Madde 6 — Sır niteliğindeki bilgilerin paylaşılmasına ilişkin genel ilkeler
MADDE 6 –(1) 5 inci madde kapsamında yapılacak paylaşımlar da dâhil olmak üzere, müşteri sırrı ve banka sırrı niteliğindeki bilgiler, sadece belirtilen amaçlarla sınırlı olmak ve ölçülülük ilkesine uygun olarak bu amaçların gerektirdiği kadar veriyi içermek kaydıyla paylaşılabilir. Karşı tarafın bilgilerin içeriğine vakıf olup olmadığına bakılmaksızın sır kapsamındaki bilgilerin aktarılması da paylaşım olarak kabul edilir. Paylaşılan verilerin bir kısmı olmadan da belirtilen amacın gerçekleşmesi sağlanabiliyor ise paylaşımın ölçülü olduğu kabul edilemez. Bu kapsamda, 5 inci madde kapsamındakiler de dahil olmak üzere yapılacak paylaşımların ölçülü olabilmesi için asgari olarak aşağıdaki hususların tamamının yerine getirilmesi zorunludur:
a) Belirtilen hangi amaçlarla ilişkili ise, paylaşımların yalnızca söz konusu amaçların gerektirdiği kadar veriyi içermesi.
b) Paylaşımların içerdiği veri ya da veri setlerinin tamamının belirtilen amaçların gerçekleştirilmesi için gerekli olduğunun gösterilebilir olması.
c) Paylaşılacak veriler toplulaştırıldığında, kimliksizleştirildiğinde ya da anonim hale getirildiğinde söz konusu amaçlar yine de gerçekleştirilebiliyor ise bu yöntemlerin uygulanması.
ç) Bilgisi paylaşılacak müşteri aynı zamanda ana ortaklık, hakim ortak ya da grup şirketinin de ortak müşterisi değilse, bu taraflarla paylaşılacak söz konusu gerçek/tüzel kişi müşteriye ilişkin sır niteliğindeki bilgilerin, anılan müşterinin kimliğini belirli veya belirlenebilir kılacak nitelikte olmaması ve (c) bendinde belirtilen yöntemlerin kullanılması.
d) Paylaşım yapılacak tarafların ve paylaşım metotlarının mümkün olan en az veri kopyası oluşturacak şekilde kurgulanması.
(2) Gerçek kişi müşterilere ilişkin sır niteliğindeki bilgilerin paylaşımında KVKK’nin 4 üncü maddesinde yer verilen genel ilkelere uyulması zorunludur. Müşteri sırrı niteliğinde olsa dahi, sağlık ve cinsel hayata ilişkin kişisel veriler, sır saklama yükümlülüğünden istisna tutulan hallerden biri dayanak gösterilerek, yurt içindeki ya da yurt dışındaki taraflarla paylaşılamaz.
(3) Diğer kanunların emredici hükümleri saklı kalmak kaydıyla, müşteri sırrı niteliğindeki bilgiler, 5 inci maddede belirtilen sır saklama yükümlülüğünden istisna tutulan hâller haricinde, müşterinin açık rızası alınsa dahi, müşteriden gelen bir talep ya da talimat olmaksızın yurt içindeki ve yurt dışındaki üçüncü kişilerle paylaşılamaz ve müşterinin bilgilerini paylaşmaya dair açık rıza göstermesi veya talep ya da talimat vermesi bankanın vereceği hizmetler için bir ön şart haline getirilemez.
(4) Üçüncü fıkrada belirtilen müşterinin talep ya da talimatı yazılı şekilde alınabileceği gibi kanıtlanabilir nitelikte olmak kaydıyla kalıcı veri saklayıcısı yoluyla da alınabilir. Müşterinin talep ya da talimatı, talep ya da talimatın alındığı aynı yöntemlerle müşteri tarafından istenildiğinde iptal edilebilir veya değiştirilebilir olmak kaydıyla, birden çok işlemi kapsayabilir ve süreklilik arz eden işlemlere yönelik talep ya da talimat süresiz olabilir. Altıncı fıkrada belirtilen durumlar haricinde, müşterinin vermiş olduğu talep ya da talimatlarını elektronik bankacılık hizmetlerine yönelik dağıtım kanalları üzerinden sorgulayabilmesi ve görüntüleyebilmesi esastır.
(5) İSEDES Yönetmeliğinin 3 üncü maddesinde tanımlanan birincil sistemler kapsamında olmayan, destek hizmetlerine veya değerleme, derecelendirme ve bağımsız denetim dışındaki hizmet alımlarına ilişkin 5 inci maddenin ikinci fıkrasının (ç) bendi uyarınca yapılacak paylaşımlar için üçüncü fıkrada belirtilen müşterinin talep ya da talimatının bulunması zorunludur. 5 inci maddenin yedinci fıkrası kapsamında yapılan paylaşımlar için bu hüküm uygulanmaz.
(6) İşlemin doğası gereği yurt içinde ya da yurt dışında kurulu banka, ödeme hizmeti sağlayıcısı, ödeme, menkul kıymet mutabakat veya mesajlaşma sistemleri ile etkileşimin gerekli olduğu ve işlemin tamamlanabilmesi için yurt içindeki ya da yurt dışındaki taraflarla müşteri sırrı niteliğindeki bilgilerin paylaşılmasının işlemin zorunlu unsuru olduğu, yurt içi/yurt dışı fon transferi, yurt dışı akreditif, teminat mektubu, referans mektubu gibi işlemler için, işlemin müşteri tarafından başlatılması ya da elektronik bankacılık hizmetlerine yönelik dağıtım kanalları üzerinden müşteri tarafından emir girilmesi, söz konusu paylaşımlar bakımından üçüncü fıkrada belirtilen müşteri talep ya da talimatı yerine geçer.
(7) Müşterinin, talep ya da talimatı üzerine yapılacak paylaşımlarda birinci fıkrada belirtilen ölçülülük ilkesine uyulup uyulmadığı, müşterinin talep ya da talimatına uyulup uyulmadığı ile sınırlı olarak değerlendirilir. Müşterinin paylaşılmasını talep ettiği veri seti içinde başka müşterilere ya da başka bankaların müşterilerine ilişkin sır kapsamındaki bilgilerin de olması halinde ise, birinci fıkradaki yükümlülüğe herhangi bir sınırlama olmaksızın uyulması zorunludur.
(8) 5 inci maddenin ikinci fıkrasının (b) bendi ile üçüncü fıkrası kapsamında, kredi karşılık hesaplamaları ile içsel sermaye yeterliliği hesaplamaları gibi çok sayıda müşteriye ilişkin kapsamlı veri paylaşımını gerektiren paylaşımlar ile karşı tarafın uyum riski amacıyla yapılacak paylaşımlar için, paylaşım öncesinde Kurumun uygun görüşünün alınmış olması şartıyla, birinci fıkranın (ç) bendi uygulanmaz. 5 inci maddenin ikinci fıkrasının (b) bendi ile üçüncü fıkrası kapsamında konsolide risk yönetimi amacıyla paylaşılacak verilerin, banka ana sermayesinin yüzde onu veya daha fazlası oranında kredi kullandırılmış bir gerçek ya da tüzel kişiye veya bir risk grubuna ait olması halinde ise, söz konusu veriler için paylaşım öncesinde Kurumun uygun görüşünün alınmış olması ve birinci fıkranın (ç) bendine uyum şartı aranmaz. Kurul bu fıkrada yer alan sınırlamaları değiştirmeye ya da bu fıkrada yer alan hususlara ilişkin yeni sınırlamalar getirmeye yetkilidir.
(9) Yabancı ülke kanunlarına göre denetime yetkili ve Kurum muadili mercilerin, kendi ülkelerindeki finansal piyasalarda faaliyet gösteren kuruluşların Türkiye’deki şube veya ortaklıklarında denetim yapma ve bilgi talepleri ile bankaların yurt dışındaki şube veya ortaklıklarının konsolidasyon kapsamında yer alan bilgilerine ilişkin taleplerinin yerine getirilmesi hususunda Kanunun 98 inci maddesi hükümleri saklıdır. Kurum muadili yabancı mercilerin talebi üzerine gerçekleştirilecek bilgi paylaşımı, Kanunun 98 inci maddesine uygun olarak Kurum nezdinde bulunan bilgiler ile karşılanmasının mümkün olması halinde doğrudan Kurum tarafından, Kurum nezdinde bulunan bilgilerin yeterli olmaması halinde ise Kurulca verilecek izin dahilinde bankalar tarafından yerine getirilir. 5 inci maddenin beşinci fıkrası uyarınca banka sırrı niteliğindeki bilgilerin, paylaşım öncesinde Kuruma yazılı olarak bildirimde bulunulması şartıyla, Kurum muadili yabancı mercilerin talebi üzerine bu merciler ile paylaşılması bu fıkraya aykırılık teşkil etmez.
(10) 5 inci maddenin ikinci fıkrasının (b) bendi ile üçüncü fıkrası kapsamında denetim çalışma kağıtları da dahil olmak üzere, iç denetim uygulamaları amacıyla yapılan paylaşımların müşterinin kimliğini belirli veya belirlenebilir kılacak veriler içermesi, birinci fıkraya aykırılık olarak kabul edilir.
(11) Kurul, ekonomik güvenliğe ilişkin yapacağı değerlendirme neticesinde, 5 inci maddede belirtilen paylaşımlar da dâhil olmak üzere, müşteri sırrı ya da banka sırrı niteliğinde olan her türlü verinin, yurt dışındaki üçüncü kişilerle paylaşılmasını yasaklamaya yetkilidir. 5 inci madde kapsamında yapılacak paylaşımlar için karşılıklılık ilkesinin uygulanması esastır. Kurul, karşılıklılık ilkesine uymadığı tespit edilen bir ülkede bulunan taraflar ile 5 inci madde kapsamında yapılacak paylaşımları kısıtlamaya, durdurmaya veya yasaklamaya yetkilidir.
Bilgi paylaşım komitesi