Banka Çalışanı Hesap Hareketlerime Bakabilir mi? Müşteri Sırrı, Bankacılık Kanunu ve KVKK

Kısa cevap: bakamaz. Bir banka çalışanının müşteri kayıtlarına erişim yetkisi, yaptığı işin gerektirdiği kadarıyla sınırlıdır; merak, kişisel husumet ya da bir tanıdığa iyilik olsun diye yapılan sorgulama bu sınırın dışında kalır ve iki kanunu birden ihlal eder. 5411 sayılı Bankacılık Kanunu'nun 73. maddesi, sıfat ve görevleri dolayısıyla bankalara veya müşterilerine ait sırları öğrenenlerin bunları kanunen açıkça yetkili kılınan mercilerden başkasına açıklayamayacağını söylüyor ve bu yükümlülüğün görevden ayrıldıktan sonra da sürdüğünü ekliyor. 6698 sayılı Kanun'un 12. maddesi ise bankadan, kişisel verilere hukuka aykırı erişimi önleyecek teknik ve idari tedbirleri almasını istiyor. Kişisel Verileri Koruma Kurulu bu olaylarda "çalışanımız yetkisini kötüye kullandı, biz engelleyemezdik" savunmasını kabul etmiyor. Sorumluluk çalışanda kalmıyor, bankaya da idari para cezası çıkıyor.

Bankacılıkta iki koruma katmanı üst üste duruyor ve bunlar birbirinin aynısı değil. Müşteri sırrı, bankacılık faaliyetine özgü olarak müşteri ilişkisi kurulduktan sonra oluşan bilgileri kapsıyor; gerçek kişilerin yanında tüzel kişilere ait veriler de bu tanımın içinde. Kişisel veri ise yalnızca gerçek kişilere ait, kimliği belirli veya belirlenebilir kılan bilgiyi kapsıyor ve müşteri ilişkisi hiç kurulmadan da var olabiliyor. Örnek üzerinden bakınca ayrım netleşiyor: bir limited şirketin kredi bakiyesi müşteri sırrıdır ama 6698 anlamında kişisel veri değildir. Kredi başvurusu reddedilmiş, hiç müşteri olmamış bir kişinin başvuru formundaki bilgileri ise kişisel veridir. Uyum dosyasında bu iki kümeyi ayrı ayrı haritalamayan kurumlar, bir tarafta gereğinden fazla, diğer tarafta eksik koruma uyguluyor.

Kurul'un 12 Ocak 2021 tarihli ve 2021/32 sayılı kararı konunun en bilinen örneği. Bankada çalışan eş, boşanma davasında kullanmak üzere hem eşi hem de bankanın müşterisi olan kişinin istihbarat sorgusunu yaptı; karşılıksız çek ve tedbir kararına ilişkin sonuçlar mahkeme dosyasına sunuldu. Banka savunmasında personelin yetkisini kişisel amaçla kötüye kullandığını, makul güvenlik önlemlerinin alındığını, böyle bir davranışın objektif olarak önlenemeyeceğini ileri sürdü ve disiplin işlemi uyguladığını belirtti. Kurul bunu yeterli görmedi. Personelin yetkisini aşarak kişisel amaçla veri işleyebilmiş olmasını 12. maddenin birinci fıkrasının ihlali saydı, idari para cezası uyguladı, veri ihlali bildiriminin yapılmamış olduğunu hatırlattı ve ilgili kişiye olayı Cumhuriyet başsavcılığına da taşıyabileceğini bildirdi.

4 Mart 2021 tarihli ve 2021/190 sayılı karar, bankaların tam olarak neyi eksik bıraktığını gösterdiği için daha öğretici. Takım lideri olarak çalışan bir personel müşterinin kimlik bilgilerini yetkisiz görüntüledi, ekranı kendi cep telefonuyla fotoğrafladı ve üçüncü kişilerle paylaştı. Kurul dört eksiklik saydı. Çalışanların görev tanımları veri güvenliğine ilişkin sorumlulukları yeterince içermiyordu. Erişim yönetiminde "izin verilmedikçe her şey yasaktır" ilkesi yerine "yasaklanmadıkça her şey serbesttir" yaklaşımı uygulanıyordu. Personele iş ihtiyacını aşan kapsamda sorgulama izni verilmişti, sorgu kotası ancak ihlalden yaklaşık iki yıl sonra kuruldu. İhlal öncesinde erişimi uyaran bir mekanizma yoktu. Sonuç 100.000 TL idari para cezası oldu. Bu dört başlık bankacılığa özgü de değil; müşteri kayıtlarına personelin serbestçe girebildiği her sektörde aynı sorular sorulur.

26 Kasım 2019 tarihli ve 2019/352 sayılı kararda veri bankanın dışına çıktı. Bir personel, iki farklı tarihte üç müşterinin nüfus cüzdanı, bakiye, iletişim ve kredi kartı bilgilerini kendi şahsi e-posta adresine gönderdi; bu bilgiler sahte belgeyle para çekme işlemlerinde kullanıldı. İhlalden 6 kişi ve 24 kayıt etkilendi, personelin iş akdi feshedildi ve hakkında suç duyurusunda bulunuldu. Kurul teknik tedbirleri kolayca aşılabilir buldu ve toplam 100.000 TL ceza uyguladı. Cezanın bir kalemi veri güvenliği yükümlülüğünün ihlaline, diğeri bildirimdeki gecikmeye ilişkindi. Bu ayrım tek başına önemli bir ders veriyor: ihlali yaşamak ayrı bir sorumluluk, 12. maddenin beşinci fıkrasındaki 72 saatlik bildirim süresini kaçırmak ayrı bir sorumluluk.

Cezai tarafta iki ayrı hüküm var ve ikisi de hafif değil. 5411 sayılı Kanun'un 159. maddesi, 73. maddedeki sır saklama yükümlülüğüne uymayanlar için bir yıldan üç yıla kadar hapis ve bin günden iki bin güne kadar adli para cezası öngörüyor; banka ve müşterilere ait sırları açıklayan üçüncü kişiler de aynı hükme tabi. Sır, kendisine ya da başkasına yarar sağlamak amacıyla açıklanmışsa ceza altıda bir oranında artırılıyor. Türk Ceza Kanunu'nun 239. maddesi ise sıfat veya görevi gereği öğrenilen bankacılık sırrı ve müşteri sırrı niteliğindeki bilgi ve belgeleri yetkisiz kişilere veren veya ifşa eden kişi için, şikâyet üzerine, bir yıldan üç yıla kadar hapis ve beş bin güne kadar adli para cezası düzenliyor. Kişisel verileri hukuka aykırı olarak verme ve ele geçirme suçları da tabloya eklenince şu manzara çıkıyor: tek bir yetkisiz sorgudan bankaya idari para cezası, çalışana ceza davası ve müşteriye tazminat yolu aynı anda doğabiliyor. 2026 yılı için veri güvenliğine ilişkin yükümlülüklerin ihlalinde uygulanacak idari para cezası 256.357 TL ile 17.092.242 TL arasında.

Bankanın kendi yaptığı paylaşımlar ayrı bir rejime tabi. BDDK'nın Sır Niteliğindeki Bilgilerin Paylaşılması Hakkında Yönetmeliği 4 Haziran 2021 tarihli ve 31501 sayılı Resmî Gazete'de yayımlandı, 1 Ocak 2022'de yürürlüğe girdi; uygulamadaki tereddütler için 11 Ağustos 2022 tarihli ve 2022/1 sayılı Genelge çıkarıldı. Yönetmelik sır saklama yükümlülüğünden istisna tutulan halleri tek tek sayıyor, gizlilik sözleşmesiyle yapılacak paylaşımların çerçevesini çiziyor ve bankalardan bilgi paylaşımını koordine edecek bir komite kurmasını istiyor. Merkezinde ölçülülük ilkesi duruyor: paylaşım yalnızca amacın gerektirdiği kadar veriyi içerebilir, mümkün olduğu ölçüde toplulaştırma, kimliksizleştirme veya anonimleştirme tercih edilir, veri kopyası en aza indirilecek şekilde tasarım yapılır. Müşterinin talep veya talimatına dayanan paylaşımlarda ise talimatın kanıtlanabilir olması ve müşteri tarafından aynı yöntemlerle geri alınabilmesi ya da değiştirilebilmesi aranıyor. Sözleşme metninin arasına sıkıştırılmış, geri alınması pratikte imkânsız bir onay bu şartı karşılamaz.

Açık rızanın nerede devreye girdiği de sık karıştırılıyor. Kimlik tespiti 5549 sayılı Kanun'dan, kredi değerlendirmesi ve risk bilgilerinin paylaşımı bankacılık mevzuatından doğan yükümlülükler olduğu için bunlar açık rızaya bağlı değil. Kurul'un 31 Ağustos 2023 tarihli ve 2023/1509 sayılı kararında, verilerinin Kredi Kayıt Bürosu'na aktarılmasını istemeyen ve açık rızasını geri çektiğini bildiren müşterinin talebi reddedildi; Kurul aktarımın 5. maddedeki işleme şartlarına dayandığını tespit etti, yalnızca başvuru reddedilirken gerekçe yazılması gerektiğini hatırlattı. 1 Haziran 2023 tarihli ve 2023/932 sayılı kararda da bankaya hiç bildirilmemiş bir telefon numarasına kredi bilgilendirmesi gitmesi incelendi; numaranın Kredi Kayıt Bürosu'ndan geldiği anlaşılınca ihlal saptanmadı ve müşterinin bu konuda Büroya başvurması gerektiği belirtildi. Yani "bu numarayı size ben vermedim" cümlesi tek başına ihlal anlamına gelmiyor.

Pazarlama tarafında ise tolerans yok. 3 Ağustos 2022 tarihli ve 2022/768 sayılı kararda bir banka müşterisinin iletişim bilgilerini bir sigorta şirketine aktardı ve müşteri arka arkaya aranmaya başladı. Banka aktarımı 73. maddeye ve müşterinin geçmişte verdiği, tüm ürünleri ve tüm kanalları kapsayacak biçimde yazılmış pazarlama onayına dayandırdı. Kurul, ileride çıkacak ürünleri de kapsayan bir metnin ve önceden işaretlenmiş kutucukların geçerli açık rıza oluşturmadığını, rızanın bilinçli bir eylemle verilmesi gerektiğini belirtti; 5. ve 8. maddelerin ihlal edildiğini tespit ederek 250.000 TL idari para cezası uyguladı. Borç hatırlatması için müşterinin ablasının ve babasının telefon numaralarının Risk Merkezi'nden temin edilip aranmasını inceleyen 3 Şubat 2021 tarihli ve 2021/79 sayılı karar da aynı çizgide. Bir kişinin bankayla ilişkisi ve borcunun varlığı, yakınına söylenebilecek bir bilgi değil.

Peki müşteri sırrı, müşterinin kendisine karşı ileri sürülebilir mi? Kurul'un 15 Haziran 2023 tarihli ve 2023/1050 sayılı kararı bu soruyu net biçimde cevapladı. Müşteri, çağrı merkeziyle yaptığı görüşmenin ses kaydı dökümünü istedi; banka talebi müşteri sırrı olduğu ve 73. maddenin sır saklama yükümlülüğü getirdiği gerekçesiyle reddetti, üstelik ilk başvuruyu hiç cevaplamadı, ikincisini de otuz günlük süreyi aşarak cevapladı. Kurul, sır saklama yükümlülüğü ile 11. maddedeki bilgi talep etme hakkının çatıştığı yerde ilgili kişinin kendi verisine erişim hakkının üstün tutulacağına karar verdi; dökümde üçüncü kişilere ait veriler varsa bunlar çıkarılarak veya maskelenerek belgenin müşteriye iletilmesi talimatını verdi. Uygulamadaki karşılığı şu: bankaya yazılı başvurun, 13. madde uyarınca otuz gün içinde cevap gelmezse ya da cevap yetersizse, öğrendiğiniz tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyet edin. Sorguyu yapan kişi belliyse suç duyurusu ayrı bir yol, üstelik TCK 239'daki suç şikâyete bağlı olduğu için süreyi kaçırmamak gerekiyor.

Bu çerçeve yalnızca bankaları ilgilendirmiyor. Faktoring, finansal kiralama ve finansman şirketleri, ödeme ve elektronik para kuruluşları, sigorta acenteleri, bankaya çağrı merkezi, tahsilat, yazılım geliştirme veya arşiv hizmeti veren tedarikçiler aynı veri kümesine dokunuyor. Tedarikçilerin büyük bölümü veri işleyen sıfatını taşıyor; bu da veri sorumlusu için yazılı sözleşme, yetki matrisi, gizlilik taahhüdü ve dönemsel denetim yükümlülüğü doğuruyor. Altyapı tarafında ek bir sınır var: 15 Mart 2020 tarihli ve 31069 sayılı Resmî Gazete'de yayımlanan Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik, birincil ve ikincil sistemlerin yurt içinde bulundurulmasını istiyor ve bu faaliyetler için dış hizmet ya da bulut hizmeti alınması halinde sağlayıcının kullandığı sistemleri ve yedekleri de aynı kapsamda sayıyor. Bankacılık verisini yurt dışındaki bir buluta taşıma fikri, 6698'in yurt dışına aktarım hükümlerine gelmeden önce burada duruyor.

Kurumsal tarafta kontrol listesi kısa ve acımasız. Personelin sorgulama yetkisi görev tanımıyla birebir eşleşiyor mu, kimin neyi hangi saatte sorguladığı kayıt altına alınıyor mu, olağan dışı sorgu hacmi için uyarı üretiliyor mu, tedarikçi sözleşmelerinde veri işleyen hükümleri ve denetim maddesi var mı, müşteriden alınan paylaşım talimatı aynı kanaldan geri alınabiliyor mu, ilgili kişi başvurularına otuz gün içinde gerekçeli cevap veriliyor mu? Bu soruların cevabı belgeyle gösterilemiyorsa, Kurul incelemesi başladığında savunma kısa sürüyor. KVKK Danışman olarak banka dışı finansal kuruluşlar, ödeme kuruluşları ve finans sektörüne hizmet veren tedarikçiler için ücretsiz ön değerlendirme yapıyoruz; erişim yetkileri, kayıt altyapınız ve sözleşme setinizi inceleyip önce hangi eksiğin kapatılması gerektiğini yazılı olarak paylaşıyoruz.

Randevu Al