Elektronik Haberleşme Sektöründe Başvuru Sahibinin Kimliğinin Doğrulanma Süreci Hakkında Yönetmelik

(1) Bu Yönetmeliğin uygulanmasında;

a) Başvuru sahibinin bu Yönetmelikte tanımlı işlemlerinin güvenli ve etkin yöntemlerle yapılmasının sağlanması,

b) Sahtecilik, dolandırıcılık gibi güvenlik riski içeren şüpheli işlemlerin önlenmesi,

c) Ulusal ve uluslararası standartların dikkate alınması,

ç) Azami ölçüde milli kaynakların kullanılması,

d) Milli güvenlik ve kamu düzeni gerekleri ile acil durum ihtiyaçlarının gözetilmesi,

e) Tüketici hak ve menfaatlerinin gözetilmesi,

ilkeleri dikkate alınır.

(1) İşletmeci/hizmet sağlayıcı, bu Yönetmelik kapsamındaki işlemleri yüz yüze kanallardan, kendi internet sitesinden, mobil uygulamalardan veya benzeri mecralar üzerinden elektronik ortamda güvenli bir şekilde başvuru sahibine sunabilir.

(2) Başvuru sahibinin kimlik doğrulama işlemi bu Yönetmeliğe uygun olarak;

a) e-Devlet Kapısı,

b) ICAO 9303 standardına uygun yakın alan iletişimi özelliği olan belge ile birlikte yapay zekâ veya yetkili marifetiyle görüntülü doğrulama,

c) TCKK ile birlikte PAdES oluşturma,

ç ) Yüz yüze kanallarda başvuru sahibinin kimlik belgesi ile birlikte işleme özgülenecek video görüntüsü alma,

yöntemleri vasıtasıyla yapılabilir.

(3) İşletmeci/hizmet sağlayıcı, başvuru sahiplerinin kimlik doğrulama bilgilerinin bilgi sistemlerinde, şifreli veya matematiksel olarak geriye dönüştürülmesi mümkün olmayan yöntemlerle muhafaza edilmesine, kimlik doğrulama amacıyla aktarılırken şifrelenmesine, işlemin amacına, yetkisiz erişimlere veya görevler ayrılığı prensibine aykırı olarak kontrolsüz bir şekilde gerçekleştirilecek değişikliklere karşı korunmasına ve bilgi sistemlerinde gerçekleştirilen tüm süreçlere ilişkin işlem kayıtlarının gizliliği, güvenliği ile bütünlüğünün sağlanarak tutulmasına ilişkin önlemleri alır.

(1) Başvuru sahibinin kimlik doğrulamasının, e-Devlet Kapısı vasıtasıyla yapılması halinde başvuru sahibi, e-Devlet Kapısına;

a) Güvenli elektronik imza,

b) TCKK,

c) İnternet bankacılığı,

ç) Mobil bankacılık,

yöntemlerinden birisi ile giriş yapar.

(2) e-Devlet Kapısı tarafından e-Devlet Kapısına giriş yapan başvuru sahibine; işletmeci tarafından iletilen; KN, adı, soyadı, işlem türü, işlemi özgüleyen hizmet numarası ve işlem belgesinde ilgili mevzuat kapsamında yer alması gereken bilgiler, e-Devlet kapısı üzerinde kayıtlı başvuru sahibinin doğrulanmış irtibat numarası ve elektronik posta adresi gösterilerek, onayı alınır ve bahse konu bilgiler için başvuru sahibinin kimliğini doğruladığı bilgisi ve doğrulanmış irtibat numarası ve elektronik posta adresi işletmeciye/hizmet sağlayıcıya iletilir.

(3) e-Devlet Kapısı ve işletmeci/hizmet sağlayıcıda bulunan bilgilerde farklılık olması halinde e-Devlet Kapısı kayıtları esas alınır.

(4) e-Devlet Kapısı üzerinden kimlik doğrulama için, işletmeci/hizmet sağlayıcının e-Devlet Kapısına entegrasyonu Kurum vasıtası ile yapılabileceği gibi e-Devlet Kapısınca sunulan teknik imkanlar dahilinde olması halinde, işletmeci/hizmet sağlayıcı ile e-Devlet Kapısı arasında doğrudan entegrasyon ile de yapılabilir.

(1) Kimlik doğrulamada kullanılacak görüntülü yöntemde olası teknolojik, operasyonel ve benzeri riskler göz önünde bulundurularak gerekli güvenlik tedbirlerinin alınması işletmeci/hizmet sağlayıcı sorumluluğundadır.

(2) Görüntülü kimlik doğrulaması gerçek zamanlı ve kesintisiz şekilde yapılır. İşletmeci/hizmet sağlayıcı, kimlik doğrulama sürecine ilişkin görsel-işitsel iletişimin bütünlüğünün ve gizliliğinin sağlanması için gerekli tedbirleri alır. Bu amaçla, yapılan görüntülü doğrulama uçtan uca güvenli iletişim ile gerçekleştirilir.

(3) Kimlik doğrulamanın görüntülü yapılması durumunda öncelikle başvuru sahibi irtibat numarası veya elektronik posta adresini beyan eder. Bu numara veya elektronik posta adresine tek kullanımlık parola veya link gönderilerek, beyan edilen iletişim bilgisinin kullanıldığı teyit edilir.

(4) Başvuru sahibinin, 24/3/2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında açık rızası olmaksızın görüntülü kimlik doğrulaması yapılamaz. Görüntülü kimlik doğrulaması yapılmadan önce aydınlatma yükümlülüğü, 6698 sayılı Kanunun ilgili hükümlerine riayet edilerek ve açık rıza alınması işleminden ayrı bir şekilde yerine getirilir. Başvuru sahibinin açık rızası alınırken e-Devlet Kapısı veya yüz yüze kanallar vasıtasıyla da elektronik ortamda kimlik doğrulama işlemi yapılabileceği açıkça belirtilir.

(5) Başvuru sahibinin kimlik belgesinin üzerindeki fotoğraf da dâhil olmak üzere kimlik bilgileri, Ek-1’de tanımlanan yakın alan iletişimi yöntemiyle alınır.

(6) Başvuru sahibi tarafından sunulan kimlik belgesinde bulunan veri ve bilgilerin geçerliliği ve gerçekliğine ilişkin doğrulama, görüntülü kimlik doğrulama sürecinin bir parçası olarak gerçekleştirilir. İşletmeci/hizmet sağlayıcı bu kapsamda asgari olarak; kimlik belgesi geçerlilik süresinin bu türden kimlik belgelerinin sahip olduğu standartlara aykırı olmadığını, kimlik belgesinin yakın alan iletişimi yongasında, MRZ’sinde ve sair basılı alanlarında yer alan fotoğraf da dâhil bilgilerin tutarlı ve geçerli olduğunu doğrular ve İçişleri Bakanlığı Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü kimlik paylaşımı sisteminden imkân tanınanları teyit eder.

(7) Görüntülü kimlik doğrulama sırasında başvuru sahibinin canlılığını tespit edici teknikler kullanılır. Kimlik ibraz eden başvuru sahibinin hazırda bulunduğunun teyidi amacıyla, başvuru sahibinin yüzünün, tam ve net olarak görülebileceği aydınlık ortamda, gözlerinin açık olduğu şekilde farklı açılardan kamera görüntüsü alınır. İşletmeci/hizmet sağlayıcı hazırda bulunan başvuru sahibinin alınan canlı görüntüsündeki yüzü ile kimlik belgesinde yer alan fotoğrafın karşılaştırmasını yapay zekâ yöntemi ile Ek-2’de yer alan kriterlere uygun olarak veya işletmeci/hizmet sağlayıcı yetkilisi marifetiyle Ek-3’te yer alan kriterlere uygun olarak yapar.

(8) Görüntülü kimlik doğrulama sırasında başvuru sahibinin, oluşacak olan işlem belgesine özgülenmek üzere “Ben <ad-soyad> olarak <işlem yapılan hizmet numarası> numaralı hizmetin <işlem türü> işlemi için kimliğimin doğrulanmasını <gg.aa.yyyy ss:dd> itibarıyla onaylıyorum” ifadesini kesintisiz bir şekilde okuması sağlanır.

(9) Görüntülü kimlik doğrulama sırasında başvuru sahibi tarafından sunulan belgelerin geçerliliği hususunda ya da sahtecilik veya dolandırıcılık teşebbüsünden şüphe edilmesi durumunda, görüntülü kimlik doğrulama süreci sonlandırılır. Bu kapsamda kimlik avına ve benzeri sahtekârlık yöntemlerinin önlenmesine ilişkin gerekli tüm tedbirler işletmeci/hizmet sağlayıcı tarafından alınır.

(10) Zayıf ışık koşulları, düşük görüntü kalitesi ya da iletimi ve benzeri durumlar nedeniyle bu Yönetmelikte belirtildiği şekilde görsel doğrulama yapmanın ve/veya başvuru sahibi ile iletişim kurmanın mümkün olmadığı hallerde kimlik doğrulama süreci iptal edilir. Süreçte herhangi başka bir tutarsızlık veya belirsizlik bulunması durumunda da bu fıkra hükümleri uygulanır.

(11) Kimlik doğrulama işlemlerinde başvuru sahibinin doğru tespit edilmesi işletmecinin/hizmet sağlayıcının sorumluluğundadır.

(1) Bu Yönetmelik kapsamındaki işlemlerin işletmeci/hizmet sağlayıcı veya adına iş yapan temsilcisi ile başvuru sahibi arasında yüz yüze kanallarda elektronik ortamda gerçekleştirilmesi halinde 6 ncı ve 7 nci maddelerdeki yöntemlere alternatif olarak başvuru sahibinin TCKK’si ile Ek-4’te belirtilen usule uygun olarak 9 uncu maddenin birinci fıkrası kapsamındaki PDF ile PAdES-LTV oluşturmak suretiyle kimlik doğrulanabilir.

(2) Birinci fıkraya alternatif olarak; başvuru sahibinin kimlik belgesi ile birlikte işleme özgülenecek video görüntüsü alınarak kimlik doğrulanabilir. Bu durumda işletmeci/hizmet sağlayıcı;

a) İbraz edilen kimlik belgesinin türünün yakın alan iletişimine uygun olması halinde 7 nci maddenin beşinci ve altıncı fıkralarında yer alan süreci işletir.

b) İbraz edilen kimlik belgesinin türünün yakın alan iletişimine uygun olmaması halinde;

1) Kimlik belgesinde bulunması gereken karakterlerin yazı tipi, düzeni, sayısı, büyüklüğü, aralığı ve tipografisi gibi belgeyi çıkaran yetkili makamca tanımlanan özelliklere sahip olduğunu,

2) Kimlik belgesinin zarar görmemiş, tahrif edilmemiş, değiştirilmemiş ve özellikle üzerine sonradan fotoğraf yapıştırılmamış olduğunu,

3) Kimlik belgesi geçerlilik süresinin, söz konusu kimlik belgesinin sahip olduğu standartlara aykırı olmadığını,

4) Kimlik belgesinin MRZ’si var ise burada yer alan bilgiler ile kimlik belgesi ve işleme konu verilerin uyumlu olduğunu,

teyit eder.

c) Kimlik belgesindeki bilgileri İçişleri Bakanlığı Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü kimlik paylaşımı sisteminden imkân tanınanları teyit eder.

ç) Başvuru sahibinin kişisel verilerinin işlenmesine dair 7 nci maddenin dördüncü fıkrasındaki işlemi uygular. Onay alması halinde, kameranın önünde başvuru sahibinin yüzü ile birlikte görünecek şekilde kimlik belgesinin ön ve arka tarafını göstermesini sağlar. Kullanılan kimlik belgesindeki fotoğrafın ve başvuru sahibinin yüzünün aynı kişiye ait olduğunu teyit eder.

d) Başvuru sahibine işlem belgesi gösterilerek, bu gösterime ilişkin ekran video görüntüsünü, başvurusu sahibinin yüzünün tanınır bir şekildeki görüntüsünü de içerecek şekilde eş zamanlı olarak kaydeder. Başvuru sahibinin bu video kaydında 7 nci maddenin sekizinci fıkrasındaki işlemi de uygular. Bu video kaydını işlem belgesinin PDF’si içerisine derceder. Bu fıkra kapsamında; yapılan işlemlerde, işletmeci/hizmet sağlayıcı, başvuru sahibine ait iki boyutlu bir figür gibi statik veriler haricinde; basınç, ivme ve benzeri nitelikleri haiz biyometrik verileri elektronik ortamda alamaz ve bu fıkra kapsamında yapılan işlemler için ayrıca 7 nci maddenin birinci, ikinci, dokuzuncu, onuncu ve on birinci fıkraları da uygulanır.

(3) Kimlik doğrulamanın yüz yüze yapılması durumunda öncelikle başvuru sahibi irtibat numarası veya elektronik posta adresini beyan eder. Bu numara veya elektronik posta adresine tek kullanımlık parola veya link gönderilerek, beyan edilen iletişim bilgisinin kullanıldığı teyit edilir.

(1) Bu Yönetmelik kapsamındaki tüm usuller için bu maddedeki işlemler yürütülür. İşletmeci/hizmet sağlayıcı, kimlik doğrulaması yapılan işlem belgesinin tanzimine dair ilgili mevzuatta yer alan yükümlülükleri yerine getirir ve bu Yönetmelik kapsamındaki kimlik doğrulamaya ilişkin sürecin tüm adımlarını içerecek şekilde elde ettiği bilgiler ile birlikte sair mevzuatla belirlenmiş diğer bilgileri işlem belgesine dercederek PDF dosyasını oluşturur, başvuru sahibinin bu PDF için onayını alır. Başvuru sahibine ait görüntülü kayıt dosyalarının 10 megabyte’dan büyük olması durumunda bu dosyaların, asıllarının muhafaza yükümlülükleri saklı kalmak kaydıyla, PDF’de özet değerleri yer alabilir.

(2) Oluşturulan PDF’in veri bütünlüğü, işletmeci/hizmet sağlayıcı adına iş yapan temsilcisinin;

a) Kurum tarafından belirlenen Nitelikli Elektronik Sertifika, SİL ve OCSP İstek/Cevap Mesajları Profillerindeki “OrganisationName” alanına, işletmeci/hizmet sağlayıcının açık adı yazılarak üretilen Nitelikli Elektronik Sertifikası ile veya

b) Ek-4’te belirlenen yöntemdeki TCKK sertifikası ile

zaman damgası da kullanılarak PAdES-LTV formatında işletmeci/hizmet sağlayıcı tarafından sağlanır.

(3) İşletmeci/hizmet sağlayıcı PAdES-LTV formatındaki işlem belgesini, çoklu ortam mesaj hizmeti kullanılarak görüntülü mesaj ile, elektronik posta yöntemiyle ya da asgari elli adet rassal karakter içeren ve işletmeci internet adresi altında yer alan tek biçimli kaynak bulucusunu (URL) kısa mesaj içinde başvuru sahibine gönderir. İşletmeci işlem belgesini ilgili mevzuat ile belirlenmiş süre boyunca muhafaza eder.

(4) Bu Yönetmelik kapsamında, yapılan tüm işlemler kayıt altına alınır ve elde edilen veriler yalnızca idari ve adli makamların süreçleri ile başvuru işlemi yapan başvuru sahibinin kimlik doğrulaması amacı için kullanılır.

(5) Bu Yönetmelik kapsamında kayıt altına alınan ve elde edilen veriler ilgili mevzuatta yer alan saklama süreleri boyunca saklanır.

(1) İşletmeciler/hizmet sağlayıcılar, bu Yönetmelik kapsamında elde ettiği bilgi, belge ve işlem kayıtlarının güvenliğini sağlamak için 5809 sayılı Kanuna, 6698 sayılı Kanuna, ulusal ve uluslararası standartlara uygun olarak gerekli her türlü teknik ve idari tedbirleri alır. Ayrıca;

a) İşletmeciler, 13/7/2014 tarihli ve 29059 sayılı Resmî Gazete’de yayımlanan Elektronik Haberleşme Sektöründe Şebeke ve Bilgi Güvenliği Yönetmeliğine,

b) Elektronik Sertifika Hizmet Sağlayıcıları, Elektronik İmza ile İlgili Süreçlere ve Teknik Kriterlere İlişkin Tebliğin 9 uncu maddesine,

c) Kayıtlı Elektronik Posta Hizmet Sağlayıcıları, 25/8/2011 tarihli ve 28036 sayılı Resmî Gazete’de yayımlanan Kayıtlı Elektronik Posta Sistemi ile İlgili Süreçlere ve Teknik Kriterlere İlişkin Tebliğin 8 inci maddesine,

uygun olarak gerekli her türlü teknik ve idari tedbirleri alır.

(2) 7 nci ve 8 inci maddeler ile Türk Standartları Enstitüsü tarafından yayımlanan TS 13678 Elektronik Kimlik Doğrulama Sistemi standardı hükümleri saklı kalmak kaydıyla; bu Yönetmelik kapsamındaki işlemler için işletmeci/hizmet sağlayıcı, elektronik kalem veya benzeri yöntemle kişilerin biyometrik verilerini elektronik ortamda alamaz.

(3) İşletmeci/hizmet sağlayıcı; sahtekârlık, kimlik tespiti yöntemine ilişkin zayıflıklar gibi durumlar için teknolojik gelişmeleri yakından takip ederek sürekli gerekli güncellemeler yapar.

(1) Bu Yönetmelik kapsamında işletmeci/hizmet sağlayıcı tarafından yapılan tüm işlemlerde ispat yükü işletmeci/hizmet sağlayıcıya aittir. Başvuru sahiplerine ya da üçüncü bir tarafa yükümlülük doğuran ve/veya cezaî sorumluluğa yol açan işlemlere ilişkin idari ve adli süreçlerde itiraz halinde ispat yükü işletmecide/hizmet sağlayıcıdadır.

(1) Bu Yönetmelik ile belirlenen yükümlülüklerin yerine getirilmemesi halinde, 5070 sayılı Kanunun 18 inci ve 19 uncu maddeleri ile 15/2/2014 tarihli ve 28914 sayılı Resmî Gazete’de yayımlanan Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği hükümleri uygulanır.

(1) Kurum tarafından gerekli görülmesi halinde bu Yönetmeliğin uygulanmasına ilişkin olarak düzenleme yapılabilir.

(1) Islak imza veya güvenli elektronik imza ile imzalanan belgeler hariç olmak üzere; bu Yönetmeliğin yürürlüğe girdiği tarihten önce yapılmış olan;

a) Abonelik sözleşmeleri,

b) Numara taşıma başvurusu,

c) İşletmeci/hizmet sağlayıcı değişikliği başvurusu,

ç) Nitelikli elektronik sertifika başvurusu,

d) Kayıtlı elektronik posta başvurusu,

e) SIM değişikliği başvurusu,

işlemleri için oluşturulan elektronik kalem marifetiyle elde edilen basınç, ivme ve benzeri nitelikleri haiz kişisel verileri içeren elektronik belgelere ilişkin olarak, zaman damgası ile belge tanzim tarihinin ispat yükü ve işlem belgesi tarafı ya da üçüncü bir kişiye yükümlülük doğuran ve/veya cezaî sorumluluğa yol açan işlemlere ilişkin idari ve adli süreçlerde itiraz halinde ispat yükü işletmeci/hizmet sağlayıcıdadır. Bu verilere ait üç boyutlu imza deseninin yeniden kullanılmaması için işletmeci/hizmet sağlayıcı gerekli tedbirleri alır.

(2) Birinci fıkra kapsamındaki belgeler için işletmeci/hizmet sağlayıcı bu Yönetmeliğin yürürlüğe girdiği tarihi takip eden üç ay içinde; işlem belgesi tarafına ait KN bilgisi ve son yedi karakterinin üçü maskelenmiş olan telefon, hizmet veya nitelikli elektronik sertifika numarası ya da kayıtlı elektronik posta adresi bilgisini mobil elektronik haberleşme işletmecilerine ve e-Devlet Kapısının sunmuş olduğu bilgilendirme sistemine iletir. Bu iletim;

a) Mobil elektronik haberleşme işletmecileri tarafından ilgili KN’ye kayıtlı tüm mobil numaralara başlığında birinci fıkra kapsamındaki işlemi yapan işletmeci/hizmet sağlayıcı adının yer aldığı kısa mesaj ile,

b) e-Devlet Kapısının sunmuş olduğu bilgilendirme sistemi kullanılarak ilgili KN’ye tanımlı elektronik posta adreslerine ve e-devlet Kapısı mobil uygulamasına sahip kullanıcılara bu uygulama üzerinden anlık ileti ile,

“XXX**XX kimlik numarası ile elektronik ortamda düzenlenen [gg.aa.yy] tarihli [birinci fıkra kapsamındaki işlem belgeleri]ne [işletmeci/hizmet sağlayıcı çevrim içi işlem merkezi/elektronikislembelgeleri] adresinden erişebilirsiniz. Rızanız/bilginiz dışında işlem belgeleri var ise [işletmeci/hizmet sağlayıcı] ile iletişime geçiniz.” şeklinde bilgilendirme yapılması sağlanır.

(3) Bu madde kapsamındaki ilgili işlem belgelerine itiraz edilmesi halinde işletmeci/hizmet sağlayıcı tarafından rıza/bilgi dışı yapılan işlemlerde yürütülen süreç işletilir.

(1) Bu Yönetmelik (Değişik ibare:RG-31/12/2021-31706 6.Mükerrer) 1/3/2022 tarihinde yürürlüğe girer.

(1) Bu Yönetmelik hükümlerini Bilgi Teknolojileri ve İletişim Kurulu Başkanı yürütür.

Ekleri için tıklayınız