Giriş: Ödeme Sistemlerinde Veri Koruma Neden Kritik?
Günümüzde ödeme sistemleri, kullanıcıların en hassas verilerini (kart bilgileri, kimlik numaraları, banka hesap detayları) işlemektedir. Bu nedenle, veri koruma düzenlemelerine uyum, hem yasal bir zorunluluk hem de müşteri güveni için temel bir gerekliliktir. Avrupa Birliği'nde yürürlükte olan GDPR (Genel Veri Koruma Yönetmeliği) ve Türkiye'de uygulanan KVKK (Kişisel Verilerin Korunması Kanunu), ödeme sektöründe faaliyet gösteren tüm kuruluşlar için bağlayıcı kurallar getirmektedir. Bu makalede, payments.tr olarak, ödeme sistemleri bağlamında GDPR ve KVKK arasındaki temel farkları, benzerlikleri ve uyum süreçlerini kapsamlı bir şekilde ele alıyoruz.
GDPR ve KVKK: Temel Yapısal Farklar
Coğrafi Kapsam ve Yetki Alanı
GDPR, AB vatandaşlarının verilerini işleyen tüm şirketleri kapsarken, KVKK yalnızca Türkiye'de yerleşik veri sorumlularını ve Türkiye'deki kişilerin verilerini işleyen yabancı kuruluşları kapsar. Ödeme sistemlerinde, uluslararası işlemlerde bu fark kritik hale gelir: Bir Türk fintech şirketi, AB'deki bir müşteriye hizmet veriyorsa hem KVKK'ya hem de GDPR'ye uyum sağlamak zorundadır.
Veri Sorumlusu ve Veri İşleyen Tanımları
Her iki düzenleme de veri sorumlusu (data controller) ve veri işleyen (data processor) arasında ayrım yapar. Ancak GDPR, veri işleyenlere doğrudan yükümlülükler getirirken (örneğin, ihlal bildirimi), KVKK'da bu yükümlülükler daha çok veri sorumlusu üzerinde yoğunlaşır. Ödeme sistemlerinde, ödeme hizmet sağlayıcıları genellikle veri işleyen konumundadır ve GDPR kapsamında daha fazla sorumluluk taşır.
Ödeme Sistemlerinde Uyum Gereksinimleri
Açık Rıza ve Hukuki Sebepler
GDPR, ödeme verilerinin işlenmesi için altı farklı hukuki sebep sunarken, KVKK daha sınırlı bir liste sunar ve özellikle özel nitelikli veriler (biyometrik veriler, sağlık verileri) için açık rıza şartını daha katı uygular. Ödeme sistemlerinde, işlem verileri genellikle sözleşmenin ifası kapsamında işlenir; ancak pazarlama amaçlı kullanım için açık rıza alınması zorunludur.
Veri İhlali Bildirim Süreleri
GDPR, veri ihlali durumunda 72 saat içinde ilgili denetim otoritesine bildirim yapılmasını şart koşar. KVKK ise bu süreyi 72 saat olarak belirlemiş olup, ayrıca ilgili kişilere de bildirim yapılmasını gerektirir. Ödeme sistemlerinde, bir veri ihlali (örneğin, kart bilgilerinin sızdırılması) durumunda bu sürelere uyulmaması, BDDK ve TCMB gibi Türkiye'ye özgü regülatörler tarafından da ek yaptırımlara yol açabilir.
| Özellik | GDPR | KVKK |
|---|---|---|
| Coğrafi Kapsam | AB vatandaşları (her yerde) | Türkiye'deki kişiler |
| Veri İhlali Bildirimi | 72 saat (denetim otoritesine) | 72 saat (KVKK Kurulu'na) |
| İdari Para Cezası | 20 milyon EUR veya %4 ciro | 1-10 milyon TL (güncel) |
| Veri Sorumlusu Kaydı | VERBİS benzeri kayıt | VERBİS zorunlu |
| Özel Nitelikli Veri | Açık rıza veya belirli istisnalar | Açık rıza (daha katı) |
Uyum Sürecinde Pratik Adımlar
Veri Envanteri ve Risk Analizi
Ödeme sistemlerinde uyum için ilk adım, işlenen tüm kişisel verilerin (kart numaraları, IP adresleri, işlem geçmişi) envanterini çıkarmak ve her veri kategorisi için risk analizi yapmaktır. payments.tr olarak önerimiz, PCI DSS gereklilikleriyle entegre bir veri haritası oluşturmanızdır.
Aydınlatma Yükümlülüğü ve Gizlilik Politikaları
Hem GDPR hem KVKK, veri sahiplerine açık ve anlaşılır bir aydınlatma metni sunulmasını zorunlu kılar. Ödeme sayfalarında, hangi verilerin neden toplandığı, ne kadar süre saklanacağı ve üçüncü taraflarla paylaşılıp paylaşılmayacağı açıkça belirtilmelidir. Örneğin, bir sanal POS entegrasyonunda, müşteriye ödeme öncesi bu bilgileri içeren bir onay kutusu sunulmalıdır.
Veri Saklama ve İmha Politikaları
Ödeme verilerinin saklama süreleri, mevzuata ve işin gerekliliğine göre belirlenmelidir. KVKK, verilerin işlenme amacı sona erdiğinde silinmesini veya anonimleştirilmesini şart koşar. GDPR ise “veri minimizasyonu” ilkesiyle, yalnızca gerekli verilerin toplanmasını vurgular. Ödeme sistemlerinde, başarısız işlem logları gibi verilerin 3-5 yıl saklanması yaygın bir uygulamadır.
Sık Sorulan Sorular
KVKK ve GDPR arasındaki en büyük fark nedir?
En temel fark coğrafi kapsam ve ceza miktarlarıdır. GDPR, AB vatandaşlarını korurken cezaları ciroya oranlıdır (20 milyon EUR veya %4). KVKK ise Türkiye'deki kişileri korur ve cezaları daha düşük olmakla birlikte, son düzenlemelerle artırılmıştır (1-10 milyon TL arası).
Ödeme sistemlerinde hangi veriler KVKK kapsamında özel nitelikli sayılır?
KVKK'ya göre özel nitelikli veriler arasında biyometrik veriler (parmak izi, yüz tanıma), sağlık verileri ve ceza mahkumiyeti verileri yer alır. Ödeme sistemlerinde, biyometrik doğrulama (örneğin, parmak izi ile ödeme) kullanılıyorsa, bu veriler özel nitelikli kabul edilir ve açık rıza alınması zorunludur.
Bir Türk fintech şirketi GDPR'ye uymak zorunda mı?
Evet, eğer şirket AB vatandaşlarının verilerini işliyorsa (örneğin, AB'deki müşterilere ödeme hizmeti sunuyorsa) GDPR kapsamına girer. Ayrıca, AB'de bir temsilci ataması gerekebilir. payments.tr, bu tür durumlarda profesyonel hukuki danışmanlık alınmasını önerir.
Veri ihlali durumunda hangi adımlar atılmalıdır?
Öncelikle ihlali tespit eder etmez, 72 saat içinde KVKK Kurulu'na (veya GDPR için ilgili otoriteye) bildirim yapılmalıdır. Ardından, etkilenen kişilere bilgi verilmeli (e-posta, SMS gibi) ve ihlalin etkilerini azaltmak için gerekli teknik önlemler alınmalıdır (örneğin, kart iptali, şifre sıfırlama).
KVKK uyumu için VERBİS kaydı zorunlu mu?
Evet, veri sorumluları (örneğin, ödeme kuruluşları) VERBİS'e kayıt yaptırmak zorundadır. İstisnalar yalnızca yıllık çalışan sayısı 50'den az ve bilanço büyüklüğü 25 milyon TL'den az olan şirketler için geçerlidir; ancak ödeme sistemleri genellikle bu istisna kapsamına girmez.
