İşletmeler Müşterinin Kredi Kartı Bilgisini Saklayabilir mi? Kart Saklama Yasağı, Tek Tıkla Ödeme ve KVKK'nın 2023/567 Sayılı Kararı

Kısa cevap: kural olarak hayır, üstelik bu yasak KVKK'dan önce geliyor. 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu'nun 23. maddesi, üye işyerlerinin kartın kullanımı sonucunda kart ve kart hamili ile ilgili edindikleri bilgileri, kanunla yetkili kılınanlar dışında, kart hamilinin yazılı rızasını almadan başkasına açıklamasını, saklamasını ve kopyalamasını yasaklıyor. Banka Kartları ve Kredi Kartları Hakkında Yönetmelik'in 25. maddesi bu yasağı iki noktada yumuşatıyor: tahsilat amacıyla saklanan harcamaya ait bilgi ve belgeler ile kart hamilince verilen yazılı onay çerçevesinde dönemsel ödemelerin tahsili amacıyla muhafaza edilen bilgi ve belgeler. Bunların dışında kalan her saklama, örneğin bir dahaki alışverişte hızlı olsun diye kart numarasını kendi veritabanınıza yazmak, yasağın içinde. KVKK tarafında ise tablo şu: kartın hesapta kayıtlı kalması ancak açık rızaya dayanabilir ve o rızanın gerçekten seçime bağlı olması gerekir. İki mevzuat üst üste biniyor. Birine uymak diğerinden kurtarmıyor.

Sınırı çizen en net metin, Kurul'un 11 Nisan 2023 tarihli ve 2023/567 sayılı kararı. Bir e-ticaret platformunda alışveriş yapabilmek için kart bilgisinin kaydedilmesi zorunlu tutuluyor, sipariş tamamlandıktan sonra da bilgiler cüzdan hesabında işlenmeye devam ediyor. Şirket, işlemenin ödemenin gerçekleştirilmesi, dolandırıcılık tespiti ve premium üyelik ücretinin tahsili amaçlarına dayandığını, hukuki sebebinin Kanun'un 5. maddesinin ikinci fıkrasının (c) ve (ç) bentleri olduğunu savunuyor. Kurul sistemi bizzat test ediyor ve kart bilgisi girilmeden satın almanın tamamlanamadığını görüyor. Değerlendirmenin omurgası iki amacı ayırmak: alışverişin tamamlanması için kart bilgisinin girilmesi ile sonraki alışverişleri kolaylaştırmak amacıyla o bilginin saklanmaya devam etmesi ayrı veri işleme faaliyetleridir, ikincisi amaç değişikliği anlamına gelir ve dayanabileceği tek şart açık rızadır. Kurul, Avrupa Veri Koruma Kurulu'nun 19 Mayıs 2021 tarihinde kabul ettiği 02/2021 sayılı tavsiye kararına da atıf yapıyor. Sonuç, 500.000 TL idari para cezası ve iki talimat: kart verilerinin ancak aktif rızayla kaydedilmesine olanak tanıyan bir sistem geliştirilmesi, aydınlatma metinlerinin açık rıza şartını içerecek şekilde güncellenmesi.

Kararın pratik karşılığı çoğu ödeme akışının yeniden çizilmesi. Açık rıza, Kanun'un 3. maddesindeki tanım gereği özgür iradeyle açıklanmış olmak zorunda; hizmetin sunulması onun verilmesine bağlanamaz. “Kartı kaydetmezseniz siparişi tamamlayamazsınız” cümlesi bu yüzden çalışmıyor. Önceden işaretlenmiş bir kutucuk da çalışmıyor, çünkü rızanın aktif bir hareketle verilmiş olması aranıyor. Bir nokta daha var, ekiplerin çoğu bunu kaçırıyor: açık rıza her zaman geri alınabilir. Müşteri kartı hesabından sildiğinde ya da rızasını geri çektiğinde saklama için dayandığınız tek hukuki sebep ortadan kalkar, Kanun'un 7. maddesi uyarınca verinin gecikmeksizin silinmesi gerekir. Tek tıkla ödeme altyapısını rızanın geri alınabildiği bir mimariyle kurmadıysanız, o düğme ilk şikayette sorun çıkarır.

Ceza boyutu bu tartışmalarda genellikle hiç konuşulmuyor. 5464'ün 39. maddesi, 23. madde hükümlerine kasten aykırı hareket eden kuruluşların, üye işyerlerinin ve üye işyeri anlaşması yapan kuruluşların işlerini fiilen yöneten görevlileri ile işlemi yapan kişiler için bir yıldan üç yıla kadar hapis ve bin güne kadar adli para cezası öngörüyor. Aynı maddenin ikinci fıkrası daha da geniş: kartların kullanılması için zorunlu olup gizli kalması gereken kod numarası, kart numarası veya şifrenin dikkatsizlik, tedbirsizlik, meslekte yetersizlik ya da emir ve kurallara aykırılık nedeniyle açığa çıkmasına neden olan görevliler bin güne kadar adli para cezasıyla karşılaşabiliyor. Kart numaralarını bir Excel dosyasında tutup o dosyayı sızdırmak, kuruma kesilen idari para cezasının yanında kişisel bir ceza sorumluluğu da doğurabiliyor.

Peki büyük siteler kayıtlı kart özelliğini nasıl sunuyor? Kart verisini kendileri tutmayarak. Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik'in 4. maddesinin altıncı fıkrası bu yapıyı tarif ediyor: hassas müşteri verilerini mevzuatın izin verdiği sınırlar çerçevesinde işyeri veya ödeme hizmeti sağlayıcısı adına saklayan, müşteriyle hiçbir şekilde hukuki bir işleme doğrudan taraf olmayan, ödemenin kendisi aracılığıyla gerçekleştiği izlenimini yaratmayan ve ödeme işleminin hiçbir anında fonun sahibi olmayan tüzel kişilerin sunduğu hizmet, o yönetmelik kapsamında dijital cüzdan sayılmıyor. Sektördeki adı kart saklama hizmeti. Kart numarası saklayıcıda kalır, işyerinin sisteminde yalnızca o kartı temsil eden bir belirteç bulunur. Kurgu yasağı ortadan kaldırmıyor, sorumluluğu doğru yere taşıyor. Aynı fıkra, saklamayı yapan kişilerin müşteriye karşı tek başına bu hizmetin görünen yüzü olamayacağını da söylüyor.

Rolleri yazılı hale getirmediğiniz sürece bu kurgu sizi korumaz. Saklama hizmetini sizin belirlediğiniz amaç ve yöntemle, talimatınıza bağlı olarak yürüten bir sağlayıcı KVKK bakımından veri işleyendir ve Kanun'un 12. maddesinin ikinci fıkrası veri güvenliğine ilişkin yükümlülüklerden müştereken sorumlu olduğunuzu söylüyor. Kurul'un 7 Temmuz 2022 tarihli ve 2022/653 sayılı kararı bu ilişkinin ilgili kişi tarafında nasıl göründüğünü anlatıyor. Bir çevrimiçi alışveriş platformunun müşterisi, hesabından yapılan alışverişlerde kullanılan kredi kartı bilgilerinin ve teslimat için verilen telefon numaralarının kendisine bildirilmesini istiyor. Şirket, kart verilerinin mobil ödeme sağlayıcısında maskeli tutulduğunu, kart sahibinin adının kendi sisteminde saklanmadığını belirtiyor. Kurul, kart bilgilerine erişim talebi bakımından veri sorumlusunu sorumlu tutmuyor; buna karşılık ilgili kişinin kendi üyelik hesabından yapılan siparişlerin teslimatı için bildirilen telefon numaraları konusunda, kimlik doğrulama mekanizmaları aracılığıyla bilgilendirilmesi yönünde talimat veriyor. Aradaki fark, verinin fiilen kimin sisteminde durduğunu belgeleyip belgeleyemediğinizde düğümleniyor.

Verinin hangi ülkede durduğu ayrı bir başlık ve çoğu sözleşmede hiç sorulmuyor. Aynı yönetmeliğin 62. maddesinin üçüncü fıkrası net: ödeme hizmeti sağlayıcıları tarafından ihraç edilmiş ödeme araçlarına ilişkin hassas müşteri verilerinin yurt içinde bulunan işyerleri nezdinde veya sorumluluğunda saklanması durumunda, bu verilerin yurt içinde tutulması ve saklanması zorunlu. Türkiye'deki bir e-ticaret sitesi kart verisini yurt dışındaki bir bulut ortamında ya da yurt dışı merkezli bir altyapıda tutuyorsa doğrudan bu fıkrayla karşı karşıya. Maddenin beşinci fıkrası ise kişisel verilerin işlenmesi faaliyetlerinde 6698 sayılı Kanun hükümlerinin öncelikli olarak uygulanacağını söylüyor, yani KVKK'nın 9. maddesindeki yurt dışına aktarım rejimi de tabloya ekleniyor. Ödeme altyapınızın sunucusunun nerede olduğunu bilmiyorsanız, sözleşmeyi yeniden okumanın zamanı gelmiş demektir.

Teknik tarafta iki düzenleme birbirini tamamlıyor. Önce tanım: aynı yönetmeliğin 3. maddesi hassas müşteri verisini, ödeme emrinin verilmesinde veya müşterinin kimliğinin doğrulanmasında kullanılan ve üçüncü kişilerce ele geçirilmesi ya da değiştirilmesi halinde dolandırıcılığa veya müşteri adına sahte işlem yapılmasına imkân verebilecek kişisel veriler ile müşteri güvenlik bilgileri olarak tanımlıyor. Banka Kartları ve Kredi Kartları Hakkında Yönetmelik'in 27/A maddesinin beşinci fıkrası, üye işyerlerinin POS'un üye işyeri anlaşması yapan kuruluş sistemleriyle bağlantısını sağlayan altyapı üzerinde kartlara ilişkin hassas veriyi tutan, işleyen veya kaydeden bir sistem kuramayacağını söylüyor. Yedinci fıkra, internet üzerinden ve kart hamili tarafından başlatılan işlemler için 3-D Secure ya da en az onun güvenlik önlemlerini karşılayan bir kimlik doğrulama teknolojisini içeren altyapının tesis edilmesini, veri işleme, kaydetme veya iletişiminde asgari seviyede PCI DSS hükümlerinin dikkate alınmasını istiyor. Ödeme ve elektronik para kuruluşları içinse 1 Aralık 2021 tarihli ve 31676 sayılı Resmî Gazete'de yayımlanan Tebliğ'in 9. maddesi geçerli: hassas müşteri verilerinin şifrelenmiş biçimde ya da güvenli bileşenlerde saklanması esas, internet üzerinden iletim uçtan uca güvenli iletişimle yapılır, bu veriler izin verilen haller dışında üçüncü taraflara verilemez. Kart doğrulama kodunu işlem tamamlandıktan sonra herhangi bir yerde tutmanın ise savunulabilir bir hali yok.

Uygulamadaki hataların çoğu teknoloji sorunu değil, alışkanlık sorunu. Telefonda sipariş alırken kart numarasını not defterine yazmak. Müşteriden WhatsApp üzerinden kartın fotoğrafını istemek. Rezervasyon garantisi için kart bilgilerini matbu forma doldurtup dosyada saklamak. Çağrı merkezinde müşteri kart numarasını okurken ses kaydının devam etmesi. Dördü de 5464'ün 23. maddesindeki saklama ve kopyalama yasağının kapsamına giriyor, dördü de KVKK'nın 12. maddesi bakımından veri güvenliği eksikliği anlamına geliyor. Çözümler pahalı değil: tahsilatı ödeme bağlantısıyla yapmak, kart numarasının söylendiği anda kaydı duraklatan ya da o bölümü maskeleyen bir çağrı merkezi yapılandırması kurmak, kağıt formu sanal POS ile değiştirmek. Diyelim ki bir otel garanti kartı istiyor. Bilgiyi kendi arşivinde tutmak yerine sanal POS üzerinden provizyon almak, hem yasağın hem de olası bir ihlalin dışında kalmayı sağlıyor.

İhlal gerçekleştiğinde tablo ağırlaşıyor. Kurul'un 26 Kasım 2019 tarihli ve 2019/352 sayılı kararında bir banka çalışanı müşteri bilgilerini kendi e-posta adresine göndererek kurum dışına çıkarmış, sızan veriler arasında kimlik bilgileri, hesap bakiyeleri ve kredi kartı numaraları da varmış, bu bilgilerle sahte belge düzenlenip yetkisiz para çekimleri yapılmış. Kurul, kredi kartı numarası içeren e-postaların karantinaya alınması şeklindeki tedbiri kötü niyetli kişilerce kolayca aşılabilecek düzeyde bulmuş; 12. maddenin birinci fıkrası kapsamında 70.000 TL, ihlalin süresinde bildirilmemesi nedeniyle 30.000 TL olmak üzere toplam 100.000 TL idari para cezası uygulamış. Bugünkü ölçek bambaşka. 2026 yılında veri güvenliğine ilişkin yükümlülüklerin ihlali 256.357 TL ile 17.092.242 TL arasında idari para cezası gerektiriyor, aydınlatma yükümlülüğünün yerine getirilmemesi ise 85.437 TL ile 1.709.200 TL arasında. Kart verisi içeren bir ihlalde Kurula bildirimin yetmiş iki saat içinde yapılması gerektiğini de hatırlatalım.

Kart hamili tarafında yol haritası kısa. Bir sitede kayıtlı kartınızı sildirmek istiyorsanız önce hesap ayarlarından deneyin; silinmiyorsa Kanun'un 11. maddesinin birinci fıkrasının (e) bendine dayanarak veri sorumlusuna başvurun, 13. madde talebin en geç otuz gün içinde sonuçlandırılmasını istiyor, cevap gelmezse 14. madde uyarınca Kurula şikayet yolu açık. Kartınız izniniz dışında kullanıldıysa devreye başka bir mevzuat giriyor. Ödeme Hizmetleri Yönetmeliği'nin 53. maddesinin dördüncü fıkrası durumu derhal ödeme hizmeti sağlayıcısına bildirmenizi istiyor. 54. maddenin dördüncü fıkrası, bu bildirimden önceki yirmi dört saat içinde gerçekleşen ve yetkilendirmediğiniz ödeme işlemlerinden doğan zararın yalnızca iki yüz elli Türk Lirasına kadar olan bölümünden sorumlu olduğunuzu, bildirimden sonraki işlemlerden ise sorumlu tutulamayacağınızı söylüyor. Aynı maddenin dokuzuncu fıkrası bir kapı daha açıyor: ödeme hizmeti sağlayıcısı gerekli kimlik doğrulamaları zorunlu tutmamışsa, kaybolan veya çalınan kartın başkaları tarafından kullanılmasından doğan zarardan sorumlu tutulamazsınız.

Kayıtlı kart özelliği sunan bir siteniz varsa üç soruya bugün cevap verebiliyor olmanız gerekiyor: kart verisi fiziken nerede duruyor, saklamanın hukuki sebebi ne, müşteri rızasını geri çektiğinde ne oluyor. KVKK Danışman'ın ücretsiz ön değerlendirmesinde ödeme akışınızı, aydınlatma ve açık rıza metinlerinizi, ödeme altyapısı sözleşmenizdeki rol dağılımını ve kart verisine ilişkin saklama sürelerinizi mevcut düzenlemelerle karşılaştırıp nereden başlamanız gerektiğini çıkarıyoruz.

Randevu Al