Madde 22 — Uzaktan iletişim aracı ile yürütülecek süreçler
MADDE 22 – (Değişik:RG-7/10/2023-32332)
(1) Kuruluş, uzaktan iletişim aracı ile yürütülecek kimlik tespiti ve sözleşme ilişkisinin kurulması süreçlerinde, Banka tarafından uygun bulunan merkezi bir yapının kullanılmaması durumunda uzaktan kimlik tespitine ve kimliği tespit edilecek kişinin doğrulanmasına imkân verecek internet tabanlı yöntemleri kullanır ve asgari olarak aşağıdaki hususları yerine getirir:
a) Kimlik tespitinin yapılabilmesi için kimliği tespit edilecek kişiden alınması gerekli bilgi ve belgelerin temin edilmesi.
b) Uzaktan kimlik tespiti için temin edilen belgenin ve belgede bulunan veri ve bilgilerin doğruluğunun esas olarak yakın alan iletişimi kullanılarak kontrol edilmesi, beyaz ışık altında görsel olarak ayırt edilebilen güvenlik ögeleri, fotoğraf ve imza başta olmak üzere söz konusu belgenin ve belgede bulunan veri ve bilgilerin orijinallik, bütünlük, yıpranma ile tahrif edilme durumlarına ilişkin testlerinin yapılması ve belgenin ön ve arka yüzünün görsel ögeler yönünden kontrolü sürecinin kesintisiz bir şekilde kayıt altına alınması.
c) (b) bendi uyarınca yakın alan iletişimi kullanılarak doğrulamanın herhangi bir nedenle yapılamaması halinde, söz konusu belgenin ve belgede bulunan veri ve bilgilerin doğruluğunun optik karakter tanıma, kart okuyucu veya MASAK’ın görüşü alınarak Banka tarafından belirlenen diğer yöntemlerden en az birisi kullanılarak kontrol edilmesi, beyaz ışık altında görsel olarak ayırt edilebilen güvenlik ögeleri, fotoğraf ve imza başta olmak üzere söz konusu belgenin ve belgede bulunan veri ve bilgilerin orijinallik, bütünlük, yıpranma ile tahrif edilme durumlarına ilişkin testlerin yapılması ve belgenin ön ve arka yüzünün görsel ögeler yönünden kontrolü sürecinin kesintisiz bir şekilde kayıt altına alınması.
ç) Uzaktan kimlik tespitinin yapılabilmesi için biyometrik verilerin kullanımına ve sözleşme sürecinin uzaktan iletişim aracı ile yürütüleceğine ilişkin kimliği tespit edilecek kişinin onayının ve açık rızasının kayıt altına alınması.
d) Kimliği tespit edilecek kişinin çevrim içi gerçek zamanlı video, çevrim içi gerçek zamanlı hareketli fotoğraf veya çevrim içi görüntülü görüşme yöntemleri kullanılarak canlılık testinin yapılması ve uzaktan kimlik tespiti sürecinde kişinin yüzü ile kimlik belgesinden yakın alan iletişimi kullanılarak alınabilmesi halinde temassız yongadaki fotoğrafın, alınamaması halinde ise kimlik belgesi üzerinde yer alan fotoğrafın biyometrik karşılaştırmasının yapılması ve kimlik belgesindeki fotoğrafın ve kişisel bilgilerin kişi ile uyuştuğunun doğrulanması.
e) Işık ve gürültü seviyesi, sinyal gücü ve benzeri kıstaslar açısından cihaz ve ortam kontrolünün yapılması.
f) Uzaktan iletişim aracı olarak kullanılacak yöntem ile ilgili iletişim bilgilerinin uygun yöntemlerle doğrulanması.
(2) Birinci fıkra uyarınca yapılan canlılık testi işlemlerinde çevrim içi gerçek zamanlı video veya çevrim içi gerçek zamanlı hareketli fotoğraf yöntemlerinin kullanılması halinde, kimliği tespit edilecek kişi tarafından söz konusu video veya hareketli fotoğrafın yapılacak yönlendirmelere uygun şekilde anlık olarak çekilmesi, bu kapsamda önceden çekilen bir video veya hareketli fotoğraf kaydının canlılık testine dahil edilmesine izin vermeyecek bir yapı oluşturulması ve bu kapsamda yapılacak tüm kayıtların gerçek zamanlı olarak kuruluş sunucularında kaydedilmesinin sağlanması zorunludur. Kimliği tespit edilecek kişinin canlılık testinin yapılması esnasında kimliği tespit edilecek kişiye üçüncü taraflarca öngörülemezliği sağlayacak şekilde belirlenmiş olan seçenekler arasından rastgele verilecek komutlar çerçevesinde en az üç görüntü üzerinden gerekli kontrollerin yapılması ve söz konusu sürecin kesintisiz bir şekilde kayıt altına alınması gerekir.
(3) Anonim ön ödemeli araçlar, 5549 sayılı Kanun ve ilgili mevzuat hükümleri kapsamında kimlik tespiti yapılması zorunlu olmayan ve sürekli iş ilişkisi kapsamına girmeyen tek seferlik ödeme işlemleri ile Mali Suçları Araştırma Kurulu Genel Tebliği (Sıra No: 5)’nin 2.2.11 inci maddesinin üçüncü paragrafı kapsamında sanal terminal hizmeti sunan tüzel kişiler için gerekli bilgi, sözleşme, dekont ve benzeri belgelere ilişkin süreçlerin işletilmesi esnasında uzaktan iletişim aracı kullanılması halinde birinci fıkra hükümlerinin uygulanması zorunlu değildir.
(4) Birinci fıkra kapsamında uzaktan iletişim aracı ile yürütülen süreçler, personelin manuel müdahalesinin bulunduğu hallerde görevler ayrılığı prensibine uygun olarak, tek bir kişi tarafından başlatılması, onaylanması ve tamamlanmasına imkân verilmeyecek şekilde tasarlanır ve işletilir. Bu madde kapsamında uzaktan iletişim aracı ile yürütülen süreçlerde kullanılan bilgi sistemleri 16 ncı maddenin on üçüncü fıkrası kapsamında kritik bilgi sistemi olarak kabul edilir.
(5) Birinci fıkra kapsamında uzaktan iletişim aracı ile yürütülen süreçler, tüm adımları içerecek şekilde kayıt altına alınır ve elde edilen veriler, Kanun, Yönetmelik ve bu Tebliğ ile diğer ilgili düzenlemelere uygun bir şekilde saklanır. Uyuşmazlık durumunda, uzaktan iletişim aracı ile yürütülen süreçler esnasında Yönetmelik ve bu Tebliğde yer alan hükümlere uygun işlem tesis edildiğinin ispatından kuruluş sorumludur.
(6) Kuruluş, birinci fıkra kapsamında uzaktan iletişim aracı ile yürütülecek süreçlere ilişkin izlenecek süreç ve prosedürleri yazılı olarak oluşturur, oluşturulan süreç ve prosedürleri yılda en az iki defa olmak üzere düzenli olarak test eder ve test sonuçlarında ortaya çıkan eksiklik, hata, zayıflık ve açıklara ilişkin olarak teknolojik ve operasyonel gereklilikler başta olmak üzere tüm önlemleri alır ve gerekli güncellemeleri yapar.
(7) Birinci fıkra kapsamında uzaktan iletişim aracı ile yürütülecek süreçlerde kimliği tespit edilecek kişiden alınacak belgeler, bu belgelerin doğrulanması esnasında dikkat edilecek güvenlik ve doğrulama özellikleri ile bu kapsamda kullanılacak kriterler ve kimliği tespit edilecek kişinin doğrulanması esnasında dikkate alınacak güvenlik ve doğrulama özellikleri ile bu kapsamda kullanılacak kriterler yazılı olarak dokümante edilir.
(8) Birinci fıkra kapsamında uzaktan iletişim aracı ile yürütülecek süreçlerde, görüşme esnasında kimliği tespit edilecek kişinin kimlik tespitinin yapılması, doğrulanması ve sözleşmenin başka bir tarafın zoru ya da zorlamasıyla yapılmadığından emin olunabilmesi için sorulacak sorular ve yönlendirme amacıyla kullanılacak ifadeler; görüşmenin seyrine ilişkin aşamalar ile her aşamada sorulacak sorular ve yönlendirme amacıyla kullanılacak ifadeler yazılı olarak oluşturulur ve güncel gelişme ve tehditler çerçevesinde düzenli olarak güncellenir.
(9) Kuruluş, birinci fıkra kapsamında belirtilen yöntemler yoluyla yürütülecek süreçlerde aşağıdaki şartları yerine getirmekle yükümlüdür:
a) Sürecin gerçek zamanlı ve kesintisiz şekilde yürütülmesi gerekir.
b) Süreç uçtan uca güvenli iletişim ile gerçekleştirilir.
c) Kullanılan yöntemdeki görüntü ve ses kalitesinin, bu madde uyarınca gerekli kontrollerin etkin bir şekilde yapılmasını sağlayacak şekilde yeterli seviyede olması sağlanır ve süreç boyunca görüntü kalitesinin istenilen seviyede olduğunu gösterecek kontroller oluşturulur. Görüntü kalitesinin ölçülmesinde asgari olarak, görüşme yapılan kişinin görsel olarak net bir şekilde görüntülenebilmesinin, sunulan belgenin beyaz ışık altında görsel olarak doğrulanabilmesinin ve sunulan belgenin tahrif edilmemiş olduğunun kontrol edilebilmesinin mümkün olmasına dikkat edilir.
ç) Süreç esnasında kimliği tespit edilecek kişi tarafından sunulan belgenin geçerliliği hususunda ya da dolandırıcılık veya sahtecilik teşkil edebilecek eylemlerden şüphe edilmesi durumunda, süreç sonlandırılır.
(10) Bu maddede yer alan şartlara uyulmadığı durumlarda birinci fıkranın (d) bendinde belirtilen yöntemler yoluyla sözleşme kurulamaz, bu şekilde kurulan sözleşmelerde yetkilendirilmemiş, hatalı gerçekleşmiş veya benzeri sorunlu işlemlerde tüm sorumluluk kuruluşa ait olur.
(11) Kuruluş, uzaktan iletişim aracı ile kimlik tespiti yaptığı kişileri ve kurduğu sözleşmelere taraf müşterilerini farklı bir risk profilinde izler. Bu müşterilerce yapılan işlemlerin türüne ve tutarına bağlı olarak ilave güvenlik ve kontrol yöntemleri uygulanır.
(12) Birinci fıkra uyarınca uzaktan iletişim aracı ile kurulacak sözleşmelerde, uzaktan kimlik tespitinin yapılmasının ya da müşteri kimliğinin yüz yüze tespit edilmesinin ardından, müşterinin sözleşmeyi kuran irade beyanının, çevrim içi görüntülü görüşme ya da sözleşme ilişkisinin elektronik kanal üzerinden kurulmasının tercih edilmesi durumunda 10 uncu madde kapsamında güçlü kimlik doğrulama yapılması sonrasında aynı elektronik kanal üzerinden alınması şarttır. Bu fıkranın uygulanmasında Yönetmeliğin dördüncü kısmının ikinci bölümünde yer alan hükümler saklıdır.
(13) Bu maddede yer alan şartlar dâhilinde uzaktan kimlik tespitinin yapılması halinde 10 uncu madde kapsamında güçlü kimlik doğrulamanın gerekleri yerine getirilmiş sayılır.
(14) Bu maddenin uygulanmasında 30/4/2021 tarihli ve 31470 sayılı Resmî Gazete’de yayımlanan Mali Suçları Araştırma Kurulu Genel Tebliği (Sıra No: 19) hükümleri öncelikli olarak uygulanır.
(15) Banka, ihtiyaç duyulması halinde bu madde kapsamında uygulanacak diğer usul ve esasları belirlemeye yetkilidir.