Yönetmelik,6698 sayılı Kişisel Verilerin Korunması Kanunu’na (“KVKK”) atıfta bulunarak, Bankacılık Kanunu kapsamında sır saklama yükümlülüğü, bu yükümlülüğün istisnaları ve  “banka sırrı” ve “müşteri sırrı” niteliğindeki bilgilerin paylaşım ve aktarımlarına ilişkin kapsam, şekil, usul ve esasları belirlemektedir.

Tanımlar

Yönetmelik’in “Tanımlar” başlıklı 3. maddesi uyarınca “kimliksizleştirme” kavramı; “müşteriye ilişkin verilerin; kimliği belirli veya belirlenebilir söz konusu gerçek/tüzel kişi müşteri ile ilişkilendirilememesi için teknik ve idari tedbirlerin alınması şartıyla ve farklı bir ortamda muhafaza edilen diğer verilerle bir araya getirilmeksizin ilgili müşteriyle ilişkilendirilemeyecek şekilde işlenmesi” olarak tanımlanarak, tüzel kişiler de kapsama dahil edilmiştir.

Yönetmelik,  daha önce mevzuatta yer almayan “toplulaştırma” kavramını, “Müşteriye ilişkin verilerin, gruplama, özetleme, toplu gösterim gibi istatistiksel amaçlarla diğer müşterilere ilişkin verilerle birleştirilerek kimliği belirli veya belirlenebilir bir gerçek/tüzel kişimüşteri ile ilişkilendirilemeyecek şekilde işlenmesi” olarak tanımlanmıştır.

Ekolara, ilgili maddede “veri işleme” ise; “verilerin, elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, paylaşılması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem” olarak ifade edilmiştir. KHK’da yer alan “kişisel verilerin işlenmesi” tanımıyla kıyaslandığında, Yönetmelik kapsamında yapılan tanımda “tamamen veya kısmenotomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla” ibaresinin yer almadığı gözlenmektedir.

Yönetmelik kapsamında Bankacılık Kanunu 73. maddesinde “bankacılık faaliyetlerine özgü olarak bankalarla müşteri ilişkisi kurulduktan sonra oluşan gerçek ve tüzelkişilere ait veriler” olarak ifade edilen “müşteri sırrı”kavramı yeniden düzenlenerek, Yönetmelik’in 4. Maddesinde “Müşteri ilişkisi kurulmamış olsa dahi, başka bir banka nezdinde bulunan müşteri sırrı niteliğindeki bilgilerin elde edilmesi ve öğrenilmesi” hallerinin de sır saklama yükümlülüğüne tabi olacağı belirtilmiştir. Ek olarak, “kişiselleriler de dâhil olmak üzere, bankalar ile müşteri ilişkisi kurulmadan önce devar olan ve başka bir bankanın müşteri sırrı niteliğinde olmayan gerçek vetüzel kişilere ilişkin verilerin, tek başına sır kapsamında olmamakla beraber, ilgili kişinin banka müşterisi olduğunu gösterecek şekilde, tek başına ya da müşteri ilişkisinin kurulmasından sonra oluşan verilerle birlikte işlendiğinde, müşteri sırrı haline geleceği” düzenlenmiştir.

Yönetmelik, “banka sırrı” kavramını ise, müşteri sırrı niteliği taşımayıp yalnızca bankaya ait olan bilgiler olarak düzenlenmiştir.

Yönetmelik 4. maddesinde, Bankacılık Kanunu’nun 73. maddesine paralel olarak sır saklama yükümlülüğüne ilişkin olarak; “sıfat vegörevleri dolayısıyla bankalara veya müşterilerine ait sırları öğrenenler, sözkonusu sırları bu konuda kanunen açıkça yetkili kılınan mercilerden başkasına açıklayamazlar” hükmü düzenlenmiştir.

Sır saklama yükümlülüğünün istisnaları

Sır saklama yükümlülüğünün istisnaları Yönetmelik’in 5.maddesinde düzenlenmiştir. İlgili madde uyarınca;

•      Banka sırrı ya da müşteri sırrı niteliğindeki bilgilerin bu konuda kanunen açıkça yetkili kılınan merciler ile paylaşılması,
• Gizlilik sözleşmesi yapılması ve sadece belirtilen amaçlar ile sınırlı kılınması koşuluyla banka sırrı ya da müşteri sırrı niteliğindeki bilgilerinYönetmelik’in 5. maddesinin 2. fıkrasında belirtilen durumlarda paylaşılması,
• Müşteri sırrı niteliğinde olmayıp yalnızca bankaya ait bilgileri içeren banka sırrıniteliğindeki bilgilerin, banka yönetim kurulu kararı ile banka sorumluluğunda üçüncü taraflar ile paylaşılması,  
•    Bankalar, Risk Merkezi veya en az beş banka ya da finansal kuruluş tarafından kurulmuş şirketlerce, müşterilerin kamu kurum ve kuruluşlarına kendi talepleri ile verdikleri müşteri sırrı niteliğindeki bilgilerin teyit edilmesi konusunda müşteri talep ya da talimatının alınmış olması şartıyla, söz konusu kamu kurumve kuruluşlarına bu bilgilerin sadece doğru olup olmadığı şeklinde cevap verilmesi,
•     Bankanın taraf olduğu uyuşmazlıklarda iddia ya da savunmasının ispatı için zorunlu olması halinde, söz konusu uyuşmazlığın tarafı olan gerçek veya tüzel kişilere ait müşteri sırrı niteliğindeki bilgilere veya banka sırrı niteliğindeki bilgilere ilişkin olarak, ilgili yasal mercilerle paylaşılması,
• 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun kapsamında bir finansal gruba bağlı kuruluşların, müşterinin tanınmasıyla hesap ve işlemlere ilişkin olarak finansal grup içerisinde bilgi paylaşımında bulunması
  

hallerinin sır saklama yükümlülüğüne aykırılık teşkil etmeyeceği düzenlenmiştir.

Sır niteliğindeki bilgilerin paylaşılmasına ilişkin genel ilkeler

Yönetmelik’in6. maddesi kapsamında müşteri sırrı ve banka sırrı niteliğindeki bilgilerin paylaşılmasına ilişkin genel ilkeler düzenlenmiş olup, 5. maddede belirtilen istisnalar kapsamında paylaşılacak bilgiler de dahil olmak üzere, müşteri sırrı ve banka sırrı niteliğindeki bilgilerin,sadece belirtilen amaçlarla sınırlı olmak ve ölçülülük ilkesine uygun olarak bu amaçların gerektirdiği kadar veriyi içermek kaydıyla paylaşılabileceği belirtilmektedir.

Ölçülülük kavramına ilişkin olarak, paylaşılan verilerin bir kısmı olmadan da belirtilen amacın gerçekleşmesinin sağlanabilmesi halinde paylaşımın ölçülü olduğunun kabul edilmeyeceği ve de yapılacak paylaşımların ölçülü olabilmesi için aşağıda belirtilen asgari unsurların varlığının zorunlu olduğu düzenlenmiştir;

•      Belirtilen hangi amaçlarla ilişkili ise, paylaşımların yalnızca söz konusu amaçların gerektirdiği kadar veriyi içermesi,
•    Paylaşımların içerdiği veri ya da veri setlerinin tamamının belirtilen amaçların gerçekleştirilmesi için gerekli olduğunun gösterilebilir olması, 
• Paylaşılacak veriler toplulaştırıldığında, kimliksizleştirildiğinde ya da anonim hale getirildiğinde söz konusu amaçlar yine de gerçekleştirilebiliyor ise bu yöntemlerin uygulanması,
• Bilgisi paylaşılacak müşteri aynı zamanda ana ortaklık, hakim ortak ya da grup şirketinin de ortak müşterisi değilse, bu taraflarla paylaşılacak söz konusu gerçek/tüzel kişi müşteriye ilişkin sır niteliğindeki bilgilerin, anılan müşterinin kimliğini belirli veya belirlenebilir kılacak nitelikte olmaması veyukarıda belirtilen yöntemlerin kullanılması, 
• Paylaşım yapılacak tarafların ve paylaşım metotlarının mümkün olan en az veri kopyası oluşturacak şekilde kurgulanması.

Aynı maddede, müşteri sırrı niteliğindeki bilgilerin 5.maddede yer alan istisnai haller haricinde, müşterinin açık rızası alınsa dahi, müşteriden gelen birtalep ya da talimat olmaksızın yurt içindeki ve yurtdışındaki üçüncü kişilerle paylaşılamayacağı ve müşterinin bilgilerini paylaşmaya dair açık rıza göstermesi veya talep ya da talimat vermesinin bankanın vereceği hizmetler için bir ön şart haline getirilemeyeceği düzenlenmiştir.

Ek olarak 4. fıkrada, yurt içinde ya da yurt dışında yeralan banka, ödeme hizmet sağlayıcıları veya mesajlaşma sistemleri ile etkileşimiçerisinde bulunmanın zorunluluk teşkil ettiği ve bu doğrultuda müşteri sırrı niteliğindekibilgilerin paylaşılmasının zorunluluk arz ettiği, fon transferi, akreditif, teminat mektubu, referans mektubu gibi işlemler için “ilgili işlemin müşteri tarafından başlatılması” ya da “elektronik bankacılık hizmetlerine yönelik dağıtım kanalları üzerinden müşteri tarafından emir girilmesi” durumlarının müşteri talebi ya da talimatı yerine geçeceği düzenlenmiştir.

Maddenin 11. fıkrasında, BDDK’ya müşteri sırrı ya da bank asırrı niteliğinde olan her türlü verinin, yurt dışındaki üçüncü kişilerle paylaşılmasını yasaklama yetkisi verilmektedir. Bunun yanında, yapılacak olan paylaşımlar için de karşılıklılık ilkesinin uygulanmasının esas olduğu;BDDK’nın karşılıklılık ilkesine uymadığı tespit edilen bir ülkede bulunantaraflar ile Yönetmelik’in 5. Maddesi kapsamında yapılacak paylaşımları kısıtlamaya, durdurmaya ya da yasaklamaya yetkili olduğu düzenlenmiştir.

Bankaların bilgi paylaşım komitesi oluşturma zorunluluğu

Yönetmelik kapsamında bankalara görev tanımları ileçalışma esasları banka yönetim kurulu tarafından onaylanan bir Bilgi PaylaşımKomitesi kurma zorunluluğu getirilmektedir. 7. Madde uyarınca, söz konusu komitenin ölçülülük ilkesini dikkate alarak müşteri sırrı ve banka sırrı niteliğindeki bilgilerin paylaşımını koordine etmeve gelen paylaşım taleplerinin uygunluğunu değerlendirerek bu değerlendirmeleri kayıt altına alma sorumluluğunun olacağı düzenlenmiştir.