Fintech şirketleri kimlik, finansal işlem, cihaz ve konum gibi yoğun ve hassas veri setleriyle çalışır. Türkiye'de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Avrupa Birliğindeki kişilere hizmet sunulması hâlinde ise AB Genel Veri Koruma Tüzüğü (GDPR) bu verilerin işlenmesine yön verir. 2024'te KVKK'da yapılan değişiklikler, özellikle yurt dışına veri aktarımı konusunda şirketlerin yol haritalarını güncellemesini gerektirdi.
2024 değişiklikleri: ne değişti?
12 Mart 2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanunla KVKK'da önemli değişiklikler yapıldı; ilgili hükümler 1 Haziran 2024'te yürürlüğe girdi.
- Özel nitelikli kişisel veriler: Açık rızanın yanı sıra Kanunda sayılan belirli hâllerde de işleme yapılabilmesinin yolu açıldı.
- Yeterlilik kararı: Kişisel veriler öncelikle hakkında yeterlilik kararı bulunan ülkelere, ülke içindeki sektörlere veya uluslararası kuruluşlara aktarılabilir hâle geldi.
- Uygun güvenceler: Yeterlilik kararı bulunmadığında; uluslararası sözleşmeler, Kurul onaylı bağlayıcı şirket kuralları, Kurulun ilan ettiği standart sözleşmeler veya Kurul izniyle yazılı taahhütnameler gibi güvencelerden biri sağlanarak aktarım yapılabilir.
- Arızi aktarımlar: Yeterlilik kararı ve uygun güvence bulunmadığında, düzenli nitelik taşımayan arızi aktarımlar için sınırlı istisnalar öngörüldü.
- Geçiş dönemi: Açık rızaya dayalı önceki aktarım hükmü, 1 Eylül 2024'e kadar yeni hükümlerle birlikte uygulanabildi.
Usule ilişkin ayrıntılar, 10 Temmuz 2024'te yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ile düzenlendi. Standart sözleşmelerin Kurulun ilan ettiği metinlere uygun ve değiştirilmeden kullanılması, imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirilmesi gerekir. Bildirim yükümlülüğüne aykırılık idari para cezası yaptırımına bağlanmıştır.
Bu değişikliklerin pratik sonucu şudur: Düzenli aktarımlar artık açık rızaya değil, yeterlilik kararına veya uygun güvencelere dayandırılmalıdır. Açık rıza ise yalnızca arızi aktarımlar için öngörülen istisnalar arasında yer alır.
GDPR ne zaman devreye girer?
25 Mayıs 2018'den bu yana uygulanan GDPR, AB dışında yerleşik şirketleri de belirli koşullarda kapsar. Türkiye'de yerleşik bir fintech şirketi, AB'deki kişilere mal veya hizmet sunuyor ya da bu kişilerin AB içindeki davranışlarını izliyorsa, AB'de bir şubesi bulunmasa da GDPR kapsamına girebilir. Bu durumda öne çıkan başlıklar şunlardır:
- Gerekli hâllerde AB'de bir temsilci atanması
- Kişisel veri ihlallerinin, mümkün olduğunda farkına varıldıktan sonra en geç 72 saat içinde denetim makamına bildirilmesi
- Yüksek risk doğurabilecek işlemeler için veri koruma etki değerlendirmesi (DPIA) yapılması
- Belirli koşullarda veri koruma görevlisi (DPO) atanması
- İşleme faaliyetlerinin hukuki sebeplerinin ve meşru menfaat değerlendirmelerinin belgelenmesi
GDPR ile KVKK arasında kavramsal benzerlikler bulunsa da hukuki sebepler, bildirim usulleri ve kayıt yükümlülükleri gibi ayrıntılarda farklılıklar vardır. Bu nedenle ortak bir uyum programı kurgulanırken farklılaşan gerekliliklerin ayrıca işaretlenmesi gerekir.
KVKK tarafında da Kişisel Verileri Koruma Kurulunun 2019/10 sayılı kararı, veri ihlallerinin öğrenilmesinden itibaren en kısa sürede ve en geç 72 saat içinde Kurula bildirilmesini öngörür. Her iki düzenlemeye tabi şirketler için ortak bir olay müdahale süreci kurmak, süre kaçırma riskini azaltır.
Fintech'e özgü dikkat noktaları
Genel veri koruma yükümlülüklerinin yanında, finansal hizmetlere özgü düzenlemeler de veri yönetimi kararlarını doğrudan etkiler:
- Sektörel sır rejimi: Ödeme ve elektronik para kuruluşları için 6493 sayılı Kanunda sırların korunmasına ilişkin hükümler ve TCMB düzenlemeleri, KVKK'ya ek olarak uygulanır.
- Yerelleştirme: 6493 sayılı Kanun ve TCMB düzenlemeleri, lisanslı kuruluşların bilgi sistemlerinin ve yedeklerinin yurt içinde bulundurulmasını öngörür; bulut ve dış hizmet tercihleri bu çerçevede değerlendirilmelidir.
- MASAK ile kesişim: Müşterinin tanınması kapsamında toplanan verilerin saklama süreleri ve erişim yetkileri, aklamayla mücadele yükümlülükleriyle birlikte planlanmalıdır.
- Biyometrik veriler: Uzaktan müşteri edinimi ve kimlik doğrulamada kullanılan biyometrik veriler özel nitelikli kişisel veridir; hukuki dayanak ve güvenlik önlemleri ayrıca değerlendirilmelidir.
- Pazarlama ve profilleme: Ticari elektronik ileti izinleri, açık rıza ve kişiselleştirme uygulamaları birbirinden ayrı olarak yönetilmelidir.
- Tedarikçiler: Kimlik doğrulama, bulut, çağrı merkezi ve pazarlama hizmeti veren tedarikçilerin veri işleyen olarak konumlandırılması ve güvenlik düzeylerinin sözleşmeler ile periyodik kontrollerle güvence altına alınması
Adım adım veri koruma yol haritası
Aşağıdaki adımlar, sıfırdan başlayan bir şirket için de mevcut programını gözden geçiren bir şirket için de uygulanabilir bir çerçeve sunar:
- Veri envanteri çıkarın: Hangi veriyi, hangi amaçla, hangi hukuki sebebe dayanarak, ne kadar süreyle ve kimlerle paylaşarak işlediğinizi süreç bazında belgeleyin.
- Aktarımları haritalayın: Bulut, yazılım hizmeti, müşteri destek ve analitik sağlayıcıları dahil yurt dışına yapılan tüm aktarımları ve dayanılan aktarım mekanizmasını listeleyin.
- Sözleşmeleri güncelleyin: Yurt dışı aktarımlarda standart sözleşmeleri kullanın ve bildirim sürelerini takip edin; veri işleyen sözleşmelerinde güvenlik ve denetim hükümlerine yer verin.
- Aydınlatma ve rıza akışlarını sadeleştirin: Aydınlatma metinlerini anlaşılır ve katmanlı hâle getirin; açık rızayı yalnızca gerçekten gerektiği hâllerde isteyin.
- Teknik ve idari tedbirleri belgeleyin: Erişim yetkileri, şifreleme, kayıt yönetimi ve maskeleme gibi kontrolleri kanıtlanabilir hâle getirin.
- Saklama ve imha politikasını uygulayın: Sektörel saklama süreleriyle uyumlu, periyodik imha süreçleri kurun.
- Kayıt yükümlülüklerini kontrol edin: VERBİS'e kayıt yükümlülüğü kapsamında olup olmadığınızı güncel Kurul kararlarına göre değerlendirin.
- Tasarımdan itibaren gizliliği benimseyin: Yeni ürünlerde veri koruma değerlendirmesini geliştirme sürecinin başına yerleştirin.
- Farkındalık oluşturun: Ürün, pazarlama, destek ve yazılım ekiplerine rollerine özel eğitimler verin; ihlal şüphesinin nasıl ve kime bildirileceğini herkesin bilmesini sağlayın.
Pratik ipucu: KVKK ve GDPR uyumunu iki ayrı proje olarak yürütmek yerine ortak bir kontrol seti üzerinden yönetmek; envanter, sözleşme ve ihlal yönetimi süreçlerindeki tekrar eden çalışmayı önemli ölçüde azaltır.
Sık yapılan hatalar
- Her işleme faaliyeti için açık rızayı varsayılan hukuki sebep olarak kullanmak
- Yazılım hizmeti ve bulut sağlayıcıları üzerinden gerçekleşen yurt dışı aktarımları gözden kaçırmak
- Standart sözleşmeleri değiştirerek kullanmak veya bildirim süresini kaçırmak
- Veri envanterini bir kez hazırlayıp ürün değişiklikleriyle güncellememek
- Test ve analitik ortamlarında gerçek müşteri verisini maskelemeden kullanmak
- İlgili kişi başvurularını yanıtlamak için tanımlı bir süreç ve sorumlu belirlememek
- Çerez ve mobil uygulama izinlerini aydınlatma metinleriyle tutarlı hâle getirmemek
- İhlal müdahale planını tatbikatla sınamamak
Sonuç
Veri koruma, fintech şirketleri için müşteri güveninin ve düzenleyici ilişkilerin temel taşıdır. 2024 değişiklikleriyle yeniden şekillenen yurt dışı aktarım rejimi, özellikle bulut ve global hizmet sağlayıcılarla çalışan şirketler için sözleşme ve süreç güncellemelerini zorunlu kılıyor. Risk ve Uyumluluk Yönetimi hizmetimiz kapsamında KVKK ve GDPR uyum yol haritanızı birlikte oluşturabiliriz; mevcut durumunuzu değerlendirmek için ön görüşme talebi oluşturabilirsiniz.
Bu içerik genel bilgilendirme amaçlıdır; hukuki veya mali görüş niteliği taşımaz. Güncel mevzuat için ilgili otoritelerin resmi yayınları esas alınmalıdır.
