Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik Resmi Gazete’de Yayımlandı

Özet

Bankaların faaliyetlerinin ifasında kullandıkları bilgi sistemlerinin yönetimi ile elektronik bankacılık hizmetlerinin sunulmasında ve bunlara ilişkin risklerin yönetiminde esas alınacak usul ve esasların belirlenmesi amacıyla bilgi sistemleri kontrollerini düzenleyen, Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik (“Yönetmelik”) 15 Mart 2020 tarih ve 31069 sayılı Resmi Gazete’de yayımlanmış ve Bankalarda  Bilgi  Sistemleri Yönetiminde Esas Alınacak İlkelere İlişkin Tebliğ (“Mülga Tebliğ”) ise yürürlükten kaldırılmıştır. Yönetmelik, 1 Temmuz 2020 tarihinde yürürlüğe girecektir.

Kapsam

Yönetmelik ile Mülga Tebliğ’de yer alan birçok husus ayrıntılı olarak yeniden düzenlenmekle birlikte Yönetmelik, yeni düzenlemeler de içermektedir. Yönetmelik’in aynı zamanda 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ile ve 5411 sayılı Bankacılık Kanunu’nda müşteri sırrına ilişkin 25 Şubat 2020 tarihinde yapılan değişiklikler ile paralel düzenlemeler içerdiği görülmektedir. İlgili düzenlemelere ilişkin özet açıklamalarımız aşağıda yer almaktadır:

• Açık bankacılığa ilişkin düzenlemeler getirildi

6493 sayılı Kanun’da açık bankacılık hususunda yapılan değişikliğin ardından Yönetmelik’te de açık bankacılığa ilişkin düzenlemeler yapılmıştır. Yönetmelik ile açık bankacılık  elektronil bankacılık hizmetleri arasında sayılmış, açık bankacılık servislerinde kimlik doğrulama ve işlem güvenliğine ilişkin düzenlemeler getirilmiş, kimlik tespiti esnasında açık bankacılık servislerinden yararlanılabileceği hüküm altına alınmıştır.

• Verilerin paylaşılmasına ilişkin düzenlemeler Bankacılık Kanunu ile uyumlu hale getirildi

Bankacılık Kanunu’nun 73. maddesinde  yakın zamanda gerçekleştirilen değişiklik ile üçüncü taraflar ile sır niteliğindeki bilgilerin, ilgili maddede sır saklama yükümlülüğünden istisna tutulan haller haricinde, müşterinin açık rızası alınsa dahi müşterinin talimat veya talebi olmadıkça paylaşılamayacağı hükmü getirilmişti.

Mülga Tebliğ’de yer alan müşterilerin yazılı rızalarının alınması kaydıyla paylaşım yapılabileceği düzenlemesi değiştirilmiş, Bankacılık Kanunu’na benzer bir düzenleme getirilerek saklanan veya işlenen müşteri sırrı niteliğindeki verilerin paylaşımı için müşterinin kendisinden gelen ve yazılı şekilde ya da kalıcı veri saklayıcısı yoluyla kanıtlanabilir nitelikte olan bir müşteri talebinin bulunması zorunlu hale getirilmiştir.

Öte yandan KVKK anlayışı ile paralel olarak müşterinin, bilgilerini paylaşmaya dair açık rıza göstermesinin verilecek hizmet için bir ön şart haline getirilemeyeceği de açıkça hüküm altına alınmıştır.

• Bilgi Sistemleri süreç dokümanlarına sınırlı erişim hususu düzenlendi

Yönetmelik ile birlikte banka çalışanlarının bilgi varlıklarına kimlik doğrulama sistemleri vasıtasıyla erişim sağlayabilecekleri yeniden düzenlenmiş ve bu düzenleme ile banka tarafından bilgi sistemlerinin kullanımı kaynaklı risklerin yönetilmesi ve bilgi varlıklarının korunması amaçlanmıştır. İlgili hüküm KVKK ve ilgili rehberleri kapsamında belirtilen verilere sınırlı erişim yetkisi tanınması gerektiği hususu ile bağdaşmaktadır.

• Bilgi varlıkları envanterinin hazırlanması yükümlülüğü getirildi

KVKK kapsamında halihazırda öngörülen kişisel veri işleme envanteri hazırlama yükümlülüğü ile veri sorumlularının faaliyetlerinde KVKK’ya uyum sağlaması ve aykırılıkların kolayca tespiti amaçlanmaktadır. Benzer bir düzenleme Yönetmelik ile getirilmiş ve bankalar tarafından bilgi varlıklarının güvenliğini tesis etmek amacıyla varlıkları sınıflandırılarak detaylı bir varlık envanteri hazırlanması gerektiği belirtilmiştir. Hazırlanacak envanterde varlığın ne olduğuna, banka için değerine, konumuna, sahibine, verinin kişisel veri olup olmadığına ilişkin bilgilere yer verilecektir.

• Dış hizmet alım süreci kapsamında gözetim mekanizması tesis edilmesi hususu genişletilerek yeniden düzenlendi

Mülga Tebliğ’de yer alan düzenlemeler genişletilerek Yönetmelik ile banka tarafından dış hizmet olarak alınacak hizmetlerin banka açısından doğuracağı risklerin yeterli düzeyde değerlendirilmesi, yönetilmesi ve ilişkilerin yürütülmesi amacıyla yeterli bir gözetim mekanizmasının tesis edilmesi öngörülmüştür. Bu kapsamda hizmet sağlayıcının gizlilik, bütünlük ve erişilebilirlik ile güvenlik kontrollerine ilişkin yükümlülüklerini yerine getirmeye uygun olup olmadığı takip edilecektir.

• Yönetmelik çerçevesinde bankaların veri güvenliğine ilişkin almaları gereken tedbirler ayrıntılı olarak düzenlendi

Mülga Tebliğ’de yer alan tedbirler genişletilmiş ve KVKK ve ilgili mevzuatta düzenlenen idari ve teknik tedbirler ile paralel olarak Yönetmelik ile bilgi sistemleri ve bilgi varlığının bazı tedbirler çerçevesinde korunması amaçlanmıştır.