Bankacılık ve finans sektörü, müşteri verisi işleme açısından yoğun bir regülasyon altındadır. KVKK'nın yanı sıra Bankacılık Kanunu, Müşteri Sırları, Kara Paranın Aklanmasının Önlenmesi mevzuatı ve BDDK düzenlemeleri de gözetilmelidir. Bu rehberde, bankacılık ve finans sektöründe KVKK uyumu için dikkat edilmesi gereken temel hususlar genel çerçevede ele alınmaktadır.
Finans Sektöründe İşlenen Veriler
Banka ve finans kuruluşları kimlik bilgisi, iletişim bilgisi, gelir ve malvarlığı bilgisi, kredi geçmişi, işlem kayıtları ve biyometrik veri gibi hassas bilgiler işlemektedir. Bu verilerin büyük kısmı kişisel veri kapsamındadır; özel nitelikli veriler (ör. sağlık verisi, sigorta poliçesi kapsamında) de söz konusu olabilir. Veri minimizasyonu ilkesine uygun olarak yalnızca hizmetin sağlanması ve yasal zorunluluklar için gerekli veriler toplanmalıdır.
KYC ve Hukuki Yükümlülük
Müşteri Tanıma (KYC) süreçleri, kara paranın aklanması ve terörün finansmanının önlenmesi mevzuatı kapsamında zorunludur. Bu kapsamda toplanan veriler, KVKK madde 5'te sayılan "hukuki yükümlülüğün yerine getirilmesi" sebebine dayanabilir. Bu durumda açık rıza aranmadan veri işlenebilir; ancak aydınlatma yükümlülüğü devam eder. Somut durumunuz için hukuk danışmanı görüşü alınması önerilir.
Aydınlatma ve Şeffaflık
Banka ve finans kuruluşlarının müşteri ilişkisi kurulurken aydınlatma metni sunması gerekir. Aydınlatmada veri sorumlusu kimliği, işleme amaçları, hukuki sebepler, saklama süresi, veri aktarımı (ortaklar, BDDK, vergi idaresi vb.) ve ilgili kişi hakları belirtilmelidir. Ürün ve hizmet türüne göre ek bilgilendirme yapılması gerekebilir. Çevrimiçi bankacılık ve mobil uygulamalarda da aydınlatma erişilebilir olmalıdır.
Veri Aktarımı ve Ortaklıklar
Banka ve finans kuruluşları verileri sigorta şirketleri, kredi büroları, ödeme sistemleri ve yurt dışı ortaklarla paylaşabilir. Yurt içi aktarımlarda Kanunun 8. maddesi, yurt dışı aktarımlarda 9. madde hükümleri uygulanır. Yurt dışına veri aktarımında yeterli koruma veya taahhütname gibi mekanizmalar gündeme gelebilir. Detay için yurt dışına veri aktarımı rehberimizi inceleyebilirsiniz.
Güvenlik ve Siber Güvenlik
Finansal veriler yüksek risk taşıdığından, teknik ve idari güvenlik tedbirleri BDDK ve KVKK gereksinimlerine uygun şekilde alınmalıdır. Şifreleme, erişim kontrolü, siber güvenlik politikaları ve personel eğitimi önem taşır. Veri ihlali durumunda veri ihlali bildirimi yükümlülüğü hatırda tutulmalıdır.
VERBİS Kayıt Zorunluluğu
Bankacılık ve finans sektöründe faaliyet gösteren kuruluşlar, işledikleri veri türleri ve işleme koşullarına göre VERBİS kayıt yükümlülüğüne tabi olabilir. VERBİS rehberimizi inceleyerek kayıt gerekliliğinizi değerlendirebilirsiniz.
KVKK ve Sektörel Mevzuat Uyumu
KVKK ile bankacılık mevzuatı birlikte değerlendirilmelidir. Özel nitelikli verilerin işlenmesi, saklama süreleri ve müşteri sırları konusunda sektörel düzenlemeler öncelikli olabilir. Uyum sürecinde hukuk danışmanı ve uyum uzmanı desteği almanız önerilir.