Aracı Kurumlar ve Portföy Yönetim Şirketleri Tarafından Kullanılacak Uzaktan Kimlik Tespiti Yöntemlerine ve Elektronik Ortamda Sözleşme İlişkisinin Kurulmasına İlişkin Tebliğ (Iıı-42.1)

(1) Uzaktan kimlik tespiti, bu Tebliğde belirtilen usul ve esaslar dâhilinde personel ile kişinin; fiziksel olarak aynı ortamda bulunmasına gerek olmadan, çevrim içi olarak görüntülü görüşmesi ve birbiriyle iletişim kurması ile yapılır.

(2) Uzaktan kimlik tespiti yöntemi bu Tebliğde belirtilen usul ve esaslar dâhilinde uygulanır. Uygulanacak yöntem, yüz yüze yapılan kimlik tespiti yöntemine benzer ve asgari seviyede risk ihtiva edecek şekilde tasarlanır.

(3) Kimlik tespiti sırasında kullanılacak belgelere, bu belgelerde var olan doğrulanabilir özelliklere ve doğrulamanın yapılması sırasında kullanılacak kriterlere ilişkin detaylı dokümanlar oluşturulur.

(4) Uzaktan kimlik tespitinde kullanılacak görüntülü görüşme yönteminde olası teknolojik, operasyonel ve benzeri riskler dikkate alınarak yeterli seviyede güvenlik önlemleri alınır.

(5) Uzaktan kimlik tespiti için kullanılacak süreçler ve sistemler yoluyla uzaktan kimlik tespiti işlemi, kritik işlem olarak değerlendirilir ve işlemin bilgi teknolojileri veya personel tarafından başlatılması, onaylanması ve tamamlanmasına imkân vermeyecek şekilde tasarlanır ve işletilir. Sürecin kişi tarafından başlatılması, bilgi teknolojileri tarafından uygulanan kontroller ile devam ettirilmesi ve personel tarafından yapılacak onaylama ve ek kontroller ile tamamlanması sağlanır. Personel tarafından yapılan kontrollerde işlemin riskli bulunması halinde işlem ikinci bir personele onaya gönderilir veya sonlandırılır.

(6) Uzaktan kimlik tespitine ilişkin kullanılacak sistemlerin edinimi, yönetimi ve kullanılmasında 17/12/2013 tarihli ve 28854 sayılı Resmî Gazete’de yayımlanan Yatırım Kuruluşlarının Kuruluş ve Faaliyet Esasları Hakkında Tebliğ III-39.1’in 50 nci maddesi ile 5/1/2018 tarihli ve 30292 sayılı Resmî Gazete’de yayımlanan Bilgi Sistemleri Yönetimi Tebliği (VII-128.9)’nin 18 inci maddesinde yer alan esaslara uyulur.

(7) Aracı kurum ve portföy yönetim şirketi tarafından uzaktan kimlik tespiti sürecinin uygulanmasından önce, iş akış prosedürü oluşturulur ve prosedürde belirlenen sürecin etkinliği test edilerek sonuçları yazılı hale getirilir. Test sonuçlarının başarılı bulunmaması durumunda prosedürde gerekli güncellemeler yapılır ve sürecin etkinliği ve yeterliliğinden emin olunmadıkça süreç uygulanmaz.

(8) Uzaktan kimlik tespiti prosedürü yılda en az iki defa gözden geçirilir. Güvenlik ihlallerinin tespit edilmesi veya gerçekleşmesi, ilgili mevzuatta değişiklik yapılması, aracı kurumun ve portföy yönetim şirketinin muhtemel dolandırıcılık veya sahtecilik teşkil edebilecek eylemlerden haberdar olması ve kullanılan uzaktan kimlik tespiti yöntemine ilişkin zayıflıkların ortaya çıkması gibi durumlarda teknolojik gelişmeler ve uygulamada kazanılan deneyimler dikkate alınarak sürecin ayrıca gözden geçirilmesi sağlanır ve gerekli güncellemeler yapılır.

(1) Uzaktan kimlik tespitinin görüntülü görüşme aşaması bu konuda eğitim almış personel tarafından gerçekleştirilir.

(2) Personelin, kimlik tespitinde kullanılabilecek belgelerin özelliklerini ve bu belgeler için uygulanan geçerli doğrulama yöntemlerini öğrenmesi ve dolandırıcılık veya sahtecilik teşkil edebilecek eylemlere, bu Tebliğde ve ilgili diğer mevzuatta yer alan yükümlülüklere ilişkin bilgi sahibi olması sağlanır.

(3) Personelin, uzaktan kimlik tespiti sürecine ilişkin yılda en az bir defa ve her bir güncelleme sonrasında kişisel verilerin korunması mevzuatı da dâhil olmak üzere eğitim alması sağlanır.

(4) Personelin, kişinin aracı kurum veya portföy yönetim şirketi müşterisi olma veya hizmet ve faaliyetlerinden yararlanma isteğini aracı kurumdan veya portföy yönetim şirketinden kendi iradesiyle talep ettiğine şüphe bırakmayacak şekilde karar verebilmesi konusunda eğitim alması sağlanır.

(5) Uzaktan kimlik tespiti sürecinde personelin, yaşanabilecek güvenlik zafiyetlerinin ya da suistimallerin engellenmesine yönelik gerekli tedbirlerin alındığı, erişimi sınırlandırılmış ayrı alanlarda çalışması sağlanır.

(6) Kişiye güven açısından personelin aracı kurum veya portföy yönetim şirketi adına çalıştığını yansıtacak şekilde uygun bir ortam oluşturulması veya yöntemler kullanılması sağlanır.

(7) Aracı kurum veya portföy yönetim şirketi tarafından engelli kişilere hizmet verebilmek amacıyla gerekli önlemler alınır.

(1) Uzaktan kimlik tespiti sürecinde görüntülü görüşme başlamadan önce kişinin başvurusu uzaktan kimlik tespiti sürecinin işletildiği aracı kurum veya portföy yönetim şirketi uygulaması üzerinden elektronik ortamda doldurulan bir form ile alınır, alınan veriler kullanılarak kişi hakkında risk değerlendirmesi gerçekleştirilir. Alınan formda asgari olarak 30/4/2021 tarihli ve 31470 sayılı Resmî Gazete’de yayımlanan Mali Suçları Araştırma Kurulu Genel Tebliği (Sıra No: 19)’nin 6 ncı maddesinin birinci fıkrasında yer alan bilgilere yer verilir. Risk değerlendirmesi sonucunda gerekiyorsa görüntülü görüşme başlatılmadan süreç sonlandırılır.

(2) Bu Tebliğ kapsamında uygulanacak uzaktan kimlik tespiti sürecinde, kişinin uzaktan kimlik tespitinin yapılması amacıyla özel nitelikli kişisel verilerden sadece biyometrik verisi kullanılabilir ve kişinin buna dair açık rızası elektronik ortamda kayıt altına alınır.

(3) Personele uzaktan kimlik tespiti işlemleri atanırken belirli bir kişinin belirli bir personele atanması gibi önceden tahmin edilebilir durumlardan kaynaklı suistimal olasılığını azaltmak için gerekli mekanizmalar tesis edilir.

(4) Kişi ile yapılan görüntülü görüşmede personelin soracağı asgari sorular belirlenir ve sorulan soruların sırası ve/veya türü değişkenlik arz eder.

(5) Uzaktan kimlik tespitinin görüntülü görüşme aşaması gerçek zamanlı ve kesintisiz şekilde yapılır. Personel ile kişi arasındaki görsel-işitsel iletişimin bütünlüğünün ve gizliliğinin yeterli seviyede olması sağlanır. Bu amaçla, yapılan görüntülü görüşme uçtan uca güvenli iletişim ile gerçekleştirilir.

(6) Gerçekleşen iletişimin görüntü ve ses kalitesinin, bu Tebliğde yer alan hükümler ve kontroller çerçevesinde şüpheye yer bırakmayacak ve kimlik tespitinde herhangi bir kısıtlamaya imkân vermeyecek şekilde tüm görüşme esnasında yeterli seviyede olması sağlanır. Görüntü kalitesinin, sunulan belgeyi beyaz ışık altında görsel olarak doğrulayabilmeye ve sunulan belgenin yıpranmamış ya da tahrif edilmemiş olduğunu kontrol edebilmeye yönelik güvenlik ögelerinin incelenmesine olanak tanıması gerekir.

(7) Uzaktan kimlik tespiti sürecinde kişiye yalnızca yapılan kimlik tespiti işlemi için geçerli, merkezi olarak üretilen SMS OTP iletilir. İletilen SMS OTP’nin kişi tarafından çevrim içi olarak uygulama ara yüzü üzerinden geri gönderilmesi sağlanır. Sistemde bu SMS OTP’nin başarılı şekilde onaylanması durumunda kişinin cep telefonu numarası doğrulanmış olur.

(8) Uzaktan kimlik tespiti ile sürekli iş ilişkisi tesisinde, müşteri ve hizmet riski ile 10/12/2007 tarihli ve 2007/13012 sayılı Bakanlar Kurulu Kararı ile yürürlüğe konulan Suç Gelirlerinin Aklanmasının ve Terörün Finansmanının Önlenmesine Dair Tedbirler Hakkında Yönetmeliğin 18 inci ve 20 nci maddelerinde yer alan tedbirler göz önünde bulundurulur. Bu kapsamda tesis edilen iş ilişkisi hakkında risk temelli yaklaşımla sıkılaştırılmış tedbirler uygulanır. Risk temelli yaklaşımla sıkılaştırılmış tedbirlerin uygulanmasında Mali Suçları Araştırma Kurulu Genel Tebliği (Sıra No: 19)’nin 6 ncı maddesi hükümleri dikkate alınır.

(1) Görüntülü görüşme ile uzaktan kimlik tespiti sürecinde beyaz ışık altında görsel olarak ayırt edilebilen güvenlik ögelerine, fotoğraf ve imzaya sahip olan kimlik belgesi kullanılır.

(2) Yakın alan iletişimi kullanılarak kimlik belgesinin yongası üzerinde yer alan kimlik bilgilerinin doğrulanması, kimlik belgesinden kişinin kimliğinin tespit edilmesi için gereken eşleşmenin sağlandığı anlamına gelir. Söz konusu doğrulama;

a) Kullanılan kimlik belgesinin, belgeyi çıkaran yetkili makam tarafından verildiği ve belgenin temassız yongası üzerindeki bilgilerin değiştirilmediği,

b) Kimlik belgesinin temassız yongası üzerindeki anahtarların kopyalanarak oluşturulmadığı,

kontrol edilerek yapılır.

(3) Yakın alan iletişimi kullanılarak ikinci fıkrada geçen doğrulamanın herhangi bir nedenle yapılamaması halinde görüntülü görüşme ile uzaktan kimlik tespiti sürecinde; beyaz ışık altında görsel olarak ayırt edilebilen güvenlik ögelerine, fotoğraf ve imzaya sahip olan kimlik belgesinin sahip olduğu görsel güvenlik unsurlarından seçilen en az dört adedinin şekil ve içerik bakımından doğrulanması sağlanır. Sadece görsel güvenlik unsurlarının doğrulanması suretiyle yapılan kimlik tespitinde ilave olarak kişi ile sürekli iş ilişkisi tesisi öncesinde ilk finansal hareketin, müşterinin tanınmasına ilişkin esasların uygulandığı bir başka finansal kuruluş üzerinden yapılması zorunludur.

(4) Görsel güvenlik unsurlarının doğrulanması suretiyle yapılan kimlik tespiti esnasında kişinin, kimlik belgesini kameranın önünde yatay veya dikey olarak eğmesi ve personelin vereceği talimata göre ilave hareketler yapması sağlanır. Bu amaçla kişiden, kimlik belgesinin güvenlikle ilgili kısımlarından sistem tarafından değişken ve rastgele şekilde belirlenen kısımlarına parmağını koyması istenir.

(5) Personel, görüntülü görüşme sürecinde kişiyi ve kişi tarafından sunulan kimlik belgesinin ön ve arka yüzü ile birlikte belgenin üzerindeki bilgileri gösteren fotoğraflar ve/veya ekran görüntüleri oluşturur.

(6) Personel, kişinin hareketlerinden alınan, kesilen ve büyütülen tekil görselleri kullanarak, beyaz ışık altında görsel olarak ayırt edilebilen tüm güvenlik ögeleri ile birlikte kimlik belgesinin doğru açıyla tam olarak kapsandığından ve kimlik belgesinin üzerindeki kısımlar arasındaki geçiş noktalarında tahrifatı gösteren hiçbir yapaylık bulunmadığından emin olur.

(7) Sunulan kimlik belgesinde bulunan veri ve bilgilerin geçerliliği ve gerçekliğine ilişkin doğrulama, görüntülü görüşme ile uzaktan kimlik tespiti sürecinin bir parçası olarak gerçekleştirilir. Bu kapsamda asgari olarak;

a) Kimlik belgesinde bulunması gereken karakterlerin yazı tipi, düzeni, sayısı, büyüklüğü, aralığı ve tipografisi gibi belgeyi çıkaran yetkili makamca tanımlanan özelliklere sahip olduğu,

b) Kimlik belgesinin zarar görmemiş, tahrif edilmemiş, değiştirilmemiş ve özellikle üzerine sonradan fotoğraf yapıştırılmamış olduğu,

c) Kimlik belgesi geçerlilik süresinin söz konusu kimlik belgesinin sahip olduğu standartlara aykırı olmadığı,

ç) Kimlik belgesinin MRZ’sinde yer alan bilgiler ile kimlik belgesine ait bilgilerin uyuştuğu,

d) Kişiye ilişkin kimlik belgesinde yer alan bilgilerin aracı kurum veya portföy yönetim şirketi tarafından bilinen, Kimlik Paylaşımı Sisteminden alınan ve varsa kimlik tespiti yapmak amacıyla aracı kurumun veya portföy yönetim şirketinin erişimine açık olan diğer bilgiler ile eşleştiği,

e) Kişiye görüntülü görüşme sırasında kimlik belgesinde yer alan seri numarası okutularak,

doğrulanır.

(1) Uzaktan kimlik tespitinin görüntülü görüşme aşamasında kişinin canlılığını tespit edici yöntemler kullanılır. Aracı kurum veya portföy yönetim şirketi sahte yüz teknolojisine dair riskleri önlemeye yönelik ilave tedbirler alır.

(2) Uzaktan kimlik tespiti sürecinde, kişinin yüzü ile kimlik belgesinden yakın alan iletişimi kullanılarak alınabilmesi halinde temassız yongadaki fotoğrafın, alınamaması halinde ise kimlik belgesi üzerinde yer alan fotoğrafın biyometrik karşılaştırması yapılır.

(3) Personel, kişi ile kuracağı diyalog ve yapacağı gözlemler yardımıyla kimlik avı, sosyal mühendislik, başka bir tarafın zorlamasıyla baskı altında gerçekleşen hareketler ve benzeri dolandırıcılık yöntemlerini göz önüne alarak kullanılan kimlik belgesindeki fotoğrafın ve kişisel bilgilerin kişi ile uyuştuğundan ve kimlik belgesindeki bilgilerin, görüşme esnasında kişi tarafından sağlanan bilgilerin ve belirtilen niyetin inandırıcı ve yeterli olduğundan emin olur.

(4) Uzaktan kimlik tespitinin görüntülü görüşme aşamasının sonunda kişiye, belirlenmiş olması halinde verilecek hizmet ve faaliyetlerin belirtilmesi ve kişiden aracı kurum veya portföy yönetim şirketi müşterisi olacağının kabulüne ilişkin sözlü onay alınması ile süreç tamamlanmış olur.

(1) Zayıf ışık koşulları, düşük görüntü kalitesi ya da iletimi ve benzeri durumlar nedeniyle bu Tebliğde belirtildiği şekilde görsel doğrulama yapmanın ve/veya kişi ile sözlü iletişim kurmanın mümkün olmadığı hallerde uzaktan kimlik tespitinin görüntülü görüşme aşaması sonlandırılır. Süreçte herhangi başka bir tutarsızlık veya belirsizlik bulunması durumunda da bu hüküm uygulanır.

(2) Uzaktan kimlik tespitinin görüntülü görüşme aşamasında kişi tarafından sunulan belgelerin geçerliliği hususunda ya da dolandırıcılık veya sahtecilik teşebbüsünden şüphe edilmesi durumunda, uzaktan kimlik tespiti süreci sonlandırılır.

(1) Uzaktan kimlik tespiti sürecinin tamamı, sürecin tüm adımlarını içerecek ve denetlenebilir olmasını sağlayacak şekilde kayıt altına alınır ve saklanır. Bilgi ve belge saklama gereklilikleri Belge Kayıt Tebliğinde yer alan bilgi ve belge saklama ile ilgili hükümleri aynen saklı kalmak koşuluyla uygulanır.

(1) Uzaktan kimlik tespiti için kullanılan çözümlerin kişiyi yanlış tespit riskini en aza indirecek şekilde kullanılmasını sağlamak aracı kurumun veya portföy yönetim şirketinin sorumluluğundadır. Aracı Kurum veya portföy yönetim şirketi uzaktan kimlik tespiti ile kimlik tespiti yaptığı kişileri farklı bir risk profilinde izler. Bu kişilerce yapılan işlemin türüne ve tutarına bağlı olarak ilave güvenlik ve kontrol yöntemleri uygulanır. Kişilere ya da üçüncü bir tarafa yükümlülük doğuran işlemlerde itiraz halinde ispat yükümlülüğü aracı kurum veya portföy yönetim şirketindedir.

(2) Aracı Kurumun veya portföy yönetim şirketinin bu Tebliğde yer alan hükümlere uyum durumu, şikâyetler ile sahtecilik veya dolandırıcılık teşkil edebilecek eylemlerin değerlendirilmesi neticesinde ve gerekli görülen diğer hallerde uzaktan kimlik tespiti kullanımını kısıtlamaya veya durdurmaya Kurul yetkilidir.

(1) Bu Tebliğde yer alan şartlar dâhilinde uzaktan veya yüz yüze kimlik tespitinin yapılmasını müteakiben, müşterilerce gerçekleştirilmek istenen işlemlere yönelik olarak sözleşme ilişkisinin mesafeli olarak kurulabilmesi için, müşterinin sözleşmeyi kuran irade beyanının elektronik ortamda Belge Kayıt Tebliğinin 5/A maddesinin birinci fıkrasına uygun olarak gerçekleştirilmiş bir kimlik doğrulama sonrasında alınması şarttır.

(2) Mesafeli olarak sözleşme kurulmasına ilişkin müşteri irade beyanının, bu Tebliğde yer alan şartlar dâhilinde gerçekleştirilen uzaktan kimlik tespiti görüşmesi esnasında veya kimlik tespitini müteakip görüşme sonlandırılmadan önce alınması durumunda, kimlik doğrulamaya ilişkin Belge Kayıt Tebliğinin 5/A maddesinin birinci fıkrasının gerekleri yerine getirilmiş sayılır.

(3) Bu Tebliğde yer alan usul ve esaslar dâhilinde uzaktan kimlik tespitinin yapılmasını müteakiben mesafeli olsun olmasın, müşterilerce gerçekleştirilmek istenen işlemlere yönelik olarak bir bilişim veya haberleşme cihazı üzerinden yazılı şeklin yerine geçecek nitelikte bir sözleşme ilişkisi kurulmak istenmesi halinde;

a) Söz konusu sözleşmenin bütün şartlarının, müşterinin okuyabileceği şekilde elektronik ortamda müşteriye iletilmesi,

b) (a) bendine göre müşteriye iletilen sözleşme ve bu sözleşme ile birlikte müşterinin sözleşmeyi kuran irade beyanının, Belge Kayıt Tebliğinin 5/A maddesinin ikinci ve üçüncü fıkralarında belirtilen müşteriye özgü şifreleme gizli anahtarı ile imzalanarak aracı kuruma veya portföy yönetim şirketine iletilmesi,

c) (a) bendine göre iletilen sözleşmede müşteriye sözleşme içeriği olarak hangi bilgiler gösterilmiş ise (b) bendine göre müşteri tarafından yalnızca o bilgilerin imzalanmasının sağlanması,

şarttır.

(4) Müşteriye sunulacak yatırım hizmet ve faaliyetlerine yönelik olarak aracı kurum ile müşteri arasındaki ilişkileri düzenleyen teminat, kefalet, temlik gibi sözleşmeler de dâhil olmak üzere her türlü sözleşmenin, üçüncü fıkraya uygun olarak kurulması halinde, bu sözleşmeler yazılı şekilde kurulmuş sayılır. Portföy yönetim şirketi ile müşteriler arasında imzalanan sözleşmeler bakımından da bu fıkra hükmü geçerlidir.

(1) Kurul, uzaktan kimlik tespiti sürecinin yürütülmesinde kullanılmak üzere oluşturulacak uygulamaların merkezi bir yapı üzerinden sağlanmasına yönelik usul ve esaslar belirlemeye yetkilidir.

(1) Bu Tebliğ yayımı tarihinden bir ay sonra yürürlüğe girer.

(1) Bu Tebliğ hükümlerini Sermaye Piyasası Kurulu yürütür.