SPL Yatırım Kuruluşları Aracı Kurumlar ve Portföy Yönetim Şirketleri Tarafından Kullanılacak Uzaktan Kimlik Tespiti Yöntemlerine ve Elektronik Ortamda Sözleşme İlişkisinin Kurulmasına İlişkin Tebliğ III-42.1 Konu Anlatımı

Uzaktan kimlik tespiti tebliğinin temel fikri, sermaye piyasası hizmetlerinde müşteri edinimini yalnızca şubede fiziksel karşılaşmaya bağlı olmaktan çıkarmak, fakat bunu güvenlik seviyesini düşürmeden yapmaktır.

6362 sayılı Sermaye Piyasası Kanunu'nda yapılan değişiklikle aracı kurumlar ve portföy yönetim şirketleri ile müşterileri arasındaki ilişkinin yazılı şekilde, uzaktan iletişim araçlarıyla mesafeli olarak veya Kurulun yazılı şeklin yerine geçebileceğini belirlediği elektronik yöntemlerle kurulabilmesi mümkün hale gelmiştir.

Tebliğ bu kanuni imkanı somut kurallara bağlar.

Bu nedenle konu sadece teknik bir görüntülü görüşme uygulaması değildir; kimlik doğrulama, müşteri iradesi, sözleşmenin kurulması, kişisel verilerin işlenmesi, kayıtların saklanması ve risk yönetimi birlikte değerlendirilir.

Uzaktan kimlik tespiti, personel ile kişinin fiziksel olarak aynı yerde bulunmadan çevrim içi görüntülü görüşme ve iletişim kurması yoluyla yapılan kimlik tespitidir.

Tebliğ bu yöntemin yüz yüze yapılan kimlik tespitine benzer ve asgari düzeyde risk içerecek şekilde tasarlanmasını ister.

Bu amaçla görüntülü görüşmede ortaya çıkabilecek teknolojik, operasyonel ve benzeri risklere karşı güvenlik önlemleri alınır.

Kullanılacak belgelere, belgelerdeki doğrulanabilir özelliklere ve doğrulama kriterlerine ilişkin ayrıntılı doküman hazırlanması gerekir.

Süreç kritik işlem sayıldığı için tasarım, işlemin bilgi teknolojileri veya personel tarafından tek başına başlatılıp bitirilmesine izin vermeyecek biçimde kurulmalıdır.

İşlem kişi tarafından başlar, bilgi teknolojileri kontrolleriyle sürer, personelin onayı ve ek kontrolleriyle tamamlanır.

Personel işlemi riskli görürse ikinci bir personele onaya gönderebilir veya süreci sonlandırabilir.

Aracı kurum veya portföy yönetim şirketi, süreci uygulamadan önce iş akış prosedürü oluşturur ve bu prosedürün etkinliğini test ederek sonuçları yazılı hale getirir.

Test başarılı değilse prosedür güncellenmeden ve yeterlilikten emin olunmadan süreç uygulanmaz.

Prosedür yılda en az iki kez gözden geçirilir.

Güvenlik ihlali, mevzuat değişikliği, muhtemel dolandırıcılık veya sahtecilik bilgisi, kullanılan yöntemde zayıflık görülmesi gibi hallerde ayrıca değerlendirme yapılır.

Bu düzenleme, uzaktan kimlik tespitinin bir defalık kurulum değil, teknolojik gelişmelere ve uygulama deneyimine göre yaşayan bir kontrol sistemi olduğunu gösterir.

Görüntülü görüşme aşamasını yürütecek personel özel önem taşır.

Personelin kimlik belgelerinin özelliklerini, geçerli doğrulama yöntemlerini, dolandırıcılık ve sahtecilik göstergelerini ve mevzuat yükümlülüklerini bilmesi gerekir.

Ayrıca yılda en az bir kez ve her güncelleme sonrasında kişisel verilerin korunması dahil eğitim alması sağlanır.

Çalışma ortamı da kontrol unsurudur; personel erişimi sınırlandırılmış, güvenlik zafiyetlerini ve suistimali önlemeye elverişli alanlarda çalışır.

Kişide güven oluşturmak için personelin ilgili kurum adına çalıştığını yansıtan uygun ortam veya yöntemler kullanılır.

Engelli kişilere hizmet verilebilmesi için gerekli önlemlerin alınması da sürecin kapsayıcı tasarlanması gerektiğini gösterir.

Süreç, görüntülü görüşme başlamadan önce kişinin başvurusunun kurum uygulaması üzerinden elektronik form ile alınması ve bu verilerle risk değerlendirmesi yapılmasıyla başlar.

Kişisel veri bakımından, uzaktan kimlik tespiti amacıyla özel nitelikli kişisel verilerden yalnızca biyometrik veri kullanılabilir ve buna ilişkin açık rıza elektronik ortamda kayıt altına alınır.

Personel atamasında belirli kişinin belirli personele önceden tahmin edilebilir biçimde atanmasından doğabilecek suistimal ihtimalini azaltacak mekanizmalar kurulur.

Görüşmede sorulacak asgari sorular önceden belirlenir, ancak soruların sırası veya türü değişken olabilir.

Böylece süreç hem standartlaştırılır hem de mekanik olarak kolayca taklit edilemeyecek hale getirilir.

Görüntülü görüşme gerçek zamanlı ve kesintisiz yapılmalıdır.

Görsel ve işitsel iletişimin bütünlüğü ve gizliliği yeterli seviyede sağlanır; bu amaçla uçtan uca güvenli iletişim kullanılır.

Ses ve görüntü kalitesi, kimlik tespitinde şüpheye veya kısıtlamaya yol açmayacak düzeyde olmalıdır.

Görüntü kalitesi, kimlik belgesinin beyaz ışık altında görsel olarak doğrulanmasına, belgenin yıpranmış veya tahrif edilmiş olup olmadığının anlaşılmasına ve güvenlik ögelerinin incelenmesine imkan vermelidir.

Süreçte kişiye yalnızca o kimlik tespiti işlemi için geçerli, merkezi olarak üretilen SMS tek kullanımlık parola gönderilir; kişinin bunu çevrim içi uygulama arayüzünden geri iletmesiyle cep telefonu numarası doğrulanır.

Kimlik belgesi doğrulamasında öncelikli yöntem, yakın alan iletişimiyle kimlik belgesinin yongasındaki bilgileri kontrol etmektir.

Bu kontrol, belgenin yetkili makamca verildiğinin ve yongadaki bilgilerin değiştirilmediğinin, ayrıca yonga anahtarlarının kopyalanarak oluşturulmadığının teyidine dayanır.

NFC doğrulaması yapılamazsa görüntülü görüşmede beyaz ışık altında ayırt edilebilen güvenlik ögelerine, fotoğraf ve imzaya sahip kimlik belgesinin en az dört görsel güvenlik unsurunun şekil ve içerik bakımından doğrulanması gerekir.

Bu durumda ayrıca sürekli iş ilişkisi kurulmadan önce ilk finansal hareketin, müşteri tanıma esaslarının uygulandığı başka bir finansal kuruluş üzerinden yapılması zorunludur.

Bu ek şart, daha zayıf doğrulama yoluna başvurulduğunda riski azaltan tamamlayıcı bir kontroldür.

Personel, görüşme sırasında kişinin kimlik belgesini belirli açılarda eğmesini veya belgenin rastgele belirlenen güvenlik kısımlarına parmağını koymasını isteyebilir.

Belgenin ön ve arka yüzü ile üzerindeki bilgileri gösteren fotoğraf veya ekran görüntüleri oluşturulur.

Personel, hareketlerden alınan tekil görselleri kullanarak belgenin doğru açıyla tam kapsandığını, güvenlik ögelerinin görülebildiğini ve geçiş noktalarında tahrifatı gösteren yapaylık bulunmadığını kontrol eder.

Belgedeki karakterlerin yazı tipi, düzeni, sayısı, büyüklüğü ve tipografisi; geçerlilik süresi; zarar görmemiş ve değiştirilmemiş olma hali; MRZ bilgileri ile belge bilgileri arasındaki uyum; kimlik paylaşım sistemi veya erişilebilen diğer bilgilerle eşleşme gibi kriterler de doğrulama kapsamındadır.

Kişinin gerçekten belgedeki kişi olup olmadığı ayrıca değerlendirilir.

Görüntülü görüşmede canlılık tespit edici yöntemler kullanılır ve sahte yüz teknolojisi risklerine karşı ek tedbirler alınır.

Kişinin yüzü, mümkünse kimlik yongasındaki fotoğrafla, bu alınamıyorsa belge üzerindeki fotoğrafla biyometrik olarak karşılaştırılır.

Personel diyalog ve gözlem yoluyla kimlik avı, sosyal mühendislik, üçüncü taraf zorlaması ve benzeri dolandırıcılık yöntemlerini de dikkate alır.

Görüşme sonunda hizmet ve faaliyetler belirtilmişse bunlar açıklanır ve kişinin kurum müşterisi olacağını kabul ettiğine ilişkin sözlü onay alınarak süreç tamamlanır.

Zayıf ışık, düşük görüntü kalitesi, iletişim sorunları, tutarsızlık, belirsizlik, belge geçerliliği hakkında şüphe veya sahtecilik ihtimali varsa süreç sonlandırılır.

Uzaktan kimlik tespitinin tamamı, tüm adımları içerecek ve denetlenebilir olacak biçimde kayıt altına alınır ve saklanır.

Kurum, kullandığı çözümlerin kişiyi yanlış tespit etme riskini en aza indirecek biçimde kullanılmasından sorumludur.

Uzaktan kimlik tespitiyle edinilen kişiler farklı bir risk profilinde izlenir; işlemin türü ve tutarına bağlı olarak ek güvenlik ve kontrol yöntemleri uygulanır.

Kişilere veya üçüncü tarafa yükümlülük doğuran işlemlerde itiraz halinde ispat yükümlülüğünün kurumda olması, kayıt ve kontrol kalitesinin neden kritik olduğunu açıklar.

Kurul, uyum durumu, şikayetler, sahtecilik veya dolandırıcılık değerlendirmeleri ve gerekli gördüğü diğer hallerde uzaktan kimlik tespiti kullanımını kısıtlayabilir veya durdurabilir.