Yabancıların Uzaktan Kimlik Tespiti: Haziran'da MASAK, Eylül'de SPK ve TCMB — Üç Düzenleme, Tek Mekanizma

Bir hafta önce bu sitede, 3 Eylül 2026'da yayımlanan SPK Tebliği'nin yabancı gerçek kişilere kripto platformlarında ve aracı kurumlarda uzaktan müşteri olma yolunu açtığını yazmıştık. Ertesi gün, 4 Eylül'de, Türkiye Cumhuriyet Merkez Bankası aynı kapıyı ödeme ve elektronik para kuruluşları için açtı. İki düzenleyici, iki gün, aynı ibare: Uluslararası Sivil Havacılık Teşkilatının (ICAO) 9303 sayılı standardına uygun, yakın alan iletişimi özelliği olan pasaport.

Bu bir tesadüf değil. İkisinin de kökü 27 Haziran 2026'da atıldı ve mekanizma tek. Aşağıda üç kademeyi sırasıyla açıyor, sonra ödeme kuruluşları tarafında yalnız yabancıları değil herkesi ilgilendiren iki değişikliğe geçiyoruz.

Kök: 27 Haziran 2026, MASAK Genel Tebliği 4/C

Uzaktan kimlik tespitinin genel çerçevesi Mali Suçları Araştırma Kurulu Genel Tebliği (Sıra No: 19)'dedir. 27 Haziran 2026 tarihli ve 33293 sayılı Resmî Gazete ile bu Tebliğ'e 4/C maddesi eklendi. Maddenin birinci fıkrası şöyle başlıyor:

"Yükümlüler Türk uyruklu olmayan gerçek kişilerin kimlik tespitini aşağıdaki esaslar dâhilinde, Uluslararası Sivil Havacılık Teşkilatının (ICAO) 9303 sayılı standardına uygun, yakın alan iletişimi özelliği olan pasaport kullanılmak suretiyle uzaktan kimlik tespiti yoluyla yapabilirler."

"Aşağıdaki esaslar" altı bentte toplanıyor: kimlik tespiti, pasaportla uzaktan kimlik tespiti konusunda özel olarak eğitim verilmiş personel tarafından görüntülü görüşme yoluyla yapılır; pasaportun yongasındaki kimlik bilgilerinin pasaport üzerindeki bilgilerle eşleştiği yakın alan iletişimiyle doğrulanır ve "bu doğrulamanın yapılamaması halinde uzaktan kimlik tespiti yoluyla iş ilişkisi tesis edilemez"; Türk kimlik kartı için öngörülen esaslar, kimlik paylaşım sisteminden doğrulama zorunluluğu hariç ve bu maddede aksine düzenleme bulunmadıkça, pasaporta da uygulanır; görüşme sırasında kişiyi ve pasaport üzerindeki bilgileri gösteren görüntüler alınır; alınan adres bilgisi yerleşim yeri belgesi, kişi adına düzenlenmiş ve işlem tarihinden önceki üç ay içinde kesilmiş elektrik, su, doğalgaz gibi adres temelli abonelik faturası, kamu kurumu belgesi veya ilgili ülkenin kamuya açık veri tabanları üzerinden en geç üç ay içinde teyit edilir ve teyit yapılmadan para transferi ve nakit çekim yapılamaz; işlem yapılan ortamdan alınan IP, cihaz kimliği, konum gibi teknik veriler pasaport bilgileriyle birlikte risk temelli değerlendirilir ve şüphe hâlinde süreç sonlandırılır. Maddenin devamındaki fıkralar bu şekilde kazanılan müşteriyi yüksek risk grubuna koyar ve para hareketini sınırlar: kimlik bilgilerinin doğrulanması için müşterinin kimlik bilgileriyle uyumlu bir banka hesabından ya da banka veya kredi kartından ilk transfer zorunludur; hesaba kural olarak yalnız kişinin yurt dışında kendi adına açılmış banka hesaplarından para gelir ve yurt dışına çıkış yalnız yine o hesaplara olur; müşteri yükümlüyle yüz yüze de kimlik tespiti yaptırırsa bu kısıt kalkar. Yükümlü, riskli olarak belirlediği ülkelerin vatandaşlarını bu yöntemle müşteri olarak kabul edemez.

Peki bu madde tek başına neden yetmedi, iki düzenleyici neden ayrıca metin çıkardı? Cevap aynı Tebliğ'in 4. maddesinin birinci fıkrasında: yükümlüler uzaktan kimlik tespitini ancak "asli faaliyet alanları ile ilgili mevzuatta" buna cevaz verilmiş olması hâlinde kullanabilir ve "bu yöntemler yükümlüler itibarıyla ayrı ayrı belirlenir." Tebliğ'in 5/A maddesi aracı kurumları, portföy yönetim şirketlerini ve kripto varlık hizmet sağlayıcılarını SPK'nın III-42.1 sayılı Tebliği'ne; 5/C maddesi ödeme ve elektronik para kuruluşlarını Merkez Bankası'nın Bilgi Sistemleri Tebliği'ne gönderir. 4/C bir izin ve bir esaslar listesidir; o esasların hangi kuruluş için fiilen açıldığı sektör mevzuatına bağlıdır. İki düzenleyici bunu üç ay içinde, iki gün arayla yaptı.

Birinci kademe: 3 Eylül, SPK

III-42.1.b sayılı Tebliğ ile aracı kurumlar, portföy yönetim şirketleri ve kripto varlık hizmet sağlayıcıları için 8/A maddesi getirildi. Ayrıntısı önceki yazımızda. Bu yazı için önemli olan nokta, SPK'nın 4/C'yi kendi metnine taşırken bazı yerlerde daha ileri gitmiş olması: transferler yalnız SWIFT üzerinden yapılır, hesaba yalnız yurt dışındaki bir bankadaki kendi hesabından para gelir ve adres teyidi yapılmadan para ve kripto varlık transferinin yanı sıra sermaye piyasası araçlarının virmanı da yapılamaz. Yonga doğrulaması yapılamazsa iş ilişkisi kurulamaz kuralı ise 8/A'nın (a) bendinde aynen yer alır; bu kural SPK'nın icadı değil, 4/C'nin (b) bendinin tekrarıdır.

İkinci kademe: 4 Eylül, TCMB — iki metin birden

Merkez Bankası aynı gün iki düzenleme yayımladı ve ikisi de yayımı tarihinde yürürlüğe girdi.

Yönetmelik tarafı. Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik'in 41. maddesinin dördüncü fıkrasına bir ibare eklendi. Fıkranın ikinci cümlesi, uzaktan iletişim aracıyla müşterinin doğrulanmasına imkân verecek şekilde kurulacak çerçeve sözleşme kapsamında temin edilen bilgi ve belgelerin okunabilir ve doğrulanabilir olmasını esas tutar; değişiklik bu cümledeki doğrulamanın "biyometrik yöntemlerle veya elektronik kimlik doğrulama kabiliyetini haiz kimlik belgeleriyle" yapılacağını ekledi. Yönetmelik düzeyinde değişen tek şey budur; ayrıntı Tebliğ'de.

Tebliğ tarafı. Asıl ayrıntı, Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri Tebliği'nde. Değişikliğin omurgası 22. maddedir ve dört noktada toplanır.

Birincisi, yabancılar. 22. maddeye eklenen on altıncı fıkra, MASAK 4/C'yi ödeme alanına taşır: Türk uyruklu olmayan gerçek kişilerin kimlik tespiti, 4/C'deki esaslar dâhilinde, ICAO 9303 standardına uygun ve yakın alan iletişimi özelliği olan pasaportla uzaktan yapılabilir. SPK'dan farklı olarak Merkez Bankası süreci kendi içinde yeniden yazmamış, 4/C'nin esaslarına gönderme yapmakla yetinmiştir. Ödeme kuruluşunun yabancı müşteri için izleyeceği adımlar bu yüzden yukarıda özetlenen bentlerdir: eğitimli personelle görüntülü görüşme, yonga doğrulaması, üç ay içinde adres teyidi, teknik verilerin risk temelli değerlendirilmesi, yüksek risk grubunda izleme. Bunlar 22. maddenin kendi şartlarının yerine değil, yanına gelir; canlılık testi ve yüz karşılaştırması gibi birinci fıkra adımları yabancı müşteri için de geçerlidir.

İkincisi, biyometrik veri. 22. maddenin birinci fıkrası, Banka tarafından uygun bulunan merkezi bir yapının kullanılmaması durumunda kuruluşun izleyeceği yolu düzenler. Bu fıkranın giriş cümlesine, kullanılacak internet tabanlı yöntemlerin kişinin "biyometrik verilerinin doğrulanmasına imkân verecek" nitelikte olması eklendi. Tebliğ'in tanımlar maddesi biyometrik veriyi "Kimlik doğrulama işlemlerinin gerçekleştirilmesi esnasında kullanılan retina, iris, yüze ait karakteristik özellikler, ses ve parmak izi benzeri kişiye özgü ölçülebilir biyolojik veya davranışsal karakteristiği" olarak tanımlıyor. Aynı fıkranın (ç) bendi zaten biyometrik veri kullanımı için kişinin onayının ve açık rızasının kayıt altına alınmasını arıyordu; giriş cümlesindeki ekleme, bu rızanın konusunu sürecin zorunlu bir parçası hâline getiriyor.

Üçüncüsü, "kimlik belgesi" tanımı ve doğrulama sırası. Tebliğ'e yeni bir tanım eklendi: "Kimlik belgesi: … Türkiye Cumhuriyeti Kimlik Kartı Yönetmeliğinde tanımlanan kimlik kartını". Birinci fıkranın (a), (b) ve (c) bentleri bu tanım üzerinden yeniden yazıldı. (b) bendine göre kimlik belgesinin ve içindeki bilgilerin doğruluğu "esas olarak yakın alan iletişimi kullanılarak" kontrol edilir. (c) bendi ise yakın alan iletişimiyle doğrulamanın yapılamaması hâlini düzenler: optik karakter tanıma, kart okuyucu veya MASAK'ın görüşü alınarak Merkez Bankası tarafından belirlenen diğer yöntemlerden en az biri kullanılır ve MASAK Tebliği 19'da uygun görülen tür ve sayıdaki güvenlik unsurlarının testi yapılır.

Burada iki belge arasındaki fark görünür oluyor. (c) bendindeki alternatif yol, tanımı gereği Türk kimlik kartı içindir. Yabancı pasaportu için böyle bir alternatif ne 4/C'de ne SPK 8/A'da vardır: yonga okunamıyorsa süreç biter. Bu bir düzenleyici farkı değil, belge farkıdır; ödeme kuruluşu da yabancı müşteride 4/C'ye bağlı olduğundan aynı sonuca ulaşır.

Dördüncüsü, istisna. 22. maddenin üçüncü fıkrası yeniden yazıldı. Üç işlem grubu için, süreçte uzaktan iletişim aracı kullanılsa bile birinci fıkranın uygulanması zorunlu değildir: anonim ön ödemeli araçlar; 5549 sayılı Kanun ve ilgili mevzuat kapsamında kimlik tespiti yapılması zorunlu olmayan ve sürekli iş ilişkisi kapsamına girmeyen tek seferlik ödeme işlemleri; MASAK Genel Tebliği (Sıra No: 5)'nin 2.2.11 inci maddesinin birinci paragrafında belirtilen elektronik para ihracı ve ödeme işlemleri. İstisnanın sınırını ikinci gruptaki niteleme çizer: ancak suç gelirleri mevzuatının kimlik tespiti aramadığı tek seferlik işlem bu kapıdan geçer. Fıkra kimlik tespiti yükümlülüğünü kaldırmaz; yalnız bu Tebliğ'deki uzaktan süreç şartlarını o işlemler için zorunlu olmaktan çıkarır.

Güçlü kimlik doğrulama tarafında ne değişti

Tebliğ'in 10. maddesinin sekizinci fıkrası güçlü kimlik doğrulamayı düzenler. Değişiklikle fıkradaki "T.C. Kimlik Kartının" ibaresi "kimlik belgesinin" olarak değiştirildi; hüküm artık şöyle: kimlik belgesinin kart PIN'i veya biyometrik veri ile birlikte kullanılması ya da güvenli elektronik imzanın kullanılması hâlinde güçlü kimlik doğrulamanın gerekleri yerine getirilmiş sayılır. Aynı fıkra, cihaz üreticisinin kontrolündeki parola, PIN ya da biyometrik verilerin güçlü kimlik doğrulama unsuru olarak kullanılamayacağını korumaya devam ediyor.

Bu iki hüküm birbirine bağlanıyor: 22. maddenin on üçüncü fıkrasına göre maddedeki şartlarla uzaktan kimlik tespiti yapılmışsa, 10. madde kapsamındaki güçlü kimlik doğrulamanın gerekleri de yerine getirilmiş sayılır.

Kimi ilgilendiriyor, kimi ilgilendirmiyor

Tebliğ'in 31. maddesi kapsamı çizer. Bankalar, veri paylaşım servislerine ilişkin üçüncü bölüm ve 28. maddenin iki fıkrası dışında bu Tebliğ'e tabi değildir. Değişiklik ödeme kuruluşlarını, elektronik para kuruluşlarını ve PTT'yi ilgilendirir. Bankanın mobil uygulamasından hesap açan bir yabancı için bu metin uygulanmaz; bir ödeme kuruluşunun uygulamasından cüzdan açan yabancı için uygulanır.

Kural ayrıca müşteri değil kuruluş odaklıdır. 22. maddenin beşinci fıkrasına göre uzaktan yürütülen süreçlerde mevzuata uygun işlem tesis edildiğinin ispatı kuruluşa aittir. Onuncu fıkra daha da ileri gider: şartlara uyulmadığı durumlarda uzaktan sözleşme kurulamaz ve buna rağmen kurulan sözleşmelerde yetkilendirilmemiş, hatalı veya benzeri sorunlu işlemlerde tüm sorumluluk kuruluştadır. On birinci fıkra ise uzaktan kimlik tespitiyle kazanılan müşterinin farklı bir risk profilinde izlenmesini ve bu müşterilerce yapılan işlemlerin türüne ve tutarına bağlı olarak ilave güvenlik ve kontrol yöntemleri uygulanmasını öngörür. Uzaktan müşteri olan kişi, kapıdan girdikten sonra da diğer müşterilerle aynı koridorda yürümez.

Bu süreçte bilinmesi gerekenler

Kural üç kademede kuruldu ve her kademede sınır aynı: yakın alan iletişimi özellikli pasaport. Bu özelliği olmayan veya yongası okunamayan bir pasaport, ne sermaye piyasasında ne ödeme hizmetlerinde uzaktan kimlik tespiti için yeterlidir. Türk kimlik kartı için ödeme kuruluşları tarafında yonga okunamadığında alternatif yöntem tanınmıştır; pasaport için tanınmamıştır. Yabancı müşteri eğitimli personelle görüntülü görüşmeden geçer, adresi üç ay içinde teyit edilir ve yüksek risk grubunda izlenir. Biyometrik verinin kullanımı için onay ve açık rıza kayıt altına alınır. Uyuşmazlıkta ispat yükü kuruluştadır.