Kripto Borsası Kimlik ve Selfie İstemek Zorunda mı? Kripto Varlık Hizmet Sağlayıcılarında KVKK, MASAK Kimlik Tespiti ve Travel Rule
Kripto borsası kimlik ve selfie istemek zorunda mı, veriler ne kadar saklanır? MASAK kimlik tespiti, 15.000 TL eşiği, Travel Rule ve KVKK'nın 2023/570 kararı.
Kısa cevap: evet, zorunda. Türkiye'de faaliyet gösteren kripto varlık hizmet sağlayıcıları 1 Mayıs 2021'de yapılan yönetmelik değişikliğinden bu yana MASAK yükümlüsü sayılıyor ve 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun uyarınca müşterisinin kimliğini tespit etmek, işlemin gerçek faydalanıcısını ortaya çıkarmak durumunda. Kişisel Verileri Koruma Kurulu da bu tabloyu 11/04/2023 tarihli ve 2023/570 sayılı kararında teyit etti. Bir kullanıcı, üyelik seviyesinin yükseltilmesi için kimlik belgesinin ön ve arka yüzünün fotoğrafı ile belirli bir ifadenin ve günün tarihinin yazılı olduğu kâğıdı elinde tutarken çekilmiş fotoğrafının istenmesini gereğinden fazla veri talebi olarak şikâyet etmişti. Kurul, işlemenin 6698 sayılı Kanun'un 5. maddesinin ikinci fıkrasının (a) bendindeki "kanunlarda açıkça öngörülmesi" şartına dayandığı sonucuna vararak yapılacak bir işlem bulunmadığına karar verdi. Kararın koruma alanı tam da bu kadar geniş: mevzuatın istediği veri korunuyor, fazlası korunmuyor.
Kripto tarafında bugün üç ayrı mevzuat katmanı aynı anda işliyor. Birincisi aklamayla mücadele rejimi, yani 5549 sayılı Kanun ve Tedbirler Yönetmeliği. İkincisi sermaye piyasası rejimi: 2 Temmuz 2024 tarihli Resmî Gazete'de yayımlanan 7518 sayılı Kanun kripto varlık hizmet sağlayıcılarını Sermaye Piyasası Kurulu'nun düzenleme ve denetim alanına aldı, 13 Mart 2025 tarihli ve 32840 sayılı Resmî Gazete'de yayımlanan III-35/B.1 ve III-35/B.2 sayılı tebliğler kuruluş, faaliyet, çalışma usulü ve sermaye yeterliliği esaslarını belirledi. Üçüncüsü KVKK. İlk iki katman "hangi veriyi toplamak zorundasın" sorusunu cevaplıyor, üçüncüsü "topladığın veriyi nasıl işleyeceksin" sorusunu. Uyum dosyalarında en sık görülen eksiklik de burada: ilk ikisi titizlikle hazırlanmış oluyor, üçüncüsü MASAK metinlerinden kopyalanmış bir aydınlatma metnine indirgeniyor.
Eşikler konusunda kripto sektörü ayrı bir yerde duruyor. Sürekli iş ilişkisi kurulurken, yani hesap açılışında, tutara bakılmaksızın kimlik tespiti yapılıyor. Tek seferlik işlemlerde ise kripto varlık hizmet sağlayıcıları için sınır 15.000 TL; diğer yükümlüler için aynı sınır 185.000 TL. Aradaki fark tesadüf değil, düzenleyicinin sektörü yüksek riskli görmesinin doğrudan sonucu. 25 Aralık 2024 tarihli ve 32763 sayılı Resmî Gazete'de yayımlanan değişiklikle gelen Seyahat Kuralı, yaygın adıyla Travel Rule, 25 Şubat 2025'te yürürlüğe girdi. 15.000 TL ve üzerindeki kripto varlık transferlerinde transfer mesajının içinde göndericinin adı soyadı veya ticaret unvanı, cüzdan adresi (yoksa işlemi ayırt etmeye yarayan referans numarası) ve kimliğini ayırt etmeye yarayan bir bilgi, örneğin T.C. kimlik numarası, pasaport numarası ya da adres yer alıyor. Alıcı tarafında ad soyad ve cüzdan adresi iletiliyor. Zincirin her halkasındaki aracı hizmet sağlayıcı bu bilgiyi bir sonrakine aktarmakla yükümlü. Teknik olarak bir aklama önleme yükümlülüğü, hukuken bir kişisel veri aktarımı.
Buradan çoğu platformun gözden kaçırdığı noktaya geliyoruz. Alıcı tarafındaki hizmet sağlayıcı yurt dışındaysa, transfer mesajı yurt dışına kişisel veri aktarımıdır ve 6698 sayılı Kanun'un 9. maddesine tabidir. Üstelik bu akış arızi değil, günde yüzlerce kez tekrarlanan sistematik bir aktarım. Dolayısıyla 9. maddenin altıncı fıkrasındaki arızi hâllere sığınmak zor. Yeterlilik kararı bulunmayan ülkeler için uygun güvencelerden birine ihtiyaç var; uygulamada bu çoğunlukla Kurulun ilan ettiği standart sözleşme oluyor ve imzalanan standart sözleşmenin beş iş günü içinde Kuruma bildirilmesi gerekiyor. Travel Rule akışının kişisel veri envanterinde hiç görünmemesi, denetimde açıklaması zor bir boşluk.
Sık sorulan bir soru da cüzdan adresinin kişisel veri sayılıp sayılmadığı. Zincir üstünde tek başına duran bir karakter dizisi doğrudan kimlik göstermiyor, bu doğru. Fakat bir kripto varlık hizmet sağlayıcısı nezdinde o adres kimlik bilgisiyle eşleştiği anda tanımlanabilir gerçek kişiye ait veri hâline geliyor ve Kanun kapsamına giriyor. İki pratik sonucu var. Aydınlatma metninde işlenen veri kategorileri sayılırken cüzdan adresi ve zincir üstü işlem geçmişi de yazılmalı, çoğu metinde ikisi de yok. Silme talebi geldiğinde ise dağıtık defterdeki kaydın silinemeyeceği savunması yerinde, ancak platformun kendi kurum kaydındaki kimlik ile adres eşleştirmesi bambaşka bir veri ve onun akıbeti ayrıca değerlendirilmek zorunda.
Selfie tarafı 2026'da köklü biçimde değişti. Aracı kurumlar ve portföy yönetim şirketleri için 8 Şubat 2022'de yayımlanan uzaktan kimlik tespiti tebliği (III-42.1), 28 Şubat 2026 tarihli Resmî Gazete'de yayımlanan III-42.1.a sayılı değişiklikle kripto varlık hizmet sağlayıcılarını da kapsamına aldı. Bunu 3 Eylül 2026 tarihli ve 33359 sayılı Resmî Gazete'de yayımlanan III-42.1.b izledi; bu değişiklik Türk uyruklu olmayan gerçek kişilerin pasaportla uzaktan kimlik tespitini düzenleyen 8/A maddesini ve tüzel kişi temsilcisinin kimliği ile yetkisinin doğrulanmasına ilişkin 9/A maddesini ekledi. Tebliğin 7. maddesi KVKK bakımından belirleyici: uzaktan kimlik tespiti amacıyla özel nitelikli kişisel verilerden sadece biyometrik veri kullanılabiliyor ve kişinin buna dair açık rızası elektronik ortamda kayıt altına alınıyor.
Bu cümlenin uygulamadaki karşılığı çoğu platformda yanlış kuruluyor. Açık rıza, hizmetin ön şartı hâline getirildiği anda özgür irade unsurunu kaybeder. Biyometrik doğrulamaya rıza vermeyen kullanıcıya hiçbir alternatif sunulmuyorsa alınan şey rıza değil, işaretlenmesi zorunlu bir kutu. Doğru kurgu, uzaktan kimlik tespiti dışında en az bir yol bırakmak: yüz yüze kimlik tespiti, temsilci aracılığıyla başvuru, noter onaylı belge gibi. Diyelim ki kullanıcı doğrulamayı tamamladı ve sonra rızasını geri almak istedi. Bu durumda geri alma yolunun bulunması kolay olmalı ve kimlik tespiti kayıtlarının kanunen saklanması gereken kısmı ile biyometrik şablonun kendisi birbirinden ayrılabilmeli. İkisi teknik olarak aynı yerde tutuluyorsa geri alma hakkı pratikte kâğıt üstünde kalır.
Yapay zekâ temelli doğrulama ayrı bir başlık. Kişinin canlı görüntüsündeki yüz ile kimlik belgesindeki fotoğrafın karşılaştırılmasında yapay zekâ uygulaması kullanılıyorsa ya da görüntülü görüşme müşteri temsilcisi olmaksızın tamamen otomatik yürütülüyorsa, MASAK'ın 19 sıra numaralı Genel Tebliği'ndeki güvenlik esaslarına uyulması ve algoritmanın yanlış kabul oranının on milyonda birin altında olduğunu gösteren TSE raporunun alınması gerekiyor. Uygulama yurt dışı menşeliyse ve uluslararası standartlarda düzenlenmiş bir raporu varsa TSE raporu aranmıyor. KVKK cephesinde ise 11. maddenin birinci fıkrasının (g) bendi devrede: işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin aleyhine bir sonuç ortaya çıkmasına itiraz hakkı. Hesap açılışı bir eşleşme skoruna bakılarak reddediliyorsa, insan incelemesi talep edilebilecek bir kanalın açık olması gerekir.
Hesabımı kapattım, verilerim siliniyor mu? Hayır. 5549 sayılı Kanun'un 8. maddesi yükümlülere, belgeleri düzenleme tarihinden, defter ve kayıtları son kayıt tarihinden, kimlik tespitine ilişkin belgeleri ise son işlem tarihinden itibaren sekiz yıl muhafaza ve istenmesi hâlinde ibraz yükümlülüğü getiriyor. Kimlik görselleriniz ve doğrulama kayıtlarınız, siz hesabı kapattıktan sonra da yıllarca duruyor. Kanun'un 7. maddesine dayanan silme talebi bu süre dolmadan reddedilebilir, ama iki koşulla: red cevabında kanuni dayanak açıkça gösterilmeli ve süre dolduğunda imha ayrı bir talep beklenmeden yapılmalı. Saklama ve imha politikasında bu sekiz yıllık sürenin veri kategorisi bazında yazılmamış olması, incelemede en kolay fark edilen eksiklerden biri.
Bir de kimsenin konuşmayı sevmediği bir çatışma var. 5549 sayılı Kanun'un 4. maddesi uyarınca yükümlüler, Başkanlığa şüpheli işlem bildiriminde bulunulduğunu, yükümlülük denetimiyle görevlendirilen denetim elemanları ile yargılama sırasında mahkemeler dışında, işleme taraf olanlar dâhil hiç kimseye açıklayamaz. Kullanıcı ise 6698'in 11. maddesine dayanarak hakkında hangi verinin işlendiğini sorabilir. İki hüküm doğrudan çakışıyor. Dengeyi 28. maddenin ikinci fıkrası kuruyor: suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması hâlinde, zararın giderilmesini talep etme hakkı hariç olmak üzere ilgili kişinin hakları uygulanmıyor. Bu istisna dar yorumlanmalı. Bildirimle ilgisi olmayan erişim talepleri genel kurala göre ve 13. maddedeki otuz günlük süre içinde cevaplanmaya devam ediyor.
Güvenlik tarafında sektöre özgü bir yanılgı yaygın: soğuk cüzdan mimarisi ve faaliyet izni için aranan TÜBİTAK kriterlerine uygunluk, KVKK'nın 12. maddesindeki teknik ve idari tedbir yükümlülüğünü karşılamıyor. Bunlar farklı rejimler ve farklı denetleyicileri var. Kişisel veri tarafında sorulacak sorular çok daha sıradan: kimlik görselleri ve görüntülü görüşme kayıtları şifreli mi tutuluyor, müşteri destek ekibinin tamamı bu klasöre erişebiliyor mu, erişim logları tutulup düzenli inceleniyor mu, KYC hizmeti alınan üçüncü taraf sağlayıcıyla veri işleyen sözleşmesi imzalanmış mı, o sağlayıcının sunucuları nerede. Bir sızıntı yaşandığında 72 saatlik ihlal bildirimi süresini yönetilebilir kılan şey bu soruların önceden verilmiş cevaplarıdır. 2026 rakamlarıyla veri güvenliğine ilişkin yükümlülüklerin ihlali 256.357 TL ile 17.092.242 TL arasında idari para cezası gerektiriyor.
Kripto varlık hizmet sağlayıcısıysanız üç dosyayı yan yana koyup bakmakta fayda var: MASAK uyum programınız, SPK tebliğleri kapsamındaki iç düzenlemeleriniz ve kişisel veri envanteriniz. Üçünün birbirini tutmadığı yer, uyum riskinizin toplandığı yerdir. KVKK Danışman'ın ücretsiz ön değerlendirmesinde kimlik tespiti akışınızı, uzaktan kimlik tespitinde alınan açık rızanın kurgusunu, Travel Rule kaynaklı yurt dışı aktarımlarını ve saklama sürelerinizi mevcut düzenlemelerle karşılaştırıp nereden başlamanız gerektiğini çıkarıyoruz.