Konu: Türk uyruklu olmayan gerçek kişiler ile ticaret siciline kayıtlı ticaret şirketlerinin uzaktan kimlik tespiti yoluyla müşteri olarak kabul edilmesine imkân tanınması ve bu süreçlerde uygulanacak teknik, operasyonel ve uyum yükümlülüklerinin düzenlenmesi amacıyla yayımlanan III-42.1.b sayılı Tebliğ

1. Genel olarak

Sermaye Piyasası Kurulu (SPK) tarafından yayımlanan Aracı Kurumlar, Portföy Yönetim Şirketleri ve Kripto Varlık Hizmet Sağlayıcılar Tarafından Kullanılacak Uzaktan Kimlik Tespiti Yöntemlerine ve Elektronik Ortamda Sözleşme İlişkisinin Kurulmasına İlişkin Tebliğ (III-42.1)’de Değişiklik Yapılmasına Dair Tebliğ (III-42.1.b) ile uzaktan kimlik tespiti uygulamasının kapsamı iki yönden genişletilmiştir. Türk uyruklu olmayan gerçek kişiler, yakın alan iletişimi (NFC) özelliği bulunan ve ICAO 9303 standardına uygun pasaportla; ticaret siciline kayıtlı ticaret şirketleri ise temsile yetkili kişinin kimliği ve temsil yetkisi doğrulanarak uzaktan müşteri olarak kabul edilebilecektir.

Düzenleme, aracı kurumlar, portföy yönetim şirketleri ve kripto varlık hizmet sağlayıcılar bakımından bir imkân getirmekte, zorunluluk öngörmemektedir. Bununla birlikte bu imkândan yararlanılması hâlinde Tebliğ’deki teknik ve operasyonel koşulların yanı sıra suç gelirlerinin aklanmasının ve terörün finansmanının önlenmesine ilişkin ilave tedbirlerin de eksiksiz uygulanması gerekmektedir.

2. Getirilen düzenlemeler

A. Tanımlarda yapılan değişiklikler

“Kişi” tanımı; uzaktan kimlik tespiti yapılacak gerçek kişi ve gerçek kişi tacirin yanı sıra tüzel kişiyi temsile yetkili gerçek kişi veya kişileri de kapsayacak şekilde genişletilmiştir.

  • Gerçek faydalanıcı: Suç Gelirlerinin Aklanmasının ve Terörün Finansmanının Önlenmesine Dair Tedbirler Hakkında Yönetmelik’teki tanıma atıf yapılmıştır.
  • Merkezi Sicil Kayıt Sistemi (MERSİS) ve Ticaret Sicili Gazetesi: Ticaret Sicili Yönetmeliği’ndeki tanımlara atıf yapılmıştır.
  • Tüzel kişi: Kapsam, 6102 sayılı Türk Ticaret Kanunu’nda düzenlenen ve ticaret siciline kayıtlı ticaret şirketleri ile sınırlandırılmıştır. Bu nedenle dernek, vakıf ve kooperatifler yeni düzenleme kapsamına alınmamıştır.

B. Türk uyruklu olmayan gerçek kişilerin uzaktan kimlik tespiti

  • Kullanılabilecek belge: Yalnızca ICAO 9303 standardına uygun ve NFC özelliği bulunan pasaport kullanılabilir. Pasaportun yongasındaki kimlik bilgilerinin pasaport üzerindeki bilgilerle eşleştiği NFC yoluyla doğrulanır. Doğrulamanın yapılamaması hâlinde uzaktan kimlik tespiti yoluyla sürekli iş ilişkisi kurulamaz.
  • Belge kontrolleri: Kimlik belgesi için Tebliğ’in 8’inci maddesinde öngörülen kontroller, Kimlik Paylaşım Sistemi üzerinden doğrulama zorunluluğu hariç olmak üzere pasaport bakımından da uygulanır. Ayrıca pasaportun ICAO 9303 standardına uygunluğu kontrol edilir.
  • Adres teyidi: Adres bilgisi alınır ve en geç üç ay içinde yerleşim yeri belgesi, kişi adına düzenlenen güncel abonelik faturası, kamu kurumu belgesi veya ilgili ülkenin kamuya açık veri tabanları üzerinden risk bazlı yaklaşımla doğrulanır. Adres teyidi tamamlanmadan para veya kripto varlık transferi ile sermaye piyasası araçlarının virmanı yapılamaz.
  • Teknik veri analizi: IP ve port bilgisi, cihaz kimliği, coğrafi konum, tarayıcı bilgileri ve benzeri teknik veriler pasaport bilgileriyle birlikte risk temelli yaklaşımla değerlendirilir. Şüpheli bir durum tespit edilirse süreç sonlandırılır.
  • Görüntülü görüşme ve personel: Süreç, pasaportla uzaktan kimlik tespiti konusunda özel eğitim almış personel tarafından görüntülü görüşmeyle yürütülür. Tebliğ’deki şartları sağlayan yapay zekâ temelli uygulamalar canlılık testi veya fotoğraf karşılaştırması amacıyla kullanılabilir.
  • Yüksek risk sınıflandırması: Pasaportla uzaktan kimlik tespiti yapılan gerçek kişiler yüksek risk grubunda izlenir ve ilgili mevzuatta öngörülen sıkılaştırılmış tedbirler uygulanır.
  • Fon giriş ve çıkışları: Hesaba yalnızca kişinin yurt dışındaki bir bankada kendi adına açılmış hesabından SWIFT yoluyla para transferi yapılabilir. Hesaptan para çıkışı da yalnızca kişinin kendi banka hesabına yapılabilir. SWIFT mesajındaki ayırt edici bilgiler ile müşteri bilgileri eşleştirilir ve bu kontroller başka bir işlemden önce tamamlanır.
  • MASAK bildirimi: Bu yöntemle kabul edilen müşterilere ilişkin bilgiler ile portföy büyüklüğü ve yatırım tutarları, takvim yılı esas alınarak her üç aylık dönemin son ayında MASAK’a bildirilir.

C. Tüzel kişilerin uzaktan kimlik tespiti ve temsil yetkisinin doğrulanması

  • Ticaret siciline kayıtlı ticaret şirketlerinin uzaktan kimlik tespitinde MASAK Genel Tebliği (Sıra No: 19)’nin 4/B maddesi uygulanır.
  • Tüzel kişi temsilcisinin kimliği Tebliğ uyarınca tespit edilir ve temsil yetkisi doğrulanır. Müştereken temsile yetkili kişilerin kimlik tespiti aynı oturumda veya farklı zamanlarda yapılabilir.
  • Temsil yetkisi; kişiden alınan bilgilerin MERSİS ve/veya Ticaret Sicili Gazetesi’ndeki güncel bilgilerle eşleştirilmesi suretiyle doğrulanır.
  • İhtiyaç duyulursa imza sirkülerinin fotoğrafı veya ekran görüntüsü alınır; imza örneği kimlik belgesindeki ve/veya MERSİS’teki imza örneği ile karşılaştırılır; noter onayı tarih ve yevmiye numarası üzerinden teyit edilir.
  • Temsile yetkili kişiden alınan bilgiler MERSİS, Ticaret Sicili Gazetesi ve Gelir İdaresi Başkanlığı veri tabanı sorgulamalarıyla karşılaştırılır.
  • Gerçek faydalanıcının belirlenmesi için gerekli tedbirler alınır. Gerçek faydalanıcının belirlenememesi, bilgiler arasında uyumsuzluk bulunması veya şüpheli durum tespit edilmesi hâlinde süreç sonlandırılır.
  • Temsile yetkili kişinin aynı kuruluşta mevcut hesabı varsa tüzel kişiye ilişkin sürekli iş ilişkisi tesisi talebi internet şubesi veya mobil uygulama üzerinden alınabilir; kimlik doğrulamasının ardından süreç kesintisiz devam ettirilebilir.

3. Kuruluşlar açısından etkiler ve önerilen uyum adımları

Kapsamdaki kuruluşlar: Aracı kurumlar, portföy yönetim şirketleri ve kripto varlık hizmet sağlayıcılardır.

Düzenleme, yabancı yatırımcılar ve ticaret şirketleri bakımından dijital müşteri edinimi kanalını genişletmektedir. Buna karşılık, yabancı gerçek kişilerin yüksek risk grubunda izlenmesi, transfer kısıtları ve dönemsel bildirim yükümlülüğü nedeniyle uyum ve kontrol maliyetlerinin artması beklenebilir.

  • Teknik altyapı: Mobil uygulama ve internet şubesinde NFC ile pasaport yongası okuma ve ICAO 9303 uygunluk kontrolü sağlanmalı; NFC doğrulaması yapılamadığında süreç teknik olarak sonlandırılmalıdır.
  • İşlem kısıtları: Adres teyidi tamamlanmadan transfer ve virmanı engelleyen blokajlar kurulmalı; SWIFT dışı transferler ile üçüncü kişi hesaplarından veya hesaplarına yönelen fon hareketleri engellenmeli; SWIFT mesaj bilgileri müşteri bilgileriyle eşleştirilmelidir.
  • Risk yönetimi ve MASAK uyumu: İlgili müşterilerin yüksek risk sınıfına otomatik atanması, sıkılaştırılmış tedbirlerin uygulanması, gerçek faydalanıcı tespitinin güncellenmesi ve şüpheli durumda sürecin sonlandırılması için karar mekanizmaları tanımlanmalıdır.
  • Raporlama: Her üç aylık dönemin son ayında MASAK’a yapılacak bildirim için gerekli müşteri, portföy büyüklüğü ve yatırım tutarı verilerini üretecek raporlama akışı ile sorumlu birim belirlenmelidir.
  • Personel eğitimi: Pasaportla uzaktan kimlik tespiti konusunda özel eğitim programı oluşturulmalı ve eğitim kayıtları denetime hazır şekilde saklanmalıdır.
  • İç düzenlemeler: Uzaktan kimlik tespiti prosedürü, müşteri kabul politikası, uyum programı ve iç kontrol/iç denetim planları yeni 8/A ve 9/A maddeleriyle uyumlaştırılmalıdır.
  • Tüzel kişi müşteri kabulü: MERSİS, Ticaret Sicili Gazetesi ve GİB sorguları sürece entegre edilmeli; imza sirküleri, imza karşılaştırması ve noter teyidi adımları prosedürleştirilmeli; müştereken temsil durumunda birden fazla oturumu yönetebilecek akış tasarlanmalıdır.
  • Kişisel verilerin korunması: Görüntülü görüşme kayıtları, pasaport ve imza sirküleri görselleri ile IP, cihaz ve konum verilerinin işlenmesi bakımından aydınlatma metinleri, saklama ve imha süreleri, erişim yetkileri ve veri işleyen sözleşmeleri gözden geçirilmelidir. Canlılık testi veya yüz karşılaştırma çözümlerinin biyometrik veri işleyip işlemediği somut teknik kurgu üzerinden değerlendirilerek Kanun’un 6’ncı maddesinde öngörülen uygun işleme şartı ve ek güvenlik tedbirleri belirlenmelidir. Yurt dışındaki hizmet sağlayıcılara erişim veya aktarım bulunması hâlinde yurt dışına aktarım mekanizması ayrıca incelenmelidir.

4. Sonuç

Tebliğ, 3 Eylül 2026 tarihinde yürürlüğe girmiş ve geçiş süresi öngörülmemiştir. Uzaktan kimlik tespiti hizmeti sunan veya sunmayı planlayan kuruluşların teknik altyapı, işlem kısıtları, personel eğitimi, MASAK bildirim akışı, tüzel kişi müşteri kabulü ve kişisel verilerin korunması dokümantasyonu bakımından boşluk analizi yapması; tespit edilen eksiklikleri gecikmeksizin gidermesi önerilmektedir.

Düzenlemenin tam metnine 3 Eylül 2026 tarihli ve 33359 sayılı Resmî Gazete üzerinden erişilebilir.

İletişim:

Av. Tuğçe Gültekin

Şirket Ortağı
tugce.gultekin@tr.ey.com
(212) 315 30 00