25. Finans, sigorta ve ödeme hizmetleri

Bir banka, sigorta şirketi veya ödeme kuruluşu aynı kişi hakkında farklı hukuki ilişkiler içinde bilgi edinebilir. Kredi değerlendirmesi, sigorta tazminatının incelenmesi, ödeme talimatının yerine getirilmesi ve yetkili makama bildirim aynı veri akışının parçaları olabilse de aynı amaca ve işleme şartına dayanmaz. Finansal hizmetin yürütülmesi için bilgiye ihtiyaç duyulmasıyla, bu bilginin başka ürünlerin tanıtımında kullanılması arasındaki sınır bu nedenle açık kurulmalıdır.

Bu bölümde önce veri akışındaki aktörler ve müşteri sırrı rejimi ele alınmakta; ardından kimlik doğrulama, risk değerlendirmesi, dış hizmet ve açık bankacılık ilişkilerindeki özel sorunlar incelenmektedir. Sağlık bilgileriyle saklama ve hak taleplerinin birlikte değerlendirilmesi, kanuni bildirim ve ticari kullanımın ayrılmasına bağlanır. Ortak veri koruma kurallarının finansal ilişkiye uygulanmasında belirleyici olan, kuruluşun unvanından önce somut işlemin amacı, veri kapsamı ve muhatabıdır.

25.1. Bankacılık, sigorta ve ödeme hizmetlerinde veri akışları ve aktörler

Bir kişinin kartla yaptığı alışveriş, satıcıyla kurduğu satış ilişkisinden ibaret değildir. Ödemenin alınması ve satıcıya ulaştırılması sırasında banka, ödeme hizmeti sağlayıcısı ve teknik altyapıyı işleten kuruluş farklı görevler üstlenebilir. Aynı işlem kaydının birden fazla kuruluşun elinden geçmesi, bunların hepsinin aynı amaçla veri işlediğini veya aynı hukuki sıfatı taşıdığını göstermez. Kişisel verilerin korunması bakımından önce paranın hangi ilişki içinde aktarıldığı, ardından bu ilişkiyi yürütmek için verinin kim tarafından ve ne amaçla kullanıldığı belirlenmelidir.¹

Finansal hizmetlerde veri akışı, müşterinin bildirdiği kimlik ve iletişim bilgileriyle de sınırlı değildir. Hesap hareketleri, ödeme talimatları ve başvuruların değerlendirilmesi sırasında yeni kayıtlar oluşur. Tüzel kişi adına yürütülen bir işlemde ise temsilcinin, imza yetkilisinin veya kefilin kişisel verileri işlenebilir. Dolayısıyla hizmet sözleşmesinin tarafı ile kişisel verisi işlenen kişi her zaman örtüşmez. Arslanhan’ın bankacılık faaliyetleri bakımından gösterdiği bu çeşitlilik, ilgili kişi gruplarının yalnız “müşteriler” başlığıyla belirlenmesinin neden yetersiz kalabileceğini açıklamaktadır.²

Bankacılık Kanununun faaliyet konularına ilişkin 4. maddesi; kredi, ödeme ve tahsilat, saklama, kart işlemleri ve sigorta acenteliği gibi farklı ilişkileri aynı kuruluş bünyesinde bir araya getirmektedir. Ancak bir faaliyeti yürütme yetkisi, o faaliyetle bağlantılı bütün verilerin her amaçla kullanılmasına izin verildiği anlamına gelmez. Kuruluşun sektörel yetkisi ile belirli bir kişisel veri işleme faaliyetinin hukuka uygunluğu ayrı sorulardır. İşleme amacı, veri kapsamı ve işleme şartı ayrıca belirlenir.³

Veri sorumlusu sıfatının belirlenmesinde de kuruluşun unvanından hareketle tek bir sonuca ulaşılamaz. Bankacılık rehberi, bankaların bankacılık faaliyetleri bakımından veri sorumlusu olduğunu açıklarken, sigorta acenteliği veya aracılık gibi işlemlerde somut koşulların değerlendirilmesini istemektedir. Bu yaklaşımın sonucu, bankayı her ilişkide veri sorumlusu ya da her aracılık işleminde veri işleyen saymamaktır. Özellikle kimin hangi verilerin toplanacağına, kullanım amacına, erişime ve saklamaya karar verdiği incelenmelidir.⁴

Ödeme hizmetlerinde kuruluşların ayrılması daha da görünür hâle gelir. 6493 sayılı Kanun; gönderen, alıcı ve ödeme hizmeti kullanıcısını tanımlamakta; ödeme hizmeti sağlayıcıları arasında bankaları, elektronik para kuruluşlarını, ödeme kuruluşlarını ve Posta ve Telgraf Teşkilatı Anonim Şirketini saymaktadır. Ayrıca belirli teknik hizmetleri ödeme hizmeti kapsamının dışında tutmaktadır. Ne var ki teknik hizmetin sektörel kapsam dışında olması, bu hizmet sırasında kişisel veri işlenmediği veya veri koruma yükümlülüklerinin bulunmadığı sonucunu doğurmaz. Sektörel faaliyet sınıflandırması, kişisel verileri kimin adına ve hangi karar yetkisiyle işlediği sorusunun yerine geçmez.⁵

Varsayımsal bir çevrim içi alışverişte satıcının sipariş ve teslimat kayıtlarını kendi satış ilişkisi için tuttuğu, ödeme kuruluşunun ise kendi ödeme hizmetini yürütmek üzere gerekli işlem kayıtlarını belirlediği kabul edilsin. Bu varsayımlar altında ödeme kuruluşunun, satıcıdan veri aldığı için onun veri işleyeni sayılması gerekmez. Buna karşılık yalnız belirlenen kayıtları talimatla saklayan teknik sağlayıcının durumu farklıdır. Teknik sağlayıcıya aktarım yöntemini seçme imkânı tanınması, tek başına işlemenin amacını da belirlediğini göstermez. Kurulun 2020/71 sayılı karar özetinde temel olmayan teknik öğeler bakımından veri işleyene bırakılabilecek hareket alanı bu ayrımı desteklemektedir.⁶

Sigortacılıkta da “aracı” sözcüğü bütün ilişkileri açıklamaz. 5684 sayılı Kanun, sigorta acentesinin sigorta şirketinin nam ve hesabına aracılığı ile brokerin sigorta yaptırmak isteyenleri temsil ederek şirket seçiminde bağımsız davranmasını farklı biçimde tanımlar. Bu fark, veri akışının hangi menfaat ve görev çevresinde oluştuğunu anlamaya yardımcı olur; fakat tek başına veri koruma sıfatını kesinleştirmez. Sigortacı, aracı, eksper veya destek sağlayıcının belirli işlemde hangi amaçları belirlediği ayrıca incelenir. Bir acentenin poliçe için topladığı bilgiyi kendi bağımsız müşteri geliştirme faaliyetine ayırması ile yalnız sigortacının talimatını yerine getirmesi aynı değerlendirmeye tabi tutulamaz.⁷

Veri işleyene hizmet bedeli ödenmesi de onun kendiliğinden bağımsız veri sorumlusu olduğunu göstermez. Bankacılık rehberi, hizmet karşılığı ekonomik menfaat ile veriyi kendi amacı için kullanmayı ayırmaktadır. Buna karşılık talimatla işlenen verinin yetki aşılarak ayrı bir amaç için kullanılması, bu yeni faaliyet bakımından sıfatın yeniden değerlendirilmesini gerektirir. Arslanhan da veri işleyenin yetkisini aştığı süreçlerde veri sorumlusu olarak değerlendirilebileceğini belirtmektedir.⁸

Bu ayrımların pratik sonucu, finansal hizmette tek bir kuruluş listesi hazırlamakla yetinmemektir. Her veri akışında ilgili kişi, veri kategorisi, amaç, alıcı ve karar yetkisi birlikte gösterilmelidir. Aynı kuruluşun farklı faaliyetlerde farklı sıfatlar taşıması mümkündür. Böyle bir inceleme, aydınlatmada kimin hangi işlemi üstlendiğini açıklamayı ve ilgili kişinin talebini doğru veri sorumlusuna yöneltmesini sağlar; kuruluşlar arasındaki görev paylaşımının ilgili kişi karşısında belirsiz bırakılmasını önler.⁶

25.2. Müşteri sırrı ile kişisel veri koruma kurallarının ilişkisi

Bankadaki bir hesap hareketi hem kişisel veri hem müşteri sırrı olabilir. Bu iki nitelendirme aynı hukuki soruya cevap vermez. Kişisel verilerin korunması, kimliği belirli veya belirlenebilir gerçek kişiyle ilgili işlemenin koşullarını düzenlerken, müşteri sırrı bankacılık ilişkisi içinde oluşan bilginin açıklanmasına özel sınırlar getirir. Bankacılık Kanununun 73. maddesinin gerçek ve tüzel kişi müşterileri kapsaması da koruma alanlarının bütünüyle örtüşmediğini gösterir. Bir şirketin hesap bilgisi sır korumasından yararlanabilir; bu bilgi aynı zamanda bir gerçek kişiyle ilişkilendirilebiliyorsa kişisel veri koruması da ayrıca değerlendirilir.⁹

Bilginin daha önce başka bir yerde bulunması da bankanın onu açıklayabileceğini tek başına göstermez. Kişisel Verileri Koruma Kurumunun bankacılık rehberi, önceden mevcut bir verinin banka müşterisi olunduğunu gösterecek biçimde işlenmesiyle müşteri sırrı niteliği kazanabileceğini açıklamaktadır. Bu nedenle telefon numarasının bankaya verilmiş olmasıyla, o numaranın belirli bir bankanın müşterisine ait olduğunun açıklanması farklıdır. Sır niteliğinin değerlendirilmesinde yalnız verinin türüne değil, hangi ilişkiyi ortaya koyduğuna da bakılır.¹⁰

Paylaşım bakımından temel kural, 73. maddenin üçüncü fıkrasında bulunmaktadır. Diğer kanunların emredici hükümleri ve maddede öngörülen istisnalar dışında, müşteri sırrı niteliğindeki bilgiler, Kişisel Verilerin Korunması Kanunu kapsamında açık rıza alınmış olsa bile müşteriden gelen talep veya talimat bulunmadan üçüncü kişilere aktarılamaz. Düzenleme, bankanın hazırladığı genel bir rıza metninin sır saklama yükümlülüğünü kendiliğinden kaldırmasını önlemektedir. Öyleyse bir aktarımda açık rızanın varlığını saptamak, sır rejimi bakımından incelemenin sonu değildir.¹¹

Bununla birlikte talimat ile açık rıza arasında ortak unsurlar bulunduğu gözden kaçırılmamalıdır. Ünsal Özden, Uz ve Karamustafaoğlu, kişinin aktif rol alması ve iradesinin belirli bir konuya yönelmesi gereğinin açık rızada da bulunduğunu; yeni talep veya talimat şartının bu nedenle uygulamayı karmaşıklaştırabildiğini belirtmektedir. Bu eleştirinin güçlü yanı, farklı isimler verilmesinin iradenin gerçek niteliğini tek başına değiştirmeyeceğini göstermesidir. Ancak buradan kanunun açıkça aradığı talep veya talimatın gereksiz olduğu sonucu çıkarılamaz. İncelenmesi gereken, müşterinin hangi paylaşımı istediği ve bu iradenin gerçekten ortaya konulup konulmadığıdır. Belgenin başlığı belirleyici değildir.¹²

Kurulun 2022/768 sayılı karar özeti bu ayrımın uygulamadaki önemini göstermektedir. Bankanın müşterisi, bir sigorta şirketinden gelen aramalar üzerine telefon numarasının bankadan edinildiğini öğrenmiştir. Bankanın sunduğu kampanya iletişim tercihleri belgesinde tanıtım iletilerine ilişkin seçenekler bulunmasına rağmen, şikâyete konu veri aktarımı hakkında bilgilendirme yer almamaktadır. Kurul, bu belgeyi aktarım için geçerli açık rıza olarak kabul etmemiş; talep veya talimatı ve ileri sürülebilecek sır istisnasının koşullarını da incelemiştir. Dolayısıyla ileti almak için verilen onay ile başka bir kuruluşa veri aktarılmasını haklı kılan irade veya kanuni dayanak birbirine karıştırılamaz.¹³

Müşteri talimatı bulunmaması ise her durumda paylaşımın yasak olduğu anlamına gelmez. Kanunun açıkça saklı tuttuğu emredici hükümler ve sır saklama yükümlülüğünün istisnaları ayrıca uygulanır. Kurumun rehberi, 73. maddenin dördüncü fıkrasındaki belirli paylaşımları; öngörülen amaç, gizlilik sözleşmesi ve ilgili diğer koşullarla birlikte açıklamaktadır. Burada önce alıcının hangi kuruluş olduğu değil, paylaşımın hangi istisnaya ve hangi somut amaca dayandığı gösterilmelidir. Sadece aynı finansal çevrede bulunmak, sınırsız paylaşım yetkisi vermez.¹⁴

İstisna, amaç ve ölçülülük sınırını ortadan kaldırmaz. 73. maddeye göre istisna kapsamındaki paylaşımlar da belirtilen amaçla sınırlı kalmalı ve o amacın gerektirdiği kadar veri içermelidir. Bu bakımdan bankanın elindeki bütün müşteri dosyasını aktarması ile belirli inceleme için gerekli kayıtları aktarması aynı işlem değildir. Paylaşımın hukuki dayanağını gösteren kuruluş, gönderdiği veri kapsamının neden gerekli olduğunu da açıklayabilmelidir.¹⁵

Sır koruması, ilgili kişinin kendi verilerine erişimini reddetmek için de otomatik bir gerekçe oluşturmaz. Kurulun 2024/592 sayılı kararında, bir banka çalışanı kendisine hakaret edildiğini ileri sürdüğü telefon görüşmesinin kaydını istemiş; banka ise kaydın müşterinin kredi ve gecikme bilgilerini içerdiğini savunmuştur. Kurul, talebin müşteri sırlarını öğrenmeye değil, kişinin kendisiyle ilgili kayda erişmesine ve hak aramasına yönelik olduğunu değerlendirmiştir. Sonuçta üçüncü kişinin müşteri sırrı niteliğindeki bankacılık işlem verileri maskelenerek yazılı döküm veya dijital aktarım yoluyla kaydın sağlanması istenmiştir. Bu somut çözüm, bütün görüşme kayıtlarının koşulsuz teslimi biçiminde genellenemez; talebin konusu ve korunması gereken başka verilerin ayrılabilirliği önemlidir.¹⁶

Bu nedenle müşteri sırrı ile kişisel veri kuralları arasındaki ilişki, yalnız “özel kanun uygulanır” denilerek çözülemez. Önce bilginin hangi koruma alanına girdiği, ardından yapılmak istenen işlemin niteliği belirlenmelidir. Üçüncü kişiye ticari aktarım, kanuni bildirim ve ilgili kişinin kendi verisine erişmesi farklı hukuki değerlendirmeler gerektirir. Sır rejiminin özel paylaşım şartları korunurken, veri koruma ilkeleri ve ilgili kişi hakları da somut işlem bakımından anlamlandırılmalıdır.¹⁷

25.3. Kimlik doğrulama, uzaktan müşteri edinimi ve dolandırıcılık önleme

Bir banka hesabının başkası adına açılması veya ele geçirilen hesap üzerinden işlem yapılması, hem müşteri hem finansal sistem için tehlike doğurur. Bununla birlikte, müşterinin kim olduğunun belirlenmesi, sözleşmenin uzaktan kurulması ve sonraki bir işlemi gerçekten o müşterinin yaptığının doğrulanması ayrı işlevlerdir. İlkinde kimlik ve temsil ilişkisi, ikincisinde tarafların sözleşmeye katılımı, üçüncüsünde belirli bir erişim veya işlem yetkisi araştırılır. Aynı teknik aracın bu işlevlerin birkaçında kullanılması, her kullanımın aynı hukuki dayanağa sahip olduğunu göstermez.

5549 sayılı Kanunun 3. maddesi, müşterinin tanınmasına ilişkin esaslar çerçevesinde işlemden önce kimlik tespitini ve gerekli diğer tedbirlerin alınmasını yükümlülük olarak düzenler. Bu çerçeve, kimlik bilgilerinin işlenmesinin yalnız müşterinin isteğine bağlı bir faaliyet olmadığını gösterir. Ancak kimliği tespit etme yükümlülüğünden, kuruluşun seçebileceği bütün veri toplama yöntemlerinin serbest olduğu sonucu çıkmaz. Toplanacak veri, uygulanacak özel düzenleme ve kullanılan yöntemin gerektirdiği veri işleme şartı birlikte belirlenmelidir. Kanuni görevin yerine getirilmesi için zorunlu işleme ile hizmeti kolaylaştırmak üzere tercih edilen ek işleme bu nedenle ayrılmalıdır.¹⁸

Uzaktan müşteri ediniminde fiziksel karşılaşmanın bulunmaması, kimlik ve belge güvenilirliğinin başka araçlarla sınanmasını gerektirir. Bankalar bakımından 2021’de yürürlüğe giren uzaktan kimlik tespiti düzenlemesinin 2023’te tüzel kişilerin müşteri edinimini de kapsayacak şekilde genişletilmesi, meselenin yalnız başvuranın yüzünü tanımaktan ibaret olmadığını gösterir. Tüzel kişinin temsilcisinin kimliği ile temsil yetkisi farklı sorulardır. Ödeme hizmetlerinde ise çerçeve sözleşmenin uzaktan kurulmasına ilişkin Yönetmeliğin 41. maddesi, bilgi ve belgelerin doğruluğunun ve gerçekliğinin kontrolünü; fiziksel olarak kurulan ilişki kadar güvenli ve güvenilir bir süreç oluşturulmasını öngörür. Aynı madde, risk değerlendirmesine göre yüz yüze sözleşme kurulmasına karar verilmesine de imkân tanır. Dolayısıyla uzaktan işlem, kimlik denetiminin kaldırılması değil, kullanılan kanalın riskine uygun biçimde yürütülmesidir.¹⁹

Kimlik belgesinin görüntüsü, görüşme kaydı ve biyometrik tanıma çıktısı birbirine karıştırılmamalıdır. Bir görüntünün kişisel veri olması ile kişinin özgün biçimde teşhisi veya kimliğinin doğrulanması amacıyla belirli teknik işlemlerden geçirilmesi farklıdır. Yüz özelliklerinden tanıma şablonu çıkarılması ikinci değerlendirmeyi gerektirir. Şıracı’nın ses kaydı ile ses üzerinden kimlik tanımayı ayıran açıklaması da bu işlev farkını görünür kılar. Bununla birlikte, kaydın biyometrik veri sayılmaması, içeriğinin başka bir özel nitelikli veri barındırmayacağı veya koruma dışında kalacağı anlamına gelmez.²⁰

Biyometrik yöntem kullanılıyorsa 6698 sayılı Kanunun 6. maddesi ayrıca uygulanır. Dolandırıcılığı önlemenin kuruluşun meşru menfaati olması, tek başına biyometrik veri için 5. maddedeki işleme şartlarının yeterli sayılmasını sağlamaz. Somut faaliyetin 6. maddede sınırlı olarak belirtilen şartlardan hangisine dayandığı gösterilmelidir. Kanunlarda açıkça öngörülme ile açık rıza bu şartlar arasındadır; fakat rıza alınması da amaçla bağlantılılık ve ölçülülük incelemesini ortadan kaldırmaz. Şıracı’nın 2023 tarihli çalışmasında, biyometrik yöntemin yönetmelikle düzenlenip açık rızaya bağlanmasının kanuni dayanak ve ölçülülük sorunlarını kendiliğinden çözmeyeceği yönündeki itirazı bu bakımdan önemlidir. Buna karşılık Kurumun 2025 rehberi, özel nitelikli veri işlemeye ilişkin açık kanuni yetkiye dayanılarak ayrıntıların ikincil mevzuatta belirlenebileceğini açıklamaktadır. Değerlendirme, genel bir düzenleme yetkisiyle belirli bir hassas veri işleme yetkisini ayırmayı gerektirir.²¹

Bu tartışmada hukuk dönemini korumak gerekir. 6493 sayılı Kanunun 12. maddesinin üçüncü fıkrasına 7571 sayılı Kanunla biyometrik yöntemler ve elektronik kimlik doğrulama kabiliyeti bulunan kimlik belgeleri açıkça eklenmiştir. Ödeme hizmetlerine ilişkin Yönetmeliğin 41. maddesinin dördüncü fıkrasında da 4 Eylül 2026 tarihli değişiklikle aynı yöntemlere yer verilmiştir. Böylece bu hükmün kapsamındaki işleme ilişkin değerlendirme, biyometrik yönteme hiç değinmeyen bir kanun dönemindeki tartışmayla özdeş tutulamaz. Yine de bu hükümler, bütün bankacılık faaliyetlerinde biyometrik yöntemi zorunlu kılan veya toplanan verinin başka amaçlarla kullanımına izin veren genel bir yetki olarak okunamaz. Belirli hizmet, yöntem ve veri kapsamı arasındaki bağ korunmalıdır.²²

Açık rızaya dayanılan işlemde alternatif kanalın nasıl sunulduğu da önem taşır. Kurulun 2023/1310 sayılı kararında, mobil uygulamada parola oluştururken yüz verisi işlenmesine rıza göstermeyen kurumsal müşteri, işlemi o tarihte mobil kanaldan tamamlayamamıştır. Kurul, şube ve telefon bankacılığı seçeneklerini dikkate alarak hizmetin rıza şartına bağlandığı iddiası yönünden işlem yapılmasına gerek görmemiştir. Buna rağmen, ret üzerine akışın açıklamasız sonlandırılması ve alternatif bilginin başka yerde bulunması nedeniyle bankayı anlaşılır ve ulaşılır bilgilendirme konusunda uyarmıştır. Karar, 2024 öncesindeki işleme şartlarına ve somut hizmete ilişkindir. Buradan her biyometrik uygulamanın rızayla hukuka uygun olacağı ya da başka bir kanalın adının anılmasının her durumda yeterli sayılacağı sonucu çıkarılamaz.²³

Dolandırıcılığı önleme amacıyla olağan dışı giriş veya işlem belirtilerinin değerlendirilmesi de aynı sınırlandırmayı gerektirir. Örneğin varsayımsal bir olayda, kısa aralıklarla başarısız girişler ve alışılmışın dışındaki işlem örüntüsü ek doğrulamayı gerektirebilir. Ancak belirli riskin saptanması için gerekli kayıtlarla, müşterinin hizmet dışındaki bütün davranışlarını izlemek aynı faaliyet değildir. Kuruluş, özel bir kanuni yükümlülüğe dayanıyorsa bunun kapsamını; meşru menfaate dayanıyorsa zorunluluğu ve kişinin haklarına etkisini açıklayabilmelidir. Teknik bir işaretin kişiye bağlanması veya kişi hakkında değerlendirmeye dönüştürülmesi de veri işleme incelemesinin içindedir. Hatalı risk işaretinin kişinin hizmete erişimini etkileyebilmesi, doğruluk ve güncelleme gereğini ayrıca önemli kılar.²⁴

Son olarak kimlik tespitini kanıtlama, belirli işlemin güvenliğini sağlama ve ileride başka bir hizmet için profil oluşturma farklı amaçlardır. İlk amaç için edinilen görüntü veya teknik kayıt, sırf kuruluşun elinde bulunduğu için diğer amaçlara aktarılamaz. Hangi kaydın hangi yükümlülük veya ihtiyaç nedeniyle tutulduğu ayrılmalı; saklama, erişim ve imha buna göre düzenlenmelidir. Kredi değerlendirmesinde kullanılacak profillerin ayrıca incelenmesi ve saklama yükümlülüklerinin kayıt türüne göre belirlenmesi bu ayrımın devamıdır.²⁵

25.4. Risk puanlama, kredi değerlendirmesi ve profilleme

Kredi başvurusunun değerlendirilmesinde, başvuranın geçmişte hangi borçları üstlendiği ile gelecekte borcunu ödeyip ödeyemeyeceği aynı türden bilgi değildir. İlki kayıtlarla saptanabilecek olgulara, ikincisi ise bu olgulardan ve başka göstergelerden üretilen bir tahmine ilişkindir. Risk puanı, kişiye ilişkin değerlendirmeyi sayısal bir biçime sokar; tahmini kesin olguya dönüştürmez. Kişiye bağlanan bu değerlendirme de kişisel verilerin korunması bakımından inceleme konusudur. Koruma, yalnız başvuru formunda yazılan bilgilerle sınırlı değildir.²⁶

Bu süreçte kayıtların bir araya getirilmesi, kişinin belirli özelliklerinin değerlendirilmesi ve kredi hakkında karar verilmesi ayrılmalıdır. Profilleme, kişisel verilerden hareketle kişinin ekonomik durumu veya davranışı gibi özelliklerinin değerlendirilmesine yönelebilir. Ancak her profil otomatik bir karara dönüşmediği gibi her otomatik karar da profil oluşturulmasını gerektirmez. Örneğin bir görevlinin puanı başka bilgilerle birlikte değerlendirmesiyle, belirli puanın altındaki bütün başvuruların sistem tarafından reddedilmesi farklı süreçlerdir. Ayrımın önemi, kullanılan yazılımın adından değil, kişinin durumunu hangi işlemin belirlediğinden kaynaklanır.²⁷

Finansal risk bilgilerinin paylaşılmasının özel kanuni zemini de bulunmaktadır. 5411 sayılı Kanunun ek 1. maddesi, Türkiye Bankalar Birliği nezdindeki Risk Merkezinin kuruluşunu, üyeliği ve bilgi verme yükümlülüğünü düzenler. Bununla birlikte kanuni paylaşım ilişkisi, bir kuruluşun edinebildiği her bilgiyi dilediği amaçla değerlendirmesine izin vermez. Bir risk kaydına erişme yetkisiyle, onu belirli bir kişi veya işlem hakkında sorgulamak için gereken amaç bağı farklıdır. Nitekim Kurulun 2020/191–194 sayılı kararlarının ortak özetinde, bazı faktoring şirketleri çalışanlarının Risk Merkezi sorgularını amaç dışında kullanması ve yetkisiz kişilerle paylaşması, genel ilkeler ve veri güvenliği yükümlülükleri bakımından ihlal olarak değerlendirilmiştir.²⁸

Aynı nedenle, kredi değerlendirmesiyle ilgili bütün işlemleri açık rızaya dayandırmak da doğru değildir. Kurulun 2023/1509 sayılı kararında, mobil bankacılıktan yapılan kredi başvuruları üzerine ad, soyadı ve kimlik numarasının Kredi Kayıt Bürosuna aktarılması incelenmiştir. Kurul, somut paylaşımda 5. maddenin ikinci fıkrasındaki işleme şartlarını ve bankacılık hükümlerini dikkate alarak açık rızanın bulunmaması veya geri çekilmesi iddiasını aktarımı durduracak sebep saymamıştır. Ancak başvurunun reddinde gerekçenin açıklanması gerektiğini bankaya hatırlatmıştır. Karar, bütün profil verilerinin sınırsız paylaşılmasına veya her kredi puanlama yönteminin hukuka uygunluğuna ilişkin bir onay değildir.²⁹

Kullanılan kaydın doğru olması, değerlendirmenin ilk şartlarından biridir. Varsayımsal bir olayda ödenmiş bir taksidin hâlâ gecikmiş görünmesiyle, doğru ödeme geçmişinden düşük puan üretilmesi ayrı itirazlara konu olabilir. İlkinde veri kaydının düzeltilmesi istenir; ikincisinde kullanılan değerlendirmenin ve doğurduğu sonucun incelenmesi gerekir. Kaydın düzeltilmesi puanın hangi ölçütlerle üretildiği sorusunu kendiliğinden çözmez. Bunun tersine, puanın bir tahmin olması da yanlış kayda dayanılmasını önemsizleştirmez. Veri kaynağı, güncelleme zamanı ve sonucun hangi kişiye ait olduğu belirlenmeden yapılacak bir düzeltme denetimi eksik kalır. Nitekim TBB Risk Merkezinin açıklaması, Risk Merkezi raporu ile ayrı bir tüzel kişi olan Kredi Kayıt Bürosunun Findeks notunu ayırmaktadır. Raporun edinilmesi, kredi puanının veya kredi kararının yeniden incelenmesiyle özdeş değildir.³⁰

Münhasıran otomatik analiz sonucunda kişinin aleyhine bir sonuç doğması hâlinde, 6698 sayılı Kanunun 11. maddesinin birinci fıkrasının (g) bendi özel bir itiraz hakkı tanır. Bu hüküm, verinin bilgisayarda tutulduğu bütün işlemleri aynı kapsama sokmaz; otomatik analizle aleyhe sonuç arasındaki bağın kurulmasını gerektirir. Aksoy, hükmün otomatik karara tabi olmaya ilişkin genel bir yasak yerine itiraz hakkı öngördüğünü savunmaktadır. Bilir’in 2026 tarihli incelemesi de Türk hükmünün bu yönünü vurgular. Bu yaklaşım, kredi kararını önceden bütün veri koruma denetiminden muaf tutmaz. Amaç, işleme şartı, ölçülülük ve doğruluk kuralları, kişi henüz itiraz etmemişken de uygulanır.³¹

İnsan müdahalesinin varlığı da yalnız işlem akışında bir görevlinin görünmesiyle belirlenemez. Puanı sorgulamadan ekrandaki sonucu ileten görevli ile başka verileri inceleyip değerlendirmeyi değiştirebilen görevli arasında esaslı fark vardır. Öğretide, otomatiklik koşulunun yorumunda müdahalenin anlamlı olması; görevlinin sonucu değiştirme yetkisi ve becerisinin bulunması üzerinde durulmaktadır. Bu ölçüt kredi süreçlerine uygulandığında, insanın sürece hangi aşamada ve hangi karar yetkisiyle katıldığı araştırılmalıdır. Bununla birlikte yabancı hukuktaki bütün otomatik karar şartları, Türk hükmünde aynen yazılıymış gibi uygulanamaz.³²

İtirazın etkili olabilmesi için kişinin neye itiraz ettiğini anlayabilmesi gerekir. Buna karşılık, 6698 sayılı Kanunun 10 ve 11. maddelerinde otomatik kararın mantığını açıklamaya ilişkin, yabancı düzenlemelerdekiyle aynı ayrıntıda özel bir hüküm bulunmadığı yönündeki görüş ciddiye alınmalıdır. Aksoy bu metinsel farklılığı saptamakla beraber, itiraz hakkının kullanılabilmesi için kararın sebeplerinin açıklanmasını savunur. Burada bilgi talebiyle algoritmanın bütün kaynak kodunun teslimini özdeşleştirmek gerekmez. Somut kredi değerlendirmesinde hangi kişisel verilerin kullanıldığı, bunların doğruluğu ve aleyhe sonucun yeniden incelenmesi birbirinden koparılmamalıdır. Veriye veya otomatik sonuca itirazın kabulü de tek başına kredi tahsis edilmesi sonucunu doğurmaz; veri koruma güvencesiyle kredi sözleşmesinin kurulması ayrı hukuki meselelerdir.³³

25.5. Destek hizmetleri, açık bankacılık ve grup içi paylaşım

Bankanın bir işlemi başka bir kuruluşun katılımıyla yürütmesi, her durumda aynı türden veri paylaşımı anlamına gelmez. Kartın teslimi için kurye kullanılması, bir başka kuruluşun müşteriye hesap bilgisi hizmeti sunması ve ana ortaklığın konsolide denetim için bilgi istemesi farklı ilişkilerdir. İlkinde hizmetin yerine getirilmesi, ikincisinde müşterinin başka bir finansal hizmetten yararlanması, üçüncüsünde ise belirli kurumsal yükümlülük ve ihtiyaçlar söz konusudur. Veri akışını yalnız “iş ortağına aktarım” diye adlandırmak, bu farkları görünmez kılar.

Destek hizmeti alınması, hizmet sağlayıcının kendiliğinden bankanın veri işleyeni sayılmasını gerektirmez. Kurumun bankacılık rehberi, örneğin teslimat için aktarılan ad ve adres bilgileri bakımından kurye veya kargo kuruluşunun kendi tabi olduğu düzenlemeler de dikkate alınarak değerlendirilmesini ister. Buna karşılık, belirli bir veri işleme işini bankanın talimatlarıyla yerine getiren kuruluşun konumu farklı olabilir. Önemli olan, hangi verinin hangi amaçla işlendiğine kimin karar verdiğidir. Rehberin ayrıca belirttiği üzere, veri işleyenin edindiği verileri kendi adına kullanması hâlinde o işleme bakımından veri sorumluluğu gündeme gelir. Hizmet sözleşmesinin adı, amaç dışı kullanımın sonuçlarını ortadan kaldırmaz.³⁴

Grup ilişkisi bakımından da aynı yaklaşım geçerlidir. Bir bankanın bağlı ortaklığına belirli bir işlemi yürütmek için hizmet vermesiyle, ana ortaklığın konsolide finansal tablo, risk yönetimi veya iç denetim için bilgi istemesi ayrı değerlendirilir. Bankacılık Kanununun 73. maddesindeki özel paylaşım imkânları, ilgili amaç ve koşullarla birlikte uygulanır. Kurum rehberi de ana ortaklık taleplerini gizlilik sözleşmesi ve belirtilen amaçlarla sınırlılık çerçevesinde açıklar. Dolayısıyla aynı gruba ait olmak, ayrı tüzel kişilerin bütün müşteri kayıtlarını ortak bir pazarlama havuzunda kullanmalarına tek başına dayanak oluşturmaz.³⁵

Açık bankacılıkta ise müşteri, hesabının bulunduğu kuruluşun yanında başka bir sağlayıcının hizmetinden yararlanır. Hesap bilgisi hizmeti, belirlenen hesaplara ilişkin bilgilerin sunulmasına; ödeme emri başlatma hizmeti, müşterinin hesabı üzerinden bir ödemenin başlatılmasına yönelir. Bunları mümkün kılan arayüz, banka kayıtlarının herkese açılması demek değildir. Ödeme hizmetlerine ilişkin Yönetmeliğin 60 ve 61. maddeleri, hizmet sağlayıcıların hangi bilgiye hangi amaçla erişebileceğini ve güvenli iletişim yükümlülüklerini ayrı ayrı düzenler. Böylece teknik bağlantının kurulmasıyla hukuki erişim yetkisinin doğması birbirinden ayrılır.³⁶

Bu yetkinin kapsamı, sunulan hizmetle bağlantılıdır. Yönetmelik, hesap bilgisi hizmetinde yalnız belirlenen ödeme hesapları ve ilgili işlemlere ait bilgilere erişimi öngörür; ödeme emri başlatma hizmetinde de hizmet için gerekli olmayan verinin istenmesini yasaklar. Hizmet dışı kullanımın ise ayrıca değerlendirilmesi gerekir. Nitekim 62. madde, doğrudan ödeme hizmetiyle ilgili olmayan kullanım için müşterinin onayını, kişisel veri söz konusu olduğunda açık rızasını aramaktadır. Aynı maddenin ikinci fıkrasında belirli ek hizmetler için özel bir imkân tanınmıştır. Bu nedenle hizmete erişim yetkisini her türlü sonraki kullanım için yeterli saymak da, özel düzenlemedeki bütün farklı kullanım imkânlarını yok saymak da doğru değildir.³⁷

Burada hizmet onayı, veri işlemeye ilişkin hukuki sebep ve üçüncü kişiye aktarım talimatı ayrı sorulara cevap verir. Taştan ve Saruhan, açık bankacılık incelemelerinde istek ve onay yükümlülüklerinin yalnız aydınlatma yapılması veya açık rıza alınmasıyla karşılanmış sayılamayacağını savunmaktadır. Güncel Yönetmeliğin 62. maddesinin dördüncü fıkrası da bu hizmetler kapsamında edinilen verilerin, müşterinin onayı bulunsa dahi, müşteriden gelen talep veya talimat olmaksızın üçüncü kişilere aktarılmasını engellemektedir. Ayrıca beşinci fıkra, kişisel veri işleme bakımından 6698 sayılı Kanuna öncelik tanır. Tek bir “onaylıyorum” ifadesinin bütün bu hukuki işlevleri yerine getirdiği varsayılamaz.³⁸

Açık bankacılık sağlayıcısının veri koruma sıfatı da sırf bankadan veri aldığı için belirlenemez. Müşteriye kendi hizmetini sunmak üzere işleme amaçlarını belirleyen sağlayıcının durumu, bankaya yalnız teknik destek veren kuruluşunkinden farklıdır. Taştan ve Saruhan, aktarım ve eş zamanlı kayıt sürecinde, aksi sözleşmeyle kararlaştırılmadıkça ortak veri sorumluluğunu savunmaktadır. Ancak bu görüşten her teknik bağlantının zorunlu olarak ortak sorumluluk doğurduğu sonucu çıkarılmamalıdır. Kanundaki amaç ve vasıtaları belirleme ölçütü, her işleme bakımından uygulanır; sözleşmenin hangi adı kullandığından çok, tarafların fiilî karar yetkileri incelenir. Kurum rehberinin de aktarımı yapan ve kendi sistemine kaydeden tarafların veri sorumlusu olmasını mümkün görmesi, somut faaliyet incelemesinin önemini göstermektedir.³⁹

Örneğin müşterinin belirli hesaplarını bir arada görüntülemek için hizmet alması, bu verilerin sağlayıcının başka bir grup şirketine satış teklifi hazırlaması için gönderilmesini kendiliğinden haklı kılmaz. İkinci faaliyetin amacı, veriyi alacak kişinin konumu ve aktarım şartları ayrıca belirlenmelidir. Benzer şekilde destek hizmeti sözleşmesinde gizlilik kaydı bulunması, kuruluşun erişebileceği veri kapsamının ve güvenlik önlemlerinin belirlenmesi ihtiyacını kaldırmaz. 6698 sayılı Kanunun 12. maddesi, veri sorumlusunu kendi adına veri işleyenlerle birlikte güvenlik tedbirlerinin alınması hususunda müştereken sorumlu tutar. Sorumluluk, hizmetin dışarıdan alınmasıyla bütünüyle devredilmiş olmaz.⁴⁰

Verinin yurt dışındaki bir ana ortaklığa veya hizmet sağlayıcısına ulaşması hâlinde, paylaşımın sektörel dayanağıyla yurt dışına aktarım şartları da birlikte incelenir. İzin verilen kurumsal amaç, aktarımın ülke ve alıcı bakımından ayrıca değerlendirilmesini gereksiz kılmaz. Hangi verinin, hangi alıcıya, hangi işlev için ve hangi süreyle açıldığı belirlenmeden yalnız grup ilişkisine veya genel bir hizmet onayına dayanılması yeterli değildir. Bu noktada yurt içi ve yurt dışı aktarımın genel güvenceleri, finansal hizmetteki somut veri akışına uygulanır.⁴¹

25.6. Sağlık verisi, saklama yükümlülükleri ve hak talepleri

Sağlık sigortası başvurusunda geçmiş bir hastalığın bildirilmesi, kredi borcunun kapatılması ve hesabın sonlandırılması birbirinden farklı veri koruma sorunları doğurur. Sağlık bilgisinin hangi amaçla edinilebileceği, mevcut kaydın ne kadar tutulacağı ve kişinin kaydın düzeltilmesini yahut silinmesini isteyip isteyemeyeceği ayrı ayrı belirlenmelidir. Hizmet ilişkisinin sona ermesi bütün kayıtların hemen silinmesini gerektirmediği gibi, bir saklama yükümlülüğünün bulunması da kuruluşun elindeki bütün bilgileri her amaçla kullanmasına izin vermez.

Sigorta ilişkisinde sağlık verisine ihtiyaç duyulması, tek başına işleme şartı değildir. Sigortalının tazminat hakkının belirlenmesi için belirli bir sağlık belgesinin incelenmesiyle, gelecekte kullanılabileceği düşüncesiyle bütün sağlık geçmişinin toplanması aynı değerlendirmeye tabi tutulamaz. Yelmen, sigorta şirketlerine aktarımda ihtiyaçla sınırlı veri kapsamının önemini vurgulamakta; bütün sağlık verilerinin paylaşılmasına yönelik talebin ölçülülük bakımından doğuracağı sorunlara işaret etmektedir. Bu yaklaşım, sigortacının inceleme ihtiyacını reddetmeden hangi belgenin hangi işlem için gerekli olduğunun açıklanmasını gerektirir.⁴²

Burada 6698 sayılı Kanunun 6. maddesinin değişen yapısı da dikkate alınmalıdır. Kurulun 2020/667 sayılı kararında, sağlık sigortası poliçesinin yenilenmesi için sağlık verilerinin işlenmesine açık rıza istenmesi, o tarihteki 6. madde çerçevesinde hukuka aykırı bulunmamıştır. Ancak 1 Haziran 2024’te yürürlüğe giren değişiklik, özel nitelikli verilerin işlenmesi için başka şartlar da getirmiştir. Özellikle bir hakkın tesisi, kullanılması veya korunması için zorunluluk, sigorta tazminatına ilişkin somut bir talep bakımından ayrıca incelenebilir. Bu nedenle eski karardan bugün bütün sigorta işlemlerinde yalnız açık rızaya dayanılabileceği sonucu çıkarılamaz. Buna karşılık sırf sözleşme yapılacak olması da sağlık verilerini genel sözleşme şartına dayanarak işlemeyi yeterli kılmaz; 6. maddede öngörülen uygun şart gösterilmelidir.⁴³

Hakkın korunmasına dayanılması, hangi hakkın neden bu verinin işlenmesini zorunlu kıldığının gerekçelendirilmesini gerektirir. Kurumun 2025 rehberi de zorunluluğun her faaliyet bakımından belirlenmesine önem vermektedir. Örneğin belirli bir tazminat uyuşmazlığında talebin değerlendirilmesi için gerekli raporun tutulması, aynı kişinin sağlık bilgisinin pazarlama amacıyla kullanılmasından ayrılır. Akkaya’nın 2026 tarihli çalışmasında vurguladığı, verinin kalıcılığının bireyin denetimini zayıflatması ve damgalanma yaratması tehlikesi bu ayrım bakımından önemlidir. Bununla birlikte koruma ihtiyacı, kanundaki rıza dışı şartların yok sayılmasını değil, zorunluluğun ve amaç sınırının somutlaştırılmasını gerektirir.⁴⁴

Saklama süreleri bakımından da finans sektörünün tamamı için geçerli tek bir “on yıl” kuralı yoktur. Bankacılık Kanununun 42. maddesi, bankanın aldığı yazılar ve faaliyetleriyle ilgili belgeler için on yıllık saklama öngörür. 5549 sayılı Kanunun 8. maddesi ise kendi kapsamındaki belge, defter, kayıt ve kimlik tespiti belgeleri bakımından sekiz yıllık muhafaza yükümlülüğü getirir. Üstelik ikinci hükümde başlangıç, belgenin düzenlenmesi, son kayıt veya kimlik tespitine ilişkin son işlem olarak farklılaştırılmıştır. Dolayısıyla sadece yıl sayısına bakılması yeterli değildir. Aynı kayıt birden fazla yükümlülük kapsamındaysa her dayanak, başlangıç olayı ve gerekli veri kapsamı birlikte değerlendirilmelidir.⁴⁵

Özel sağlık sigortasında kuruluşun kimliği ayrıca önem taşır. 20 Ekim 2025 tarihli değişiklikle yeniden düzenlenen ve 1 Ocak 2026’da yürürlüğe giren Yönetmeliğin 16. maddesi, Sigorta Bilgi ve Gözetim Merkezi tarafından tutulan sigortalılık kayıtları ve sağlık bilgileri için sigortalılığın sona ermesinden itibaren on yıllık muhafaza öngörür; sürenin sonunda resen silme, yok etme veya anonimleştirme yükümlülüğünü belirtir. Hükmün muhatabı ve kayıt kapsamı bellidir. Bu sürenin bütün sigorta şirketlerinin bütün dosyaları için doğrudan ortak süre sayılması, düzenlemenin kapsamını genişletir. Aynı madde, veri işleme faaliyetlerinde 6698 sayılı Kanuna uyulmasını da açıkça saklı tutmaktadır.⁴⁶

Borç bilgisine ilişkin bir silme talebinde ise ödemenin yapılmasıyla kaydın yanlış hâle gelmesi birbirine karıştırılmamalıdır. Kurulun 14 Mart 2024 tarihli 2024/444 sayılı karar özetinde, 2017’de kapatılmış borcun Risk Merkezi kayıtlarında işlenmesine ilişkin şikâyet incelenmiş; somut kaydın işleme süresinin 2027’ye kadar devam ettiği değerlendirilerek işlem yapılmamıştır. Özette Risk Merkezinin bildirdiği işleme, paylaşımdan kaldırma ve erişime kapalı saklama süreçleri de ayrı gösterilmiştir. Buradan her finansal verinin zorunlu olarak yirmi yıl tutulacağı sonucu çıkarılamaz. Kararın belirleyici yönü, borcun kapandığını gösteren tarihsel kaydın amacıyla güncel borç durumunun ayrılmasıdır. Ödenmiş borcun hâlen ödenmemiş gibi gösterilmesi ise başka bir doğruluk sorunudur.⁴⁷

Bu ayrım ilgili kişinin hak talebinin nasıl karşılanacağını da etkiler. Kişi, hangi kaydın hangi amaçla işlendiğini öğrenmek, eksik veya yanlış bilginin düzeltilmesini ve şartları oluşmuşsa silinmesini istemek hakkına sahiptir. Kuruluş yalnız “mevzuat gereği saklıyoruz” demekle yetinmemeli; talebe konu kaydın saklanmasını gerektiren dayanağı somutlaştırmalıdır. İmha Yönetmeliğinin 12. maddesi, işleme şartları devam ediyorsa gerekçeli ret imkânı tanır; şartların tamamı ortadan kalkmışsa talebin yerine getirilmesini öngörür. Böylece saklama gerekçesinin bulunması, başvuruyu inceleme ve cevaplandırma yükümlülüğünü ortadan kaldırmaz.⁴⁸

Örneğin bir bankanın kapanmış krediye ait sözleşme ve işlem belgesini saklaması gerekirken, aynı kişinin artık geçerli olmayan telefon numarasını yeni tekliflerde kullanması zorunlu olmayabilir. Sigorta dosyasında tazminat uyuşmazlığı için gereken sağlık raporunun korunmasıyla, raporun bütün müşteri ilişkileri personeline açık tutulması da ayrı işlemlerdir. Her iki örnekte sorun, dosyanın bütünü hakkında tek bir sakla veya sil kararı vermekle çözülemez. Korunması gereken kayıt, kullanım amacı ve erişebilecek kişiler belirlenmeli; işleme şartları sona eren kapsam için imha işlemi uygulanmalıdır. Saklama ve imhanın genel yöntemi 14. bölümde, başvurunun izlenmesi ise 18. bölümde açıklanan güvencelerle birlikte yürür.⁴⁹

25.7. Kanuni bildirim, ticari kullanım ve veri güvenliği

Finansal kuruluşun elindeki bilgiyi bir makama bildirmesiyle müşteriye mesaj göndermesi aynı türden iletişim değildir. İlkinde kuruluşun kanuni yükümlülüğü ve yetkili makamın görev alanı; ikincisinde müşteriye neden ulaşılması gerektiği belirlenir. Müşterinin tanıtım iletisi istememesi, kanunun zorunlu tuttuğu bir bildirimi engellemeyebilir. Buna karşılık bir yükümlülük için edinilen iletişim bilgisinin kuruluşun yararlı gördüğü her duyuruda kullanılabileceği de söylenemez.

Şüpheli işlem bildirimi bu ayrımın açık örneğidir. 5549 sayılı Kanunun 4. maddesi, kapsamındaki şüphenin varlığında işlemin Mali Suçları Araştırma Kuruluna bildirilmesini zorunlu tutar. Aynı madde, bildirim yapıldığının açıklanmasını da kanunda belirtilen muhataplar dışında yasaklar. Dolayısıyla burada müşterinin pazarlama tercihi, bildirimin yapılmasının hukuki sebebi değildir. Yetkili makama bildirim yapılmasıyla bildirimin varlığının müşteriye veya başka kişilere açıklanması farklı kurallara bağlıdır; kanuni bilgi akışı genel bir paylaşım yetkisine dönüşmez.⁵⁰

Müşteriye gönderilen mesajlarda ise “bilgilendirme” başlığı tek başına yeterli değildir. Kurulun 2021/358 sayılı kararında, vergi dairesinden gelen bildirime bağlı e-haciz kısıtının kaldırılması hakkında gönderilen SMS, hukuki yükümlülüğün yerine getirilmesi için zorunlu işleme kapsamında değerlendirilmiştir. Mesajın tanıtım içermemesi de dikkate alınmıştır. Bu karar, rıza bulunmayan her iletişimin yasak olduğunu söyleyen yaklaşımın neden fazla geniş kalacağını gösterir. İnceleme, belirli yükümlülükle belirli mesaj arasındaki bağa yönelmelidir.⁵¹

Buna karşılık 2021/1104 sayılı kararda banka, salgın dönemindeki önlemlerini eski müşterisine duyurmayı gerekli gördüğünü savunmuştur. Kurul, hesaplar kapatılmış ve verilerin saklama amacı dışında kullanılmayacağı bildirilmişken gönderilen mesajlar için uygun işleme şartı bulunmadığı sonucuna ulaşmıştır. Aynı olayda kayıtların saklanmasına ilişkin talebin reddi hukuka aykırı sayılmamıştır. Böylece verinin kuruluşta tutulabilmesi ile bu veri kullanılarak yeniden iletişim kurulabilmesi ayrılmıştır. Koruyucu veya yararlı olduğu düşünülen bir içerik, muhatapla kurulacak ilişkinin dayanağını kendiliğinden sağlamaz.⁵²

Ticari kullanımda rızaya dayanılıyorsa, müşterinin sessiz kalması olumlu tercihin yerine geçirilmemelidir. 2021/361 sayılı kararda bankacılık uygulamasındaki tanıtım bildirimlerinin varsayılan olarak açık bulunması ve müşterinin bunu değiştirmedikçe onay vermiş sayılması uygun görülmemiştir. Kurul, uygulamanın usulüne uygun açık rıza alınabilecek biçimde düzenlenmesini istemiştir. Arslanhan’ın bankacılık incelemesinde de bu kararlar, kanuni bilgilendirme ile pazarlama faaliyetinin ayrılması bağlamında ele alınır. Dolayısıyla hizmeti kullanma, teknik bildirim izni ve tanıtım amaçlı veri işleme bakımından irade açıklamasının konusu açıklığa kavuşturulmalıdır. Ticari elektronik ileti ve İleti Yönetim Sistemiyle ilişkinin genel çerçevesi 26. bölümde incelenmektedir.⁵³

Bu hukuki sınırların sistemin işleyişine de yansıtılması gerekir. Kanunen tutulması gereken kayıtların bulunduğu veri tabanıyla tanıtım için kullanılabilecek iletişim listesinin aynı olması, bütün kayıtlara aynı kullanım yetkisinin tanınmasını haklı kılmaz. İlgili kişinin tercihinin değiştirilmesi yalnız bir metnin güncellenmesinden ibaret kalırsa, başka uygulama veya birim üzerinden eski kullanım sürebilir. Amaç, yetki ve kullanım durumunun işlemde dikkate alınmasını sağlayan düzenleme, hukuka aykırı işlemeyi önleme yükümlülüğünün somut sonucudur.⁵⁴

Ödeme ve elektronik para kuruluşları bakımından sektörel bilgi sistemleri düzenlemesi de güvenliği yalnız dış saldırıların önlenmesine indirgemez. İlgili Tebliğin 8. maddesi, bilgi varlıklarının sınıflandırılmasıyla erişim, saklama, iletim ve imha usullerinin belirlenmesini; 9. maddesi müşteri verilerinin gizliliği ve güvenliği için önlem alınmasını düzenler. Aynı maddenin yedinci fıkrasında kişisel veri işleme bakımından 6698 sayılı Kanunun öncelikle uygulanacağı belirtilir. Bu nedenle teknik olarak güvenli bir kanal kullanılması, alıcı ve amaç bakımından hukuki yetkinin araştırılmasını gereksiz kılmaz.⁵⁵

Arslanhan, bilgi güvenliği bakımından teknik tedbirlerle görev, politika ve personel yönetimine ilişkin idari tedbirlerin birlikte ele alınması gerektiğini vurgular. Örneğin aktarım sırasında şifreleme kullanılması, yetkisi olmayan bir çalışanın aynı kaydı kurum içinde sorgulamasını tek başına engellemez. Tebliğin denetim izlerine ilişkin 13. maddesi de erişimlerin, işlemlerin ve sorgu amaçlarının sonradan izlenebilmesine hizmet eder. Burada işlem kaydı tutmakla bütün müşteri içeriğini sınırsız bir ikinci arşivde çoğaltmak aynı şey değildir; kayıt kapsamı ilgili güvenlik ve denetim ihtiyacına göre belirlenmelidir.⁵⁶

Sonuç olarak bir finansal veri akışı incelenirken yalnız “gönderilebilir mi?” sorusuyla yetinilemez. Hangi hükmün hangi alıcıya hangi bilgiyi iletmeyi gerektirdiği, bunun dışında kalan ticari kullanımın dayanağı ve erişimin nasıl sınırlandırıldığı birlikte ortaya konulmalıdır. Yetkili makama bildirim, müşteriye zorunlu açıklama ve müşterinin tercihine bağlı tanıtım bu ölçütlerle ayrıldığında, hizmetin yürütülmesiyle kişinin verisi üzerindeki hakları aynı işlem içinde korunabilir.