Açık Bankacılık Mevzuatı ve Kişisel Verilerin Korunması

Açık bankacılık kavramı ve uygulamaları birçok mevzuat kapsamında ele alınıyor. Avrupa Birliği mevzuatı çerçevesinde ilk olarak 2007 yılında Ödeme Hizmetleri Direktifi ile açık bankacılık uygulamalarının önü açıldı, ardından 2015 yılında Ödeme Hizmetleri Direktifi 2 (PSD 2) ile bu uygulamalara ilişkin düzenlemeler kapsamlı bir hale getirilerek yasal bir temele oturtuldu. Türkiye’de ödeme hizmetleri ilk olarak 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun ile düzenlendi. Açık bankacılığın temelini oluşturan yasal düzenleme olarak ise 2019 yılında 7192 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun kabul edildi. Açık bankacılık tanımı Türkiye’de ilk kez Bankacılık Düzenleme ve Denetleme Kurumu tarafından yayımlanan Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik’te yer aldı. Temel olarak açık bankacılık, müşteri verilerinin üçüncü taraflarla paylaşılmasına imkân verdiğinden ve asıl amaç bu verilerin aktarılması suretiyle müşterilere çeşitli hizmetler sağlanması olduğundan, müşterilere ait verilere yetkisiz erişimin önlenmesi ve veri ihlallerinin önüne geçilmesi büyük önem arz ediyor. Bu kapsamda işlenecek kişisel veri niteliğindeki müşteri verilerinin hangi yasal düzenlemeler kapsamında işleneceği ve aktarılacağını tespit etmek gerekiyor. Açık bankacılıkta gerçekleşen temel kişisel veri işleme faaliyetlerini; müşterilere bankacılık hizmetlerini sunmak amacıyla müşteri verilerinin banka tarafından işlenmesi, bankalar tarafından işlenen müşteri verilerinin üçüncü kişi hizmet sağlayıcılara aktarılması ve müşteri verilerinin açık bankacılık hizmetlerinin sunulması amacıyla üçüncü kişi hizmet sağlayıcılar tarafından işlenmesi olarak düşünebiliriz. PSD 2’de, müşterilerin onayının alınması durumunda bankaların müşteri verilerini üçüncü kişi hizmet sağlayıcılar ile paylaşması bir zorunluluk olarak düzenlenirken, Türk hukukunda bu yönde bir veri paylaşımı zorunluluğuna ilişkin herhangi bir düzenleme bulunmuyor. Bunun Türkiye’de açık bankacılığın gelişiminin önünde bir engel olarak karşımıza çıkacağını söylemek mümkün. Avrupa Birliği mevzuatına bakıldığında, açık bankacılık uygulamaları kapsamında gerçekleştirilen kişisel veri işleme faaliyetlerinin Genel Veri Koruma Tüzüğü (GDPR) ile uyumlu olması gerekiyor. Türkiye’de ise bu yaklaşıma paralel olarak, Kişisel Verilerin Korunması Kanunu’na (KVKK) uyum ön plana çıkıyor. Temel olarak müşteri verilerinin işlenebilmesi için bankaların, ödeme kuruluşlarının ve üçüncü kişi hizmet sağlayıcıların müşterileri aydınlatma yükümlüklerini yerine getirmeleri ve gerekli hallerde müşterilerden açık rıza almaları gerekiyor. Ancak, bankalar ayrıca Bankacılık Kanunu’na tabi olduklarından, kişisel veri niteliğindeki müşteri sırlarına yönelik bankacılık düzenlemelerini de dikkate almak gerekiyor. Bankacılık Kanunu’nda müşteri sırlarının üçüncü kişilerle paylaşılabilmesi için müşterinin açık rızası olsa dahi, müşterinin ayrıca talimat vermesi gerekiyor. Bu düzenleme KVKK’da düzenlenen açık rızanın işlevini yitirmesine sebep oluyor. Buna ek olarak, Bankacılık Kanunu’nda müşteri verilerinin yurt dışına aktarılmasına ilişkin özel düzenlemeler de yer alıyor, Bankacılık Düzenleme ve Denetleme Kurulu müşteri verilerinin yurt dışındaki üçüncü kişilerle paylaşılmasını ya da yurt dışına aktarılmasını…