık rıza değildir.

KVKK açık rızası ise ayrı bir konuda gündeme gelir. Tebliğ'in 9. maddesine göre ödeme ve elektronik para kuruluşları müşteri bilgilerini, kanunla yetkili kılınan merciler dışındaki taraflara ancak müşteriyi paylaşımın sınırları hakkında aydınlatarak ve açık rızasını alarak verebilir; bu rıza verilecek hizmet için ön şart hâline getirilemez. Aynı madde, kişisel verilerin işlenmesinde KVKK ve ona dayalı düzenlemelerin öncelikle uygulanacağını da belirtir.

Pratikte bu, iki ayrı ekran ve iki ayrı kayıt anlamına gelir. Ödeme hizmeti onayı işlemle birlikte kaydedilir; iş ortaklarıyla paylaşım veya pazarlama gibi amaçlar için istenen açık rıza ise ayrı bir metinle, hizmetten bağımsız biçimde alınır ve geri alınabilir. Aydınlatma ile açık rızanın karıştırılmasının sonuçlarını aydınlatma ve açık rıza ayrımı yazımızda ele aldık.

Rıza yönetimi panelinde müşteri; hangi fintech'e, hangi hesap için, hangi süreyle yetki verdiğini görebilmeli ve yetkiyi kolayca geri alabilmelidir. Yetkinin geri alınması hâlinde fintech'in o ana kadar aldığı verinin akıbeti de sözleşmede ve aydınlatma metninde açıkça yazılmalıdır.

Güvenlik ve API erişimi

Tebliğ, veri paylaşım servislerinde teknik güvenliği ayrıntılı biçimde düzenler. Öne çıkan yükümlülükler şunlardır:

Tarafların doğrulanması: Taraflar TCMB'nin belirlediği elektronik sertifikaları kullanır ve karşı tarafın yetkilendirilmiş olduğu kontrol edilir.

Güçlü kimlik doğrulama: Hesap bilgisi hizmetinde onay alınırken ve ödeme emri başlatmada müşteriye banka tarafından en az iki farklı bileşene dayanan güçlü kimlik doğrulama uygulanır.

Oturum ve iz kaydı: Her oturum benzersiz bir numara ve zaman damgası taşır; işlemler ayrıntılı ve güvenli biçimde kayıt altına alınır, oturumlar işlem biter bitmez kapatılır.

Uçtan uca güvenli iletişim: Müşteriyle olan bağlantılar dâhil tüm iletişim uçtan uca güvenli kurulur; hassas müşteri verileri şifreli saklanır.

Olay bildirimi: Veri paylaşım servislerine ilişkin önemli olaylar TCMB'ye ivedilikle raporlanır; kişisel veri ihlali varsa KVKK'daki bildirim yükümlülüğü ayrıca doğar.

Bu tedbirler KVKK'nın 12. maddesindeki teknik ve idari tedbir yükümlülüğüyle örtüşür, ancak onu tüketmez. API'den alınan verinin fintech tarafında hangi sistemlerde tutulduğu, kimlerin eriştiği ve ne kadar süre saklandığı, KVKK açısından ayrıca değerlendirilir. Ödeme hizmeti mevzuatında öngörülen olay raporlaması ile Kurul'a 72 saat içinde yapılacak ihlal bildirimi farklı süreçlerdir; müdahale planı ikisini birlikte yönetmelidir.

Sözleşme ve denetim

Mevzuat API standardını belirler; tarafların birbirine karşı sorumluluğunu ise büyük ölçüde sözleşme kurar. Banka ile fintech arasındaki iş birliği sözleşmesinde, standart servisin ötesine geçen her paylaşım için şu başlıklar yer almalıdır:

Rol ve amaç: Her tarafın veri sorumlusu veya veri işleyen sıfatı ve verinin hangi amaçla sınırlı kullanılacağı.

Amaç dışı kullanım yasağı: Hesap hareketlerinin pazarlama, profil oluşturma veya üçüncü kişilere satış gibi amaçlarla kullanılmasının koşulları veya yasağı.

Güvenlik ve alt işleyenler: Asgari güvenlik tedbirleri, bulut ve yazılım sağlayıcıları dâhil alt işleyen listesi ve değişiklik bildirimi.

İhlal ve olay yönetimi: İhlalin karşı tarafa hangi sürede ve hangi kanaldan bildirileceği, ortak inceleme ve iletişim kuralları.

Yurt dışı: Verinin yurt dışında barındırılması veya yurt dışından erişilmesi hâlinde KVKK'nın 9. maddesindeki mekanizma.

Denetim hakkı: Belge talebi, bağımsız denetim raporlarının paylaşılması ve gerektiğinde yerinde denetim.

Sona erme: İş birliği bittiğinde verinin iadesi, silinmesi ve bunun kanıtlanması.

Tebliğ, ödeme ve elektronik para kuruluşlarının bilgi sistemlerinin bağımsız denetimini de öngörür. Bu denetim, KVKK uyumunun bağımsız değerlendirmesinin yerine geçmez; ikisi birlikte planlandığında bulgular birbirini tamamlar. Bir KVKK denetiminin hangi alanları kapsadığını KVKK denetimi neleri kapsar yazımızda, hizmet kapsamını KVKK denetimi sayfamızda bulabilirsiniz.

Kontrol listesi

İş birliği başlamadan önce aşağıdaki kontrol listesini banka ve fintech ekipleriyle birlikte gözden geçirmeniz önerilir. Karar tablosu ise uyum çalışmasını hangi kapsamla yürütebileceğinizi gösterir.

Kapsam seçenekleri genel bir yön gösterir; ürün yapısı ve iş ortağı sayısına göre birleştirilebilir. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Açık bankacılık iş birliği kontrol listesi

Uyum çalışması için kapsam seçenekleri

Sonuç ve sonraki adım

Açık bankacılık KVKK açısından sorumluluğun paylaşılması değil, doğru dağıtılması meselesidir. Banka ve fintech çoğu durumda ayrı veri sorumlularıdır; her biri kendi dayanağını, aydınlatmasını ve güvenliğini kurmalıdır. Ödeme hizmeti onayını KVKK açık rızasıyla karıştırmamak, amaç dışı kullanımı sözleşmeyle sınırlamak ve TCMB olay raporlamasını Kurul'a ihlal bildirimiyle tek bir müdahale planında birleştirmek, iş birliğinin en kritik üç adımıdır.

Kontrol listesindeki “hayır” yanıtları uyum çalışmasının kapsamını belirler. Uygun kapsam için standart KVKK uyum paketi içeriğine göz atabilir, sektöre özgü diğer başlıkları finans sektörü KVKK sayfamızda bulabilirsiniz. Sağlık verisinin finans sektöründeki zorluklarını sigorta sağlık verisi KVKK yazımızda ele aldık.

Sık sorulan sorular