TCMB uzaktan kimlik tespitini genişletti: Ödeme kuruluşları yabancıları pasaportla kabul edebilecek

Türkiye Cumhuriyet Merkez Bankası (TCMB), ödeme ve elektronik para kuruluşlarının uzaktan müşteri edinimi ve kimlik doğrulama süreçlerinde önemli değişikliklere gitti.

4 Eylül 2026 tarihli ve 33360 sayılı Resmî Gazete’de, “Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelikte Değişiklik Yapılmasına Dair Yönetmelik” ile ilgili bilgi sistemleri tebliğinde yapılan değişiklik birlikte yayımlandı.

Düzenlemelerle biyometrik doğrulama yönetmelik düzeyinde açık biçimde tanımlanırken kimlik belgesinin kontrolünde NFC esas yöntem olarak belirlendi. Türk vatandaşı olmayan gerçek kişilerin ise uluslararası standartlara uygun çipli pasaport kullanarak uzaktan müşteri olarak kabul edilebilmesine imkân tanındı.

Yönetmelik ve tebliğ değişiklikleri yayımlandıkları tarihte yürürlüğe girdi.

Biyometrik doğrulama yönetmeliğe eklendi

TCMB tarafından yayımlanan yönetmelik değişikliğiyle, ödeme hizmeti sağlayıcısı ile müşteri arasında uzaktan iletişim aracıyla kurulacak çerçeve sözleşmelere ilişkin hüküm genişletildi.

Buna göre müşterinin kimliği, uzaktan kurulacak çerçeve sözleşmeler kapsamında biyometrik yöntemlerle veya elektronik kimlik doğrulama özelliğine sahip kimlik belgeleriyle doğrulanabilecek.

Değişiklik, biyometrik yöntemlerin uzaktan müşteri doğrulama süreçlerindeki yerini yönetmelik düzeyinde açık hâle getiriyor.

Kimlik belgesi tanımı netleştirildi

Aynı gün yayımlanan “Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğde Değişiklik Yapılmasına Dair Tebliğ” ile uzaktan kimlik tespitinin teknik ve operasyonel ayrıntıları düzenlendi.

Tebliğe eklenen tanıma göre “kimlik belgesi”, Türkiye Cumhuriyeti Kimlik Kartı Yönetmeliği’nde tanımlanan kimlik kartını ifade edecek.

Böylece Türk vatandaşlarının uzaktan kimlik tespitinde kullanılacak temel belge, mevzuat içerisinde açık biçimde tanımlanmış oldu.

NFC doğrulaması esas yöntem olacak

Uzaktan kimlik tespiti için müşteriden gerekli kimlik bilgileri ile kimlik belgesinin temin edilmesi gerekecek.

Kimlik belgesinin ve belge üzerindeki bilgilerin doğruluğu esas olarak yakın alan iletişimi teknolojisi kullanılarak kontrol edilecek. NFC doğrulamasının yanı sıra belgenin;

Beyaz ışık altında görülebilen güvenlik unsurları,

Fotoğraf ve imza bilgileri,

Orijinalliği ve bütünlüğü,

Yıpranma ve tahrif edilme durumu,

Ön ve arka yüzündeki görsel unsurlar

incelenecek.

Kimlik belgesinin ön ve arka yüzünün görsel unsurlar yönünden kontrol edildiği süreç kesintisiz biçimde kayıt altına alınacak.

NFC kullanılamazsa alternatif doğrulama yapılabilecek

Türkiye Cumhuriyeti kimlik kartının NFC üzerinden doğrulanamaması durumunda uzaktan kimlik tespiti süreci otomatik olarak sona ermeyecek.

Bu durumda kimlik belgesi ile belge üzerindeki bilgilerin doğruluğu; optik karakter tanıma, kart okuyucu veya MASAK’ın görüşü alınarak TCMB tarafından belirlenecek diğer yöntemlerden en az biri kullanılarak kontrol edilebilecek.

Alternatif doğrulama kullanıldığında kimlik belgesinin mevzuatta belirlenen tür ve sayıdaki güvenlik unsurları da incelenecek. Belgenin orijinalliği, bütünlüğü, yıpranma ve tahrif edilme durumu kontrol edilecek ve görsel inceleme süreci kesintisiz şekilde kayıt altına alınacak.

Bu alternatif yöntemler, tebliğde “kimlik belgesi” olarak tanımlanan Türkiye Cumhuriyeti kimlik kartı için geçerli olacak. Yabancı müşterilerin pasaportla uzaktan kimlik tespitinde ise NFC doğrulaması zorunlu olacak.

Yabancılar çipli pasaportla kabul edilebilecek

Düzenlemenin en dikkat çekici değişikliklerinden biri Türk vatandaşı olmayan gerçek kişilere ilişkin oldu.

Ödeme ve elektronik para kuruluşları, Türk vatandaşı olmayan kişilerin kimlik tespitini Mali Suçları Araştırma Kurulu Genel Tebliği’nin 4/C maddesinde belirlenen esaslar kapsamında uzaktan gerçekleştirebilecek.

Bu işlemde yalnızca Uluslararası Sivil Havacılık Teşkilatının ICAO 9303 standardına uygun ve NFC özelliğine sahip pasaportlar kullanılabilecek. Pasaportun çipinde bulunan kimlik bilgilerinin belge üzerindeki bilgilerle eşleştiği NFC aracılığıyla doğrulanacak.

Pasaport çipinin okunamaması veya bilgilerin NFC kullanılarak doğrulanamaması durumunda yabancı müşteriyle uzaktan iş ilişkisi kurulamayacak.

Görüntülü görüşme ve yapay zekâ birlikte kullanılabilecek

Atıf yapılan MASAK düzenlemesine göre yabancı müşterilerin uzaktan kimlik tespiti, pasaport doğrulaması konusunda özel eğitim almış personel tarafından görüntülü görüşmeyle gerçekleştirilecek.

Görüntülü görüşme zorunluluğu devam etmekle birlikte canlılık testi ve fotoğraf karşılaştırması amacıyla gerekli şartları sağlayan yapay zekâ tabanlı uygulamalar da kullanılabilecek. Yapay zekâ uygulamaları, eğitimli personel tarafından gerçekleştirilecek görüntülü görüşmenin yerine geçmeyecek.

Görüşme sırasında müşteriyi ve müşterinin sunduğu pasaport üzerindeki bilgileri gösteren görüntüler alınacak.

Kimlik tespiti sırasında kullanılan IP ve port bilgileri, cihaz kimliği, coğrafi konum, tarayıcı bilgileri ve benzeri teknik veriler de pasaport bilgileriyle birlikte risk temelli yaklaşım kapsamında değerlendirilecek. Şüpheli bir durum tespit edilmesi hâlinde uzaktan kimlik tespiti süreci sonlandırılacak.

Adres üç ay içinde doğrulanacak

Pasaportla uzaktan müşteri olarak kabul edilen yabancıların adres bilgilerinin en geç üç ay içinde teyit edilmesi gerekecek.

Adres doğrulaması;

Yerleşim yeri belgesi,

Müşteri adına düzenlenmiş ve son üç aya ait elektrik, su veya doğal gaz faturası,

Bir kamu kurumu tarafından verilen belge,

İlgili ülkenin kamuya açık veri tabanları üzerinden yapılabilecek.

Adres teyidi tamamlanmadan müşterinin para transferi ve nakit çekim işlemi yapmasına izin verilmeyecek.

Yabancı müşteriler yüksek risk grubunda değerlendirilecek

Pasaportla uzaktan kimlik tespiti yöntemiyle kabul edilen müşteriler, MASAK düzenlemeleri kapsamında yüksek risk grubunda değerlendirilecek ve buna uygun izleme ve kontrol tedbirlerine tabi tutulacak.

Ödeme ve elektronik para kuruluşlarının bu müşterilere ilişkin riskleri tanımlaması, derecelendirmesi, izlemesi ve azaltması gerekecek. Kuruluşlar ayrıca müşteri tanıma, risk yönetimi, izleme ve kontrol faaliyetlerini içeren bir uygulama rehberi hazırlayacak.

Müşteri kabulüne başlanmasından itibaren bir ay içinde alınan tedbirler ile oluşturulan prosedür ve rehberler hakkında MASAK’a bildirim yapılacak.

Kuruluşların kendi risk değerlendirmeleri kapsamında riskli olarak belirlediği ülkelerin vatandaşları, pasaportla uzaktan kimlik tespiti yöntemiyle müşteri olarak kabul edilemeyecek.

Müşterinin profiline veya iş ilişkisinin kurulma amacına uygun olmayan işlemler tespit edildiğinde ilave tedbirler uygulanacak.

Para transferlerinde müşterinin kendi hesabı esas alınacak

Müşterinin kimlik bilgilerinin doğrulanması amacıyla, müşterinin bilgileriyle uyumlu yurt içi veya yurt dışı bir banka hesabından ya da banka veya kredi kartından para transferi yapılması zorunlu olacak.

Transfer mesajlarında bulunan ayırt edici bilgiler ile uzaktan kimlik tespiti sırasında müşteriden alınan bilgilerin eşleşip eşleşmediği kontrol edilecek. Bu transfer ve kontrol işlemi, müşteri hesabından başka bir işlem gerçekleştirilmeden önce tamamlanacak.

Ayrıca bu kapsamda açılan hesaba yalnızca müşterinin yurt dışında kendi adına açılmış banka hesaplarından para gönderilebilecek. Hesaptan yurt dışına para çıkışı da yalnızca aynı kişi adına açılmış banka hesaplarına yapılabilecek.

Yüz yüze olmayan işlemlere ilişkin ilave risklerin dikkate alınması kaydıyla, MASAK düzenlemesinde belirtilen yöntemle yeniden kimlik tespiti yapılması durumunda nakit çekilebilecek veya para transferlerine ilişkin bu sınırlamalar uygulanmayabilecek.

Bu yöntemle kabul edilen müşterilere ilişkin istatistiki bilgiler, takvim yılı esas alınarak her üç aylık dönemin son ayında MASAK’a gönderilecek.

Yabancı şirket temsilcileri de aynı yöntemle doğrulanabilecek

Ticaret siciline kayıtlı bir tüzel kişiyi temsile yetkili kişinin Türk vatandaşı olmaması durumunda temsilcinin kimlik tespiti de gerekli bilgilerin alınması şartıyla ICAO 9303 standardına uygun NFC özellikli pasaport üzerinden gerçekleştirilebilecek.

Bu hüküm, doğrudan tüzel kişinin bütün uzaktan müşteri kabul sürecini tek başına düzenlemiyor; şirketi temsil eden yabancı gerçek kişinin kimliğinin aynı pasaport doğrulama yöntemiyle tespit edilebilmesine imkân tanıyor.

Bazı işlemlerde 22’nci maddenin ilk fıkrası uygulanmayacak

Anonim ön ödemeli araçlar, kimlik tespiti yapılması zorunlu olmayan ve sürekli iş ilişkisi oluşturmayan tek seferlik ödeme işlemleri ile MASAK düzenlemelerinde belirtilen bazı elektronik para ihracı ve ödeme işlemleri için uzaktan iletişim aracı kullanılması hâlinde, Tebliğ’in 22’nci maddesinin birinci fıkrasında düzenlenen süreçlerin uygulanması zorunlu olmayacak.

Bu istisna, söz konusu işlemlerin diğer kimlik tespiti, işlem izleme veya suç gelirlerinin aklanmasının önlenmesine ilişkin yükümlülüklerden tamamen muaf olduğu anlamına gelmeyecek.

TCMB sektörel mevzuatı MASAK çerçevesiyle uyumlu hâle getirdi

TCMB’nin düzenlemesi, SPK’nın 3 Eylül 2026’da yürürlüğe koyduğu uzaktan kimlik tespiti değişikliğinin bir gün ardından geldi.

SPK düzenlemesiyle aracı kurumlar, portföy yönetim şirketleri ve kripto varlık hizmet sağlayıcıların yabancı gerçek kişileri NFC özellikli pasaportla uzaktan müşteri olarak kabul edebilmesine imkân tanınmıştı.

TCMB’nin 4 Eylül tarihli değişiklikleriyle ödeme ve elektronik para sektörüne ilişkin düzenlemeler de MASAK’ın pasaportla uzaktan kimlik tespiti çerçevesiyle uyumlu hâle getirildi.

Böylece yabancı kişilerin pasaportla uzaktan müşteri olarak kabul edilmesine ilişkin sektörel uygulama; sermaye piyasası, kripto varlık, ödeme hizmetleri ve elektronik para alanlarını kapsayacak şekilde genişledi.

FT Analiz | Yabancı müşteri kanalı açılıyor, ancak kitlesel ve sürtünmesiz değil

4 Eylül düzenlemesi, yalnızca ödeme ve elektronik para kuruluşlarının kimlik doğrulama yöntemlerine biyometri ekleyen teknik bir değişiklik olarak okunmamalı. Asıl gelişme, MASAK tarafından haziran ayında oluşturulan yabancılara yönelik uzaktan kimlik tespiti çerçevesinin ödeme ve elektronik para sektöründe uygulanabilir hâle getirilmesi.

MASAK, 27 Haziran 2026’da genel AML/CFT ve müşteri tanıma esaslarını belirledi. SPK 3 Eylül’de sermaye piyasası ve kripto varlık sektörüne, TCMB ise 4 Eylül’de ödeme ve elektronik para sektörüne ilişkin düzenlemeleri bu çerçeveyle uyumlu hâle getirdi. Ortaya çıkan tablo, tekil mevzuat değişikliklerinden çok sektörler arasında ilerleyen düzenleyici bir uygulama zincirine işaret ediyor.

Ancak mevzuatta imkân tanınması, bütün kuruluşların kısa süre içinde yabancı müşteri kabul etmeye başlayacağı anlamına gelmiyor. Bu kanalı kullanmak isteyen kuruluşların uygulama rehberlerini hazırlaması, risk politikalarını güncellemesi, MASAK bildirimlerini yapması ve gerekli teknik altyapıyı kurması gerekiyor. Dolayısıyla düzenlemenin piyasadaki gerçek etkisini belirleyecek unsur, hukuki imkândan çok kurumların operasyonel hazırlık düzeyi olacak.

Kurulan model, sürtünmesiz ve kitlesel bir uluslararası müşteri edinimi rejimi de değil. Yabancı müşterilerde NFC ile pasaport çipi doğrulamasının zorunlu olması, görüntülü görüşme, adres teyidi, teknik veri analizi, yüksek risk sınıflandırması ve para hareketlerine getirilen sınırlamalar oldukça kontrollü bir kabul süreci oluşturuyor. Bu nedenle düzenleme, hedefi tanımlanmamış geniş kullanıcı kazanımından çok belirli ülkeler ve müşteri grupları için kontrollü sınır ötesi büyüme imkânı sunuyor.

SPK ve TCMB tarafındaki uygulama şartları da birebir aynı değil. SPK düzenlemesi, pasaportla uzaktan kabul edilen müşterilerin para transferlerinde yalnızca SWIFT kullanılmasını zorunlu tutuyor. TCMB’nin 4 Eylül tarihli yönetmelik ve tebliğ değişikliklerinde ise SWIFT’e özgü bir şart bulunmuyor. Bunun yerine MASAK’ın 4/C maddesindeki müşterinin kendi hesabından doğrulama yapılması, hesaba para girişlerinin kişinin yurt dışındaki kendi hesaplarıyla ve yurt dışına çıkışların yine aynı kişiye ait hesaplarla sınırlandırılması hükümleri uygulanıyor.

Bu farklılık, bütün finansal sektörler için kullanılabilecek tek tip bir yabancı müşteri edinimi akışının yeterli olmayacağını gösteriyor. Kimlik doğrulama ve uyum altyapılarının kuruluşun tabi olduğu sektöre, sunduğu hizmete ve müşteri riskine göre farklı kuralları çalıştırabilmesi gerekecek.

Yabancı müşterilere uzaktan hizmet vermek isteyen kuruluşlar açısından ihtiyaç, yalnızca pasaport okuyabilen yeni bir ekran geliştirmekten ibaret değil. ICAO uyumlu pasaport kontrolü, NFC doğrulaması, canlılık testi, yüz karşılaştırma, eğitimli personelle görüntülü görüşme, cihaz ve konum analizi, adres teyidi, para transferi eşleştirmesi, sürekli işlem izleme ve düzenleyici raporlama aynı sürecin birbirine bağlı katmanları hâline geliyor.

FT’nin değerlendirmesine göre düzenlemenin gerçek rekabet etkisi, hangi kuruluşun daha hızlı müşteri kabul ettiğinden çok hangisinin yüksek riskli yabancı müşteri segmentini denetlenebilir, ölçeklenebilir ve mevzuata uyumlu biçimde yönetebildiğinde görülecek. Yeni dönemin belirleyici yetkinliği yalnızca uzaktan müşteri edinmek değil, uzaktan kurulan müşteri ilişkisini baştan sona doğrulanabilir biçimde yönetmek olacak.