Bankacılık Hukuku Açısından Açık Bankacılık ve Yasal Çerçevesi

Açık bankacılık (Open Banking), Müşteri Verilerinin Tarafınca Yetkilendirilmiş Üçüncü Taraf Sağlayıcılar (ÜTPS) ile Güvenli Uygulama Programlama Arayüzleri (API) aracılığıyla paylaşılmasını esas alan…

Açık bankacılık (Open Banking), Müşteri Verilerinin Tarafınca Yetkilendirilmiş Üçüncü Taraf Sağlayıcılar (ÜTPS) ile Güvenli Uygulama Programlama Arayüzleri (API) aracılığıyla paylaşılmasını esas alan finansal bir ekosistemdir. Dijital dönüşümün ve finansal teknolojilerin (FinTech) gelişmesiyle hız kazanan bu sistem, Türkiye'de de Bankacılık Düzenleme ve Denetleme Kurumu (BDDK) ve Türkiye Cumhuriyet Merkez Bankası (TCMB) tarafından oluşturulan ikincil mevzuatlarla yasal bir zemine kavuşturulmuştur.

Açık bankacılık; müşteri deneyimini iyileştirmeyi, finansal rekabeti artırmayı ve tek bir platform üzerinden çoklu banka hesabının yönetilebilmesini hedefler. Ancak sistemin bilgi güvenliği, kişisel verilerin korunması ve bankacılık sırrı gibi alanlarla doğrudan temas etmesi, konunun hukuki boyutunu kritik hale getirmektedir.

Açık Bankacılık Nedir ve Nasıl Çalışır?

Açık bankacılık; banka müşterilerinin finansal verilerini ve hesap hareketlerini, kendi açık rızaları doğrultusunda lisanslı finansal kuruluşlar veya ödeme hizmeti sağlayıcıları ile paylaşabildikleri elektronik bir dağıtım kanalıdır.

Sistemin teknik altyapısını API (Application Programming Interface - Uygulama Programlama Arayüzü) oluşturur. API teknolojisi, farklı yazılım sistemlerinin güvenlik standartlarına uygun şekilde haberleşmesine imkân tanır. Finans sektöründeki uygulamasında yetkili üçüncü taraf sağlayıcılar, müşterinin talimatı ve onayı ile banka sistemindeki verilere uzaktan güvenli bir şekilde erişerek analiz sunar veya ödeme emri başlatabilir.

Türkiye'deki Açık Bankacılık Mevzuatı ve Hukuki Temeller

Türkiye'de açık bankacılık ekosistemi tek bir kanunla değil, birbirini tamamlayan çeşitli mevzuat hükümleriyle düzenlenmektedir:

• 6493 Sayılı Kanun: Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun üzerinde yapılan değişikliklerle, "Hesap Bilgisi Sunma Hizmeti" (AISP) ve "Ödeme Emri Başlatma Hizmeti" (PISP) yasal tanım kazanmış ve bu alan TCMB yetki alanına alınmıştır.
• BDDK Yönetmeliği: Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik ile API ve açık bankacılık servisleri tanımlanmış, bilgi güvenliği şartları ve kimlik doğrulama standartları (Güçlü Müşteri Kimlik Doğrulaması - GKD) düzenlenmiştir.
• 5411 Sayılı Bankacılık Kanunu: Bankaların müşteri sırrı ve banka sırrını saklama yükümlülükleri (m. 73) çerçevesinde, verilerin üçüncü kişilere aktarımı ancak müşteri talebi veya açık rızası ile mümkündür.
• 6698 Sayılı Kişisel Verilerin Korunması Hakkında Kanun (KVKK): Paylaşılan veriler kişisel veri/özel nitelikli kişisel veri kapsamında değerlendirildiğinden; açık rıza mekanizmasının kurulması, veri minimizasyonu ve aydınlatma yükümlülüğünün yerine getirilmesi zorunludur.

Veri Paylaşımında Açık Rıza ve Müşteri Hakları

Açık bankacılık sisteminde temel ilke, verilerin kontrolünün tamamen müşteride olmasıdır. Müşteri rızası olmadan hiçbir finansal veri API üzerinden aktarılamaz.

Hukuki Unsur

Açık Bankacılıktaki Uygulanışı

Açık Rıza ve İzin

Müşteri, hangi verisini hangi kuruluşla ve ne kadar süreyle paylaşacağını açıkça belirler.

İznin Geri Alınması

Müşteri, KVKK ve bankacılık mevzuatı gereğince verdiği izni dilediği zaman tek taraflı olarak iptal edebilir.

Sorumluluk ve İspat

İznin varlığını ve veri güvenliğini sağlama yükümlülüğü ilgili banka ve ödeme kuruluşuna aittir.

Önemli Not: Bankaların genel hizmet sözleşmelerine matbu olarak ekledikleri "açık bankacılık rıza şartları", KVKK anlamında "özgür iradeyle verilen açık rıza" şartını sakatlayabilir. Müşterinin spesifik ve bilgilendirmeye dayalı onayı esastır.

Açık Bankacılık Faaliyetlerinin Vergilendirilmesi (BSMV Kapsamı)

Açık bankacılık alanında faaliyet gösteren elektronik para ve ödeme kuruluşlarının vergisel yükümlülükleri Gider Vergileri Genel Tebliğleri ile netleştirilmiştir.

6493 sayılı Kanun kapsamında yetkilendirilen kuruluşların sunduğu ödeme ve hesap hizmetleri bankerlik faaliyetiçerçevesinde değerlendirilmektedir. Bu doğrultuda söz konusu hizmetler:

• KDV'den Muaf: Yapılan finansal hizmet işlemleri Katma Değer Vergisi'ne (KDV) tabi değildir.
• BSMV'ye Tabi: Elde edilen lehe paralar üzerinden Banka ve Sigorta Muameleleri Vergisi (BSMV) hesaplanıp beyan edilmektedir.

Sıkça Sorulan Sorular

Açık bankacılık güvenli midir?

Açık bankacılık altyapıları, TCMB ve BDDK tarafından belirlenen yüksek seviyeli siber güvenlik standartlarına (Giriş Tespiti, Güçlü Müşteri Kimlik Doğrulaması - GKD, Şifreleme Teknolojileri) tabidir. İşlemler bankaların resmi API entegrasyonları ile yürütüldüğünden şifre paylaşımı gerekmez.

Verilerimin paylaşılmasını durdurmak için ne yapmalıyım?

Mobil bankacılık uygulamaları veya ilgili ödeme kuruluşunun paneli üzerinden verilen izinler anında iptal edilebilir. Ayrıca bankalara iletilecek bir başvuru/talep dilekçesi ile daha önce verilen açık rızaların geri çekilmesi hukuken mümkündür.

Açık bankacılık hizmeti sunmak isteyen FinTech şirketleri ne yapmalıdır?

API entegrasyonu yapmak ve finansal veri işlemek isteyen kuruluşlar, TCMB'den gerekli faaliyet izinlerini almalı, BDDK bilgi sistemleri uyum süreçlerini tamamlamalı ve KVKK gerekliliklerine tam uyum sağlamalıdır.

Sonuç ve Hukuki Uyumun Önemi

Açık bankacılık, finans sektöründe hız ve verimlilik sağlarken; Kişisel Verilerin Korunması Kanunu, Bankacılık Kanunu, vergi mevzuatı ve siber güvenlik düzenlemelerinin kesişim noktasında yer alır. Mevzuata aykırı veri aktarımları veya eksik aydınlatma süreçleri; idari para cezaları, lisans iptalleri ve hukuki sorumluluklar doğurabilir. Entegre altyapı kurmak isteyen finansal kuruluşların ve hak kaybı yaşamak istemeyen tüketicilerin, süreçleri bankacılık ve finans hukuku alanında uzman bir avukat veya hukuki danışman rehberliğinde yürütmesi kritik önem taşımaktadır.