04.06.2021 tarihinde 31501 sayılı Resmi Gazete’de yayımlanan Yönetmelik ile banka sırrı ve müşteri sırrı niteliğindeki bilgilerin paylaşım ve aktarımlarına ilişkin  kapsam, şekil, usul ve esasları belirlenmiştir. Yönetmelik, 19/10/2005 tarihli ve 5411 sayılı Bankacılık Kanununun 73 ve 93 üncü maddelerine dayanılarak hazırlanmıştır. Bu Yönetmelik 1/1/2022 tarihinde yürürlüğe girecektir.

Sır Saklama Yükümlülüğü

Yönetmelik kapsamında; sıfat ve görevleri dolayısıyla bankalara veya müşterilerine ait sırları öğrenenlerin, söz konusu sırları bu konuda kanunen açıkça yetkili kılınan mercilerden başkasına açıklayamayacakları ve bu yükümlülüklerin görevden ayrıldıktan sonra da devam edeceği düzenlenmiştir. Bu yükümlülük, müşteri sırrı niteliğindeki bilgilerin, otomatik olmayan ya da herhangi bir veri kayıt sisteminin parçası olmayan yöntemlerle elde edilmesi ve öğrenilmesi halinde de geçerlidir. Bankacılık faaliyetlerine özgü olarak bankalarla müşteri ilişkisi kurulduktan sonra oluşan gerçek ve tüzel kişilere ait veriler, müşteri sırrı hâline gelir. Bir gerçek veya tüzel kişi müşterinin, bankanın müşterisi olduğunu gösterir her türlü bilgi de müşteri sırrı kapsamındadır. Müşteri ilişkisi kurulmamış olsa dahi, başka bir banka nezdinde bulunan müşteri sırrı niteliğindeki bilgilerin elde edilmesi ve öğrenilmesi de yükümlülük kapsamında değerlendirilmektedir. Yönetmelik uyarınca; kişisel veriler de dâhil olmak üzere, bankalar ile müşteri ilişkisi kurulmadan önce de var olan ve başka bir bankanın müşteri sırrı niteliğinde olmayan gerçek ve tüzel kişilere ilişkin veriler, tek başına sır kapsamında bulunmamakla birlikte, ilgili kişinin banka müşterisi olduğunu gösterecek şekilde, tek başına ya da üçüncü fıkrada belirtilen müşteri ilişkisinin kurulmasından sonra oluşan verilerle birlikte işlendiğinde, müşteri sırrı haline gelir. Burada yükümlülük ilgili verilerin müşteri sırrı haline gelmesi ile birlikte başlamaktadır.

Sır Saklama Yükümlülüğünün İstisnaları

Yönetmelik’te sır saklama yükümlülüğünün dışında tutulan haller 5.maddede detaylı bir şekilde açıklanmıştır. Öncelikle belirtmek gerekir ki banka sırrı ya da müşteri sırrı niteliğindeki bilgilerin bu konuda kanunen açıkça yetkili kılınan merciler ile paylaşılması sır saklama yükümlülüğüne aykırılık teşkil etmez. Yönetmelik’te sayılan diğer istisna hallerinde paylaşımın sır saklama yükümlülüğüne aykırılık teşkil etmemesi için gizlilik sözleşmesi yapılması ve sadece belirtilen amaçlarla sınırlı kalınması şartları öngörülüyor. Bu kapsamda gizlilik sözleşmesi yapılması ve sadece belirtilen amaçlar ile sınırlı kılınması koşuluyla banka sırrı ya da müşteri sırrı niteliğindeki bilgilerin aşağıdaki durumlarda paylaşımı da sır saklama yükümlülüğüne aykırılık teşkil etmez:

a.       Bankaların ve finansal kuruluşların, kendi aralarında doğrudan doğruya ya da Risk Merkezi veya en az beş banka ya da finansal kuruluş tarafından kurulacak şirketler vasıtasıyla her türlü bilgi ve belge alışverişinde bulunması.

b.      Konsolide finansal tablo hazırlama çalışmaları, risk yönetimi ve iç denetim uygulamaları kapsamında bankaların sermayelerinin yüzde on veya daha fazlasına sahip olan yurt içinde veya yurt dışında yerleşik kredi kuruluşu ile finansal kuruluşlar da dâhil ana ortaklıklarına bilgi ve belge verilmesi.

c.       Doğrudan veya dolaylı pay sahipliği yoluyla banka sermayesinin yüzde onunu ve daha fazlasını temsil eden payların satışı amacıyla yapılacak değerleme çalışmalarında kullanılmak üzere muhtemel alıcılara bilgi ve belge verilmesi veya krediler dâhil varlıkların ya da bu varlıklara dayalı menkul kıymetlerin satışı amacıyla yapılacak değerleme çalışmalarında kullanılmak üzere bilgi ve belge verilmesi.

d.      Değerleme, derecelendirme, destek hizmeti ile bağımsız denetim faaliyetlerinde veya gerekli teknik ve idari tedbirlerin alınması kaydıyla hizmet alımlarına yönelik işlemlerde kullanılmak üzere bu hizmeti sağlayanlara bilgi ve belge verilmesi.

Sır Niteliğindeki Bilgilerin Paylaşılmasına İlişkin Genel İlkeler  

Sırniteliğindeki bilgilerin paylaşılmasına ilişkin genel ilkelere de 6.maddede yerverilmiştir. Buna göre, müşteri sırrı ve banka sırrı niteliğindeki bilgiler,sadece belirtilen amaçlarla sınırlı olmak ve ölçülülük ilkesine uygun olarak buamaçların gerektirdiği kadar veriyi içermek kaydıyla paylaşılabilir. Bu bağlamda paylaşılan verilerinbir kısmı olmadan da belirtilen amacın gerçekleşmesi sağlanabiliyor ise paylaşımınölçülü olduğu kabul edilemeyeceği de aşikardır. Karşı tarafın bilgileriniçeriğine vakıf olup olmadığına bakılmaksızın sır kapsamındaki bilgilerinaktarılması da paylaşım olarak kabul edilmektedir.

Yönetmelikuyarınca bir paylaşımın ölçülü olabilmesi için asgari olarak aşağıdakihususların tamamının yerine getirilmesi zorunludur:

a.       Belirtilen hangi amaçlarlailişkili ise, paylaşımların yalnızca söz konusu amaçların gerektirdiği kadarveriyi içermesi.

b.      Paylaşımların içerdiği veri ya daveri setlerinin tamamının belirtilen amaçların gerçekleştirilmesi için gerekliolduğunun gösterilebilir olması.

Paylaşılacak veriler toplulaştırıldığında, kimliksizleştirildiğinde ya da anonim hale getirildiğinde söz konusu amaçlar yine de gerçekleştirilebiliyor ise bu yöntemlerin uygulanması.

d.      Bilgisi paylaşılacak müşteri aynı zamanda ana ortaklık, hakim ortak ya da grup şirketinin de ortak müşterisi değilse, bu taraflarla paylaşılacak söz konusu gerçek/tüzel kişi müşteriye ilişkin sır niteliğindeki bilgilerin, anılan müşterinin kimliğini belirli veya belirlenebilir kılacak nitelikte olmaması ve (c) bendinde belirtilen yöntemlerin kullanılması.

e.       Paylaşım yapılacak tarafların ve paylaşım metotlarının mümkün olan en az veri kopyası oluşturacak şekilde kurgulanması.

Gerçek kişi müşterilere ilişkin sır niteliğindeki bilgilerin paylaşımında KVKK’nin 4üncü  maddesinde yer verilen genel ilkelere uyulması zorunludur. Müşteri sırrı niteliğinde olsa dahi, sağlık ve cinsel hayata ilişkin kişisel veriler, sır saklama yükümlülüğünden istisna tutulan hallerden biri dayanak gösterilerek, yurt içindeki ya da yurt dışındaki taraflarla paylaşılamayacak.

Diğer kanunların emredici hükümleri saklı kalmak kaydıyla, müşteri sırrı niteliğindeki bilgiler, 5 inci maddede belirtilen sır saklama yükümlülüğünden istisna tutulan hâller haricinde, müşterinin açık rızası alınsa dahi, müşteriden gelen bir talep ya da talimat olmaksızın yurt içindeki ve yurtdışındaki üçüncü kişilerle paylaşılamaz ve müşterinin bilgilerini paylaşmaya dair açık rıza göstermesi veya talep ya da talimat vermesi bankanın vereceği hizmetler için bir ön şart haline getirilemez. Madde hükmünün bu fıkrasındaki yükümlülükler Kişisel Verilerin Korunması Korunması Kanunu’ndaki veri sorumlusu/veri işleyen yükümlülükleri ile paraleldir.

İşlemin doğası gereği yurt içinde ya da yurt dışında kurulu banka, ödeme hizmeti sağlayıcısı, ödeme, menkul kıymet mutabakat veya mesajlaşma sistemleri ile etkileşimin gerekli olduğu ve işlemin tamamlanabilmesi için yurt içindeki ya da yurt dışındaki taraflarla müşteri sırrı niteliğindeki bilgilerin paylaşılmasının işlemin zorunlu unsuru olduğu, yurt içi/yurt dışı fon transferi, yurt dışı akreditif, teminat mektubu, referans mektubu gibi işlemler için, işlemin müşteri tarafından başlatılması ya da elektronik bankacılık hizmetlerine yönelik dağıtım kanalları üzerinden müşteri tarafından emir girilmesi, söz konusu paylaşımlar bakımından üçüncü fıkrada belirtilen müşteri talep ya da talimatı yerine geçer.