Digital Onboarding’de Yeni Halka: Türk Uyruklu Olmayan Gerçek Kişiler İçin Pasaportla Uzaktan Kimlik Tespiti

Ülkemizde uzaktan müşteri edinimi (digital onboarding) uygulamaları, 2020 yılından bu yana finansal hizmetlerde dijitalleşmenin en önemli düzenleme başlıklarından biri olmayı sürdürmektedir. Finansal kuruluşlar ile müşteriler arasında ilk defa sözleşme ilişkisi kurulurken yüz yüze gelme ihtiyacını ortadan kaldıran, müşteri kimliğinin elektronik ortamda doğrulanmasına ve sözleşme ilişkisinin dijital kanallar üzerinden kurulmasına imkân sağlayan bu düzenlemeler; finansal kapsayıcılık, müşteri deneyimi, operasyonel verimlilik, rekabet ve inovasyon bakımından finansal sektörün dönüşümünde kritik bir rol oynamaktadır.

Hatırlanacağı üzere, 26 Haziran 2020 tarihinde yayımlanan 7247 sayılı Kanun ile bankacılık işlemleri, banka kartları ve kredi kartları, sermaye piyasası işlemleri, ödeme hizmetleri, finansal kiralama, faktoring ve finansman sözleşmeleri bakımından uzaktan iletişim araçlarıyla sözleşme kurulmasının yasal altyapısı oluşturulmuştu. Ardından Bankacılık Düzenleme ve Denetleme Kurumu (BDDK), Türkiye Cumhuriyet Merkez Bankası (TCMB), Sermaye Piyasası Kurulu (SPK) ve Mali Suçları Araştırma Kurulu Başkanlığı (MASAK) tarafından yayımlanan ikincil düzenlemelerle uzaktan kimlik tespiti ve elektronik ortamda sözleşme ilişkisinin kurulmasına dair usul ve esaslar aşamalı olarak belirlenmişti.

Bu kapsamda 30 Nisan 2021 tarihli ve 31470 sayılı Resmî Gazete’de yayımlanan Mali Suçları Araştırma Kurulu Genel Tebliği (Sıra No: 19) ile MASAK mevzuatına tabi yükümlüler bakımından uzaktan kimlik tespitine ilişkin genel çerçeve çizilmiş; başlangıçta uzaktan kimlik tespiti esasen Türk uyruklu gerçek kişiler, gerçek kişi tacirler ve Türkiye Cumhuriyeti kimlik kartı üzerinden yürüyen bir model olarak kurgulanmıştı. Zaman içerisinde YUVAM hesapları, banka dışı mali kuruluşlar, ödeme ve elektronik para kuruluşları, aracı kurumlar, portföy yönetim şirketleri ve ticaret siciline kayıtlı tüzel kişiler bakımından yapılan düzenlemelerle uzaktan müşteri edinimi uygulamalarının kapsamı genişlemişti.

Bu defa 27 Haziran 2026 tarihli ve 33293 sayılı Resmî Gazete’de yayımlanan Mali Suçları Araştırma Kurulu Genel Tebliği (Sıra No: 19)’nde Değişiklik Yapılmasına Dair Tebliğ (Sıra No: 32) ile digital onboarding uygulamaları bakımından önemli bir adım daha atılmıştır. Söz konusu Tebliğ değişikliğiyle, Türk uyruklu olmayan gerçek kişilerin pasaport kullanılmak suretiyle uzaktan kimlik tespitinin yapılabilmesine imkân tanınmıştır.

Ancak bu değişikliği yalnızca “yabancı gerçek kişiler için uzaktan hesap açılışı mümkün hale geldi” şeklinde okumak eksik kalacaktır. Düzenleme, Türk uyruklu olmayan gerçek kişiler için klasik anlamda serbest bir dijital müşteri edinimi modelinden ziyade; yüksek riskli müşteri kabulü, adres teyidi, ilk transfer kontrolü, para hareketlerine ilişkin sınırlamalar, riskli ülke vatandaşlarının kabul edilmemesi, kurum içi prosedür ve rehber oluşturma, MASAK’a bildirim ve periyodik istatistiki raporlama gibi unsurları içeren özel ve kontrollü bir uzaktan kimlik tespiti rejimi kurmaktadır.

• Türk uyruklu olmayan gerçek kişiler için pasaportla uzaktan kimlik tespiti mümkün hale geliyor

Tebliğ değişikliği ile 19 Sıra No.lu MASAK Genel Tebliği’ne “Türk uyruklu olmayan gerçek kişilerin uzaktan kimlik tespitine ilişkin genel esaslar” başlıklı 4/C maddesi eklenmiştir. Buna göre yükümlüler, Türk uyruklu olmayan gerçek kişilerin kimlik tespitini, Uluslararası Sivil Havacılık Teşkilatının (ICAO) 9303 sayılı standardına uygun ve yakın alan iletişimi (NFC) özelliği olan pasaport kullanılması suretiyle uzaktan kimlik tespiti yoluyla yapabilecektir.

Bu yönüyle düzenleme, uzaktan müşteri edinimi uygulamalarının belge altyapısını Türkiye Cumhuriyeti kimlik kartı dışına taşıyarak pasaport temelli bir kimlik doğrulama modelini de MASAK mevzuatına dahil etmektedir. Bununla birlikte pasaportun yalnızca ibraz edilmesi yeterli görülmemekte; pasaportun yongasında yer alan kimlik bilgilerinin, pasaport üzerinde yer alan bilgilerle eşleştiğinin yakın alan iletişimi kullanılarak doğrulanması zorunlu tutulmaktadır. Bu doğrulamanın yapılamaması halinde uzaktan kimlik tespiti yoluyla iş ilişkisi tesis edilemeyecektir. Dolayısıyla düzenleme, pasaportla uzaktan kimlik tespitini mümkün kılmakla birlikte, bu imkânı teknolojik doğrulama, belge güvenliği ve risk temelli kontrol şartlarına bağlamaktadır.

• Görüntülü görüşme, özel eğitimli personel ve sınırlı yapay zekâ kullanımı

Yeni maddeye göre pasaportla uzaktan kimlik tespiti, bu konuda özel olarak eğitim verilmiş personel tarafından görüntülü görüşme yoluyla gerçekleştirilecektir. Bu husus, uzaktan kimlik tespitinde insan unsurunun (Human in the Loop) tamamen devre dışı bırakılmadığını göstermektedir. Başka bir ifadeyle düzenleme, Türk uyruklu olmayan gerçek kişiler bakımından müşteri edinimini tamamen otomatik bir sürece bırakmak yerine, özel eğitimli personelin yer aldığı kontrollü bir görüntülü görüşme modelini esas almaktadır.

Bununla birlikte düzenleme, canlılık testi veya fotoğraf karşılaştırma amacıyla belirli şartları sağlayan yapay zekâ temelli uygulamaların kullanılmasına da engel olmadığını açıkça belirtmektedir. Böylece yapay zekâ uygulamaları, sürecin tamamını ikame eden bir unsur olarak değil; canlılık testi ve fotoğraf karşılaştırma gibi belirli doğrulama adımlarını destekleyen bir teknoloji olarak konumlandırılmıştır. Bu yaklaşım, finansal teknolojilerde inovasyona imkân tanırken, yapay zekâ kullanımının kontrolsüz biçimde müşteri kabul kararını tek başına belirleyen bir araca dönüşmesini önlemeye yönelik ihtiyatlı bir düzenleyici bakış açısını da yansıtmaktadır.

• Adres teyidi yapılmadan para transferi ve nakit çekim yapılamayacak

Tebliğ değişikliğinin en dikkat çekici yönlerinden biri adres teyidine verilen önemdir. Uzaktan kimlik tespiti kapsamında alınan adres bilgisinin; yerleşim yeri belgesi, ilgili adına düzenlenmiş elektrik, su, doğalgaz gibi adres temelli abonelik gerektiren bir hizmete ilişkin ve işlem tarihinden önceki üç ay içinde düzenlenmiş fatura, herhangi bir kamu kurumu tarafından verilen belge veya ilgili ülkenin kamuya açık veri tabanları üzerinden risk bazlı yaklaşım çerçevesinde en geç üç ay içerisinde teyit edilmesi zorunlu kılınmıştır.

Daha da önemlisi, adres teyidi yapılmadan para transferi ve nakit çekim yapılması mümkün olmayacaktır. Bununla birlikte bu hükmün, hesabın bütünüyle kullanıma kapatılması şeklinde değil; adres teyidi tamamlanana kadar müşterinin finansal hareket alanının sınırlı tutulması şeklinde değerlendirilmesi daha isabetli olacaktır. Nitekim Tebliğ’de kimlik bilgilerinin doğrulanması amacıyla ilk transfer kontrolü ve açılan hesaba yalnızca kişinin yurt dışında kendi adına açılmış banka hesaplarından para gönderilebilmesine ilişkin ayrıca özel hükümler bulunmaktadır. Bu nedenle, adres teyidi tamamlanana kadar para çıkışı ve nakit çekim işlemlerinin engellenmesi; hesaba kabul edilecek para girişlerinin ise Tebliğ’de öngörülen ilk transfer ve kişinin kendi adına yurt dışı hesaplarından gönderim kısıtları çerçevesinde tasarlanması gerekecektir.

• Teknik veriler risk temelli yaklaşım kapsamında değerlendirilecek

Yeni düzenleme, kimlik tespitini yalnızca pasaport ve görüntülü görüşme ile sınırlı tutmamaktadır. Kimlik tespiti sürecinde işlem yapılan elektronik ortamdan elde edilen IP/port bilgisi, cihaz kimliği, coğrafi konum, tarayıcı bilgileri vb. teknik veriler ile pasaporttaki bilgiler risk temelli yaklaşım kapsamında değerlendirilmelidir.

Bu değerlendirme sonucunda şüpheyi gerektiren bir durumun tespiti halinde uzaktan kimlik tespiti süreci sonlandırılacaktır. Böylece düzenleme, digital onboarding süreçlerinde cihaz, lokasyon ve bağlantı verilerinin müşteri kabul risk değerlendirmesinin ayrılmaz bir parçası olduğunu ortaya koymaktadır. Özellikle VPN kullanımı, yüksek riskli coğrafi konumlar, pasaport ülkesi ile bağlantı lokasyonu arasındaki uyumsuzluklar, cihaz güvenliği, aynı cihazdan çok sayıda başvuru yapılması veya teknik veriler ile müşteri beyanları arasında tutarsızlık bulunması gibi hususlar, yükümlülerin risk senaryolarında dikkate alması gereken konular arasında değerlendirilebilecektir.

• Ticaret siciline kayıtlı tüzel kişiler bakımından temsile yetkili Türk uyruklu olmayan gerçek kişi de kapsama alınıyor

Tebliğ değişikliği yalnızca bireysel müşteri edinimi açısından değil, ticaret siciline kayıtlı tüzel kişiler bakımından da önem taşımaktadır. Buna göre ticaret siciline kayıtlı tüzel kişilerin uzaktan kimlik tespitinde, tüzel kişiliği temsile yetkili Türk uyruklu olmayan gerçek kişinin kimlik tespiti de Yönetmelikte temsile yetkili kişiler için aranan bilgiler alınmak kaydıyla yeni 4/C maddesindeki esaslara göre yapılabilecektir.

Bu hüküm, özellikle yabancı ortaklı şirketler, yabancı yöneticiler veya Türkiye’de ticaret siciline kayıtlı tüzel kişileri temsil eden Türk uyruklu olmayan kişiler bakımından uygulamada karşılaşılabilecek önemli bir ihtiyaca cevap verebilecek niteliktedir. Bununla birlikte tüzel kişi müşteri ediniminde yalnızca temsilcinin kimliğinin tespiti yeterli olmayacak; tüzel kişiliğin kimlik bilgileri, temsil yetkisi, ortaklık ve kontrol yapısı, gerçek faydalanıcı bilgileri, faaliyet konusu, iş ilişkisinin amacı ve beklenen işlem profili gibi müşterinin tanınmasına ilişkin diğer yükümlülüklerin de yürürlükteki MASAK mevzuatı çerçevesinde yerine getirilmesi gerekecektir.

• Uygulama rehberi, politika/prosedür güncellemesi ve MASAK’a bildirim yükümlülüğü

Tebliğ değişikliği, bu yöntemle müşteri kabul edecek yükümlülere önemli yönetişim yükümlülükleri de getirmektedir. Buna göre yükümlüler; risklerin tanımlanması, derecelendirilmesi, izlenmesi ve azaltılmasına yönelik gerekli tedbirleri almak zorundadır. Ayrıca bu kapsamda edinilecek müşterilerle ilgili olarak müşterinin tanınması ile risk yönetimi, izleme ve kontrol faaliyetlerine ilişkin bir uygulama rehberi oluşturulması gerekmektedir.

Uyum programı oluşturmakla yükümlü olan kuruluşların ise bu tedbirlere kurum politika ve prosedürlerinde yer vermesi gerekecektir. Ayrıca müşteri kabulüne başlanmasından itibaren bir ay içerisinde, bu kapsamda alınan tedbirler ile oluşturulan prosedür ve rehberler hakkında MASAK’a bildirim yapılacaktır. Bu yükümlülük, düzenlemenin yalnızca operasyonel bir müşteri edinimi süreci olarak görülmemesi gerektiğini göstermektedir. Aksine, pasaportla uzaktan kimlik tespiti uygulamasına geçmek isteyen yükümlülerin; müşteri kabul politikalarını, ülke riski değerlendirmelerini, müşteri risk skorlama modellerini, işlem izleme senaryolarını, prosedürlerini, eğitim içeriklerini ve kontrol mekanizmalarını bütüncül biçimde gözden geçirmeleri gerekecektir.

• Riskli ülke vatandaşları bu yöntemle müşteri olarak kabul edilemeyecek

Yeni düzenlemede öne çıkan en kritik sınırlamalardan biri, yükümlülerin riskli olarak belirledikleri ülkelerin vatandaşlarını pasaportla uzaktan kimlik tespiti yöntemiyle müşteri olarak kabul edemeyecek olmasıdır.

Bu hüküm, yükümlülerin ülke riski değerlendirmesini daha görünür ve işlevsel hale getirmektedir. Bu çerçevede yükümlüler; FATF listeleri, yaptırım listeleri, ulusal ve uluslararası risk değerlendirmeleri, terörizmin finansmanı, yaptırımların ihlali, yolsuzluk, vergi şeffaflığı, finansal suç trendleri ve kendi kurum risk iştahları doğrultusunda riskli ülke değerlendirmelerini güncel ve uygulanabilir tutmak durumunda olacaktır. Dolayısıyla düzenleme, pasaportla uzaktan kimlik tespiti yapılacak müşteri kitlesi bakımından sınırsız bir coğrafi açılım sağlamamakta; ülke riski temelli bir kabul sınırı getirmektedir.

• Bu yöntemle edinilen müşteriler yüksek risk grubunda değerlendirilecek

Tebliğ değişikliği, pasaportla uzaktan kimlik tespiti yapılan müşterilerin yüksek risk grubunda değerlendirileceğini açıkça düzenlemektedir. Bu kapsamda müşteriler, yüksek risk grubuna uygun izleme ve kontrol tedbirlerine tabi tutulacaktır.

Ayrıca müşteri profiline ve iş ilişkisinin tesisindeki amaca uygun olmayan işlemlerin tespiti halinde gerekli tedbirlerin alınması gerekmektedir. Bu hüküm, müşteri kabulü sonrasında sürekli izleme yükümlülüğünün önemini artırmaktadır. Yükümlüler, bu müşteriler bakımından yalnızca başlangıçtaki kimlik tespiti ve doğrulama adımlarına odaklanmamalı; müşterinin beyan ettiği profil, gelir/kaynak bilgisi, iş ilişkisinin amacı, beklenen işlem hacmi ve fiili işlem davranışları arasında uyum bulunup bulunmadığını da düzenli olarak izlemelidir. Bu yönüyle düzenleme, “müşteri kabulü” ile “müşteri izleme” arasındaki bağlantıyı güçlendirmekte; digital onboarding süreçlerinin AML/CFT kontrol mimarisi ile entegre şekilde tasarlanması gerektiğini göstermektedir.

• İlk transfer kontrolü ve para hareketlerine ilişkin sınırlamalar

Yeni düzenleme, kimlik bilgilerinin doğrulanması amacıyla müşterinin kimlik bilgileri ile uyumlu yurt içinde veya yurt dışında mukim bir banka hesabından ya da banka veya kredi kartından para transferi yapılmasını zorunlu kılmaktadır. Para transferi için üretilen mesajlardaki ayırt edici bilgiler ile hesabın açılması için uzaktan kimlik tespiti kapsamında müşteriden edinilen bilgilerin uyuştuğunun kontrol edilmesi gerekmektedir.

Bu transfer ve kontrol işlemi, müşteri hesabından başkaca bir işlem gerçekleştirilmeden önce tamamlanacaktır. Yükümlülerce prosedür ve rehberlerde belirlenecek makul süre içerisinde bu işlemin tamamlanmaması halinde ise Tedbirler Yönetmeliği’nin 22’nci maddesine göre işlem tesis edilecektir. Bu kapsamda iş ilişkisinin sürdürülüp sürdürülemeyeceği değerlendirilecek; durumun mahiyetine göre şüpheli işlem bildirimi yükümlülüğü de ayrıca dikkate alınacaktır.

Buna ek olarak, bu madde kapsamında açılan hesaba yalnızca kişinin yurt dışında kendi adına açılmış banka hesaplarından para gönderimi gerçekleştirilebilecektir. Açılan bu hesaptan yurt dışına para çıkışı da yalnızca söz konusu kişi adına açılmış banka hesaplarına yapılabilecektir. Ancak Tebliğ’in 6’ncı maddesinin ikinci fıkrası kapsamında ayrıca kimlik tespiti yapılması halinde nakit çekim veya bu bentte yer alan kısıtlamalara tabi olmaksızın para transferi yapılabilecektir. Bu madde uyarınca iş ilişkisi tesis edilen müşterinin hesabından nakit yatırma ve çekme işlemi yapılması durumunda ise Tedbirler Yönetmeliği’nin 18’inci maddesi ayrıca göz önünde bulundurulacaktır. Bu hükümler, Türk uyruklu olmayan gerçek kişiler için pasaportla uzaktan kimlik tespiti imkânının para hareketleri bakımından sıkı sınırlamalarla çevrelendiğini göstermektedir. Düzenleme, özellikle üçüncü kişi hesaplarından gelen fonlar, başkası hesabına işlem yapılması, sınır ötesi para transferleri ve fon kaynağı belirsizliği gibi AML/CFT risklerine karşı koruyucu bir çerçeve kurmaktadır.

• Düzenlemenin uygulamaya etkileri

Tebliğ değişikliği, yükümlüler açısından önemli fırsatlar ve aynı zamanda önemli uyum yükümlülükleri doğurmaktadır. Öncelikle, Türk uyruklu olmayan gerçek kişilerin pasaportla uzaktan kimlik tespiti yoluyla müşteri olabilmesi, uluslararası müşteri edinimi, yabancı yatırımcıların finansal hizmetlere erişimi, Türkiye’de ticari faaliyette bulunan yabancıların bankacılık ve finansal hizmetlere erişimi bakımından önemli bir açılım sağlayabilecektir.

Bununla birlikte bu açılımın, yüksek riskli müşteri kabulü esasına dayandığı unutulmamalıdır. Bu nedenle uygulamaya geçmek isteyen yükümlülerin aşağıdaki başlıklarda hazırlık yapması önem taşıyacaktır:

1. Pasaportla uzaktan kimlik tespitine ilişkin kurum içi politika, prosedür ve uygulama rehberlerinin oluşturulması,
2. ICAO 9303 standardı ve NFC doğrulamasına ilişkin teknik kontrollerin tasarlanması,
3. Görüntülü görüşme yapacak personele özel eğitim verilmesi,
4. Canlılık testi ve fotoğraf karşılaştırma için kullanılacak yapay zekâ temelli uygulamaların güvenilirlik, doğruluk, veri güvenliği ve denetlenebilirlik yönünden değerlendirilmesi,
5. Adres teyidi için kabul edilecek belge ve veri kaynaklarının belirlenmesi,
6. Riskli ülke listesinin ve ülke riski metodolojisinin güncellenmesi,
7. Müşteri risk skorlama modelinde bu müşteri grubunun yüksek riskli olarak tanımlanması,
8. İlk transfer kontrolü ve para hareketi kısıtlarının sistemsel olarak uygulanabilir hale getirilmesi,
9. İşlem izleme senaryolarının müşteri profili, ülke riski, fon kaynağı, işlem amacı ve transfer yönü dikkate alınarak güncellenmesi,
10. MASAK’a yapılacak bildirim ve üç aylık istatistiki raporlama süreçlerinin belirlenmesi,
11. Süreçte elde edilen teknik verilerin muhafazası, kişisel verilerin korunması ve bilgi güvenliği bakımından gerekli kontrollerin oluşturulması.

Bu çerçevede düzenleme, iş birimleri, operasyon, bilgi teknolojileri, bilgi güvenliği, hukuk, kişisel verilerin korunması, uyum, finansal suçlarla mücadele ve iç kontrol fonksiyonlarının birlikte çalışmasını gerektiren çok disiplinli bir uygulama alanı ortaya çıkarmaktadır.

Sonuç

27 Haziran 2026 tarihli Tebliğ değişikliği, ülkemizde uzaktan müşteri edinimi uygulamalarının gelişiminde önemli bir yeni halka olarak değerlendirilebilir. 2020 yılında finansal hizmetlerde fiziki belge ve elle atılan imza kullanımını azaltma hedefiyle başlayan süreç; bankalar, ödeme ve elektronik para kuruluşları, banka dışı mali kuruluşlar, aracı kurumlar, portföy yönetim şirketleri, YUVAM hesapları ve ticaret siciline kayıtlı tüzel kişiler bakımından giderek genişleyen bir düzenleme alanına dönüşmüştür. Bu sürecin son halkası ise Türk uyruklu olmayan gerçek kişiler bakımından pasaportla uzaktan kimlik tespiti yapılabilmesine imkân tanınmasıdır.

Bununla birlikte yeni düzenleme, digital onboarding uygulamalarının kapsamını genişletirken riskleri serbest bırakmamaktadır. Aksine, Türk uyruklu olmayan gerçek kişiler için pasaportla uzaktan kimlik tespiti; yüksek riskli müşteri kabulü, adres teyidi, teknik veri analizi, ilk transfer kontrolü, para hareketi sınırlamaları, riskli ülke vatandaşlarının kabul edilmemesi, kurum içi rehber ve prosedür oluşturulması, MASAK’a bildirim ve periyodik raporlama yükümlülükleriyle birlikte tasarlanmıştır. Bu yönüyle düzenleme, finansal teknolojilerde inovasyon ile suç gelirlerinin aklanması ve terörizmin finansmanının önlenmesine yönelik risk temelli yaklaşım arasında denge kurmaya çalışan önemli bir adım niteliğindedir.

Sonuç itibarıyla, pasaportla uzaktan kimlik tespitine ilişkin bu yeni rejim; finansal kuruluşlar ve diğer yükümlüler açısından yalnızca yeni bir müşteri edinim kanalı değil, aynı zamanda güçlü bir uyum, risk yönetimi, teknoloji ve iç kontrol mimarisi gerektiren özel bir uygulama alanı olarak okunmalıdır. Bu nedenle uygulamaya geçecek kuruluşların, düzenlemeyi sadece operasyonel bir dijitalleşme fırsatı olarak değil; müşteri kabul politikalarından işlem izleme sistemlerine, ülke riski metodolojisinden yapay zekâ kullanımına, adres teyidinden MASAK bildirim süreçlerine kadar uçtan uca bir uyum ve risk yönetimi projesi olarak ele almaları yerinde olacaktır.

Saygılarımızla,

Vahdet Deniz AKÇAOĞLU

“UYARI: Bu çalışmada yer alan görüşler, yazarın kendi görüşleri olup, çalıştığı kurumun görüşlerini yansıtmamaktadır. Bu yazı yalnızca bilgilendirme amacıyla yayımlanmış olup, herhangi bir hukuki görüş, yönlendirme ve tavsiye içermemektedir. Ayrıca, bilgiler yazının hazırlandığı tarihteki mevzuat göz önünde bulundurularak verilmiş olup, yazı içeriği aradan geçen zaman içerisinde mevzuat değişiklikleri ve ilgili kurumların konu hakkındaki görüşleri çerçevesinde güncelliğini yitirmiş olabilir.”