Softtech Yazılım Teknolojileri Araştırma Geliştirme ve Pazarlama Ticaret A.Ş.

Rekabet Kurumu Başkanlığından,

REKABET KURULU KARARI

A. TOPLANTIYA KATILAN ÜYELER

Başkan: Birol KÜLE

Üyeler: Arslan NARİN (İkinci Başkan), Şükran KODALAK,

Ahmet ALGAN, Hasan Hüseyin ÜNLÜ, Ayşe ERGEZEN

B. RAPORTÖRLER: Burak SAĞLAM, Hatice CESUR, Elif Sıdıka SARI, Burçin GÜLEŞ C. BİLDİRİMDE

BULUNAN: - Softtech Yazılım Teknolojileri Araştırma Geliştirme ve

Pazarlama Ticaret A.Ş.

Temsilcisi: Av. Dr. İ. Yılmaz ASLAN

Gazi Umur Paşa Sok. Bimar Plaza 38/8 Balmumcu

Beşiktaş/İstanbul

(1) D. DOSYA KONUSU: Softtech Yazılım Teknolojileri Araştırma Geliştirme ve Pazarlama Ticaret A.Ş. tarafından geliştirilen ve Türkiye İş Bankası A.Ş.'nin kurumsal müşterilerine İş Cep uygulaması ve ticari internet bankacılığı kanalları üzerinden sunulan TekCep Hesap Hareketleri Otomasyonu (TekCep) uygulamasına menfi tespit belgesi verilmesi veya bireysel muafiyet tanınması talebi.

(2) E. DOSYA EVRELERİ: Rekabet Kurumu (Kurum) kayıtlarına 01.10.2019 tarih ve 6578 sayı ile giren bildirim üzerine düzenlenen 28.04.2020 tarih ve 2019-4-061/MM sayılı Muafiyet/Menfi Tespit Raporu 07.05.2020 tarihli Rekabet Kurulu (Kurul) toplantısında görüşülmüş 20-23/295-Mİ sayı ile ek çalışma yapılmasına karar verilmiştir.

(3) Anılan karar uyarınca hazırlanan 18.12.2020 tarih ve 2019-4-061/BN-01 sayılı Bilgi Notu görüşülerek karara bağlanmıştır.

(4) F. RAPORTÖR GÖRÜŞÜ: İlgili Bilgi Notu’nda Raportörlerce;

- Bildirim konusu işlem kapsamında rakip teşebbüsler arasında vadeli faiz oranı,

işlem ücret ve komisyonları, POS [1] alacağı komisyonu, POS alacak vadesi vb.

rekabete duyarlı verilerin iletimi söz konusu olabileceğinden bildirim konusu

işlemin menfi tespit kapsamında değerlendirilemeyeceği,

- Ancak söz konusu işlemin bireysel muafiyetin etkinlik ve tüketici faydası ile ilgili

pazarın önemli bir bölümünde rekabetin ortadan kalkmaması şeklindeki ilk üç

şartını sağlar nitelikte olduğu,

- Bireysel muafiyetin rekabetin etkinlik ve tüketici faydası şartları için zorunlu

olandan fazla sınırlanmaması şeklindeki son şartının ise rekabete duyarlı

verilerin rakip teşebbüslerce görüntülenmesinin, işlenmesinin ve saklanmasının

önüne geçen teknik güvenlik standartları oluşturulması durumunda

sağlanacağı,

[1] Point of Sale (Ödeme Noktası).

- 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun’un (6493 sayılı Kanun) 12. ve 14/A maddeleri kapsamında söz konusu alanın T.C. Merkez Bankasının (TCMB) yetki ve denetiminde olduğu, dolayısıyla rakipler arasında hangi tür verilerin iletimine ilişkin usul ve esasları belirlemeye de TCMB’nin yetkili olduğu,

- Bununla birlikte TCMB’nin 6493 sayılı Kanun ve 7192 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun’la (7192 sayılı Kanun) hesap bilgisi görüntüleme hizmetini de içerecek hale gelen ödeme hizmeti alanına ilişkin ikincil düzenleme çalışmalarının hâlihazırda devam ettiği,

- Bu çerçevede söz konusu düzenlemelerde dikkate alınması bakımından özellikle rekabete duyarlı verilerin iletiminin ilgili pazarlarda yaratabileceği anti- rekabetçi sonuçlar bakımından işbu dosyada ulaşılan sonuçların TCMB’ye görüş olarak gönderilmesinin yerinde olacağı,

- TCMB tarafından ilgili kriterler belirlenene dek bildirim sahibinden rekabete duyarlı verilerin görüntülenmediğine, işlenmediğine, saklanmadığına, bu hizmetin verilmesi sırasında sadece aracılık rolünün üstlenildiğine ilişkin bir taahhüdün alınmasının bireysel muafiyetin bir şartı olarak belirlenebileceği, TCMB tarafından ilgili kriterlerin belirlenmesinin ardından ise TCMB’nin veri güvenliği denetim sonuçlarının bireysel muafiyetin devamı açısından dikkate alınabileceği,

- TCMB tarafından ödeme hizmeti kapsamında nitelendirilmeyen çeşitli alanlara ilişkin görüntüleme hizmetleri bakımından ise temel kuralın özellikle fiyata ilişkin rekabete duyarlı verilerin rakip teşebbüslerce görüntülenmesinin engellenmesine yönelik teknik güvenlik önlemlerinin alınması şeklinde belirlenmesinin uygun olacağı, bu tür hizmetler bakımından da başvuru sahiplerinin bireysel muafiyetin bir şartı olarak bu taahhüdü vermekle yükümlü kılınmasının yerinde olacağı,

- Veri güvenliğine ilişkin verilen taahhütlerin aksinin tespiti halinde ise bireysel muafiyetin geri alınarak haklarında doğrudan soruşturma açılacağı yönünde tarafların bilgilendirilmesinin uygun olacağı

ifade edilmiştir.

G. İNCELEME VE DEĞERLENDİRME

G.1. Taraflara İlişkin Bilgiler

G.1.1. Türkiye İş Bankası A.Ş. (İŞ BANKASI)

(5) 1924 yılında kurulan İŞ BANKASI Türkiye’de bireysel ve ticari bankacılık hizmeti sunan

en büyük özel bankalardan biridir. Teşebbüs bankacılık faaliyetleri kapsamında

kurumsal, ticari, küçük ve orta ölçekli işletmeler (KOBİ), bireysel ve özel bankacılık ile

proje finansmanı ve sermaye piyasası işlemleri gibi hizmetler sunmaktadır. Ayrıca,

iştirakleri aracılığıyla sigorta, bireysel emeklilik, finansal kiralama, aracı kurum,

gayrimenkul yatırım ortaklığı, yatırım bankacılığı, risk sermayesi ve aktif yönetimi gibi

finansal ve cam, telekomünikasyon gibi finansal olmayan alanlarda da faaliyet

göstermektedir [2].

https://www.isbank.com.tr/bankamizi-taniyin/istiraklerimiz (Erişim Tarihi: 26.04.2020).

G.1.2. Softtech Yazılım Teknolojileri Araştırma Geliştirme ve Pazarlama Ticaret A.Ş. (SOFTTECH)

(6) Yazılım alanında faaliyet gösteren SOFTTECH, başta bankacılık ve finans sektörü olmak üzere farklı alanlarda faaliyet gösteren iş ortakları için her türlü teknolojik bilgiyi üretmek, teknolojik bilgiyi ticarileştirmek, bilgi işlem yazılım programlarını ve ürünlerini yazmak, ürettiği ürünlerin lisans haklarını ve kaynak kodlarını satmak, kiraya vermek, ihraç etmek, yurtiçi ticaretini yapmak ve pazarlamak gibi alanlarda faaliyet göstermektedir.

(7) SOFTTECH’in hisselerinin %100’üne Trakya Yatırım Holding A.Ş. (TRAKYA YATIRIM) sahiptir. TRAKYA YATIRIM’ın tüm hisseleri ise İŞ BANKASI’nın elinde bulunmaktadır.

G.2. Bildirime Konu Sözleşme

(8) Bildirime konu anlaşma SOFTTECH ile İŞ BANKASI arasında 27.09.2019 tarihinde akdedilmiş olan TekCep Hesap Hareketleri Otomasyonu İş Birliği Sözleşmesi’dir (TekCep Sözleşmesi/Sözleşme). TekCep Sözleşmesi ile taraflar arasındaki iş birliğine ilişkin detaylar belirlenmiş olup Sözleşme’nin “Sözleşme’nin Konusu ve Kapsamı” başlıklı 3.1. maddesinde iş birliğinin konusunun, İŞ BANKASI'nın tüzel kişi müşterilerinin diğer bankalarda bulunan ticari mevduat hesaplarını ve bu hesaplardaki hesap hareketlerini, İŞ BANKASI'nın İşCep’i üzerinden TekCep aracılığıyla toplu bir şekilde görüntüleyebilmelerini sağlamak olduğu belirtilmiştir. Bu bakımdan iş birliği kapsamında SOFTTECH tarafından İŞ BANKASI müşterilerine hesap bilgisi hizmeti sunulması öngörülmektedir. TekCep de bu hizmetlerin İşCep üzerinden toplu bir şekilde görüntülenebilmesini sağlayan yazılımı ifade etmektedir. Bununla birlikte dosya sürecinde SOFTTECH tarafından iletilen ilave bilgilerde, POS ve çek alacaklarının hesaba geçiş tarihlerinin takipleri ve bunlara bağlı olarak ödeme planlamalarının kurumsal müşteriler için zaman alan ve kritik öneme sahip süreçler olması nedeniyle iş birliğinin kapsamına POS ve çek alacaklarının takip edilmesinin de dahil edilmesinin öngörüldüğü ifade edilmiştir. Bu kapsamda, taraflar arasındaki iş birliği ile TekCep üzerinden İŞ BANKASI’nın kurumsal müşterilerine aşağıdaki hizmetlerin sunulması planlanmaktadır:

i) Diğer bankalardaki ticari mevduat hesaplarını ve bu hesaplardaki hareketleri

görüntüleme,

ii) Diğer bankalardaki POS alacakları bilgilerini görüntüleme,

iii) Diğer bankalardaki çek tahsilatı bilgilerini görüntüleme.

(9) Bu hizmetlerin yanında SOFTTECH tarafından müşterilere istedikleri gün aralıklarıyla tüm bankalarda olan bu işlemlerini raporlama hizmetinin de verilmesi öngörülmektedir. Böylelikle müşteriler her bir banka için işlemlerini ayrı raporlarda görmek yerine tüm bankalarda olan ve TekCep ekranlarında görüntüledikleri işlemleri tek bir raporda görebilecektir. Bildirim sahibi tarafından ayrıca, TekCep’in şu anki yapısında mevcut olmamakla birlikte, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik ile sair mevzuatlara uygun olmak ve müşterilerden izin almak kaydıyla İŞ BANKASI’ndan kredi ve yatırım önerileri içeren reklamların sunulmasının da ilerleyen dönemlerde söz konusu olabileceği belirtilmektedir. Taraflarca SOFTTECH tarafından sunulan bu yöndeki hizmetin finansal bir hizmetten ziyade bir yazılım ve reklam hizmeti ile sınırlı olacağı ve bu reklamların müşterilerin ihtiyaçları ile uyumlu bir şekilde özelleştirilmiş nitelikte olması yerine genel nitelikli olacağı ifade edilmiştir.

(10) Bu çerçevede öncelikle TekCep Sözleşmesi’nin “Tarafların Hak ve Yükümlülükleri” başlıklı 4.1. maddesine bakıldığında,

(…..)

ifadeleri görülmektedir. Sözleşme’nin 4.3. maddesinde ise,

(…..)

ifade edilmektedir. Madde hükümlerinden diğer bankalardaki hesap bilgilerinin TekCep’e servis edilmesinin ve hizmet için gerekli entegrasyon hizmetinin SOFTTECH tarafından sağlanacağı, İŞ BANKASI’nın ise İşCep uygulaması ile kullanıcılara diğer bankalarda bulunan ticari mevduat hesaplarını ve bu hesaplardaki hesap hareketlerini görüntüleme için giriş izni vereceği ve bu bakımdan söz konusu hizmetin sunulmasında bir aracı konumunda olduğu anlaşılmaktadır. İŞ BANKASI da dâhil tüm bankalar müşterilerine XML formatında ekstre hizmeti vermekte olup müşterinin talebi ve bankaya IP adresi vermesi üzerine banka tarafından müşterisine düzenli olarak yalnızca kendi bankasına ilişkin hesap bilgileri hesap hareketlerini içerecek şekilde XML formatında verilmektedir. Yukarıda verilen Sözleşme ile müşterinin TekCep’ten aldığı IP adresini çalıştığı diğer bankalara vermesi ve bu bankalardan hesaplarına ilişkin bilgilerin bu IP adresine gönderilmesini talep etmesi üzerine SOFFTECH diğer bankalardan gelen bilgileri İşCep’e aktararak müşterilerin İşCep’e girdiklerinde tüm bankalardaki hesap bilgilerini bir arada görebilmelerini sağlayacaktır. Dolayısıyla bu hizmetin müşterinin talebi ve onayıyla verilmeye başlandığı, hizmetin verilebilmesi için müşterinin çalıştığı diğer bankalara TekCep’ten aldığı IP adresini iletmesi gerektiği ve diğer bankalardan da bu IP adresine hesap hareketleri bilgilerinin gönderilmesi gerektiği anlaşılmaktadır.

(11) TekCep Sözleşmesi’nin aşağıda verilen 4.4. maddesiyle de TekCep üzerinden verilecek tüm hizmetlerin SOFTTECH tarafından sağlanacağı ve İŞ BANKASI’nın bu bilgilere erişmesinin mümkün olmayacağı hüküm altına alınmaktadır:

(…..)

(12) Bildirim Formunda ayrıca TekCep Mimari Hazırlık ve Servis Dokümantasyonu’na atıfta bulunularak, uygulamanın yazılımsal mimari yapısı nedeniyle İŞ BANKASI’nın herhangi bir veriye ulaşamayacağı ve saklayamayacağı belirtilmekte olup mimari yapı bakımından İŞ BANKASI ile SOFTTECH’in iki ayrı katmandan oluştuğu açıklanmaktadır. Bu iki katmanın birbirleri ile Firewall, SSL, TLS ve Static IP kısıtı şeklindeki güvenlik önlemleri alınarak haberleştikleri, dolayısıyla SOFTTECH katmanı aracılığıyla elde edilen müşterilerin diğer bankalardaki hesap bilgilerine İŞ BANKASI'nın erişmesinin mümkün olmadığı belirtilmektedir. İşCep üzerinden Sözleşme konusu hizmetin verilebilmesi için müşterilerin “Sözleşme ve Bilgilendirme Formunu okudum, onayladım” kutucuğunu doldurmaları gerektiği ve bu formdan bağımsız olarak ekrana gelen görüntü sayesinde sisteme aktarılacak bilgilerin SOFTTECH tarafından tutulacağına ve İŞ BANKASI'nın bu verilere erişim hakkının bulunmadığına ilişkin bilgilendirileceği bildirim sahibi tarafından sunulan diğer bilgiler arasında yer almaktadır. Bu çerçevede hesap bilgisi hizmeti sağlayacak tarafın SOFTTECH olduğu, İŞ BANKASI’nın ise yalnızca bu hizmet için İşCep kanallarının kullanılması fonksiyonunu icra ettiği, herhangi bir veriye ulaşmadığı özellikle vurgulanmaktadır. Dolayısıyla Bildirim Formunda söz konusu uygulamanın İŞ BANKASI ile diğer bankalar arasında müşterilerin hesap ve hesap hareketleri bilgisinin paylaşılması gibi bir sonucu da doğurmayacağı ifade edilmektedir.

(13) TekCep üzerinden verilmesi planlanan diğer hizmetler müşterilerin diğer bankalardaki POS cihazları veya sanal POS üzerinden gerçekleştirdikleri tahsilat bilgileri ile müşterilerin bankalarına takas aracılığı ile tahsil edilmek üzere vermiş oldukları çek bilgilerini görüntüleyebilme hizmetidir. Bahsi geçen ilk hizmetin TekCep üzerinden sunulabilmesi için bankaların müşterilerine hâlihazırda sağlamış olduğu POS rapor altyapısı kullanılacağı, müşterilerin talimatıyla diğer bankalara ait POS alacak bilgilerinin bankaların müşterilere sunduğu SFTP (Secure File Transfer Protocol- Güvenli Dosya Aktarımı Protokolü) aracılığıyla TekCep'e servis edileceği ve SOFTTECH tarafından, müşterilerine TekCep üzerinden bu bilgilerin görüntülenebilmesi hizmetinin sağlanacağı belirtilmektedir. Diğer hizmet olan çek tahsilat bilgilerinin görüntülenebilmesi için bankaların müşteri talimatı ile e-posta üzerinden bildirdikleri çek bilgilerinin kullanılacağı ifade edilmektedir. Aşağıdaki tabloda sözü edilen hizmetler kapsamında TekCep üzerinden müşterilerin erişebilecekleri bilgilere yer verilmektedir:

POS Alacak Bilgilerinin Görüntülenmesi Hizmeti Vadeli Çek Tahsilatı Bilgilerinin Görüntülenmesi

Hizmeti

Banka tarafından uygulanan hizmet komisyon

oranı,

Banka tarafından işlem üzerinden alınacak

komisyon tutarı,

Taksit sayısı,

Provizyon kodu,

Pos cihazını/sanal posu sağlayan bankanın

kodu,

Pos cihazını/sanal posu sağlayan bankanın şube

kodu,

Müşterinin ilgili bankadaki hesap numarası,

Müşterinin POS ödemesinin hangi tarihte

hesabına yapılacağı,

Müşterinin POS ödemesinin kaç gün sonra

hesabına yapılacağı.

Kaynak: Teşebbüsten gelen ek bilgi.

(14) Bildirim sahibi tarafından, yukarıda verilen POS ve çek alacaklarının takip hizmeti için de İŞ BANKASI ile SOFTTECH arasında kurulmuş olan güvenlik duvarı altyapısının hesap bilgisi sunma hizmetindeki ile benzer şekilde işlemeye devam edeceği, dolayısıyla İŞ BANKASI’nın rakip bankalarının bilgilerine erişiminin mümkün olmayacağı iletilmektedir.

(15) Dosya konusu iş birliği kapsamında bir diğer ayrıntı, SOFTTECH’in sunacağı hizmetlerden yararlanması hedeflenen müşteri kitlesinin KOBİ ve ticari segmentte yer alan minimum orta ölçekli ticari işletmeler olması; gerçek kişilerin ve küçük esnafın bu hizmetten yararlanmasının söz konusu olmamasıdır. Bu durumun muhasebe ve finans yönetimi adına bankalardan XML formatında ekstre talep eden müşteri kitlesinin orta ve büyük ölçekli ticari işletmeler olmasından kaynaklandığı belirtilmektedir.

(16) Son olarak TekCep Sözleşmesi’nin “Sözleşmenin Süresi” başlıklı 11. maddesinde sözleşmenin 25.09.2019 tarihinden itibaren üç yıl süre için yürürlükte kalacağı ve

sürenin sona ermesi halinde de aynı hüküm ve koşullar ile bir yıl süreler ile uzatılabileceği hüküm altına alınmıştır.

G.3. İlgili Pazar

(17) Bildirime konu sözleşme ile SOFTTECH tarafından İŞ BANKASI’nın İşCep uygulaması üzerinden TekCep aracılığıyla ticari mevduat hesap bilgisi, POS alacakları ve çek tahsilat bilgisi hizmetlerini içeren hesap bilgisi hizmetlerinin sunulması öngörülmektedir. Kurulun bankacılık sektöründeki kararlarında [3], ilgili ürün pazarının verilen hizmet bazında ayrı tanımlandığı ve ilgili coğrafi pazarın da bu hizmetlerin tüm Türkiye’de sunuluyor olması dikkate alınarak, Türkiye olarak belirlendiği görülmektedir. Bu bilgiler doğrultusunda, ilgili ürün pazarı “Hesap Bilgisi Hizmetleri Pazarı” [4] ve ilgili coğrafi pazar “Türkiye” olarak tanımlanabilecek olsa da "İlgili Pazarın Tanımlanmasına İlişkin Kılavuz”un 20. paragrafında yer alan"... inceleme konusu işlem, gerek ürün gerekse de coğrafi açıdan olası alternatif pazar tanımları çerçevesinde rekabet açısından endişeler yaratmıyor ya da alternatif tüm tanımlar açısından rekabeti bozucu bir etki söz konusu oluyorsa pazar tanımı yapılmayabilir.” ifadesi ve mevcut dosya kapsamında ilgili pazarın tanımlanmasının dosya kapsamındaki değerlendirmeye bir etkisi bulunmayacağı dikkate alınarak işbu dosya kapsamında ilgili pazar tanımlanmamıştır.

G.4. Değerlendirme

(18) Başvurunun konusunu, İŞ BANKASI'nın tüzel kişi müşterilerinin, diğer bankalarda bulunan ticari mevduat hesaplarını ve bu hesaplardaki hesap hareketlerini, POS alacaklarını ve çek tahsilat durumlarını, İŞ BANKASI'nın İşCep uygulaması üzerinden TekCep uygulaması aracılığıyla görüntüleyebilmesine yönelik İŞ BANKASI ile SOFTTECH arasında akdedilen TekCep Sözleşmesi’ne menfi tespit belgesi verilmesi veya bireysel muafiyet tanınması talebi oluşturmaktadır. Bu kapsamda, bildirim konusu hizmet, müşterilerin, dilediği zaman bir veya birden fazla ödeme hizmeti sağlayıcısı (bankalar veya ödeme kuruluşları) nezdindeki hesap bilgilerinin konsolide ve online şekilde bir platform aracılığı ile sunulmasını ve bu sayede kullanıcıların finansal durumlarını tek arayüz üzerinden izleyip yönetebilmelerini sağlayan hesap bilgisi görüntüleme hizmetidir.

(19) Başvuru çerçevesinde, temel olarak finans sektöründe son yıllardaki gelişmelerinden biri olan açık bankacılık [5] kavramı çerçevesinde, dosya konusu görüntüleme hizmeti kapsamında karşı banka verilerinin rakip bankaya iletilmesinin rekabet açısından sorun teşkil edip etmediği, bu hizmet kapsamında rakip bankalar arasında iletilen parametrelerin hangilerinin bu hizmetin verilmesi için gerekli olduğu, bu parametrelerden hangilerinin rekabete duyarlı (stratejik) nitelik taşıdığı, rekabete duyarlı parametreler açısından yaklaşımın, bu verilerin rakipler arasında iletilmesinin engellenmesi ile yüksek güvenlik standartları ve denetim mekanizması seçeneklerinden hangisi yönünde olması gerektiği gibi sorulara cevap aranmıştır. Zira günümüzde açık bankacılığın gelişmesi ve bu kapsamda sunulan hizmetlere ilişkin ilgili

[4] Bildirim Formunda İspanya Rekabet Otoritesi tarafından hesap bilgisi hizmeti sağlayıcısı olan Fintonic’in Caixabank tarafından hesaplara erişmesinin engellendiği iddiası üzerine verilen kararda da, ilgili ürün pazarının hesap bilgisi hizmetleri pazarı olarak tanımlandığı belirtilmektedir.

5 01.07.2020 tarihinde yürürlüğe giren Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik’te açık bankacılık servisleri; “Müşterilerin ya da müşteriler adına hareket eden tarafların API, web servis, dosya transfer protokolü gibi yöntemlerle bankanın sunduğu finansal servislere uzaktan erişerek bankacılık işlemlerini gerçekleştirebildikleri veya gerçekleştirilmesi için bankaya talimat yerebildikleri elektronik dağıtım kanalı” olarak tanımlanmıştır.

mevzuatın yürürlüğe girmesiyle birlikte, daha önce muhasebe programları ve bu konuya özgülenmiş birtakım üçüncü taraf yazılım tarafından verilen görüntüleme hizmetlerinin, bankalar veya bağımsız ödeme kuruluşları gibi taraflarca da verilmesi gündeme gelmeye başlamıştır. Nitekim dosya sürecinde bildirim konusu işlemin değerlendirilmesi adına bilgi talep edilmiş olan bankalardan (…..) mevcut durumda hesap bilgisi görüntüleme hizmeti vermemekle beraber, gelecek dönemde bu hizmetin sunulmasının planlandığını dile getirmiştir [6]. Dolayısıyla, ilerleyen süreçte SOFTTECH gibi bir banka iştiraki ya da bankanın kendisi aracılığıyla hesap bilgisi görüntüleme hizmeti sunan teşebbüs sayısında artış yaşanması beklenmektedir. Öte yandan, bankacılık sektöründe faaliyet gösteren teşebbüslerin önemli bir kısmı tarafından bahse konu hizmetin sunulması ve bu hizmetin sunulabilmesi için rakipler arasında bazıları rekabete duyarlı nitelik taşıyan verilerin iletiminin (örneğin faiz ve komisyon gibi) söz konusu olması ise, bu tür parametreler bakımından teşebbüsler arasında koordinasyon riskinin ortaya çıkıp çıkmayacağı sorusunu gündeme getirmektedir. G.4.1. TekCep Üzerinden Müşterilere Sunulan Bilgilerin Rekabete Duyarlı Bilgiler Olup Olmadığına ve Hizmetin Sunulması için Gerekli Olup Olmadığına İlişkin Değerlendirme

(20) Bildirim konusu işlemde, nihai olarak İŞ BANKASI tarafından kontrol edilen SOFTTECH; İŞ BANKASI kurumsal müşterilerine TekCep uygulaması aracılığıyla İŞ BANKASI’nın rakibi konumunda bulunan bankalar nezdindeki hesap hareketlerini ve POS alacak bilgilerini sunmaktadır. Çek tahsilat bilgisi görüntüleme hizmetinin ise mevcut durumda sunumuna başlanmamış olmamakla beraber, bu yöndeki çalışmaların devam ettiği belirtilmektedir. Yukarıda da ifade edildiği üzere yakın zamana kadar hesap bilgisi görüntüleme hizmetleri çoğunlukla finansal piyasalarda doğrudan faaliyeti bulunmayan muhasebe yazılımı şirketleri vb. üçüncü taraflarca verilmekle beraber, yakın zamanda işbu dosya özelinde olduğu gibi bir bankanın iştiraki konumunda olan teşebbüsler ya da bankanın doğrudan kendisi tarafından bu hizmet alanına girişler planlanmaya başlanmıştır. Bu yeni durumda, hesap bilgisi görüntüleme hizmetlerinin birbirine rakip konumda bulunan finansal aktörler arasında veri iletimi yoluyla gerçekleşmesi söz konusu olacağından, paylaşılan verilerin rekabete duyarlı (stratejik) olup olmadığı sorusu ortaya çıkmaktadır. Bu bölümde sektörden edinilen bilgiler doğrultusunda, TekCep üzerinden paylaşılan/paylaşılması öngörülen bilgilerin hangilerinin rekabete duyarlı nitelikte olduğu ve bunun yanı sıra hangilerinin hesap bilgisi görüntüleme hizmetinin sunulabilmesi için gerekli olduğu değerlendirilmiştir.

(21) Yatay İşbirliği Anlaşmaları Hakkında Kılavuz’da fiyata, miktara, müşterilere, maliyetlere, cirolara, satışlara, alımlara, kapasiteye, ürün niteliklerine, pazarlama planlarına, risklere, yatırımlara, teknolojilere, AR-GE programlarına ilişkin ve benzeri bilgilerin rekabete duyarlı olduğu belirtilmektedir. Genel olarak, fiyat ve miktara ilişkin veriler, stratejik niteliği en yüksek olan bilgiler olarak kabul edilirken; maliyetlere ve talebe ilişkin bilgiler stratejik nitelik bakımından ikinci derecede yer almaktadır. Stratejik nitelikteki bilgilerin rakipler tarafından erişilebilmesi, rakip konumdaki teşebbüslerin gelecekteki davranışlarına ilişkin belirsizliğin bir ölçüde azaltması, bağımsız davranışlar sonucu meydana gelebilecek riskleri ortadan kaldırarak pazarın suni olarak şeffaflaştırılması, fiyat ve pazar payı gibi değişkenlerin piyasa dışında belirlenmesi ve nihayetinde rakipler arasında koordinasyon riski taşımaktadır. Nitekim hesap bilgisi

[6] Bilgi talebinde bulunulan (…..) ve (…..) hesap bilgisi görüntüleme hizmetinin sunulmasının öngörülmediğini belirtirken, (…..) konu hakkında bir açıklama yapmamıştır.

görüntüleme hizmeti kapsamında rakip konumdaki bankaların birbirlerinin faiz oranları ya da işlem ücret ve komisyonları gibi fiyata, dolayısıyla rekabete duyarlı bilgilerine erişmesi durumunda, anılan parametreler bakımından rakipler arasında bir koordinasyon ihtimali ortaya çıkacaktır.

(22) Bu noktada, hesap bilgisi görüntüleme hizmetinin işleyişi ve bankaların ve hesap bilgisi görüntüleme hizmeti sunan diğer teşebbüslerin bu hizmet kapsamında müşterilere bu bilgileri nasıl sağladığı konusuna değinmekte fayda görülmektedir. Dosya mevcudu bilgilere göre, bankalar, halihazırda talep eden müşterilerine hesap bilgilerini ve hesap hareketlerini içerecek şekilde XML formatında ekstre hizmeti sunmaktadır. Bu hizmet verilirken müşterinin bankaya ilettiği IP adresine banka tarafından söz konusu ekstre iletilmektedir. Müşterinin bir muhasebe programı ya da üçüncü tarafa ait bir mobil ya da web uygulaması/arayüzü aracılığıyla bu hizmeti almak istemesi durumunda ise müşteri tarafından söz konusu program ya da uygulamaya ait IP adresinin bankaya iletilmesi gerekmektedir. Nitekim işbu dosya özelinde de müşteriler bankalarına TekCep uygulamasından aldıkları IP adresini iletmektedirler. Bu noktada belirtilmesi gereken önemli bir husus, söz konusu hizmetin ancak müşterinin - kendi bankasından söz konusu ekstrelerin ilgili IP adresine iletilmesine ilişkin - talebi ve onayı neticesinde verilebildiğidir. Anılan ekstrenin bankalarca web ya da uygulama IP’lerine gönderilmesinin ardından ise müşteri kendisine özgü tanımlanan kullanıcı adı ve şifre ile bu verilere erişim sağlayabilmektedir.

(23) Yapılan incelemeler neticesinde kural olarak müşterilere kendi bankası tarafından hangi format ve içerikte ekstre gönderiliyorsa, üçüncü taraf yazılımlar aracılığıyla da aynı bilgilerin sunulduğu anlaşılmıştır. Nitekim gerek SOFTTECH gerekse bilgi talep edilen görüntüleme hizmeti sunan diğer teşebbüsler, ekstre gönderim hizmetinin bankalarca müşterilere zaten verilmekte olduğunu, kendilerinin de banka tarafından müşteriye aktarılan bilgiler haricinde bir bilgiye erişimlerinin olmadığını, banka müşteriye hangi bilgileri iletiyorsa kendi uygulamaları aracılığıyla da o bilgilerin müşterilere aktarıldığını belirtmiştir. Nitekim SOFTTECH, söz konusu hizmetin bu yapısı sebebiyle, hesap bilgisi görüntüleme hizmeti sunan rakip teşebbüsler/muhasebe uygulamaları hangi bilgilere ulaşıyorsa kendilerinin de aynı bilgilere ulaştığını, ulaşılan bilgiler bakımından bir farklılık bulunmadığını ifade etmiştir.

(24) Öte yandan bankalardan ve ayrıca hesap bilgisi görüntüleme hizmeti sunan diğer teşebbüslerden elde edilen bilgilerden, hesap bilgisi, POS alacak bilgisi ve çek tahsilat bilgisi hizmetleri çerçevesinde müşterilere iletilen parametrelerin temel parametreler bakımından aynı olmakla beraber her bankanın müşteriye sunduğu bilgilerin detayının farklılık gösterebildiği; dolayısıyla, parametre bazında bir yeknesaklıktan söz edilemeyeceği anlaşılmıştır. Bu bağlamda Innova Bilişim Çözümleri A.Ş. (INNOVA) tarafından, müşterinin onayı ile her bankanın web servisinden alınan bilgilerin farklılık gösterebildiği, Manim Finans Teknolojileri A.Ş. (MANİM) tarafından ise, bankaların belirlediği standartların değişkenlik gösterdiği ifade edilmiştir. Eçözüm Bilgi Teknolojileri A.Ş. (EÇÖZÜM) ve Kayaport Teknoloji A.Ş. (KAYAPORT) ise bankalardan gelen bilgilerin güncelliğinin ve sıklığının da değişebildiğini belirtmişlerdir.

(25) Benzer şekilde bilgi talebinde bulunulan 10 bankadan gelen cevaplar incelendiğinde de hesap, POS alacak ve çek tahsilat bilgisi gönderim hizmeti konusunda mutabakat şekli, sunulan bilgilerin kapsamı, bilgilerin güncelliği ve sıklığı gibi konularda bankalar arasında farklı uygulamaların söz konusu olduğu anlaşılmaktadır. Nitekim

- Hesap bilgisi/hareketleri gönderim hizmeti bakımından,

 (…..) tarafından tarih aralığı veya hesap bilgisi bazında bilgi sunulduğu;

 (…..) tarafından farklı parametreleri içerecek şekilde webservis ve XML formatında bilgi sunulduğu; ayrıca, müşteri tarafından talep edilen bilgilerin talimat üzerinde doldurularak bankaya iletildiği ve bu kapsamda bilgi sunulduğu;

 (…..) tarafından, vadesiz hesapların yanında vadeli ve yatırım hesapları için de hesap hareketleri gönderim hizmeti verildiği;

 (…..) tarafından, hesap hareketleri içerisinde çek tahsilat işlemleri yer alması halinde, hesap hareket bilgileri içerisinde çek tahsilat bilgilerinin de yer aldığı;

- POS alacak bilgisi gönderim hizmeti kapsamında sunulan bilgiler bakımından,

 (…..) tarafından üye işyerleriyle kendileri için özel olarak oluşturulan klasörler üzerinden günlük, haftalık ve aylık olarak bilgilerin paylaşıldığı;

 (…..) tarafından, hizmet kapsamında otomatik talimatlı raporlar gönderilebildiği gibi tek seferlik rapor gönderimlerinin de yapılabildiği; müşteri talebine istinaden hizmet kapsamındaki parametrelerin artırılabildiği/azaltılabildiği;

 (…..) tarafından, geçmiş veya ileriye dönük alacaklar için müşteriler tarafından talep edilen periyotta ve müşterilerin talep ettikleri bilgilerin gönderildiği;

 (…..) tarafından, müşterilere gönderilen iki farklı ekstre bulunduğu, bunlardan ilkinin günlük ya da aylık kart bazlı POS işlem hareketlerini içeren rapor formatı diğerinin ise aylık POS ekstre formatı olduğu;

 (…..) tarafından, raporlamaların, müşterilerin ihtiyaç duyduklarını belirttikleri bilgilere istinaden gerçekleştirildiği, müşteri tarafından talep edilen bilgilerin temininin ve paylaşılmasının mümkün olup olmadığının değerlendirildiği ve mümkün olan bilgilerin hazır raporlama şablonlarına göre sistem tanımlamaları yapılarak talep edilen zaman aralığı ve kanala uygun olarak gönderildiği;

- Çek tahsilat bilgisi gönderim hizmeti kapsamında,

 (…..) tarafından, müşterinin talebi üzerine e-posta veya FTP dosya transferi yoluyla çek akıbet bilgilerinin paylaşıldığı, müşterinin FTP dosya transferini seçmesi halinde, bilgilerin müşteriye özel olarak açılmış olan klasörlere gönderildiği ve standart dosya formatı dışında 2. ciranta bilgisi, son ciranta bilgisi, çekin cirolu ya da müşteri çeki olma durumu, sipariş numarası gibi bazı ek bilgilerin müşterinin talep etmesi halinde bilgilendirme adımlarına eklendiği;

 (…..) tarafından, çek tahsilat dosyaları dışında müşterilerin kendi oluşturdukları ve ilgili çeklerin akıbet bilgilerinin eklenmesi amacıyla bankaya ilettikleri "çek bilgi dosyalarının" da bulunduğu; bu dosyalardaki başlık içeriklerinin müşteriler tarafından belirlenmekte olduğu ve ilgili çekin akıbet bilgisinin dosyaya eklenerek müşteriye geri gönderilebildiği

belirtilmiştir. Verilen bilgilerden de görülebileceği üzere bankaların müşterilerine ya da

müşteri talebi üzerine üçüncü taraf IP adreslerine ilettiği ekstre formatları birbirinden

farklılaşabildiği gibi, bazı bankalarda hesap bilgisi gönderiminde yer alacak bilgilerde

müşteriler de belirleyici olabilmektedir. Nitekim (…..) müşterilerin çok farklı sektörlerde faaliyette bulunmasından ve iş yapış şekillerinin birbirinden farklı olmasından dolayı talep ettikleri parametrelerin çok farklı olabildiğini belirtmiştir.

(26) Veri iletiminin şekli ile ilgili üzerinde durulması gereken diğer bir husus bankalarca müşteri talebi üzerine müşterinin ilettiği IP adresine yapılan ekstre gönderiminde, veri iletiminin yapıldığı IP adresinin müşterinin kendisine mi yoksa üçüncü bir tarafa mı ait olduğuna yönelik bir sorgulama/kontrol mekanizmasının genel olarak bulunmadığıdır. Nitekim (…..) ve (…..) tarafından muhasebe programlarına ya da üçüncü taraf yazılımlara doğrudan raporlama yapılmadığı, bununla birlikte müşterilerin kendileri ile paylaşılan bu raporları/ekstreleri, üçüncü taraflara iletip iletmediklerinin bilgileri ve kontrolleri dışında olduğu belirtilmiştir. (…..), müşteri tarafından doldurulan talep formunda bilginin paylaşılacağı IP adresinin muhasebe servis sağlayıcısına da ait olabileceğini ifade etmiştir. (…..) ve (…..), hizmet kapsamındaki bilgilerin müşteriler ve talimatlarında belirtilen üçüncü kişiler ile paylaşıldığını; (…..) ise, POS alacak bilgilerinin müşterinin talebi üzerine üye iş yerinin kendisine, iş yerindeki bir personeline veya müşterinin mali müşavir veya muhasebecilerine ya da üçüncü taraf muhasebe ve yazılım programlarına gönderilebildiğini ifade etmiştir. (…..) ayrıca müşterinin, banka tarafından sunulan verilere üçüncü tarafların hangi detayda erişebileceğini belirleme yetkisine sahip olduğunu belirtmiştir.

(27) Yukarıdaki hususlar ile ilgili yurtdışındaki uygulamalar hakkında da bilgi edinebilmek amacıyla, dosya kapsamında yurtdışında faaliyeti bulunan yabancı bankalardan [7] da bilgi istenmiş olup Kuruma ulaştırılan bilgilerin genel olarak yukarıdakilerle aynı düzlemde olduğu görülmüştür. Gelen bilgilerden, yurtdışındaki uygulamalarda genel olarak hesap hareketleri gönderim hizmetinin sunulduğu, ancak POS alacak bilgisi gönderim hizmetinin sunulmadığı, çek tahsilat bilgisi gönderim hizmetinin ise hesap hareketleri hizmetinin bir parçasını oluşturduğu [8], sözü edilen hizmetler kapsamında sunulan bilgilerin, Türkiye’deki uygulamaya benzer şekilde, müşteri talebine göre belirlenebildiği ve veri formatının ve gönderim şeklinin bankaların tercih ettikleri yönteme ve işlemin amacına göre değişebildiği anlaşılmaktadır.

(28) Elde edilen tüm bu bilgiler çerçevesinde özetlemek gerekirse, bankaların hesap, POS alacak ve çek tahsilat bilgisi gönderim hizmeti kapsamında sundukları bilgilerin içeriği, kapsamı, güncelliği ve sıklığı ile gönderim şekli açısından bir yeknesaklık bulunmamakta, sözü edilen hizmetler konusunda sunulan verilerde müşteri de belirleyici olabilmekte, bankaların müşteri tarafından verilerin gönderilmesini istediği IP adresinin müşteriye mi, üçüncü taraflara mı ait olduğuna ilişkin bir sorgulama mekanizması bulunmamakta, işlem müşteri talebi ve onayı üzerine ve yine müşteri tarafından iletilen IP adresine yapıldığından bankalarca bu durumun sorgulanmasına ihtiyaç da duyulmamaktadır.

(29) Görüntüleme hizmetlerinde verilerin iletim şekline ve veri içerisinde yer alan parametrelere ilişkin tek bir formattan söz edilemeyeceği, müşterinin talebine göre veri setinin daraltılabileceği ya da genişletebileceği, bankaların kendilerine iletilen IP adresinin kime ait olduğunu sorgulamadığı şeklinde özetlenebilecek bu temel sonuçlardan sonra aşağıda dosya konusu her bir hizmet özelinde müşteriye sunulan veri setinde yer alan parametreler, bu parametrelerden hangilerinin anılan hizmetlerin

[7] Bu bankalar ING, JPMORGAN, Societe Generale (S.A.) Paris Merkezi Fransa İstanbul Türkiye Merkez Şubesi (SOCIETE GENERALE), TEB ve Turkish Bank A.Ş.’dir.

8 (…..) ve (…..) çek hareketlerinin hesap hareketleri üzerinden izlenebildiğini belirtmişlerdir.

sunulması için gerekli olduğu ve bu parametrelerden hangilerinin rekabete hassas nitelikte olabileceği üzerinde durulmuştur.

G.4.1.1. Vadeli/Vadesiz Hesap Bilgisi/Hareketleri Görüntüleme Hizmeti

(30) Bildirim sahibi SOFTTECH’ten ve rakip hesap bilgisi görüntüleme hizmeti sağlayıcıları, yerel bankalar, yurtdışında bu hizmeti veren bankalar gibi çeşitli taraflardan, hesap bilgisi görüntüleme hizmetleri kapsamında müşterilerine hangi bilgileri sundukları ve bu bilgilerden hangilerinin hizmetin sunulması için gerekli olduğu konusunda bilgi talep edilmiştir. Taraflardan gelen bilgilerin özetlerine aşağıda yer verilmiştir.

(31) Bu çerçevede öncelikle başvuru sahibi SOFTTECH’ten gelen cevaplara bakıldığında, SOFTTECH, yukarıda da ifade edildiği üzere, TekCep uygulamasının bankaların hâlihazırda müşterilerine sunduğu XML ekstresini içerdiğini, bu bağlamda TekCep üzerinden sunulan bilgilerin bankaların müşterilerine sağladığı bilgilerden oluştuğunu, dolayısıyla bankalar ile SOFTTECH arasında TekCep uygulamasına özel olarak kurulmuş herhangi bir veri akışı bulunmadığını, bir başka ifade ile bankaların XML ekstre formatlarıyla müşterilerine halihazırda sunduğu bilgiler dışında ve/veya bu bilgilerden farklı herhangi bir bilgi temininin mümkün olmadığını belirtmektedir. SOFTTECH, veri iletim şeklinin bu yapısı nedeniyle yine yukarıda ifade edildiği üzere bankalardan gelen veri setlerinin içerdiği parametrelerin farklılaşabildiğini belirtmektedir. SOFTTECH, TekCep uygulamasının bankalardan gelen veriyi aynen müşteriye ilettiğine yönelik bu açıklamalarıyla birlikte, müşterilerin tek ekrandan hesap hareketi bilgilerini görüp harcamalarını yönetebilmesi için gerekli minimum bilgileri ise aşağıdaki şekilde sıralamıştır:

- Hesap numarası,

- İşlem tarihi,

- Bakiye,

- İşlem tutarı,

- Döviz cinsi,

- İşlem tipi,

- İşlem açıklaması.

(32) SOFTTECH açıklamalarında, ayrıca TekCep hesap hareketlerinin sadece TL ve döviz hesapları için geçerli olduğunu; altın gibi yatırım hesabı bilgilerini içermediğini; söz konusu bilgilerin ağırlıklı olarak cari hesaplar için verildiğini; bazı bankaların ise vadeli hesaplar için de hesap hareketleri bilgisi sunabildiğini belirtmektedir.

(33) SOFTTECH tarafından 30.07.2020 tarih ve 8041 sayılı yazı ile ayrıca, sunulan parametreler açısından ortak bir parametre kümesi oluşturulup oluşturulamayacağına ilişkin bilgi talebine istinaden, bankaların vadeli/vadesiz hesap bilgisi görüntüleme hizmetleri ve diğer hizmetler kapsamında müşterilere sunduğu parametrelere ilişkin bankaların veri setleri arasında kapsamlı bir karşılaştırma Kuruma sunulmuş ve söz konusu çalışmada her bir bankanın sunduğu parametrelerin birbirinden kayda değer derecede farklılaştığı ortaya konulmuştur. Anılan yazıda bankaların XML ekstre formatlarının farklı olması sebebiyle ortak/tek bir parametre kümesi oluşturulamadığı, ancak XML ekstrelerdeki parametrelerin genel olarak i) hesaba, ii) şubeye ve iii) müşteriye ilişkin veriler olarak sınıflandırılabileceği ifade edilmiştir.

(34) Öte yandan hesap bilgisi görüntüleme hizmeti kapsamında müşteriye sunulan

parametreler ile ilgili rakip hesap bilgisi görüntüleme hizmeti sağlayıcılarından da bilgi

talep edilmiş olup, gelen bilgiler aşağıdaki tabloda özetlenmiştir:

Tablo 2: Hesap Hareketleri Görüntüleme Hizmeti Veren Teşebbüslerin Sundukları Parametreler

Banka

İşlem İşlem Hesap

Teşebbüs VKN IBAN Hesap Açıklama Diğer

Tarihi Tutarı Bakiyesi

No

Tip kodu, son sorgulama tarihi,

(…..) √ √ √ √ √ √ banka/şube kodu ve adı, hareket sayısı, hesap adı/tipi.

TCKN, işlemin cinsi,

(…..) √ √ √ √ √ para birimi.

İşlem kodu, bloke

(…..) √ √ √ √ tutarı.

Banka/Şube kodu ve adı, kredi tutarı, hesap adı/tipi, dekont numarası, bloke

(…..) √ √ √ √ √ √ tutarı, döviz kodu, kullanılabilir/kredili kullanılabilir/anlık bakiye, hata mesajı, işlem tipi.

Unvan, SWIFT hesap

(…..) √ √ bilgileri, telefon

Etiket bilgileri, gönderen,

(…..) √ √ √ √ √ √ √

giren/çıkan, işlem tipi, dekont numarası.

Kaynak: Hesap hareketleri görüntüleme hizmeti sağlayıcılarından edinilen bilgiler

(35) Tablo 2 incelendiğinde özellikle “Diğer” sütununda belirtildiği üzere teşebbüslerin

müşterilere sunduğu veri setinin kapsamının farklılaşabildiği anlaşılmaktadır. Rakip

hesap bilgisi görüntüleme hizmeti sağlayıcılarından gelen cevabi yazılarda da

müşteriye sunulan bilgilerin banka bazında farklılaşabildiği ve kendi yazılımlarına

banka tarafından hangi parametreler iletiliyorsa müşteriye de bu parametrelerin

sunulduğu bilgisine yer verildiği görülmektedir.

(36) Sonuç olarak Tablo 2’den rakip hesap görüntüleme hizmeti sağlayıcılarından elde

edilen cevaplardan, hesap bilgisi hizmetinin sunulması için gerekli minimum bilgiler ile

ilgili tutarlı bir sonuca ulaşmanın mümkün görünmediği anlaşılmaktadır.

(37) Üçüncü olarak, bilgi istenen 10 yerel bankadan gelen cevaplar incelendiğinde, genel

olarak hesaba, müşteriye, hesabın açıldığı banka şubesine ve ilgili hesaptan

gerçekleşen işlemlerle ilgili bilgileri içermekle beraber, yukarıda da defaatle belirtildiği

üzere her bankanın bu hizmet kapsamında müşteriye sunduğu parametre setinin

kapsamının farklılaşabildiği görülmektedir. Dolayısıyla yerel bankalardan edinilen bu

bilgilerden de, daha kısıtlı bir veri setinin anılan hizmetin verilmesi için yeterli olacağı

sonucuna ulaşılamamaktadır.

(38) Son olarak bilgi istenen yabancı bankalardan gelen cevaplar incelendiğinde; (…..)

tarafından;

- Türkiye’de faaliyet gösteren neredeyse tüm bankaların yurtiçi ve yurtdışı

müşterilerine, muhasebe programlarına ya da üçüncü taraf yazılımlara iletilmek

üzere hesap bilgisi gönderim hizmeti verildiği, hesap bilgilerinin endüstri

standartları doğrultusunda SWIFT (Society for Worldwide Interbank Financial Telecommunication – Dünya Bankalararası Finansal Telekomünikasyon Birliği), SFTP (Secure File Transfer Protocol – Güvenli Dosya Taşıma Protokolü) ya da API (Application Programming Interface – Uygulama Programlama Arayüzü) yöntemleri aracılığıyla, müşteriden gerekli rızalar alındıktan sonra, ilgili kanun ve düzenlemelerle uyum içinde ilgilisine iletildiği,

- Hesap ekstresi gönderiminde kullanılan iki temel formatın MT940 ve ISO20022 XML formatı olduğu, SWIFT tarafından geliştirilen MT940 formatında hesaba giren bütün kayıtların ayrıntısıyla yer aldığı, bu format kapsamında kullanılması hem zorunlu (hesap numarası, ekstre/sıra numarası ve açılış/kapanış bakiyesi gibi) hem de ihtiyari (açıklama alanı, hesap sahibine ait bilgiler ve ileri kullanılabilir bakiye gibi) unsurların yer aldığı, bu nedenle kullanılan parametrelere göre bankaların MT940 formatındaki ekstrelerinin birbirinden farklılaşabildiği,

- (…..)’ın hesap ekstresinde hesap detayları, işlem miktarları, işlem tarihi ve müşteri talimatında yer alan diğer ilgili bilgiler ile açılış ve kapanış bakiyesinin yer aldığı, ayrıca mevduat ve kredi işlemleri ile ilgili faiz oranı bilgisinin ve çeşitli işlemlerden alınan komisyonların (çek komisyonları, teminat mektubu, kredi mektubu komisyonları gibi) da hesap özetine yansıtıldığı,

(39) (…..) tarafından;

- (…..)’ın müşterilerinin kendi hesap bakiyeleri ve işlemlerine ilişkin bilgilere erişmesi için sağladığı yöntemlerin, çevrimiçi portal üzerinden erişim, elektronik mesajlaşma aracılığıyla elektronik ekstre temin edilmesi ve doğrudan muhasebe programlarına veri/bilgi aktarımı veya üçüncü taraf yazılımlarına dosya transferinden ibaret olduğu,

- Banka hesaplarına ilişkin müşterilere sunulan bilgilerin esas itibarıyla bakiye ve işlemlere ilişkin olduğu, bu çerçevede müşterilere belirtilenlerle sınırlı olmamak üzere temel olarak i) hesap bakiyeleri ve işlem detayları (günlük açılış ve kapanış bakiyeleri ve hesaba giren ve çıkan münferit işlemler dahil olmak üzere) ii) faiz ve ücret ekstreleri (uygulanabilir faiz oranı ve ödenen/alınan faiz miktarı ve/veya hesap dönemi boyunca uygulanan hesap veya işlem ücretleri) iii) reddedilen herhangi bir işlemin detaylarının sunulduğu

belirtilmektedir. Dolayısıyla yurtdışı bankalardan edinilen bilgiler çerçevesinde de

hesap bilgisi gönderim ve görüntüleme hizmetlerinin sunulmasında yeknesak bir veri

setinden söz edilemeyeceği anlaşılmaktadır.

(40) Öte yandan bilgi talep edilen taraflardan (…..), hesap ekstrelerinin mutabakat

işlemlerinin sağlıklı bir şekilde yürümesini sağladığını ve bu amaca yönelik bütün

parametreleri içerdiğini, hesap ekstrelerinden bazı parametrelerin çıkarılmasının

müşteriye sunulan faydanın kaybolmasına sebep olacağını ifade etmiştir. (…..)’in ana

şirketi (…..) da bazı parametrelerin aktarılmaması durumunda müşterinin tüm bilgileri

tek bir platformda toplamasından amaçlanan faydanın sağlanamayacağını belirtmiştir.

(…..) tarafından ise hesap bilgisi ve diğer finansal unsurlara ilişkin görüntüleme

hizmetlerinin, iş yerlerinin nakit akışlarını düzenleme, işlemin finansallaşmasını

sağlama, alacak borç takibi ve mutabakat fonksiyonları itibarıyla önem arz ettiği

vurgulanmaktadır.

(41) Sonuç olarak hesap bilgisi görüntüleme hizmetinde hangi parametrelerin gerekli

olduğu ile ilgili çeşitli taraflardan edinilen bilgilerden, bu hizmetin verilmesi için tek ve

yeknesak bir formattan söz edilemeyeceği, söz konusu hizmetin kapsamının bankalarca müşteriye sunulan ekstrelerin detayı ve müşteri ihtiyaçları doğrultusunda belirlendiği sonucuna ulaşılmaktadır.

(42) Öte yandan konunun diğer boyutunu oluşturan hesap ekstrelerinde yer alan parametrelerden hangilerinin rekabete duyarlı parametreler olduğuyla ilgili olarak SOFTTECH, vadesiz hesaplar açısından bankalardan alınan bilgiler içerisinde rekabete hassas nitelikte olabilecek bilginin işlem hareketleri içerisinde listelenen “komisyon tahsilat tutarı” kalemi olduğunu, vadeli hesaplar bakımından ise hesaba işleyen “faiz tutarı”nın rekabete duyarlı parametreler olarak nitelendirilebileceğini, fakat “faiz oranı” ile ilgili direkt bir bilginin bulunmadığını belirtmiştir. Bununla birlikte SOFTTECH kendilerinin sadece gösterim hizmeti sunduğunu, müşteriye kendilerine bankalardan iletilen XML ekstre içerisinde yer alan veriler haricinde bir bilgi sunmadığını yinelemiştir. SOFTTECH ekstre gösterim hizmetinin ağırlıklı olarak vadesiz hesaplar için verildiğini, sadece (…..) ve (…..)’ın ekstrelerinde faiz oranı bilgisi bulunduğunu iletmiştir [9]. Bununla birlikte SOFTTECH bu bilginin TekCep tarafından kullanılmayan ve kaydedilmeyen bir alan olduğunu belirtmektedir. SOFTTECH’in açıklamalarından komisyon tahsilat tutarı kaleminin ise bankaların çeşitli işlemlerden aldığı komisyonlara ilişkin olduğu anlaşılmaktadır.

(43) Ekstre gönderim hizmeti kapsamındaki rekabete duyarlı veriler ile ilgili yerel bankalardan (…..) ve (…..) faiz oranı bilgisinin bu kapsamda yer aldığını belirtmektedir. (…..) ise valör tarihi, kapanış bakiyesinden elde edilebilen faiz oranı, kullanılabilir kredili mevduat hesabı limiti, plaka no, işlem kuru gibi bilgilerin de bu kapsamda yer alabileceğini ifade etmektedir.

(44) Yabancı bankalardan gelen cevabi yazılar incelendiğinde ise (…..) tarafından ücret, komisyon ve oranlara ilişkin bilgilerin rekabete duyarlı olduğu, (…..) tarafından müşterilere kendi hesaplarına ilişkin sunulan bilgilerin rekabete duyarlı olarak değerlendirilmediği, vadeli hesap faiz olanlarının müşterilere iletilen veya müşterilerin çevrimiçi olarak erişim sağlayabildiği hesap bilgisi olduğu ve Avrupa Ekonomik Alanı’nda bu bilgilerin sağlanmasına izin verildiği, (…..) tarafından verilerin rekabete duyarlı veri niteliğinden ziyade kişisel veri niteliğinde olduğunun belirtildiği görülmektedir. Edinilen bu bilgiler çerçevesinde yurtdışı örneklerinde hesap hareketleri görüntüleme hizmetinin sunumunda faiz ve komisyon bilgileri gibi rekabete duyarlı bilgilerin paylaşılmasına doğrudan bir sınırlama getirilmediği anlaşılmaktadır.

(45) Sonuç olarak tarafların cevabi yazılarından hesap bilgisi gönderim/gösterim hizmeti kapsamında rekabete duyarlı veriler bakımından vadeli hesaba ilişkin faiz oranı ve çeşitli işlemlere ilişkin komisyon oranı ön plana çıkmaktadır. Rekabete duyarlı addedilen bu parametrelerin hesap bilgisi görüntüleme hizmetleri kapsamında müşteriye sunulup sunulmaması konusuna ise bütüncül bir yaklaşım olması bakımından işbu dosya kapsamındaki diğer hizmetler olan POS alacak bilgisi görüntüleme hizmetleri ve çek tahsilat bilgisi görüntüleme hizmetlerine ilişkin tespit ve değerlendirmelerden sonra değinilmiştir.

G.4.1.2. POS Alacak Bilgisi Görüntüleme Hizmeti

(46) Başvuru sahibi SOFTTECH’ten gelen cevabi yazıda, POS alacak bilgisi görüntüleme hizmeti bakımından, bankaların müşterilerine yolladığı bilgilerin banka bazında farklılık gösterebildiği belirtildikten sonra, bankalar tarafından genel olarak sunulan bilgiler ve 9 Öte yandan yukarıda da yer aldığı üzere (…..) da XML ekstresinde vadeli hesap bilgilerini müşterilerine ilettiğini belirtmiştir.

TekCep üzerinden sunulan bilgiler aşağıdaki tablolarda özetlendiği üzere ayrı ayrı

listelenmiştir:

Tablo 3: POS Alacak Bilgisi Görüntüleme Hizmeti Kapsamında Sunulan Bilgiler

POS Alacak Bilgisi Görüntülenme Hizmeti Kapmasında POS Alacak Bilgisi Görüntülenme Hizmeti

TekCep Üzerinden Sunulması Planlanan Bilgiler Kapmasında Bankalar Tarafından Genellikle Sunulan

Bilgiler

o Banka tarafından uygulanan hizmet komisyon o Hizmet komisyon tutarı,

oranı, o Taksit sayısı,

o Banka tarafından işlem üzerinden alınacak o Provizyon kodu,

komisyon tutarı, o Banka şube kodu,

o Taksit sayısı, o Hesap numarası,

o Provizyon kodu, o İşlemin yapıldığı tarih,

o POS cihazını/sanal posu sağlayan bankanın kodu, o Referans numarası,

o POS cihazını/sanal posu sağlayan bankanın şube o Hesap tipi,

kodu, o Döviz tutarı,

o Müşterinin ilgili bankadaki hesap numarası, o Komisyon dahil net tutar

o Müşterinin POS ödemesinin hangi tarihte hesabına

yapılacağı,

o Müşterinin POS ödemesinin kaç gün sonra

hesabına yapılacağı.

Kaynak: SOFTTECH’ten edinilen bilgiler

(47) Yukarıdaki tablo incelendiğinde işlem tutarı, referans numarası, hesap tipi, döviz tutarı

ve komisyon dahil net tutar parametrelerinin haricinde POS alacak bilgisi kapsamında

bankalar tarafından müşteriye sunulan parametreler ile TekCep üzerinden sunulan

parametrelerin büyük oranda benzeştiği görülmektedir. SOFTTECH bu bilginin

haricinde, müşterilerin POS raporlarında en önem verdiği bilgilerin, işlemin yapıldığı

yer, bu kapsamda üye iş yeri ve terminal numarası, yapılan işlemin türü, tarihi, ne

tutarda olduğu, uğrayacağı kesintiler, taksit sayısı ve hesaplarına ne kadar tutarın

hangi gün yatırılacağı olduğu ve bu bilgilerin, müşterilerin nakit akışlarını yönetmeleri

açısından kritik olan minimum bilgileri içerdiğini belirtmiştir.

(48) Öte yandan bilgi istenen ve POS alacak bilgisi görüntüleme hizmetinde faaliyeti

bulunan rakip görüntüleme hizmeti sağlayıcı teşebbüslerden (EÇÖZÜM, KAYAPORT

ve MANİM) bu hizmetin sunulabilmesi için hangi parametrelerin gerekli olduğu

konusunda gelen bilgiler ise aşağıdaki tabloda özetlenmektedir:

Tablo 4: POS Alacak Bilgisi Görüntüleme Hizmeti Veren Teşebbüslerin Sundukları Parametreler

[10] BIN (Bank Identification Number), kredi kartı ve banka kartının hangi bankaya ait olduğunu gösteren

kart üzerindeki ilk altı hane bilgisidir.

Kaynak: Hesap bilgisi görüntüleme hizmeti sağlayıcılarından edinilen bilgiler

(49) Tablo 4 incelendiğinde, ilk dört sütununda yer alan parametrelerin SOFTTECH

tarafından sunulan parametrelerle örtüştüğü; bununla birlikte, rakip POS alacak bilgisi

görüntüleme hizmeti sağlayıcılarından gelen bilgilerin genel itibarıyla tam olmadığı ve

POS alacak bilgisi görüntüleme hizmetlerinde gerekli parametreler bakımından bir

sonuca varmak için yeterli olmadığı görülmektedir.

(50) İnceleme konusu çerçevesinde 10 yerel bankadan ve Ödeme ve Elektronik Para

Derneği’nden (ÖDED) de POS alacak bilgisi görüntüleme hizmeti kapsamında hangi

parametrelerin sunulması gerektiği konusunda bilgi talep edilmiş olup bazı bankaların

kendi sundukları hizmet kapsamında müşterilerine ilettiği parametreleri de dikkate

alarak yaptıkları değerlendirmelere aşağıdaki tabloda yer verilmiştir:

Tablo 5: ÖDED’e ve Bankalara Göre POS Alacak Bilgisi Görüntüleme Hizmeti için Gerekli Olan ve

Rekabete Duyarlı Bilgiler

Teşebbüs Adı Gerekli Bilgi Rekabete Duyarlı Bilgi

o Sanal POS üye iş yeri numarası, o Komisyon hariç net tutarı,

o Sanal POS terminal numarası, o Banka tarafından işlem üzerinden o Ödemeye ait sipariş veya işlem alınacak komisyon tutarı,

numarası, o POS cihazını/sanal POS’u o İşlem türü, sağlayan bankanın şube kodu,

(…..)

o Maskelenmiş kart numarası, o POS ödemesinin hangi tarihte o İşlemin tutarı, hesabına yapılacağı,

o Provizyon kodu, o POS ödemesinin kaç gün sonra o POS cihazını sağlayan banka hesabına yapılacağı

kodu

Tablo 2’deki TekCep üzerinden

sunulması planlanan bilgiler ile o Valör tarihi bilgisi,

o Sözleşme no

Tablo 2’deki TekCep üzerinden

sunulması planlanan bilgiler ile

bunlara ilave olarak;

o İş yeri adı,

o Taksit no,

o İşlem tarihi,

(…..) o Komisyon bilgisi

o Yerel işlem saat,

o Kart kaynağı,

o Kart tipi,

o İşlem döviz cinsi,

o Bloke numarası,

o Batch numarası

Tablo 2’deki TekCep üzerinden

o Faiz,

sunulması planlanan bilgilerin

o Komisyon,

(…..) tamamının gerekli olduğu ve bu

o Müşteri özelinde belirlenen işlem verilerin tamamının genellikle talep

ücreti

edildiği belirtilmektedir.

Tablo 2’deki TekCep üzerinden o Banka tarafından işlem üzerinden

(…..) sunulması planlanan bilgilerin alınacak komisyon tutarı,

tamamının gerekli olduğu ve bu

verilerin tamamının genellikle talep o Müşteri POS ödemesinin hangi edildiği belirtilmektedir. tarihte hesabına yapılacağı,

o Müşteri POS ödemesinin kaç gün

sonra hesabına yapılacağı

Günlük ekstre bakımından;

o Brüt tutar,

o Net tutar,

o Ücret tutarı,

o Ücret oranı,

o Bloke hesaba yansıma tarihi,

o Kart tipi [11],

o İşlem tipi,

o Taksit adedi,

Tablo 2’deki TekCep üzerinden

o Bonus ücreti

sunulması planlanan bilgilerin

Aylık ekstre bakımından;

(…..) tamamının gerekli olduğu ve bu

- Dönem İçinde yapılan İşlemler verilerin tamamının genellikle talep

kolonunda yer alan;

edildiği belirtilmektedir.

o Kesilen komisyon,

o Hizmet bedeli,

o İade komisyon,

o İade hizmet bedeli

- Çalışma şekli kolonunda yer alan;

o Bloke gün,

o Komisyon değerleri

ilk etapta rekabete duyarlı bilgiler

olarak verilmiştir.

o Banka tarafından uygulanan hizmet Tablo 2’deki TekCep üzerinden

komisyonu oranı,

sunulması planlanan bilgilerden POS

o Müşterinin POS ödemesinin kaç cihazını veren bankanın kodu

gün sonra hesabına yapılacağı haricinde geri kalan bilgilerin

bilgisi,

(…..) tamamının gerekli olduğu ve bu

o İşlem türü,

verilerin tamamının genellikle talep

o Taksit sayısı,

edildiği belirtilmektedir. Müşteri

o Maskelenmiş kart numarası,

talebine bağlı olarak ilave verilerin de

o Müşterinin POS ödemesinin hangi sunulduğu ifade edilmektedir.

tarihte hesabına yapılacağı

Tablo 2’deki TekCep üzerinden

sunulması planlanan bilgilerin

tamamının gerekli olduğu ve bu

verilerin tamamının genellikle talep

edildiği belirtilmektedir. Bununla

birlikte müşterinden gelen talep

üzerine aşağıda yer alan bilgilerin

paylaşıldığı ifade edilmiştir.

Verilerin müşteri bağlamı dışında büyük o Batch no (işlem grupları),

veri olarak işlenmesinin ve

(…..) o İşlem tarihi,

anlamlandırılarak kullanımının önüne o Para birimi,

geçilmesi gerektiği belirtilmiştir.

o Bonus-Web (bonus işlem olup

olmadığı),

o Bonus kullanılıp kullanılmadığı,

o İşlem kaynağı,

o Kart kaynağı,

o Kart markası,

o Kart tipi,

o Onay kodu,

(…..) tarafından, kart tipi ilk bakışta hassas görülmeyecek nitelikte olmakla beraber kart tipine göre

POS anlaşmalarında farklı fiyatlandırmalar yapılabildiği göz önüne alındığında “bonus” anlaşmalı kartlar

ile paracard’ların farklı fiyat stratejileri bulunması ve bu durumun dolaylı olarak fiyata etki etmesi

nedeniyle kart tipi bilgisinin de rekabet açısından hassas olabileceği belirtilmektedir.

o İşyeri katkı payı,

o Günsonu tarihi,

o Bloke süresi,

o Bloke tipi,

o Servis ücreti tutarı,

o Çözülme tarihi,

o Toplam tutar,

o Komisyon/BSMV/İşlem tutarı,

o Servis ücreti BSMV/AMNT,

o İş yeri indirim katkısı,

o Zincir indirim katkısı,

o Loyalty taksit sayısı,

o Vergi dönemi,

o Vergili olup olmadığı,

o RRN - Retrieval Reference

Number

o İkinci günsonu,

o DCC,

o Alt bayi üye iş yeri no,

o Alt bayi terminal no,

o Alt bayi iş yeri adı

o Komisyon hariç net tutar,

o Banka tarafından uygulanan hizmet Tablo 2’deki TekCep üzerinden komisyon oranı,

sunulması planlanan bilgilerin o Banka tarafından işlem üzerinden

(…..) tamamının gerekli olduğu ve bu alınacak komisyon tutarı, verilerin tamamının genellikle talep o Müşterinin POS ödemesinin hangi edildiği belirtilmektedir. tarihte hesabına yapılacağı,

o Müşterinin POS ödemesinin kaç

gün sonra hesabına yapılacağı Tablo 2’deki TekCep üzerinden

sunulması planlanan bilgilerin

tamamının gerekli olduğu ve bu

verilerin tamamının genellikle talep

edildiği belirtilmektedir. Bununla

birlikte müşterinden gelen talep

üzerine aşağıda yer alan bilgilerin

paylaşıldığı ifade edilmiştir.

o İşlem tarihi,

o Kart tipi,

o Bloke çözüm tarihi,

o Net ödeme tutarı (tüm kesintiler

o İşlem türü,

sonrası hesaba geçecek tutar),

o Komisyon hariç net tutar, o Katkı payı (kart sahibine verilen

o Hizmet komisyon oranı,

Worldpuan için üye iş yerinden

(…..) o Alınacak komisyon tutarı,

yapılan kesinti),

o Taksit sayısı,

o Erken ödeme tutarı (taksitli

o Müşterinin POS ödemesinin hangi

işlemleri ertesi gün alma faizi),

tarihte hesabına yapılacağı o Erken bloke komisyonu (iş yerinin

valör tarihinden daha önce aldığı

ödeme için yapılan kesinti),

o Taksit sırası (taksitli bir işlemde,

kayıtın kaçıncı takside ait olduğu

bilgisi),

o Hesap tipi (iş yerinin ödemelerinin

yapıldığı hesabının tipi),

o Hesap no,

o Müşteri no (iş yerinin bağlı olduğu

müşteri numarası),

o İade üye iş yeri numarası,

o Slip onay kodu (provizyon

esnasında verilen slipin onay kodu

bilgisi),

o Referans numarası (işlemin

referans numarası),

o Döviz kodu (işlemin döviz cinsi),

o Orijinal işlem tutarı (işlemin dövizli

tutarı),

o Sipariş numarası (sanal POS

işleminin sipariş numarası),

o Tabela unvanı,

o Süpürme tutarı (süpürme

yapısıyla çalışan iş yerine yapılan

süpürme tutarı),

o Müşteri adı ve soyadı (kart sahibi

müşterinin adı ve soyadı),

o İşlem saati

Tablo 2’deki TekCep üzerinden

sunulması planlanan bilgilerin

POS alacak hizmeti kapsamında

(…..) tamamının gerekli olduğu ve bu

sunulan tüm bilgiler

verilerin tamamının genellikle talep

edildiği belirtilmektedir.

Kaynak: Bankalardan edinilen bilgiler

(51) Bankalardan gelen cevabi yazılar incelendiğinde, bankaların tamamının POS alacak bilgisi görüntüleme hizmeti kapsamında TekCep üzerinden müşteriye sunulan parametrelerin tümünün hizmetin sağlıklı sunumu için gerekli olduğunu belirttiği görülmektedir. Nitekim Tablo 5 incelendiğinde bankalar tarafından POS alacak bilgisi gönderim hizmeti kapsamında gerek SOFTTECH gerekse de diğer hizmet sağlayıcılarından daha fazla sayıda parametrenin müşteriye sunulduğu görülmektedir. Bir teşebbüs birliği olan ÖDED’ten gelen verilerde ise daha sınırlı sayıda parametre yer almakla birlikte bu parametrelerin de SOFTTECH, rakip hizmet sağlayıcılar ve bankalardan gelen verilerle paralel olduğu gözlenmektedir.

(52) Diğer yandan bilgi talep edilen yabancı bankalardan gelen cevabi yazılarda ise genel olarak POS alacak bilgisi görüntüleme hizmetinin kendileri tarafından verilmediği hususu (CITIBANK, JPMORGAN, BNP PARIBAS) ön plana çıkmaktadır.

(53) Sonuç olarak bilgi istenen tüm taraflardan gelen cevaplar göz önünde bulundurulduğunda POS alacak bilgisi görüntüleme hizmetleri kapsamında TekCep tarafından sunulan parametrelerin genel itibarıyla gerekli olduğu sonucuna ulaşılmaktadır.

(54) Öte yandan konunun diğer boyutunu ise daha önce de ifade edildiği üzere bu parametrelerin hangilerinin rekabete duyarlı veri niteliğinde olduğu konusu oluşturmaktadır. Bu hususa ilişkin başvuru sahibi SOFTTECH fiyatlandırmaya ilişkin olması nedeniyle POS alacak bilgisi görüntüleme hizmeti kapsamında yer alan komisyon bilgilerinin (komisyon hariç net tutar, komisyon dahil net tutar, hizmet komisyon oranı, hizmet komisyon tutarı) ve ayrıca bankalar arasında POS temini bakımından üye iş yeri edinme konusunda rekabet çerçevesinde üye iş yerine ait bilgilerin bu kapsamda değerlendirilebileceğini iletmiş, ancak gerek SOFTTECH’in söz konusu verileri müşteriye gösterim dışında kullanmadığını gerekse İŞ BANKASI’nın bu verilere erişiminin olmadığı hususunu yinelemiştir.

(55) Hangi bilgilerin stratejik olduğuna ilişkin bankalardan gelen cevabi yazılarda ise kimi bankalardan kendi sundukları hizmet özelinde açıklamalar yer almaktayken, bazı

bankalar ise müşteri gizliliği ve/veya kişisel veri yaklaşımı ile değerlendirmelerde bulunmuştur. Bu çerçevede bazı bankalar tarafından rekabete duyarlı/stratejik veri konusunda yaklaşımsal farklılıklar bulunmakla beraber, TekCep üzerinden sunulan bilgilere ilişkin olarak çoğunlukla aşağıdaki parametrelerin rekabete duyarlı veri olarak zikredildiği görülmektedir:

- Komisyon hariç net tutar,

- Banka tarafından uygulanan hizmet komisyon oranı,

- Banka tarafından işlem üzerinden alınacak komisyon tutarı,

- Müşterinin POS ödemesinin hangi tarihte hesabına yapılacağı,

- Müşterinin POS ödemesinin kaç gün sonra hesabına yapılacağı.

(56) Bankalar tarafından müşteriye yönelik uygulanan fiyatlandırmayı ve ticari politikayı ilgilendiren bu başlıca parametrelerin haricinde yukarıda da yer verildiği üzere;

- (.....) tarafından bankalar arasında üye iş yeri edinme konusunda rekabet olması

nedeniyle üye iş yerine ait bilgiler,

- (…..) tarafından, kart numarası maskelenmiş dahi olsa açık olarak iletilen ilk 6

haneden hangi bankaya ait olduğu anlaşıldığından maskelenmiş kart numarası;

başka platformlardan ulaşılamayacak bilgiler olması nedeniyle işlem türü ve taksit

sayısı,

- (.....) tarafından kart tipi, işlem türü, taksit sayısı,

- (.....) tarafından, komisyon veya bloke gün sayısı gibi bankalar ile işyerleri

arasındaki mevcut ilişki ve çalışma düzenini ortaya koyan parametreler

POS alacak bilgisi hizmeti kapsamında sayılan rekabete duyarlı bilgiler olarak sıralanmıştır. Bazı bankaların bu değerlendirmeleri çerçevesinde ve ayrıca SOFTTECH’in de açıklamalarında yer aldığı üzere, POS temini bakımından üye iş yeri edinme konusunda rekabetin bir parçasını ve müşteriyle çalışma koşullarını oluşturan daha geniş bir parametre setinin rekabete duyarlı veri olarak nitelendirilmesi mümkün olmakla beraber, doğrudan fiyatlandırma ile ilgili yukarıda sayılan komisyon ve ödeme vadesi gibi verilerin nitelendirilebilirlik ölçütü itibarıyla da bu bakımdan daha çok önem/öncelik taşıdığı değerlendirilmiştir.

G.4.1.3. Çek Tahsilat Bilgisi Görüntüleme Hizmeti

(57) Hesap bilgisi görüntüleme hizmetleri ve POS alacak bilgisi görüntüleme hizmetlerinin ardından bu bölümde SOFTTECH tarafından verilmesi planlanan bir başka hizmet olan çek tahsilat bilgisi görüntüleme hizmeti bakımından müşteriye sunulan ve bankalar arasında ve diğer hizmet sağlayıcılara iletimi sağlanan parametrelerden hangilerinin bu hizmetin verilmesi için gerekli olduğu ve söz konusu verilerin rekabete duyarlı veri olup olmadığı üzerinde durulacaktır. Konuya ilişkin öncelikle SOFTTECH tarafından iletilen cevaplar incelendiğinde, SOFTTECH, henüz TekCep üzerinden ilgili hizmetin sunumuna başlanmadığını belirttikten sonra, çek tahsilat bilgisi görüntüleme hizmeti bakımından da bankaların müşterilerine yolladığı bilgilerin banka bazında farklılık gösterebildiğini ifade etmiştir. SOFTTECH, TekCep üzerinden çek tahsilat bilgisi görüntüleme hizmeti altında sunulması planlanan parametreleri ise aşağıdaki şekilde sıralamıştır:

- Çekin hangi bankadan takasa sokulduğu

- Çek keşidecisi (çeki kimin düzenlendiği)

- Çek numarası

- Çek tarihi

- Çek vadesi

- Çek tutarı

- Muhatap banka (çekin düzenlendiği banka)

(58) SOFTTECH Kuruma ulaştırdığı ek bilgi ve belgelerde bu parametrelerden çek tarihi, çek tutarı, çek vadesi, çek keşidecisi ve keşideci banka bilgilerinin bu hizmetin verilebilmesi için gerekli asgari parametreler olduğunu, öte yandan söz konusu parametreler arasında rekabete hassas olarak nitelendirilebilecek bir parametre bulunmadığının değerlendirildiğini ifade etmiştir. SOFTTECH, ayrıca, çek tahsilat bilgisi görüntüleme hizmeti bakımından sayılan bu bilgilerin, müşterilerin harcamalarını düzenlemeleri ve nakit akışlarını yönetmeleri adına minimum düzeyde ihtiyaç duydukları bilgiler olduğunu belirtmektedir.

(59) SOFTTECH dışında görüntüleme hizmeti sunan rakip teşebbüslerden de sözü edilen hizmet kapsamında sundukları bilgiler talep edilmiştir. Rakip teşebbüsler arasında bu hizmeti, hesap bilgisi görüntüleme hizmeti kapsamında veren sadece KAYAPORT bulunmakla beraber EÇÖZÜM ve MANİM’in cevabi yazılarında da sunulmasında fayda olan parametrelerle ilgili bilgiye yer verildiği görülmektedir. Aşağıdaki tabloda bu bilgilere yer verilmiştir:

Parametreler

Teşebbüs VKN IBAN Telefon

Kişinin Keşidecisi Tutarı Tarihi Şube Numarası

Unvanı Bilgileri

(…..) √ √ √ √ (…..) [12] √ (…..) [13] √ √ √ √ √ √ √ √ √ Kaynak: Hesap bilgisi görüntüleme hizmeti sağlayıcılarından edinilen bilgiler

(60) Tablodan görüldüğü üzere rakip teşebbüsler tarafından çek tahsilat bilgisi görüntüleme hizmetleri kapsamında sunulan/sunulması gerekli görülen parametrelere ilişkin cevaplar da önceki cevaplarda olduğu gibi tutarlı bir yapı arz etmemekte ve bu cevaplardan hareketle genel bir sonuca ulaşmak mümkün gözükmemektedir.

(61) İnceleme sürecinde ÖDED’ten ve bilgi talep edilen bankalardan da çek tahsilat bilgisi görüntüleme hizmeti kapsamında hangi parametrelerin sunulması gerektiği ve SOFTTECH tarafından çek tahsilat bilgisi görüntüleme hizmeti kapsamında TekCep üzerinden sunulması planlanan bilgilerden hangilerinin rekabete duyarlı olduğu konusunda görüş talep edilmiştir. ÖDED’ten ve bankalardan gelen bilgiler aşağıdaki şekildedir:

12 (…..) tarafından hizmetin sunulması için gerekli olan parametreler verilmiştir.

13 (…..) tarafından sunulması faydalı olan parametreler verilmiştir.

Tablo 7: ÖDED’e ve Bankalara Göre Çek Tahsilat Bilgisi Görüntüleme Hizmeti için Gerekli Olan ve

Rekabete Duyarlı Bilgiler

Teşebbüs Adı Gerekli Bilgi Stratejik Bilgi

o Çekin hangi bankadan takasa Çek keşidecisi bilgisinin hem

sokulduğu, müşteri verisi hem de kişisel veri o Çek numarası, olması sebebi ile rekabete duyarlı

(…..) o Çek tarihi, bir veri olduğu ifade edilmiştir. o Çek vadesi,

o Çek tutarı,

o Muhatap banka

Çek tahsilat bilgisi görüntüleme Söz konusu hizmetin üçüncü bir hizmetleri alanında TekCep kişi tarafından verilmesi söz konusu tarafından sunulması öngörülen olacak ise; verilerin müşterilere ait bilgiler bankaya teslim edilen veriler olması neden iyle bu çek/çekler üzerinden alınarak çek bilgilerin Bankacılık Kanunu alacaklısına bilgi vermek amacıyla açısından müşteri sırrı olduğu, sisteme kaydedilen bilgilerdir. Bu hizmetin müşteri talebi üzerinden bilgiler çeki elinde bulundurup başlatılması ve hizmeti verebilecek üzerinde yazan bilgileri bilen çek finansal piyasalarda doğrudan

(…..) alacaklısına dönülmektedir. Bu faaliyeti olmayan firmaların bilgiler çek alacaklısının hangi şartlarının belirlenerek çekin ne durumda olduğunu bilmesi lisanslanmasının gerektiği ve çeklerini ayırt edebilmesi ve düşünü lmektedir. Bu faaliyeti muhasebeleştirebilmesi açısından yürütecek firmaların bilgi riski önemli olan bilgilerdir. güvenliğini sağlaması ve söz

konusu verileri farklı amaçlar için

kullanmaması amacıyla konunun

regüle edilmesinin faydalı olacağı

değerlendirilmektedir.

-

Çek tahsilat bilgisi görüntüleme

hizmetleri alanında TekCep

tarafından sunulması öngörülen

bütün parametrelerin çek

(…..) raporunda bulunduğu

belirtilmektedir. İlaveten, müşteri

tercihine bağlı olarak çeke yönelik

diğer bilgilerin de iletilebileceği

belirtmiştir.

Çek tahsilat bilgisi görüntüleme Çek bilgisi gönderim hizmetlerinin hizmetleri alanında TekCep yalnızca müşterinin kendisine tarafından sunulması öngörülen verildiği takdirde rekabete duyarlı bütün parametrelerin çek bir durum oluşmadığı, bununla raporunda bulunduğu birlikte bu hizmetler kapsamındaki

(…..) belirtilmektedir. verilerin üçüncü yazılımlara

iletilmesi durumunda, söz konusu

verilerin görüntüleme hizmeti

dışındaki amaçlarla kullanılmaması

yönünde regülasyonların

düzenlenmesinin önem taşıdığı

belirtilmiştir.

-

Çek tahsilat bilgisi görüntüleme

hizmetleri alanında TekCep

tarafından sunulması öngörülen

(…..) bütün parametrelerin Sftp/Sterling

alanı ya da hesap hareketleri

üzerinden müşteri ile paylaşıldığı

belirtilmektedir.

-

o Çek,

o Banka anahtarı,

(…..) o Banka hesap no,

o Şirket kodu,

o Mali yıl,

o Belge no,

o Kalem no,

o Bordro numarası,

o Kayıt tarihi,

o Vade tarihi,

o Portföy kodu,

o Hesap no,

o Müşteri kodu,

o Banka kodu,

o Şube kodu,

o Hesap no (çekin üzerindeki

hesap kodu),

o Çek no,

o İş alanı,

o Tutar,

o Para birimi,

o Çek sayısı,

o Borçlu adı soyadı,

o Borçlu adres,

o Borçlu şehir,

o Borçlu posta kodu,

o Keşide yeri,

o Banka bordro no,

o Tahsilat tarihi,

o Statü kodu,

o Vergi no

Çek vadesi ve tutarı müşterilere

özel bilgiler olup rekabet açısından

hassas olabilecek bir verinin ortaya

bir bilgiye sahip olduğu ve böylece

satış tekliflerinin hazırlanmasında

daha rekabetçi teklifler

yaratılabildiği belirtilmiştir.

Çek tahsilat bilgisi görüntüleme Çek tahsilat bilgisi görüntüleme hizmetleri alanında TekCep hizmetleri alanında TekCep tarafından sunulması öngörülen tarafından sunulması öngörülen bütün parametrelerin müşterilerin parametrelerin rekabete duyarlı kendi iç muhasebe ve kendi olmadığı, yalnızca bu bilgiler

(…..) sistemlerine entegre ettikleri bilgiler arasına eklenmesi durumunda çek olması ve hem müşterilerin alacak tipi parametresinin, Çekin tahsil ya takipleri hem de borçluların borç da teminat çeki olduğunun ödeme performanslarının takibi belirtilmesi yoluyla firmanın açısından önemli olması nedeni ile bankada çek teminatlı kredi limitli gerekli olduğu belirtilmektedir. çalıştığı bilgisini verebileceği

belirtilmiştir.

Çek tahsilat bilgisi görüntüleme

hizmetleri alanında TekCep

tarafından sunulması öngörülen

Tüm görüntüleme hizmetleri

(…..) stratejik bilgiler içerebildiği, bu belirtilmektedir.

bağlamda banka gönderimlerinin o Çek bankası,

alıcı tarafından muhasebe o Çek hesabı,

entegrasyonu haricinde farklı o Çek şubesi,

amaçlarla kullanılmaması gerektiği o Çek numarası,

değerlendirilmiştir.

o Şehir-taşra çeki,

o Keşide tarihi,

o Çekin vadesi,

o Keşideci adı,

o Tutar,

o Çek tutarı,

o Akıbet,

o Akıbet tarihi,

o Ödenen hesap,

o Çekin ödeneceği hesap,

o Müşteri referans no,

o Müşteri bordro no,

o Teminat tahsil çeki

Hamil ile paylaşılan bilgiler:

o Çek seri numarası,

o Keşide tarihi,

o Keşide yeri,

o Çek tutarı,

o Döviz cinsi,

o Keşideci ad-soyad/unvan,

o Keşideci VKN/TCKN,

o Çek hesap no,

o Çek banka kodu/şube kodu,

Çek bilgisi gönderim hizmetinde yer o Takas tarihi,

alan müşteriye iletilen bilgilerin Risk o Çek durumu,

Merkezi Genelgesi kapsamında o Çek görüntüsü,

(…..) TSB Risk Merkezi ile de o Güncel durumu,

paylaşıldığı, müşteri ile paylaşılan o Güncelleme tarihi

bilgilerin rekabete duyarlı bilgi Keşideci ile paylaşılan bilgiler: niteliği taşımadığı belirtilmektedir. o Çek seri numarası,

o Keşide tarihi,

o Çek tutarı,

o Döviz cinsi,

o Çek hesap no,

o Takas tarihi,

o Çek durumu,

o Çek önyüz görüntüsü,

o Güncel durumu,

o Güncelleme tarihi

Çek tahsilatı bilgisi görüntüleme Tüm görüntüleme hizmetleri hizmeti bakımından çekin hangi bakımından, bilgilerin doğrudan bankadan takasa sokulduğu bilgisi müşteriye güvenli bir kanaldan dışındaki TekCep tarafından iletildiği sürece bankalar açısından sunulması öngörülen bilgilerin rekabete duyarlı bilgiler olmadığı ve tamamının müşterinin sadece o müşteri özelinde veriler muhasebesini gerçekleştirmek, olduğu belirtilmektedir. Verilerin

(…..) nakit akışını oluşturmak ve çek müşteri dışında 3. partilerle tahsilatlarını kendi sisteminde paylaşılması durumunda ise aynı eşleştirmek için gerekli olduğu sektörde rekabet eden kurumların belirtilmektedir. birbirine ait işlem bilgilerine

erişmesinin söz konusu olması

nedeniyle rekabete duyarlı bilgi

haline gelebildiği ifade

edilmektedir.

Çek tahsilat bilgisi görüntüleme

hizmetleri alanında sunulması

öngörülen parametrelerin hizmetin Çekte yer alan;

verilebilmesi için gerekli olduğu o Çek borçlu ve alacaklı bilgileri, belirtilmiş ve kendi çek raporlarında o Çek tutarları ve vadeleri, yer alan parametreler aşağıdaki o Hangi bankalara ödeme

(…..) şekilde sıralanmıştır: yapılacağı

o Banka kodu, gibi verilerin müşterilerin ekonomik

o Tutar,

o Para birimi,

o Keşideci TCKN/VKN,

o Keşideci ad-soyad/unvan,

o Keşide yeri/ili,

o Keşide tarihi,

o Durum kodu,

o Tahsil tarihi

Kaynak: Bankalardan edinilen bilgiler

(62) Tablodan, ÖDED ve bilgi talep edilen bankaların tamamının çek tahsilat bilgisi görüntüleme hizmeti kapsamında TekCep üzerinden sunulması öngörülen parametrelerin genel olarak bu hizmetin verilebilmesi için gerekli olduğuna işaret ettiği görülmektedir. Hatta bankaların bir kısmının SOFTTECH tarafından yapılan açıklamaları doğrular şekilde söz konusu parametrelerden daha geniş bir parametre setini anılan hizmet kapsamında müşterilerine sunduğu ve bankalarca sunulan veri setinin birbirinden farklılaştığı gözlenmektedir. Diğer yandan bankalar tarafından iletilen cevapların büyük bir bölümünde söz konusu parametrelerin rekabete duyarlı nitelik taşımadığı belirtilmektedir. Söz konusu verilerin rekabete duyarlı ya da stratejik veri olabileceği yönündeki argümanların ise daha çok söz konusu verinin müşteri özelinde ticari ya da kişisel veri olması tabanında şekillendiği görülmektedir.

(63) Dosya kapsamında, yurtdışında faaliyeti bulunan bankalardan konuya ilişkin olarak ise;

- (…..) tarafından, çek tahsilat bilgisi görüntüleme hizmeti kapsamında Tekcep

üzerinden sunulması öngörülen bütün parametrelerin kendileri tarafından da

müşteriye sunulduğu ve bu parametrelerin rekabete duyarlı olarak

değerlendirilmediği;

- (…..) tarafından, söz konusu veriler Genel Veri Koruma Yönetmeliği [14] (GDPR)

kapsamında kişisel veri ve bankacılık mevzuatı kapsamında müşteri sırrı ve gizli

nitelik taşımakla beraber, bu bilgilerin rekabet hukuku bakımından ve ticari açıdan

hassas bilgi olmadığı

belirtilmiştir. Bu açıklamalardan, (…..) ve (…..)’in de TekCep üzerinden sunulması planlanan bilgileri rekabete duyarlı olarak görmedikleri anlaşılmaktadır.

(64) Yukarıda verilen bilgiler çerçevesinde, çek tahsilat bilgisi görüntüleme hizmeti kapsamında sunulan parametrelerin, temel olarak müşterilerin çeklerinin akıbetini ve borçlunun ödeme durumunu takip etmesine hizmet ettiği, anılan parametrelerin fiyat, miktar, maliyet vb. gibi Kılavuz’da sayılan unsurları barındırmaması sebebiyle rekabeti kısıtlayıcı niteliğinin sınırlı olduğu, söz konusu verilerin rakipler arasında paylaşımının parametre bazında koordinasyon riski yaratmaktan ziyade rakip müşteri bilgisine ulaşma ve kişisel veri konularında sorun yaratabileceği sonuçlarına ulaşılmakta olup, bu temel sonuçlar çerçevesinde söz konusu hizmet bakımından anti-rekabetçi risklerin diğer iki hizmete oranla sınırlı olduğu değerlendirilmiştir.

G.4.2. Bildirim Formundaki İŞ BANKASI’nın TekCep Üzerinden Sunulan Bilgilere Erişiminin Bulunmadığı Yönündeki Beyanların Değerlendirilmesi

(65) Diğer bir husus, bildirim konusu işlemin taraflarının aynı ekonomik bütünlük içerisinde yer alması nedeniyle İŞ BANKASI’nın, SOFTTECH tarafından TekCep üzerinden paylaşılan müşterinin rakip bankadaki bilgilerine erişemeyeceği yönündeki beyanlarının ve bu kapsamdaki sözleşme hükmünün uygulamada geçerliliğinin şüpheli olduğu görüşüdür. Konuya ilişkin olarak Bildirim Formunda SOFTTECH, uygulamanın mimari yapısı nedeniyle İŞ BANKASI’nın İşCep üzerinden TekCep aracılığıyla sunulan 14 Avrupa Komisyonunun 2016/679 sayılı Regülasyonu.

ve diğer bankalardan gelen müşteri bilgilerine erişmesinin mümkün olmayacağını belirtmektedir. Bu duruma ilişkin TekCep Sözleşmesi’nin 4.4. maddesinde (…..) ifadelerine yer verilmiştir. Ayrıca Bildirim Formunda, SOFTTECH’in tasarladığı TekCep kapsamında, İŞ BANKASI müşterilerine hesap bilgisi görüntüleme hizmetini sağlayacak tarafın SOFTTECH olduğu, bu hizmetin sunulmasının tamamen SOFTTECH tarafından gerçekleştirileceği, İŞ BANKASI’nın ise sadece müşterilerine diğer bankalardaki hesap hareketlerini tek bir noktadan görebilmelerini sağlayan bir aracı konumunda olacağı belirtilmiş; TekCep’in İŞ BANKASI'nın rekabetçi süreci olumsuz etkileyebilecek bilgilere erişemeyeceğini güvence altına alacak şekilde oluşturulduğu, mimari yapıda SOFTTECH katmanının ve İŞ BANKASI katmanının ayrı olduğu, SOFTTECH katmanı ile İŞ BANKASI katmanı arasındaki haberleşmenin Firewall, SSL TLS [15] ve Static IP Kısıtı şeklindeki güvenlik önlemleri ile sağlandığı, dolayısıyla SOFTTECH katmanı aracılığıyla elde edilen müşterilerin diğer bankalardaki hesap bilgilerinin İŞ BANKASI'na doğrudan aktarılmadığı belirtilmiştir.

(66) Konuya ilişkin olarak SOFTTECH tarafından sunulan ilave bilgilerde, SOFTTECH ve İŞ BANKASI’nın ayrı tüzel kişilikler olduğu, bir SOFTTECH ürünü olan TekCep'in tüm yazılım ve altyapı destek süreçlerinin SOFTTECH tarafından yönetildiği, hiçbir İŞ BANKASI çalışanının TekCep'te müşterilere sunulan başka bankaların hesap hareket bilgilerine ulaşamadığı, nitekim banka destek ekiplerine bu ekranlarda yetkilendirme yapılmamış olup TekCep ile ilgili oluşan herhangi bir sorunda müşterilerin “destek@tekcep.com.tr'' elektronik posta adresi üzerinden SOFTTECH ekiplerinden destek aldığı, İŞ BANKASI ile yalnızca pazarlama faaliyetleri kapsamında hangi müşterilerin sisteme başvuru yaptığına ilişkin raporun paylaşıldığı belirtilmiştir.

(67) Konuya ilişkin olarak, Rekabet Kurumu Bilişim Teknolojileri Dairesi Başkanlığı’ndan (BTDB) [16] ve çeşitli üçüncü taraflardan da rekabete duyarlı verilerin paylaşılması ve veri güvenliğine ilişkin bilgi talep edilmiştir. Aşağıda öncelikle BTDB’nin görüşünden başlamak üzere gelen cevabi yazılarda yer alan hususlar ve ulaşılan sonuçlar özetlenmektedir.

(68) Konuya ilişkin BTDB’nin görüşünde, her ne kadar Bildirim Formu ekinde yer alan TekCep Mimari Hazırlık ve Servis Dokümantasyonu’nda İŞ BANKASI’nın TekCep üzerinden sunulan bilgilere erişemeyeceği ve sadece kanallar üzerinden gösterim sağlanacağı belirtilmiş ve mimari topoloji içerisinde yer alan Microserver Cluster katmanında barındırılacak olan servisler açıklamaları ile listelenmiş olsa da, ilerleyen dönemde rekabetçi süreci olumsuz etkileyebilecek bilgileri sunan servislerin geliştirilebilmesinin önünde bir engel bulunmadığı, SOFTTECH’in nihai kontrolünün İŞ BANKASI’nda olduğu dikkate alındığında, İŞ BANKASI’nın müşterilerinin diğer bankalardaki rekabete duyarlı bilgilere hiçbir zaman erişimi olamayacağını geçerli olarak kabul etmenin mümkün olmadığı belirtilmiştir. Buna ilaveten, TekCep yazılımının mimari yapısında ilave önlemler alınmasının SOFTTECH tarafından edinilen karşı banka bilgilerine İŞ BANKASI’nın erişiminin engellenmesinde etkin olabileceğini söylemenin mümkün olamayacağı, devreye alınacak her türlü önlemin, anlık konfigürasyon değişiklikleri ile her zaman atlatılabileceği ifade edilmiştir. Bu çerçevede BTDB’nin konuya ilişkin görüşünün Bildirim Formunda İŞ BANKASI’nın TekCep üzerinden sunulan bilgilere erişemeyeceği yönündeki beyanlarının uygulamada geçerliliğinin bulunmadığı yönünde şekillendiği anlaşılmaktadır.

15 Taşıma Katmanı Güvenliği (TLS) ve Güvenli Soket Katmanı (SSL), bilgisayar ağı üzerinden güvenli haberleşmeyi sağlamak için tasarlanmış kriptolama protokolleridir.

16 Yazının gönderildiği tarihteki adı ile Bilgi Yönetimi Dairesi Başkanlığı.

(69) Öte yandan konunun doğrudan ilgili olduğu açık bankacılık kavramını da kapsayacak şekilde irdelenebilmesi adına yukarıda da ifade edildiği üzere yurtiçindeki ve yurtdışındaki çeşitli üçüncü taraflardan açık bankacılığı odağına alan Avrupa Birliği (AB) düzenlemeleri de göz önünde bulundurularak açık bankacılık hizmetlerinin verilmesi noktasında rekabete duyarlı verilerin finansal kuruluşlar arasında iletimine yaklaşımın ne olması gerektiği ve bu hususun AB mevzuatında nasıl düzenlendiği konularında bilgi talep edilmiştir. Aşağıda çeşitli taraflardan gelen cevaplar ve ulaşılan sonuçlar özetlenmiştir. Ancak öncelikle gelen cevabi yazılar ile bağlantısının kurulması adına dosya konusuna ilişkin temel mevzuata yer verilecektir.

G.4.2.1. Bildirim Konusu Hizmetlere İlişkin İlgili Mevzuat

(70) Yukarıda da belirtildiği üzere SOFTTECH tarafından sunulması öngörülen hizmetler mevduat hesap bilgisi, POS alacakları ve çek tahsilat bilgisi görüntüleme hizmetleridir. Bildirime konu uygulama ve hizmetler ile ilgili düzenlemelere bakıldığında, AB’de ödeme hizmetlerine ilişkin ilk adımların 2007 yılında yürürlüğe giren 2007/64/EC sayılı Ödeme Hizmetleri Direktifi [17] (Payment Services Directive – PSD1) olduğu görülmektedir. Genel olarak ödeme sistemlerinde eşit ve adil rekabet koşullarının yaratılması için yayımlanan PSD1, yeni ödeme hizmeti sağlayıcılarının pazara erişiminin, ödeme hizmeti kullanıcıları ile sağlayıcılarının hak ve yükümlülüklerinin yasal çerçevesini düzenlemiştir. Yeni ödeme kuruluşları ya da ödeme hizmet sağlayıcıları teknolojinin gelişmesi ile birlikte ortaya çıkan ve geleneksel bankacılık hizmetlerinin dışında ancak bankacılık faaliyetlerini tamamlayıcı alanlarda faaliyet gösteren piyasa oyuncuları olarak tanımlanmaktadır [18]. Ancak PSD1’in teknolojik gelişmeler sonrasında pazardaki gelişmelere cevap vermekte zorlanması ve anılan mevzuat kapsamında düzenlenmeyen yeni ödeme hizmetlerinin ortaya çıkması sebebiyle pazarın yeni dinamiklerine uygun bir düzenlemeye ihtiyaç duyulmuş ve 2015 yılında 2015/2366/EU sayılı Ödeme Hizmetleri Direktifi 2 [19] (Payment Services Directive 2 - PSD2) yayımlanmıştır.

(71) PSD2’nin tanımladığı yeni hizmetlerden biri hesap bilgilendirme hizmetidir. Sözü edilen hizmet PSD2’nin 28. paragrafında ödeme hizmeti kullanıcısına bir ya da birden fazla ödeme hizmeti sağlayıcısında bulunan bir ya da daha fazla ödeme hesabı üzerinde birikmiş bilgileri sağlamak şeklinde tanımlanmakta olup hizmet veren ödeme hizmeti sağlayıcısının hesabının online ara yüzleri aracılığıyla bunlara erişilebileceği belirtilmektedir. PSD2’nin 67. maddesi ise hesap bilgisi hizmetleri durumunda hesap bilgileri hizmet sağlayıcısının sadece ödeme hizmetinin kullanıcısının açık izni olduğu durumlarda hizmet sunmasını ve yalnızca belirlenmiş ödeme hesaplarından ve ilişkili ödeme işlemlerinden gelen bilgilere erişmesine cevaz vermekte, ayrıca hesap hizmeti veren ödeme hizmet sağlayıcısının hesap bilgisi hizmet sağlayıcısının hizmetleri vasıtasıyla aktarılan veri taleplerini ayrımcılığa tabi tutmadan işleme koymasını hüküm altına almaktadır.

(72) Bu noktada PSD2 ile gündeme gelen konulardan bir diğeri olan hesaplara erişim hakkına değinilmesi de yerinde olacaktır. Ödeme hizmeti sağlayıcılarının müşterilerin bankalardaki hesaplarına erişimlerini olanaklı kılan hesaplara erişim hakkının anılan 17 Directive 2007/64 of the European Parliament and of the Council of 13 November 2007 on payment services in the internal market, OJ L 319/1, 05.12.2007.

18 Kurulun 08.08.2018 tarih ve 18-27/442-212 sayılı kararı.

19 Directive 2015/2366 of the European Parliament and of the Council of 25 November 2015 on payment services in the internal market, OJ L 337, 23.12.2015.

pazardaki rekabete yönelik olumlu etkileri Kurulun 12.06.2018 tarih ve 18-19/337-167 sayılı kararında [20] da şu şekilde ifade edilmiştir:

“PSD2’nin getirdiği en büyük yenilik ise, “hesaplara erişim hakkı” (right to gain

access to accounts) olarak ifade edilen ve yeni servis sağlayıcıların belli koşullar

altında kullanıcıların bankalardaki ödeme hesaplarına erişimini mümkün kılan

düzenlemedir. Buna göre, ödeme işlemlerinde bankalar, gereken güvenlik

şartlarını yerine getiren yeni servis sağlayıcıların hesap sahibinin hesap

bilgilerine ulaşabilmesi adına, bu kuruluşlara hizmet verme yükümlülüğü altına

girmiştir. Böylelikle bankaların, klasik bankacılık hizmetlerinin yanı sıra, üçüncü

taraf ödeme hizmeti sağlayıcılara platform hizmeti vermesi öngörülmüştür. PSD2

düzenlemesiyle birlikte, bankalar gibi klasik hizmet sağlayıcıların yanı sıra, yeni

hizmet sağlayıcıların da pazarda yer edinme fırsatı elde edeceği ve rekabetin

artması sonucuna bağlı olarak sunulan hizmetlerin çeşitlenip teknolojik

yeniliklerle birlikte daha erişilebilir ve kullanıcı dostu olacağı ifade edilmektedir.”

(73) Bildirim Formunda yer alan bilgilerde PSD2’nin yürürlüğe girmesi sonrasında Birleşik Krallık’ta 2014 yılında Birleşik Krallık Rekabet Otoritesi (Competition and Markets Authority – CMA) tarafından yapılan pazar araştırması neticesinde, tespit edilen rekabetçi sorunların giderilmesi adına sunulan çözüm paketi içerisinde kabul edilen Açık Bankacılık (Open Banking) prensipleri çerçevesinde, Birleşik Krallık’ta vadesiz mevduat hesabı sağlayan en büyük dokuz bankanın (Allied Irish Bank, Bank of Ireland, Barclays, Danske, HSBC, Lloyds Banking Group, Nationwide, RBS Group ve Santander) müşterilerinin rızası dahilinde müşteri verilerini ilgili üçüncü taraflara erişebilir kılmalarının zorunlu tutulduğu bilgisine yer verilmektedir.

(74) Ülkemizde de AB’dekine benzer şekilde ödeme hizmetlerine ilişkin düzenlemelerin iki farklı aşama ile gerçekleştiği görülmektedir. Bunlardan ilki 27.06.2013 tarihinde yürürlüğe giren 6493 sayılı Kanun olup bu Kanun ile ödeme ve menkul kıymet mutabakat sistemlerine, ödeme hizmetlerine, ödeme kuruluşlarına ve elektronik para kuruluşlarına ilişkin usul ve esaslar düzenlenmiştir. Takip eden süreçte anılan Kanun’a dayanılarak Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Kuruluşları ve Elektronik Para Kuruluşları Hakkında Yönetmelik (Ödeme Yönetmeliği) ile birlikte Ödeme Kuruluşları ve Elektronik Para Kuruluşlarının Bilgi Sistemlerinin Yönetimine ve Denetimine İlişkin Tebliğ (Ödeme Bilgi Sistemi Tebliği) yayımlanmıştır. Bu yasal çerçeve ile ödeme kuruluşlarına ve elektronik para kuruluşlarına ilişkin olarak faaliyet izni, öz kaynak yapıları, iç sistemleri, bilgi sistemleri ile faaliyetleri belirlenmiştir.

(75) 18.07.2019 tarihinde TBMM Genel Kurulunda onaylanan On Birinci Kalkınma Planı’nda (2019-2023) finansal kuruluşların düzenleme ve denetleme çerçevesinin güçlendirileceği, etkin bir rekabet ortamı sağlanacağı, işlem maliyetlerinin azaltılacağı ve sağlıklı bilgiye erişimlerinin kolaylaştırılacağı; bilgiye erişim açısından finansal kuruluşlar arasındaki farklılıkların giderilmesine yönelik düzenleme yapılacağı; uluslararası iyi uygulamalardan yararlanılarak firmalara fırsat eşitliği sağlayan, güvenli bir finansal teknoloji ekosisteminin oluşumunun destekleneceği ve ülkemizde gelişmesine yönelik yol haritası oluşturulması ile birlikte uygulamaya dair koordinasyonun tek bir kamu kurumu tarafından sağlanacağı; Ödeme Hizmetleri ve Elektronik Para Kuruluşları Birliği kurulacağı ve açık bankacılık hukuki altyapısını güçlendirmek amacıyla PSD2 ile mevzuat uyumu sağlanacağı ifade edilmiştir [21]. Bahsi 20 Bankalararası Kart Merkezi A.Ş. tarafından sunulan kart saklama hizmetine 4054 sayılı Kanun’un 5. maddesi uyarınca bireysel muafiyet tanınmas ı talebine ilişkin Kurul kararı.

[21] Türkiye Cumhuriyeti Cumhurbaşkanlığı Strateji ve Bütçe Başkanlığı (2019), s. 41 - 42.

geçen hususları gerçekleştirmek için 22.11.2019 tarih ve 30956 sayılı Resmi Gazete’de 7192 sayılı Kanun yayımlanmış ve Kanun’un Türkiye Ödeme ve Elektronik Para Kuruluşları Birliğini düzenleyen 15. maddesinin yayım tarihinden altı ay sonra, diğer maddelerinin 01.01.2020 tarihinde yürürlüğe gireceği hüküm altına alınmıştır.

(76) Bu bilgiler doğrultusunda, ilgili Kanun değişikliği ile birlikte 6493 sayılı Kanun’un “Ödeme Hizmeti” başlıklı 12. maddesinin birinci fıkrasına,

“f) Ödeme hizmeti kullanıcısının isteği üzerine başka bir ödeme hizmeti

sağlayıcısında bulunan ödeme hesabıyla ilgili sunulan ödeme emri başlatma

hizmetini,

g) Ödeme hizmeti kullanıcısının onayının alınması koşuluyla, ödeme hizmeti

kullanıcısının ödeme hizmeti sağlayıcıları nezdinde bulunan bir veya daha fazla

ödeme hesabına ilişkin konsolide edilmiş bilgilerin çevrim içi platformlarda

sunulması hizmetini,

ğ) Ödemeler alanında toplam büyüklük veya etki alanı açısından Bankaca

belirlenecek seviyeye ulaşan diğer işlem ve hizmetleri,”

bentleri eklenmiş ve öncesinde hakkında yasal düzenleme bulunmayan ödeme başlatma hizmetleri ile hesap bilgisi hizmetleri ödeme hizmeti olarak tanımlanarak Kanun kapsamına alınmıştır. Anılan Kanun’un 13. maddesinde de ödeme hizmet sağlayıcıları bankalar, elektronik para kuruluşları, ödeme kuruluşları ve Posta ve Telgraf Teşkilatı A.Ş. (PTT) olarak sayılmıştır. Bunlar arasında sayılan ödeme kuruluşlarının faaliyete başlaması Kanun’un 14. maddesi ile elektronik para kuruluşlarının faaliyete başlaması ise Kanun’un 18. maddesi ile TCMB’den izin alınması koşuluna bağlanmış ve bu kuruluşlarda aranan koşullar, nitelikler ve yeterlilikler aynı madde altında sıralanmıştır.

(77) 6493 sayılı Kanun’un “Ödeme Hizmeti” başlıklı 12. maddesine eklenen,

“Ödeme hizmeti sağlayıcılarının bu Kanuna tabi faaliyetleri nedeniyle taraf oldukları

hukuki ilişkiler Banka tarafından izlenir. Banka, ödeme hizmeti sağlayıcılarının bu

Kanuna tabi faaliyetleri nedeniyle taraf oldukları hukuki ilişkiler kapsamında,

ödemeler alanının gelişimini olumsuz etkileyebilecek nitelikte uygulamaların

bulunduğunu tespit etmesi durumunda, ödeme hizmeti sağlayıcılarının bu Kanuna

tabi faaliyetleri nedeniyle taraf oldukları hukuki ilişkilerle ilgili olarak uyulması

gereken usul ve esasları belirlemeye yetkilidir.”

şeklindeki altıncı fıkra ile birlikte ödeme hizmeti sağlayıcılarının 6493 sayılı Kanun kapsamındaki faaliyetleri nedeniyle taraf oldukları hukuki ilişkileri izlemeye ve buna ilişkin usul ve esasları belirlemeye TCMB’nin yetkilendirildiği görülmektedir. Yine bu husus ile ilgili olarak 6493 sayılı Kanun’un “Ödeme Kuruluşu” başlıklı 14. maddesinden sonra gelmek üzere eklenen “Özellik Gösteren Ödeme Hizmetleri” başlıklı 14/A maddesinin ikinci fıkrası,

“Banka, bir ödeme hizmeti sağlayıcısındaki verilerin 12 nci maddenin birinci

fıkrasının (f) ve (g) bentlerinde yer alan faaliyetler kapsamında başka bir ödeme

hizmeti sağlayıcısı ile paylaşılmasına ilişkin her türlü usul ve esası belirlemeye

yetkilidir.”

şeklinde olup bahse konu sağlayıcılardaki verilerin paylaşılmasına ilişkin düzenlemelerde de TCMB’nin yetkili olduğu görülmektedir. Sonuç olarak Kanun kapsamındaki faaliyetlere ilişkin yetkiler daha önce Bankacılık Düzenleme ve Denetleme Kurulu (BDDK) ile TCMB arasında paylaşılırken Kanun genelinde yapılan

değişiklikler ile birlikte bu faaliyetlere ilişkin tek yetkili kurum TCMB olarak düzenlenmiştir. Nitekim 6493 sayılı Kanun’un “Ödeme Kuruluşu” başlıklı 14. maddesi uyarınca ödeme hizmetleri alanında faaliyette bulunmak isteyen ödeme kuruluşları öncesinde BDDK’dan izin almaktayken Kanun değişikliği ile birlikte TCMB’den izin almak suretiyle faaliyette bulunabileceklerdir.

(78) TCMB’den elde edilen bilgilere göre, hesap bilgisi hizmetlerini bankalar lisans almaya gerek kalmadan sunabilirken, banka dışı kuruluşların TCMB’ye başvurarak lisans aldıktan sonra bu hizmetleri sunmaları mümkün olmaktadır. TCMB’den gelen görüşte ayrıca söz konusu hizmetlere ilişkin ikincil düzenleme çalışmalarına başlandığı da ifade edilmiştir. Nitekim 6493 sayılı Kanun’da yukarıda anılan değişiklikleri getiren 7192 sayılı Kanun’un 16. maddesinde 6493 sayılı Kanun’a geçici 3 maddenin eklendiği ve söz konusu maddenin (5) bendinin ikincil düzenlemelerin oluşturulmasına yönelik “Bu maddeyi ihdas eden Kanunla yapılan değişikliklere uygun yönetmelikler bu maddenin yürürlüğe girdiği tarihten itibaren bir yıl içinde hazırlanarak yürürlüğe konulur” şeklinde düzenlendiği görülmektedir.

(79) Bu temel bilgilendirmeden sonra aşağıda açık bankacılık hizmetlerinin verilmesi noktasında rekabete duyarlı verilerin finansal kuruluşlar arasında iletimine yaklaşımın nasıl olması gerektiği ve bu hususun AB mevzuatında nasıl düzenlendiği konularına ilişkin üçüncü taraflardan gelen cevaplara yer verilmiştir.

G.4.2.2. ÖDED Tarafından İletilen Bilgi ve Görüşler

(80) PSD2 ile ödeme hizmetlerinde söz hakkının kullanıcılara geçtiği vurgulanarak

başlayan ÖDED tarafından gönderilen cevabi yazıda, PSD2 ile birlikte yeni ödeme

hizmeti türlerinin düzenlendiği, bunlardan birinin de “hesap bilgisi hizmet sağlayıcılığı”

(account information service provider – AISP) olduğu ifade edilmektedir. ÖDED, 7192

sayılı Kanun’la 6493 sayılı Kanun’a eklenen hükümler ile söz konusu hizmetin Türk

Hukuku’nda karşılığını bulduğunu, ancak bu ödeme hizmeti ile ilgili detayları

belirleyecek yönetmeliklerin henüz TCMB tarafından yayınlanmadığını belirtmiştir.

(81) ÖDED konunun özellikle PSD2’nin “Ödeme Hesabı Bilgilerine Erişim ve Bunlarla İlgili

Kurallar” başlıklı 67. maddesinde düzenlendiğine işaret ettikten sonra bir AISP’nin bu

hizmeti sunabilmesinin ilgili maddede yer alan aşağıdaki şartlara bağlı olduğunu

belirtmiştir:

“2. Hesap bilgileri hizmet sağlayıcısı aşağıdakileri yerine getirmelidir:

(a) Sadece ödeme hizmetinin kullanıcısının açık izni olan durumlarda hizmetler sunmak;

(b) Ödeme hizmeti kullanıcısının kişisel güvenlik kimlik bilgilerinin, bu bilgileri kullanan veya yayınlayanlar hariç, diğer tarafların erişimine kapalı olduğunu ve hesap bilgisi hizmet sağlayıcısı tarafından aktarıldıklarında bunun güvenli ve etkin kanallar aracılığıyla yapılmasını sağlamak;

(c) 98(1). madde (d) bendi gereğince her iletişim oturumu için kendisini ödeme hizmeti kullanıcısının ödeme hizmeti sağlayıcısına / hesaplarına tanıtmak ve hesap hizmeti veren ödeme hizmeti sağlayıcı(lar)ı ile ödeme hizmeti kullanıcısı arasında güvenli bir şekilde iletişim kurmak;

(d) Yalnızca belirlenmiş ödeme hesaplarından ve ilişkili ödeme işlemlerinden gelen bilgilere erişmek;

(e) Ödeme hesaplarıyla bağlantılı hassas ödeme verilerini talep etmemek; (f) Veri koruma kurallarına uygun olarak, ödeme hizmeti kullanıcısı tarafından açıkça talep edilen hesap bilgileri hizmetini sunmak dışında başka amaçlar için herhangi bir veriyi kullanmamak, bunlara erişmemek veya depolamamak.”

(82) ÖDED PSD2’nin 67. maddesinin üçüncü fıkrasında ise, ödeme hizmeti sağlayıcılarına

aşağıdaki yükümlülüklerin getirildiğine işaret etmektedir:

“3. Ödeme hesaplarıyla ilgili olarak, hesap hizmeti veren ödeme hizmeti sağlayıcısı

aşağıdakileri yapacaktır:

(a) 98 (1) maddesinin (d) bendi uyarınca hesap bilgisi hizmet sağlayıcılarıyla güvenli bir şekilde iletişime geçmek; ve

(b) bir hesap bilgisi hizmet sağlayıcısının hizmetleri vasıtasıyla aktarılan veri taleplerini objektif nedenler dışında bir başka ayrımcılığa tabi tutmadan işleme koymak.”

(83) ÖDED ayrıca PSD2’nin 67. maddesinin dördüncü fıkrasında yer alan “Hesap bilgisi

hizmetlerinin sağlanması, hesap bilgileri hizmet sağlayıcıları ile bu amaçla ödeme

hizmeti sağlayıcıları hizmet veren hesaplar arasında sözleşmeye dayalı bir ilişkinin

varlığına bağlı olmayacaktır.” ifadelerinden de anlaşıldığı üzere, hesap bilgisi hizmeti

sağlayıcıları ile ödeme hizmeti sağlayıcılarının arasında sözleşmesel bir ilişki

bulunmasının zorunlu olmadığını, bu sayede nispeten yeni ve küçük ölçekli olarak

piyasaya giriş yapacak hesap bilgisi hizmeti verenlerin, sağlayıcılar tarafından sözleşme prosedürü ile engellenmelerinin önlenmiş olduğunu vurgulamaktadır.

(84) ÖDED veri güvenliğiyle ilgili olarak ise PSD2’nin “Kimlik Doğrulama” başlıklı 97. maddesine atıfta bulunmakta; hesap bilgisi hizmet sağlayıcılarının, hesap bilgisi gönderen ödeme hizmeti sağlayıcısının yaptığı doğrulama faaliyetlerine güvenerek işlem sağlayabileceği ve hesap bilgisi gönderen ödeme hizmeti sağlayıcıların bu hususta gerekli izni ve teknolojik imkanı hesap bilgisi hizmet sağlayıcılarına vermesinin zorunlu tutulduğunu belirtmektedir. ÖDED tarafından konuya ilişkin ilave olarak, PSD2’de, hesap bilgisi hizmet sağlayıcılarının faaliyetlerini sürdürürken mesleki tazmin veya benzeri bir güvence yaptırmasının zorunlu tutulduğunun [22], bu hizmetin kullanılması esnasında hesap bilgisi sağlayıcısı ile hesap bilgisi gönderen ödeme hizmeti sağlayıcısının ortak güvenlik önlemleri alarak kullanıcılara ek bir masraf/ücret çıkartmaması gerektiğinin [23], hesap bilgisi gönderen ödeme hizmeti sağlayıcılarının hesap bilgisi hizmet sağlayıcılarını belirli bir iş modeli ya da belirli bir yöntem/teknoloji kullanmaya zorunlu tutamayacağının, bu erişimler için farklı teknoloji ve iş modelleri arasında geçişken bir şekilde çalışabilirlik (interoperabilirty) sağlanması gerektiğinin, güvenlik önlemlerinin Avrupa Bankacılık Kurumu tarafından yayımlanacak önden belirli ve objektif standartlar çerçevesinde alınacağının ve güvenlik önlemlerinin interoperability (birlikte çalışabilirlik) kuralını ihlal edecek şekilde yorumlanamayacağının [24] açıkça düzenlendiğini belirtmektedir.

(85) ÖDED tarafından rekabete duyarlı olarak nitelendirilebilecek parametreler ile ilgili olarak AB’de yaklaşımın ne olduğu, AB’de söz konusu verilerin banka ya da banka dışı finansal kurumlarca verilen görüntüleme hizmetleri esnasında iletimine izin verilip verilmediği konusuyla ilgili olarak ise, PSD2’de bu hususun detaylı düzenlenmemiş olduğu ve Avrupa Bankacılık Kurumu ile yerel düzenleyici kurumların yetkisine bırakıldığı, ancak genel yaklaşımın “ödeme hizmeti kullanıcısının açıkça rıza verdiği bilgiler” olarak çizildiği ifade edilmektedir. Öte yandan ÖDED, PSD2’de hesap bilgisi hizmetlerinin “ödeme hizmeti kullanıcısının farklı bir veya birden fazla ödeme hizmeti sağlayıcısı nezdindeki ödeme hesaplarına ilişkin online ortamda konsolide bilgi sunulması” şeklindeki tanımından hareketle, ödeme hesabı tanımına hangi tür hesapların girdiğinin de bu noktada yapılacak değerlendirmeler açısından önemli olduğuna işaret etmektedir. ÖDED, PSD2’de ödeme hesabı tanımının “ödeme hizmeti kullanıcısı adına tutulan ve ödeme işlemlerinin gerçekleştirilmesinde kullanılan hesap” olarak, ödeme işleminin ise “fonların bir hesaba koyulması, o hesaptan başka hesaba aktarılması veya hesaptan çekilmesi” olarak tanımlandığını, bu tanımlardan hareketle hesap bilgileri görüntüleme hizmeti bu tanım kapsamında ise de, POS alacak bilgisi ve çek tahsilat bilgisinin bu kapsamda olup olmadığının tartışmalı olduğunu, POS alacak bilgisinin bir hesaba bağlı olarak ilerlemesi durumunda bu hizmetler kapsamında yorumlanabileceğini ancak çek tahsilat bilgisinin bu kapsamda olup olmadığının şüpheli olduğunu ifade etmiştir. Bu bağlamda ÖDED tarafından dile getirilen bu hususların TCMB ile yapılan görüşmede belirtilen ve ilerleyen bölümlerde özetlenen hususlara paralel olduğu gözlenmektedir.

(86) ÖDED yazısında ayrıca hesap bilgisi hizmeti sunulması için gerekli verilerin bir bankaya iletilmesi ile finansal piyasalarda doğrudan faaliyeti olmayan banka dışı hesap bilgisi görüntüleme hizmeti sağlayıcılarına iletilmesi arasında rekabetçi yaklaşım 22 PSD2, Giriş Bölümü, para. 35.

23 PSD2, Giriş Bölümü, para. 68.

24 PSD2, Giriş Bölümü, para. 93.

açısından fark olup olmadığı ile ilgili olarak, bankaların sadece kendi iştiraklerine ya da diğer bankalara erişim sağlayıp banka dışı ödeme hizmeti sağlayıcılarına bu erişimi keyfi olarak kapatması ya da zorlaştırması ya da onları sözleşme yapmaya zorlaması durumunda banka dışı ödeme hizmet sağlayıcılarının rekabetin dışına itileceğini dile getirmiştir. Öte yandan ÖDED, AISP’lerin fon kabulünde bulunmayan kuruluşlar olması sebebiyle bankanın piyasaya arz ettiği ürünler ile bir çakışmasının bulunmadığına, bununla birlikte bir bankanın iştiraki niteliğindeki AISP’nin ise rakip banka müşterilerine dair verileri barındırmasının rekabetçi durum açısından daha fazla risk teşkil ettiğine işaret etmektedir.

(87) Sonuç olarak, ÖDED, hesap bilgisi hizmetlerinde bu hizmetin kullanıcısının açık rızasının ön şart olduğu, öte yandan hesap bilgisi hizmeti sağlayıcılarının bu hizmeti verirken eriştiği bilgileri bu hizmetin amacı dışında kullanmaması ve saklamaması gerektiği, bu hususların PSD’nin ilgili maddelerinde düzenlendiği, ayrıca bu hizmetin verilmesi esnasında kimlik bilgileri ve diğer verilerin güvenliğinin sağlanmasına yönelik de PSD2’de hükümlerin bulunduğu, gerek hesap bilgisi hizmet sağlayıcılarının gerekse ödeme hizmeti sağlayıcılarının kendi üstlerine düşen güvenlik önlemlerini alması ve Avrupa Bankacılık Kurumu ve Avrupa Merkez Bankası tarafından çıkartılan teknik önlemlere ilişkin prosedür ve kılavuzlara uygun davranması gerektiği, PSD’nin rekabete duyarlı veri paylaşımı ile ilgili ise detaylı hükümlerinin bulunmadığı, bu alanın düzenlenmesinin Avrupa Bankacılık Kurumu ve yerel düzenleyicilere bırakıldığı ve son olarak bu hizmetin verilmesi esnasında banka dışı hesap bilgisi hizmet sağlayıcılarının düzenleyici kurumlar tarafından önceden belirlenen objektif nedenler dışında herhangi bir nedenle ayrımcılığa uğramamasının ve piyasa dışına itilmemesinin önemli olduğu hususları üzerinde durmuştur.

G.4.2.3. Yurtdışında Faaliyet Gösteren Bankalar Tarafından İletilen Bilgi ve Görüşler

(88) Dosya kapsamında, açık bankacılık hizmetlerinin verilmesi noktasında rekabete duyarlı verilerin finansal kuruluşlar arasında iletimine yaklaşımın nasıl olması gerektiği ve bu hususun AB mevzuatında nasıl düzenlendiği konularına ilişkin yurtdışında işbu dosya konusuna ilişkin görüntüleme hizmetleri veren bankalardan da yurtdışı uygulamalar hakkında bilgi istenmiştir. Konuya ilişkin TEB/BNP PARIBAS tarafından iletilen cevabi yazıda;

- PSD2’nin ödeme işlemlerine yönelik güvenli bir çerçeve sağladığı ve bankalar ile

üçüncü parti sağlayıcılar (Third party providers -TPP) arasında bilgi alışverişini

düzenlediği,

- BNP PARIBAS’ın bu hizmetleri verirken kullandığı uygulamanın (aplikasyon),

hesap hizmetleri ödeme hizmeti sağlayıcıları (ASPSP), AISP, TPP ve ödeme

hizmeti kullanıcısı (PSU) arasında bağlantı ve bilgi alışverişini sağladığı,

- PSD2’de verinin esas sahibinin müşteri olduğu kabulünden hareketle müşterinin

açık rızası ile verinin talep edilen kurumlarla paylaşılmasının mümkün olduğunun

görüldüğü, bununla birlikte müşteri bilgilerinin ve kişisel verilerin korunmasına

hassasiyet gösterildiği,

- Bu çerçevede müşterinin onay verdiği metinde yer alan özel amaç dışında erişilen

verinin hiçbir şekilde işlenmemesi, bu veriler işlenerek yeni bilgiler üretilmemesi, bu

verilerin üçüncü bir tarafla paylaşılmamasının ve bu hususlara ilişkin denetim

prosedürlerinin ilgili kuruluş nezdinde kurgulanmış ve düzenli denetime tabi olması

gerektiği,

- PSD2’nin genel bir çatı niteliğinde olduğu, bu hususlara uyumun üye ülkelerin çıkaracağı ikincil düzenlemelerle düzenlenmesinin öngörüldüğü,

- İngiltere uygulamasında bu hizmetlerin verilebilmesinin Finansal Yürütme Otoritesi’nden (Financial Conduct Authority - FCA) lisans alınmasını gerektirdiği, son derece detaylı olan söz konusu lisanslama sürecinin sistemin güvenli işleyebilmesine katkı sağladığı,

- AB’de Tek Denetim Mekanizması (Single Supervisory Mechanism) ve Avrupa Pasaportu kavramı çerçevesinde denetimin bir bölümünün Avrupa Merkez Bankası (European Central Bank - ECB) tarafından gerçekleştirildiği,

- PSD2’nin 98. maddesinde veri güvenliğine ilişkin aranan yüksek standartlara dair düzenleme yapıldığı, aynı alanda BDDK’nın Ödeme Kuruluşları ve Elektronik Para Kuruluşlarının Bilgi Sistemlerinin Yönetimine ve Denetimine İlişkin Tebliği’nde de veri güvenliği, erişimin kısıtlanması, loglanması [25] ve bilgi güvenliği konularında belirlenen yüksek standartların bulunduğu, bu çerçevede rekabete duyarlı, ticari sır ya da hassas veri teşkil eden veriye erişimin kısıtlı ve güvenli olmasına, bu bilginin hiçbir şekilde sızdırılmamasına ilişkin yüksek standartların benimsenmesinin önemli olduğunun değerlendirildiği,

- PSD2’de ayrıca bankalara yeni nesil ödeme hizmetlerini üçüncü parti aracılığıyla almak isteyen müşterilere gerekli kolaylığı sağlamak için objektif, ölçülü, ayrım yapmayan bir hizmet sunmaya ve zorunlu kılınan veri kümelerine erişim sağlamaya yönelik yükümlülük verildiği,

- Bu çerçevede, tüm yasal yükümlülüklerin, hâlihazırda yürürlükte olan ve yürürlüğe girmesi beklenen ikincil mevzuatın gerekliliklerinin tüm taraflarca istisnasız şekilde yerine getirilmesi ve denetlenebilmesi söz konusu olduğunda, finansal piyasalarda doğrudan faaliyeti olmayan hesap bilgisi hizmet sağlayıcıları ile veri paylaşımının pazarda çeşitlilik ve yeni hizmetler oluşmasına katkıda bulunacağının düşünüldüğü,

- Rekabete duyarlı veri değerlendirilmesiyle ilgili olarak ise AB’de bu hizmetler kapsamında teşebbüsler arasında iletilen verilerin genel olarak rekabete duyarlı veri olarak nitelendirilmediği,

- Öte yandan hesap bilgisi hizmeti esnasında rekabete duyarlı bazı veriler aktarılmaksızın müşterinin hesap görüntüleme hizmetlerinden nasıl bir fayda sağlayacağının da öngörülemediğini, zira bu durumda müşterilerin tüm bilgilerini tek bir platformda toplamasından amaçlanan faydanın sağlanamayacağının değerlendirildiği

ifade edilmektedir.

(89) Konuya ilişkin ING tarafından ise;

- Avrupa Ekonomik Alanı’nda yerleşik ING kuruluşlarının gerekli lisansa sahip hesap bilgisi hizmeti sağlayıcılarına müşterinin ödeme bilgilerini sağladığı, bu konuda müşterinin açık rızasının gerektiği,

- Hesap bilgisi hizmeti sağlayıcısının uyumluluğunu denetleyen makamın merkez bankası ya da yetkili ulusal makam olduğu,

Log, meydana gelen olayların ve hareketlerin kayıt altına alındığı dosyalardır. Loglama ise log kayıtları

aracılığı ile dijital hareketlerin saklanması işlemidir.

- ING’nin bu hizmeti bir uygulama (aplikasyon) aracılığıyla verdiği, hesap bilgisi hizmeti sağlayıcılarının bu uygulama programlama arayüzüne erişebilmeleri için 910/2014 sayılı Avrupa Komisyonu Regülasyonu çerçevesinde Elektronik Kimlik Belirleme ve Güven Hizmetleri Düzenlemesi sertifikasına sahip olması gerektiği,

- AB’de hesap bilgisi görüntüleme hizmetleri sağlamak isteyen teşebbüslerin ilgili ulusal yetkili kuruluşlarca yetkilendirilmeleri gerektiği, bankaların ise bankacılık lisansları kapsamında hesap bilgisi hizmetleri sunma yetkisi bulunduğu, bununla birlikte ulusal yetkili makamların, bir bankanın hesap bilgisi hizmeti sunmayı hedeflemesi halinde, ilgili bankadan bu hususta önceden bildirimde bulunmasını talep edebildiği, hesap bilgisi görüntüleme hizmetleri verenlerin Avrupa Merkez Bankası ve yerel düzenleyici kuruluşlar (ulusal yetkili kuruluşlar) tarafından öngörülen tüm düzenlemelere uymakla yükümlü olduğu ve ilgili mevzuatlara uyumun dönemsel denetimlere tabi olduğu, bu yükümlülüklere uyulmaması halinde, nihai olarak bankacılık lisansının iptalinin söz konusu olabildiği,

- AB’de, müşteri sistemleri ve banka (sunucu) arasındaki bilgi iletişiminin yalnızca Güvenli İletişim Katmanı - Tüneli (Secure Socket Layer - SSL Tunnel) aracılığıyla mümkün olduğu, hesap bilgilerinin sağlanması/iletilmesi için, Avrupa Komisyonunun 2018/389 sayılı Regülasyonu kapsamındaki güvenlik gerekliliklerinin karşılanması gerektiği ve hem hesap bilgisi hizmeti verenler hem de bankaların, iletişimin güvenli iletişim kanalları aracılığıyla gerçekleştiğini garanti altına almak mecburiyetinde olduğu,

- AB sınırları içerisinde, bankaların, hesap bilgisi hizmet sağlayıcısının tanımlanması ve müşterinin güçlü kimlik doğrulaması (Strong Customer Authentication - SCA) süreçlerine tabi olmak üzere, çevrimiçi banka kanalı aracılığıyla müşteriye gösterdiği bilgilerin aynısını hesap bilgisi hizmeti sağlayıcısına iletmesi gerektiği, bununla birlikte kişisel verilerle ilgili olarak hem hesap bankasının hem de hesap bilgi hizmet sağlayıcısının GDPR kapsamında bu verileri koruma yükümlülüğü bulunduğu

vurgulanmıştır.

(90) CITIBANK’ın konuya ilişkin cevabi yazısında ise özetle, PSD2’nin AB içinde elektronik

ödemeler iç pazarının daha entegre hale getirilerek geliştirilmesini hedeflediğini ve

PSD2 kapsamında i) sıkı güvenlik koşulları ii) koşul ve bilgilendirme hususlarının

şeffaflığı ve iii) kullanıcılar ile ödeme hizmeti sağlayıcılarının hak ve yükümlülüklerine

ilişkin kuralların belirlendiğini ve söz konusu hizmetler esnasındaki veri paylaşımı için

müşterinin açık rızasının arandığına işaret edilmektedir.

(91) JPMORGAN’ın cevabi yazısında ise PSD2’nin, müşterilerin hesap bilgilerine erişim için

yetki verebildiği hesap bilgisi hizmeti sağlayıcıları olarak adlandırılan yeni bir tip ödeme

kurumu oluşturduğu ve bankalar gibi ödeme hizmeti sağlayıcılarının müşterinin izni

olması durumunda bu teşebbüslerin müşterinin ödeme hesaplarına erişimini

sağlamakla yükümlü kılındığı, bu manada PSD2’nin hizmete dahil olan tarafların hak

ve yükümlülüklerini düzenlediği belirtilmektedir. Diğer yandan JPMORGAN’ın cevabi

yazısında Avrupa Ekonomik Alanı’ndaki uygulamada vadeli faiz oranı bilgisinin

müşterinin çevrimiçi olarak erişim sağlayabildiği bilgiler arasında yer aldığı ve bu

verinin iletiminin kısıtlanmadığı, sunulan verilerin müşterinin hesabına özel olduğu

müddetçe ve gerekli gizlilik önlemleri alınmak suretiyle müşteri ile ya da müşterinin

rızasıyla üçüncü taraf bir finansal kurumla veya hizmet sağlayıcısıyla paylaşılmasında

sıkıntı olmadığı, ancak rekabete duyarlı bir banka bilgisinin herhangi bir rakip ile

rekabete ilişkin karar alma süreçlerinde kullanılabilecek şekilde doğrudan paylaşılmadığı ifade edilmiştir.

(92) Benzer şekilde SOCIETE GENERALE tarafından da PSD2’nin bir sonucu olarak bankaların müşterinin talebi ile ödeme hesabı verilerini üçüncü taraf sağlayıcıların kullanımına sunmaya başladığı, sağlanan verilerin düzenleyicilerle birlikte tanımlandığı, veri sağlanan taraf kim olursa olsun diğer hizmet sağlayıcılarına hesap ayrıntılarının sunulmasıyla ilgili rekabet açısından veri güvenliğini sağlamak için belirli yöntemlere/usullere ihtiyaç olduğu, bu nedenle yetkili makamların gözetim baskısını daha az hisseden ve sermaye gereksinimi daha düşük olan bazı aktörlerin ödeme ekosisteminde güven riski oluşturma olasılığının sınırlandırılması gerektiği belirtilmektedir.

(93) Sonuç olarak, yurtdışında işbu dosya konusuna ilişkin görüntüleme hizmetleri veren bankalardan gelen bilgilerden, PSD2 ile, bankaların müşterinin talebi dahilinde üçüncü taraf sağlayıcılara ödeme hesaplarına erişimi sağlamakla yükümlü kılındığı, PSD2’nin bu hizmet esnasında taraflar arasındaki hak ve yükümlülükleri düzenlediği, diğer yandan PSD2 ile taraflara veri güvenliğinin sağlanmasına ilişkin de sıkı tedbirler getirildiği, bununla birlikte söz konusu güvenliğin sağlanmasında Avrupa Merkez Bankası ve Avrupa Bankacılık Kurumu gibi topluluk kurumları haricinde yerel otoritelere de sorumluluk getirildiği, rekabete duyarlı veri paylaşımı konusunda ise doğrudan bir sınırlama bulunmadığı ancak kişisel veri, hassas veri gibi hususlarla veri güvenliği konularının vurgulandığı sonuçlarına ulaşılmaktadır.

G.4.2.4. Görüntüleme Hizmetlerinde Veri İletimi Hususunun Bankalar ve Bağımsız Hesap Hizmeti Sağlayıcılar Ekseninde Rekabetçi Yaklaşım Bakımından Değerlendirilmesi

(94) Açık bankacılık kavramı çerçevesinde çeşitli taraflardan bilgi/görüş talebinde bulunulan bir diğer husus ise yukarıda da zaman zaman kısmen değinilmiş olan veri paylaşımının görüntüleme hizmeti sunan başka bir bankaya iletilmesi ile finansal piyasalarda doğrudan faaliyeti olmayan hesap bilgisi hizmeti sağlayıcılarına iletilmesi arasında rekabetçi yaklaşım açısından fark olup olmadığıdır. Bu hususa ilişkin yerel bankalardan;

- (…..) tarafından, görüntüleme hizmetinin müşteri talebi üzerine başlatılan ve 7192

sayılı Kanun’da “ödeme hizmeti sağlayıcısı” olarak nitelendirilen kuruluşlarca

verilmesinde bir sakınca görülmemekle birlikte, hizmeti sunmak için gerekli şartları

taşımayan kuruluşların müşteri talebi olsa dahi bu hizmeti doğrudan son

kullanıcıya/tüketiciye sunmasının uygun olmayacağı, bu hizmeti verebilecek ve

finansal piyasalarda doğrudan faaliyeti olmayan firmaların lisanslanması için ilgili

şartların belirlenmesinin önemli olduğu, bu faaliyeti yürütecek firmaların veri

güvenliğini sağlaması ve söz konusu verileri farklı amaçlar için kullanmaması

amacıyla konunun regüle edilmesinin faydalı olacağı,

- (…..) tarafından, verinin aktarılmasından ziyade saklanıp işlenmesi konusunun

önemli olduğu, bu nedenle, bu bilgilerin bankalar ve üçüncü yazılımlar tarafından

müşteriye ekstre/bilgi görüntüleme hizmeti sunulması dışındaki amaçlarla

kullanılmaması yönünde regülasyonların düzenlenmesinin önem taşıdığı, söz

konusu regülasyon konusunun bankalar ve diğer hizmet sağlayıcılar açısından

ortak değerlendirilmesi gerektiği,

- (…..) tarafından, bu bilgilerin görüntüleme hizmeti sunan başka bir bankaya

iletilmesi ile finansal piyasalarda doğrudan faaliyeti olmayan hesap bilgisi

görüntüleme hizmet sağlayıcılarına iletilmesi arasında rekabetçi yaklaşım açısından farkın ancak iletilen verilerin doğrudan hizmeti sunan kuruluş tarafından açıkça görüntülenebildiği hallerde söz konusu olacağı; hizmet altyapısını sağlıyor olmakla birlikte ilgili kuruluşun iletilen bu verileri görüntüleme noktasında bir yetkiye sahip olmadığı durumda finansal kuruluş ve finansal olmayan kuruluş arasında bir fark olmayacağı; ancak verilerin görüntülenebilmesi halinde finansal kuruluş ile yapılacak paylaşımın rekabet açısından doğal olarak finansal olmayan kuruluş ile paylaşımdan daha etkili sonuç doğuracağı,

- (…..) tarafından, verilerin görüntüleme hizmeti sunan başka bir bankaya iletilmesi ile finansal piyasalarda doğrudan faaliyeti olmayan hesap bilgisi görüntüleme hizmeti sağlayıcılarına iletilmesi arasında kendileri açısından bir fark olmadığı, her koşulda hizmet kapsamında sunulan faiz, komisyon ve müşteri özelinde belirlenen işlem ücreti gibi ticari sır niteliğindeki birtakım bilgilerin başka bir banka ya da firma ile paylaşılmaması ve bunların başka amaçlarla kullanılmaması gerektiği, TCMB tarafından halihazırda devam eden çalışma sonucunda ortaya çıkacak alt düzenlemeler ile bankalar ve hizmet sağlayıcı şirketlerle hangi bilgilerin paylaşılacağının netleşmesinin beklendiği, her ne kadar bağımsız hesap bilgisi görüntüleme hizmet sağlayıcılarının teknik olarak finansal piyasalarda doğrudan faaliyeti olmasa da bu teşebbüsler doğrudan finansal piyasalarda faaliyet gösterenler ile işbirliği yapabileceğinden ticari sır niteliğindeki bilgilerin diğer bankalarla olduğu gibi hesap görüntüleme hizmeti sağlayıcısı ile de paylaşılmaması ya da bu bilgilerin anılan kuruluşlarca işlenip satılması gibi durumların önüne geçilmesi gerektiği,

- (…..) tarafından, bilgilerin doğrudan bankalar arasında paylaşılması senaryosunda bankaların ham verilere erişebileceği, diğer taraftan, bu bilgilerin entegratör firma ya da üçüncü kişiler arasında paylaşımında ise rekabet açısından paylaşılan verinin kapsamının önem arz edeceği, üçüncü tarafların -birçok sektörde olduğu gibi- ham verileri, örneğin sektör ortalaması şeklinde derleyerek ve anonimleştirerek bankalar ile paylaşabileceği ve bu senaryonun, rekabet endişelerini azaltmaya daha yakın olduğu; entegratör seviyesinde faaliyet gösteren teşebbüslerin birçok müşterinin farklı bankalardaki verilerine sahip olmaları halinde, bu teşebbüslerin, söz konusu veriler açısından, bankaların elde etmeleri mümkün olmayan rekabete hassas rakip bilgilerine erişebilecek konumda olacakları ve entegratör tarafından bu bilgilerin elde edilmesi ve kullanılması hakkında Bankacılık Kanunu benzeri ya da konuya özel bir düzenlemenin getirilmemesi durumunda, bu verilerin gelişi güzel kullanımının rekabetçi olmayan davranışları teşvik edebilme riski barındırabileceği,

- (…..) tarafından, hizmet kapsamında gönderilen bilgilerin genel olarak, stratejik bilgiler içermesi nedeniyle alıcı tarafından muhasebe entegrasyonu haricinde farklı amaçlarla kullanılmaması gerektiği; aksi durumda, söz konusu hizmetler içerisinde yer alan parametrelerin, rakip bankalar tarafından bilindiğinde, bu bankaların rekabetçi kararları ve dolayısıyla serbest piyasa rekabeti üzerinde olumsuz etkisi olabileceği, bu noktada, sağlayıcıların kanun ve mevzuat gerekliliklerine uyumunun tam, gerektiği durumlarda otoriteler tarafından yetkilendirilmiş ve lisans alma edimlerini yerine getirmiş olmalarının önem arz ettiği; müşteri verisinin güvenliğinin sağlanması dışında, ilgili mevzuat, ikincil düzenlemeler ve bu düzenlemelere uyumun denetlenmediği durumlarda; anılan kurumların söz konusu verileri işleyip rekabete uygun olmayan bir şekilde kullanmasının söz konusu olabileceği, dolayısıyla bu verilerin müşteri bağlamı dışında büyük veri olarak işlenmesinin ve anlamlandırılmasının önüne geçilmesi gerektiği, getirilen mevzuat ve bu mevzuata

uyumun eksiksiz olması durumunda ise pazarda çeşitlilik ve yeni hizmetler yaratılabileceği ve pazara giriş engellerinin önüne geçilebileceği,

- (…..) tarafından, hizmet kapsamında paylaşılan bilgilerin, saklanma ve üçüncü taraflara kullanım sınırlarının belirlendiği bir mevzuat hazırlanana kadar bu bilgilerin hizmet sağlayıcı bankalarca/firmalarca kullanılmasının haksız rekabet oluşturduğu ve bilgi güvenliği açısından sorunlara yol açabileceği; ülkemizde ilgili mevzuat oluşturulana kadar üçüncü taraf hizmet sağlayıcılarının hassas bilgileri kaydetme ve analiz etmelerinin kontrol altında tutulması gerektiği, bu hususlar dışında verilerin hesap bilgisi hizmeti sunan başka bir bankaya iletilmesi ile finansal piyasalarda doğrudan faaliyeti olmayan hesap bilgisi görüntüleme hizmeti sağlayıcılarına iletilmesi arasında kendileri açısından bir fark olmadığı,

- (…..) tarafından, POS alacak bilgilerine ilişkin parametrelerin diğer bankalar, e-para kuruluşları veya finansal kurumlarla paylaşılmasının uygun olmadığı; öte yandan hesap bilgisi görüntüleme hizmetini sağlayan entegratör firmalarla bu bilgilerin paylaşılmasının, rekabete duyarlı (stratejik), ticari sır niteliğindeki bilgileri işleyerek yönlendirme hizmeti vermemeleri ya da bu firmaların hesap bilgisi görüntüleme hizmeti sağlamak dışında finansal kurum niteliği kazanmaları durumunda topladıkları bu bilgileri kullanmamaları koşuluyla uygun görüldüğü,

- (…..) tarafından, müşteri rızası olması koşuluyla söz konusu bilgilerin hesap bilgisi görüntüleme hizmeti sunan başka bir bankaya sunulmasının, bankaların siber güvenlik ve müşteri hassasiyeti bakımından en güvenlikli finansal aktörler olması bakımından uygun görüldüğü; bununla birlikte, banka dışı hizmet sağlayıcılar açısından söz konusu durum bugün itibarıyla ölçümlenemediğinden ilgili hizmetin bankalar açısından devam ettirilmesinin işlem güvenliği bakımından daha efektif olacağı

belirtilmiştir.

(95) Konuya ilişin yabancı bankalardan ise;

- (…..) tarafından, söz konusu hizmetler müşterilerin açık rıza ve talimatları doğrultusunda verildiğinden, hizmet kapsamındaki verilerin hizmet sağlayıcılarıyla ya da bankaların kendileriyle paylaşılması arasında rekabet açısından bir fark bulunmadığı ifade edilmiştir.

- (…..) tarafından da müşteri verilerinin yalnızca müşterinin rızası ve gerekli tüm güvenlik önlemleri alınmak suretiyle üçüncü taraf bir finansal kurumla veya hizmet sağlayıcıyla paylaşılabileceği belirtilmiştir.

- (…..) tarafından her aktör güvenlik ve finansal istikrar açısından yeterli garanti verebildiği sürece, verilerin hesap bilgisi hizmeti sunan başka bir bankaya iletilmesi ile finansal piyasalarda doğrudan faaliyeti olmayan hesap bilgisi görüntüleme hizmeti sağlayıcılarına iletilmesi arasında bir fark olmadığı, ancak yetkili makamların gözetim baskısını daha az hisseden ve sermaye gereksinimi daha düşük olan bazı aktörlerin ödeme ekosisteminde güven riski oluşturma olasılığının sınırlandırılması gerektiği ifade edilmiştir.

- (…..) tarafından verilerin gönderim adresinin banka ya da sağlayıcı olmasının rekabetçi yaklaşım açısından fark yaratmadığı, zira gerek rekabete duyarlı verilerin gerekse kişisel ve müşteri sırrı niteliğindeki verilerin hizmetin amaçları dışında kullanılmasının, büyük veri olarak işlenmesinin aynı rekabetçi endişeleri doğuracağı, bu nedenle önemli olanın sağlayıcıların kanun ve mevzuat

gerekliliklerine uyumunun tam, otoriteler tarafından yetkilendirilmiş ve lisans alma

edimlerini yerine getirmiş olmaları ve ilgili mevzuat, ikincil düzenlemeler ve bu

düzenlemelere uyumun denetlenmesi olduğu vurgulanmıştır.

(96) Sonuç olarak yerel ve yabancı bankalardan gelen cevaplar bir bütün olarak değerlendirildiğinde, genel yaklaşımın, verilerin hesap bilgisi hizmeti sunan başka bir bankaya iletilmesi ile finansal piyasalarda doğrudan faaliyeti olmayan hesap bilgisi görüntüleme hizmeti sağlayıcılarına iletilmesi arasında esaslı bir fark olmadığı yönünde olduğu, ancak veri alıcısı hangi taraf olursa olsun gerek rekabete duyarlı verilerin gerekse kişisel veri, müşteri sırrı, ticari sır niteliğindeki verilerin bu hizmeti veren teşebbüsler tarafından görüntülenmemesi, saklanmaması, işlenmemesi ve üçüncü taraflara iletilmemesi/satılmamasının rekabetçi yaklaşım ve diğer mevzuat bakımından önem arz ettiğinin belirtildiği, bu hususlara uyumun ve denetimin gerekli regülasyonlar ve ilgili otoriteler kapsamında yakından takip edilmesinin öneminin de vurgulandığı görülmektedir.

G.4.2.5. TCMB ve BDDK Tarafından İletilen Bilgi ve Görüşler

(97) Açık bankacılık ile ilgili önceki bölümlerde değinilen konular hakkında TCMB ve BDDK’dan da bilgi/görüş istenmiş olup bu bölümde bu kurumların görüşleri aşağıda özetlenmiştir.

(98) Dosya kapsamında görüşlerine başvurulan BDDK tarafından iletilen yazıda, bildirim konusu işlemin, ilgili mevzuat uyarınca ödeme hizmeti olarak tanımlandığı ve TCMB tarafından çıkarılacak alt düzenlemeler çerçevesinde gerekli koşulları sağlayan her kuruluşun sunabileceği lisansa tabi bir hizmet olduğu, nitekim 7192 sayılı Kanun’un 01.01.2020 tarihinde yürürlüğe girmesiyle birlikte, ödeme kuruluşları ile elektronik para kuruluşlarına ilişkin düzenleme ve denetleme görevinin TCMB tarafından yürütüldüğü, bu bakımdan işlem hakkında bir görüşlerinin bulunmadığı belirtilmiş ve yazının devamında Avrupa Komisyonu tarafından yürürlüğe konulan PSD2 ile uyumlu olacak şekilde 6493 sayılı Kanun’un 23. maddesinin (1) numaralı fıkrasına “Sistem işleticisi, ödeme kuruluşu ve elektronik para kuruluşu bu Kanunda yer alan hususlar ile ilgili belgeleri ve kayıtları en az on yıl süreyle güvenli ve istenildiği an erişime imkân sağlayacak şekilde yurt içinde saklar. Sistem işleticisinin faaliyetlerini yürütmede kullandığı bilgi sistemleri ve bunların yedekleri de yurt içinde tutulur.” hükmünün eklendiği ve bu hüküm uyarınca verilerin yurtiçinde saklanması gerektiği, buna ilaveten, 5411 sayılı Bankacılık Kanunu’na tabi kuruluşlar açısından anılan Kanun’un 73. maddesine [26] uyum sağlanmasının önem arz ettiği belirtilmiştir.

(99) 7192 sayılı Kanun ile bu alanda yetkili otorite haline gelen TCMB tarafından iletilen yazıda ise, bildirim konusu hesap bilgisi görüntüleme hizmetinin 7192 sayılı Kanun ile ödeme hizmeti kapsamına alındığı, söz konusu hizmetin bankalarca lisans almaya gerek kalmadan, banka dışı kuruluşlarca ise TCMB’den lisans alarak sunulabildiği, söz konusu hizmetlere ilişkin ikincil düzenleme çalışmalarının devam ettiği, bu çerçevede söz konusu hizmet kapsamında hangi verilerin paylaşılacağı ve erişilen bilgilerin gizliliğine ilişkin hükümlerin ikincil düzenlemelerde yer alacağı ifade edilmiştir. TCMB tarafından ayrıca söz konusu hizmetlere ilişkin bankaların kendi aralarında ve banka dışı kuruluşlarla belirli bilgileri paylaşmalarının finansal ürünlerin gelişimine yönelik 26 5411 sayılı Kanun’un 73. maddesi “Sırların saklanması” başlıklı olup, genel olarak gerek BDDK tarafından görev esnasında, gerekse de teşebbüslerce bankacılık faaliyetleri sırasında edinilen müşteri sırrı, ticari sır, kişisel veri niteliğindeki bilgilerin paylaşımına ilişkin yasakları, kısıtlamaları ve kapsamı düzenlemektedir.

yenilikçi çalışmaların artmasına ve müşterilerin daha iyi hizmet alabilmelerine katkı sağlayabileceği değerlendirmesinde bulunulmuştur.

(100) Öte yandan konuya ilişkin görüşlerini almak ve ikincil düzenlemelerin hangi noktada olduğunu öğrenebilmek adına bilgi isteme yazısının haricinde TCMB yetkilileri ile ayrıca bir online görüşme gerçekleştirilmiştir. Yapılan görüşmede konuya ilişkin düzenlemelerin tamamlanmak üzere olduğu ve taslakların Kurum ile de paylaşılacağı, söz konusu düzenlemelerde ödeme hesabının tanımının PSD2’ye paralel şekilde yapıldığı, bu çerçevede söz konusu hesapların fon girişi-çıkışı olan hesaplar olup olmadığının önem arz ettiği, PSD2’de hesap bilgisi hizmetleri de tanım olarak ödeme hesabı üzerinden tanımlandığından hangi tür hizmetlerin bu kapsama gireceğinin belirlenmesinin değerlendirmeler açısından önemli olduğu, kendilerinin bu aşamada vadesiz hesaplara odaklandığı, ancak vadeli hesaplar da fon girişi-çıkışı olan hesaplar olduğundan bu hesapların da bu kapsamda değerlendirilebileceği, bununla birlikte TCMB tarafından bu aşamada vadeli hesaplara ilişkin bir düzenleme yapılmadığı, PSD2’de ödeme hesabı tanımını genişletecek şekilde revizyonların planlandığı, bu çerçevede bu tanıma sigorta ve birikim hesaplarının da dahil edilmesinin düşünüldüğü, örnek olarak Güney Kore’de sigorta hesaplarının da ödeme hesabı kapsamında yer aldığı, ancak POS alacak bilgisinin bir ödeme hesabı olarak tanımlanıp tanımlanamayacağının üzerinde daha detaylı durulması gerektiği, bununla birlikte çek ile ilgili herhangi bir hususun bu kapsamda yer almadığının düşünüldüğü [27], bu tür hizmetlerin sunulmasında müşteri rızasının birinci öncelik olduğu, kendilerince yapılan çalışmaların ilk aşamasını hizmet sağlayıcılarının dikkat etmesi gereken hususların oluşturduğu, ödeme hizmet kapsamında hangi verilerin ne şekilde paylaşılacağı konusuna ilerleyen düzenlemelerde yer verileceği, düzenlemelerdeki bir sonraki aşamayı ise güvenlik, tarafların yükümlülükleri ve paylaşımın sınırları gibi teknik konuların oluşturduğu, TCMB’ye verilen yetkilerin ödeme hizmetleri ile sınırlı olduğu, bunun dışındaki alanlardaki verilerin paylaşımına ve veri güvenliğine ilişkin hususların Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik’in 43. maddesi [28] doğrultusunda BDDK tarafından belirlenmesinin/denetimin devam ettiği hususları üzerinde durulmuştur.

G.4.3. Genel Değerlendirme

(101) Sözleşme konusu hizmetlerin verilmesi sürecinde yer alan parametrelerin gerekliliğine ilişkin elde edilen bilgilere bakıldığında, gerek hesap bilgisi, gerekse POS alacak ve çek tahsilat bilgisi görüntüleme hizmetlerinin sunumu bakımından, gerek bankaların müşterilerine ilettiği bu tür raporlamalarda gerekse üçüncü taraflarca verilen bu hizmetlerde yeknesak bir parametre bütününün bulunmadığı, sunulan parametrelerin bankalarca müşteriye sunulan parametre seti haricinde farklı sektörlerde faaliyet gösteren müşterilerin ihtiyaç ve taleplerine göre de şekillendiği, SOFTTECH de dahil olmak üzere görüntüleme hizmeti sunan teşebbüsler tarafından, bankalarca müşterilere hangi parametreler sunuluyorsa bu teşebbüsler tarafından da bu bilgilerin

[27] 6493 sayılı Kanun’un 12. maddesinin ikinci fıkrasının (e) bendi uyarınca 6102 sayılı Kanun kapsamındaki kıymetli evrak, yabancı banka çekleri, seyahat çekleri ve kâğıt posta havalelerinden herhangi biriyle gerçekleşen ödeme işlemleri ödeme hizmeti sayılmamaktadır.

[28] “Uzaktan Kimlik Tespiti ve Üçüncü Taraflara Güven” başlıklı söz konusu madde hükmü “Banka, 11/10/2006 tarihli ve 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun ve alt düzenlemelerinde yer alan yükümlülükler saklı kalmak kaydıyla, müşterinin veya müşteri adına hareket eden kişinin kimliğini tespit etmek amacıyla, uzaktan kimlik tespiti yöntemleri kullanabilir ya da hâlihazırda müşteri veya müşteri adına hareket eden kişi için daha önce kimlik tespitinde bulunmuş başka bir bankadan açık bankacılık servisleri aracılığıyla hizmet alabilir. Bu fıkranın uygulanmasına ilişkin usul ve esasları belirlemeye Kurul yetkilidir.” şeklindedir.

sunulduğu, bu çerçevede bu hizmetlerin sunumu için sınırları çizilmiş bir parametre setinden bahsedilemeyeceği anlaşılmıştır. Bu hususa ek olarak TEB, CITIBANK, YAPIKREDİ gibi bazı bankalarca daha kısıtlı bir veri setinin, temel amacı mutabakat, nakit akışlarını düzenleme, alacak-borç takibi olan bu hizmetlerin nihai tüketiciye faydasını yok edeceği hususu vurgulanmıştır. Öte yandan minimal bir veri setinin hangi parametreleri içermesi gerektiğine ilişkin gerek diğer rakip görüntüleme hizmeti sağlayıcı teşebbüslerin gerekse de bankaların birbirinden kayda değer şekilde farklılaşan cevaplarından bir sonuca ulaşmak da mümkün olmamıştır. Tüm bu hususlar çerçevesinde, söz konusu hizmetlerden amaçlanan faydanın çoğu zaman faaliyet gösterdikleri sektöre göre ihtiyaçları farklılaşan tüketiciye ulaşması için, minimal bir veri seti belirlenmesinden ziyade ilerleyen bölümlerde değinileceği üzere veri güvenliği üzerine odaklanılması gerektiği kanaatine ulaşılmıştır.

(102) Bu tespitten sonra hangi tür verilerin rekabete duyarlı olduğu hususunda ise hesap bilgisi görüntüleme hizmeti bakımından vadeli mevduat faiz oranı ve işlem bazındaki ücret ve komisyonların, POS alacak bilgisi görüntüleme hizmeti bakımından ise hizmet komisyon oranı/tutarı ve müşterinin POS ödemesinin vadesinin/hangi tarihte hesabına yapılacağı bilgisi rekabete duyarlı olarak belirtilen parametrelerin başında gelmektedir. Çek tahsilat bilgisi görüntüleme hizmeti bakımından ise bilgi istenen tarafların çoğu herhangi bir rekabete duyarlı veri tespitinde bulunmamıştır. Bazı bankalar tarafından müşteri verisi, iş yeri verileri, bankanın müşteriyle çalışma koşullarını gösteren her türlü veri (müşteriye verilen kart çeşidi, taksit sayısı) gibi bilgiler de doğrudan fiyata ilişkin olmamakla beraber, bu kapsamda zikredilmiştir. Öte yandan yabancı bankalardan elde edilen bilgilerden AB uygulamasında vadeli mevduat faiz oranı gibi esasında rekabete duyarlı olarak nitelendirilebilecek verilerin iletiminin engellenmediği, bunun yerine veri güvenliği konusuna odaklandığı bilgisine ulaşılmıştır.

(103) AB uygulamasında farklı durumlar söz konusu olsa da çeşitli taraflardan gelen bilgilere paralel şekilde, vadeli mevduat faiz oranı, işlem bazındaki ücret ve komisyonlar, POS alacağına uygulanan komisyon oranı gibi veriler fiyata ilişkin veriler olması hasebiyle rekabete duyarlılığı yüksek veriler olarak nitelendirilmesi gerekmektedir. Fiyata ilişkin olmalarının yanı sıra aynı zamanda müşteri ya da iş yeri özelinde de bilgiler içerebilen bu verilerin, birbirine rakip teşebbüslerce görüntülenmesinin, saklanmasının, işlenmesinin engellenmesinin olası bir koordinasyonun önüne geçilmesi bakımından önem arz ettiği değerlendirilmektedir. Ancak çeşitli taraflardan elde edilen bilgiler kapsamında, açık bankacılığın finansal sektörde ana akımlardan biri olduğu bu dönemde, söz konusu riskin önüne geçmek bakımından uygulanması gereken yöntem bu tür hizmetlerin sunumunu engellemek ya da nihai tüketiciye sunulacak parametre setini sınırlamaktan ziyade yine veri güvenliğiyle ilgili önlemleri almaktan geçmektedir.

(104) Nitekim çeşitli taraflardan elde edinilen bilgiler kapsamında, PSD1 ve sonrasında PSD2 ile şekillenen AB uygulamasında da odağın verilerin iletiminin sınırlanmasından ziyade veri güvenliği noktasında olduğu görülmektedir. Bu bağlamda önceki bölümlerde de yer verildiği üzere PSD2’nin 67, 97 ve 98. maddelerinde, ödeme hizmeti sağlayıcısı ve hesap bilgisi hizmeti sağlayıcısı gibi tarafların yükümlülükleri ve veri güvenliği ile ilgili konular düzenlenmektedir. Bu çerçevede 67. maddede hesap bilgisi hizmeti sağlayıcıları bakımından özellikle vurgulanan hususlardan biri, bu teşebbüslerin, ödeme hizmeti kullanıcısı tarafından açıkça talep edilen hesap bilgileri hizmetini sunma dışında, başka amaçlar için herhangi bir veriyi kullanmamak, bunlara erişmemek ve depolamamakla yükümlü olduğu hususudur. Dolayısıyla rekabete duyarlı parametrelerin rakip teşebbüsler arasında iletimine ilişkin açık hükümler barındırmamakla beraber, PSD2’de verilerin hizmet sağlayıcılar tarafından nihai

tüketicinin ihtiyacı ve amacı dışında kullanılmaması, erişilmemesi ve depolanmaması hususuna dikkat çekildiği görülmektedir.

(105) Yine elde edilen bilgilerden, PSD2’de rekabete duyarlı verilerin paylaşımı gibi detay hususların Avrupa Bankacılık Kurumu, Avrupa Merkez Bankası ve lokal düzenleyici kurumların yetkisine bırakıldığı anlaşılmıştır. Bu noktada ülkemizde de bu alanda son dönemde önemli gelişmeler meydana gelmiş olup, 6493 sayılı ve 7192 sayılı Kanunlarla hesap bilgisi hizmetini de içerecek hale gelen ödeme hizmetleri alanının BDDK’dan alınarak TCMB’nin yetkisine bırakıldığı görülmektedir. Nitekim önceki bölümlerde de yer verildiği üzere gerek 6493 sayılı Kanun’un 12. maddesine eklenen;

“Ödeme hizmeti sağlayıcılarının bu Kanuna tabi faaliyetleri nedeniyle taraf oldukları

hukuki ilişkiler Banka tarafından izlenir. Banka, ödeme hizmeti sağlayıcılarının bu

Kanuna tabi faaliyetleri nedeniyle taraf oldukları hukuki ilişkiler kapsamında,

ödemeler alanının gelişimini olumsuz etkileyebilecek nitelikte uygulamaların

bulunduğunu tespit etmesi durumunda, ödeme hizmeti sağlayıcılarının bu Kanuna

tabi faaliyetleri nedeniyle taraf oldukları hukuki ilişkilerle ilgili olarak uyulması

gereken usul ve esasları belirlemeye yetkilidir.”

şeklindeki altıncı fıkra ile gerekse de 14/A maddesinin ikinci fıkrasında yer alan

“Banka, bir ödeme hizmeti sağlayıcısındaki verilerin 12 nci maddenin birinci

fıkrasının (f) ve (g) bentlerinde yer alan faaliyetler kapsamında başka bir ödeme

hizmeti sağlayıcısı ile paylaşılmasına ilişkin her türlü usul ve esası belirlemeye

yetkilidir.”

şeklindeki yeni düzenleme ile TCMB, ödeme hizmeti sağlayıcılarının 6493 sayılı Kanun kapsamındaki faaliyetlerini izlemeye, buna ilişkin usul ve esasları belirlemeye ve ayrıca söz konusu hizmetler kapsamında verilerin paylaşımına ilişkin esasları belirlemeye yetkili kılınmıştır. Bu çerçevede hesap bilgisi görüntüleme hizmeti kapsamında hangi parametrelerin paylaşılacağına ilişkin öncelikli yetki sahibi kurum da TCMB olup, TCMB ile gerek bilgi isteme yazısı gerekse görüşme düzeyinde yapılan iletişimlerde söz konusu düzenlemelere ilişkin çalışmaların devam ettiği öğrenilmiştir.

(106) Bu noktada TCMB ile yapılan görüşmelerde özellikle ön plana çıkan bir hususa değinmenin önem arz ettiği düşünülmektedir. TCMB yetkilileri ile yapılan görüşmede çalışmaları devam etmekte olan taslak düzenlemelerde ödeme hizmeti ve ödeme hesabı tanımının PSD2’ye paralel şekilde yapıldığı, bu bağlamda söz konusu hesabın fon giriş-çıkışlarına açık olup olmamasının anılan hesabın ödeme hesabı olarak tanımlanıp tanımlanmayacağına ilişkin kriterlerden biri olduğu, vadesiz hesabın bu kriteri karşıladığı, bu nedenle ilk aşamada bu hesap türü bazında tanımlar yapıldığı, ancak dünya örneklerinde vadeli hesapların (birikim hesaplarının) ve sigorta hesaplarının da ödeme hesabı olarak kabul edildiği örneklerin bulunduğu, ayrıca fon giriş çıkışı olması nedeniyle vadeli hesapların da bu bağlamda değerlendirilmesinin mümkün olduğu, ancak ilk düzenlemelerde vadeli hesabın bu bağlamda değerlendirilmediği ifade edilmiştir. Benzer şekilde yapılan görüşmede POS alacak bilgisi görüntüleme hizmetleri bakımından da bu hizmete ilişkin hesapların ödeme hesabı olarak tanımlanıp tanımlanmayacağının bu aşamada üzerinde daha ayrıntılı düşünülmesi gereken bir husus olduğu belirtilmiştir. Bu bağlamda TCMB tarafından yakın zamanda ortaya konacak ilk düzenlemelerin işbu dosyada rekabete duyarlı veri alanında ön plana çıkan vadeli mevduat ve POS alacak bilgisi hizmeti bakımından yapılan rekabete duyarlı veri analizi bakımından ek bilgi sunmaması olasılık dahilindedir.

(107) Dosya konusuna bu açıdan yaklaşıldığında, yukarıda verilen bilgiler kapsamında, söz konusu alanın Kanun’da kendisine verilen yetkiler ile TCMB’nin yetki ve görev alanında bir konu olduğu, bu bağlamda hesap bilgisi görüntüleme hizmetleri kapsamında hangi tür verilerin paylaşılacağına ilişkin esasları belirleme yetkisinin de özellikle 6493 sayılı Kanun’un 14/A maddesi kapsamında TCMB’ye verildiği, bu durum karşısında Kurumun paylaşılacak veriler açısından bir sınır çizmekten ziyade hangi tür verilerin rekabete duyarlı olduğu ve bu tür verilerin rakip teşebbüslerce görüntülenebilmesi durumunda ne gibi anti-rekabetçi etkilerin ortaya çıkabileceği konularında TCMB’ye görüş vermekle sınırlı olacağı sonuçlarına ulaşmak mümkün gözükse de, öte yandan henüz TCMB tarafından yapılmış olan ödeme hesabı tanımının kapsamının net olmayışı ve hâlihazırda sadece vadesiz hesabı kapsayacak şekilde olması, işbu dosya konusunu oluşturan POS alacak bilgisi, çek tahsilat bilgisi görüntüleme hizmetleri gibi hizmetlerin ne şekilde ve hangi kurumca ele alınması gerektiği sorusunu/sorununu ortaya çıkarmaktadır. Tüm bu bilgiler doğrultusunda, dosya konusuna ilişkin nihai değerlendirme aşağıdaki sistematik çerçevesinde yapılmıştır.

(108) Bu bağlamda öncelikle belirtilmesi gereken husus, yukarıda da belirtildiği üzere, işbu dosya konusu hizmetlerin sunumunda vadeli faiz oranı, işlem ücret ve komisyonları, POS alacak komisyon oranı/tutarı, POS alacak vadesi, üye işyeri ile çalışma koşullarına ilişkin diğer ticari veriler gibi rekabete duyarlı verilerin rakip teşebbüsler arasında iletiminin söz konusu olduğudur. Her ne kadar dosya özelinde muafiyet bildirimi yapılan sözleşme aynı ekonomik bütünlük içerisinde yer alan teşebbüsler tarafından akdedilmiş olsa da, söz konusu bildirim içeriğinin fiiliyatta finansal sektörde faaliyet gösteren teşebbüsler arasında rekabete duyarlı verileri de içeren birtakım veri setinin paylaşımını gerektirdiği açıktır. Dahası edinilen bilgilerden görüldüğü üzere, ilerleyen dönemde daha çok banka bu alanda faaliyet göstermeyi planlamaktadır. Söz konusu durumun bir sonucu olarak ilerleyen dönemde bu hizmetlerin sunumu bakımından finansal sektörde faaliyet gösteren daha çok oyuncu arasında bu tür verilerin iletimi-paylaşılması gerekecektir. Sonuç olarak, fiiliyatta rakip teşebbüsler arasında bazıları rekabete duyarlı olan parametrelerin iletimini içeren ve bu haliyle bu parametreler açısından olası bir koordinasyon riskini de ortaya çıkaran işbu bildirime 4054 sayılı Kanun’un 8. maddesi kapsamında menfi tespit belgesinin verilmesinin mümkün olmadığı değerlendirilmektedir.

(109) Bu tespitten sonra değerlendirmenin ikinci aşamasında bireysel muafiyet analizine geçildiğinde ise, öncelikle, açık bankacılığın da gelişmesiyle son dönemde ortaya çıkan yeni hizmetler olan ve tüketiciye bankalar haricinde alternatif hizmet kanalları oluşturan ve hesaplarını tekil bankalar yerine konsolide olarak tek bir uygulamadan görüntüleyebilmelerini sağlayan görüntüleme hizmetlerinin, muafiyet koşullarından malların üretim veya dağıtımı ile hizmetlerin sunulmasında yeni gelişme ve iyileşmelerin ya da ekonomik ve teknik gelişmenin sağlanması ile tüketicinin bundan yarar sağlaması şeklindeki ilk iki şartını sağladığı değerlendirilmektedir.

(110) Muafiyetin diğer iki şartından biri olan ilgili piyasanın önemli bir bölümünde rekabetin ortadan kalkmaması şartı ile ilgili olarak ise bankalarca ya da iştirakleri tarafından görüntüleme hizmetinin verilmesi henüz yeni başlayan bir faaliyet olup, bunun öncesinde söz konusu pazarda KOBAKÜS, INNOVA, MAMIM, UYUMSOFT, EÇÖZÜM gibi bağımsız hizmet sağlayıcılarının ve muhasebe programlarının faaliyet gösterdiği ve hâlihazırda da göstermeye devam ettiği anlaşılmıştır. Ayrıca SOFTTECH ile İŞ BANKASI arasındaki TekCep Sözleşmesi, rekabet etmeme yükümlülüğü, tek alıcıya sağlama yükümlüğü, yeniden satış fiyatının tespiti, münhasır müşteri veya bölge tahsisi gibi kısıtlayıcı hükümler içermeyecek şekilde düzenlenmiştir. Dolayısıyla

gerek sözleşme içeriği gerekse de piyasada bağımsız hizmet sağlayıcıların hizmet vermeye devam ediyor olması itibarıyla bankalarca bu hizmetin verilmeye başlanmasının bu ilk aşamalarında ilgili piyasanın önemli bir bölümünde rekabetin ortadan kalktığı sonucuna ulaşmak mümkün gözükmemektedir.

(111) Son olarak muafiyetin rekabetin etkinlik ve tüketici faydası amaçlarının elde edilmesi için zorunlu olandan fazla sınırlanmaması şeklindeki son şartı ile ilgili olarak ise önem arz eden hususun bu noktaya kadar yapılan tespitlerde de ortaya çıktığı üzere, rekabete duyarlı verilerin birbirine rakip teşebbüslerce görüntülenememesi, işlenememesi, saklanamaması olduğu, bu hususa ilişkin gerekli önlemlerin alınması ve denetimin sağlanması durumunda bu şartın da sağlanacağı anlaşılmıştır. Bu noktada yukarıda da arz edildiği üzere, açık bankacılığın ana akım olduğu bu son dönemde genel yaklaşım, bu tür hizmetlerin sunumunun ya da çeşitli kısıtlamalarla nihai tüketiciye faydasının engellenmesi değil, gerek kişisel veri, gerekse ticari verilerin korunması bakımından çok yoğun güvenlik önlemlerinin alınması şeklindedir. Nitekim yine yukarıda vurgulandığı üzere AB uygulamasında PSD2 ile hesap bilgisi hizmeti sağlayıcısına ve ödeme hizmeti sağlayıcına veri güvenliği ile ilgili yükümlülükler getirilmiş vaziyettedir. Bu yükümlülükler kapsamında söz konusu verilere ödeme hizmeti kullanıcısının ihtiyacı dışında erişilmesi, bu verilerin saklanması, depolanması ve işlenmesi yasaklanmıştır. Bununla birlikte PSD2’de rekabete duyarlı veriler ile ilgili de doğrudan bir hüküm bulunmamaktadır. Bu bilgiler çerçevesinde, dosya konusu bakımından da yaklaşımın çeşitli parametrelerin bu hizmetler kapsamında tüketiciye sunulmasının engellenmesinden ziyade rekabete duyarlı olduğu düşünülen parametrelerin hatta parametrelerin tümünün rakip teşebbüslerce görüntülenmesinin, işlenmesinin, saklanmasının önüne geçecek teknik güvenlik standartlarının belirlenmesi şeklinde olması gerekmektedir. Bu noktada ise AB uygulamasında olduğu üzere ve 6493 sayılı Kanun’un 12. ve 14/A maddelerinde yer aldığı üzere temel görev ve yetki sahibinin ve denetim sorumlusunun yerel düzenleyici otorite olduğu, bir başka deyişle TCMB olduğu değerlendirilmektedir. Sonuç olarak, rekabete duyarlı verilerin rakip teşebbüsler arasında iletiminin değil, ancak rakip teşebbüslerce görüntülenmesinin, kullanılmasının, saklanmasının ve işlenmesinin önüne geçildiği, bu hususlara ilişkin gerekli teknik güvenlik önlemlerinin belirlendiği ve gerekli denetimin sağlandığı durumda muafiyetin dördüncü şartı da sağlanmış olacaktır. Bu noktada ise yerel otoritenin hesap bilgisi hizmetlerini vadesiz hesabın sınırlarına hapseden bir anlayıştan ziyade diğer ülke örneklerinde olduğu gibi bu hesaplar aracılığıyla sunulan farklı görüntüleme hizmetlerini de göz önünde bulunduran bir anlayışla hareket etmesinin ve teknik güvenlik ve denetim standartlarını tüm olası hizmetleri kapsayacak şekilde belirlemesinin elzem olduğu anlaşılmıştır.

(112) Son olarak veri güvenliği ile ilgili mevcut düzenlemelerin yukarıda anılan hususları sağlayıp sağlamadığı hususuna değinmek gerekirse, bu düzenlemelerden BDDK tarafından yürütülen Ödeme Kuruluşları ve Elektronik Para Kuruluşlarının Bilgi Sistemlerinin Yönetimine ve Denetimine İlişkin Tebliğ’in genel olarak, ödeme kuruluşları ve elektronik para kuruluşlarının hizmet sunumunda kullandıkları bilgi sistemlerinin risk yönetimine odaklandığı, bu çerçevede esas olarak güvenlik olay yönetimi, veri gizliliği, güvenliği ve yetkilendirme, denetim izlerinin oluşturulması ve kimlik doğrulama gibi süreçlerle, hizmetin sunumu sürecinde herhangi bir dış müdahaleden korunması ve ayrıca kullanıcıların hassas ödeme verilerinin gizliliğinin ve güvenliğinin sağlanması amaçlarına özgülendiği görülmektedir. Anılan Tebliğ’de hassas ödeme verisi, “kullanıcılar tarafından ödeme emrinin verilmesinde veya kullanıcı kimliğinin doğrulanmasında kullanılan, ele geçirilmesi veya değiştirilmesi

halinde dolandırıcılık ya da kullanıcılar adına sahte işlem yapılmasına imkân verebilecek şifre, güvenlik sorusu, sertifika, şifreleme anahtarı ile PIN, kart numarası, son kullanma tarihi, CVV2, CVC2 kodu gibi kuruluşlar tarafından ihraç edilen ödeme araçlarına ilişkin kişisel güvenlik bilgileri” olarak tanımlanmıştır. Öte yandan söz konusu Tebliğ’in 15. maddesinde Tebliğ kapsamında ödeme hizmeti sunan kuruluşların üye iş yerleri ile yapacakları sözleşmelerde, hizmetlerin gerçekleştirilmesi için gerekli olan terminaller ve kuruluş arasındaki iletişim haricinde, kendi nezdinde hassas ödeme verisini tutmamasını, işlememesini veya kaydetmemesini şart koşacak hükümlerin yer almasını sağlamakla yükümlü olduğu belirtilmektedir. Bu bağlamda anılan Tebliğ’de PSD2’ye paralel şekilde hassas verilerin saklanmaması, işlenmemesi gibi unsurlar yer almakla beraber, diğer yandan Tebliğ’in işbu dosya konusu bakımından önemli olan rekabete duyarlı verilerin belirlenmesi ve bu verilerin rakip teşebbüsler arasında iletimi ve bu iletim sırasındaki veri güvenliği ve görüntüleme hususlarına ilişkin usul ve esasların belirlenmesi noktasında açıklayıcı nitelik taşımadığı görülmektedir.

(113) Benzer diğer bir düzenleme olan Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik’in de içerik itibarıyla Ödeme Kuruluşları ve Elektronik Para Kuruluşlarının Bilgi Sistemlerinin Yönetimine ve Denetimine İlişkin Tebliğ ile aynı formatta olduğu fakat bu sefer bankaların bilgi sistemlerinin yönetimine ve denetimine ilişkin esasları belirlediği ve rekabete duyarlı veri noktasında doğrudan hüküm barındırmadığı görülmüştür. Bu çerçevede mevcut düzenlemelerin işbu dosya konusu bakımından açıklayıcı ve belirleyici nitelikte olmadığı ve bu hususun 6493 sayılı Kanun’un 14/A maddesinde verilen yetkiler kapsamında çıkarılacak düzenlemelerle TCMB tarafından ele alınması ve denetiminin de yukarıda bahsedilen bilgi sistemlerinin güvenliği ve denetimine genel manada odaklanan tebliğlerden farklı olarak çıkarılacak düzenleme kapsamında TCMB tarafından yapılması gerektiği değerlendirilmektedir.

H. SONUÇ

(114) Düzenlenen rapora ve incelenen dosya kapsamına göre,

1) Bildirim konusu uygulamaya 4054 satılı Kanun’un 8. maddesi çerçevesinde

menfi tespit verilemeyeceğine OYBİRLİĞİ ile,

2)

a) Bildirim konusu uygulamaya, tüm görüntüleme hizmetleri bakımından,

rekabete duyarlı verilerin birbirine rakip teşebbüslerce görüntülenmesinin,

işlenmesinin ve saklanmasının önüne geçen teknik güvenlik standartlarının

oluşturulması ve tüm görüntüleme hizmetleri sunumuna konu verilerin diğer

banka faaliyetleri kapsamında kullanılmaması koşuluyla, 4054 sayılı Kanun’un

5. maddesi çerçevesinde, pazardaki gelişmelerin izlenebilmesini teminen 1

(bir) yıl süre ile, bireysel muafiyet tanınmasına,

b) Bireysel muafiyetin koşulu çerçevesinde Softtech Yazılım Teknolojileri

Araştırma Geliştirme ve Pazarlama Ticaret A.Ş. ve bu teşebbüs ile aynı

ekonomik bütünlük içinde bulunan Türkiye İş Bankası A.Ş. tarafından dosya

konusu hizmetler kapsamındaki rekabete duyarlı verilerin

görüntülenmemesine, işlenmemesine, saklanmamasına, bu hizmetin verilmesi

sırasında sadece aracılık rolünün üstlenilmesine ve ayrıca bu verilerin hiçbir

suretle diğer bankacılık faaliyetleri kapsamında kullanılmamasına

OYÇOKLUĞU ile,

3) 6493 sayılı Kanun’un 12. ve 14/A maddeleri kapsamında rakipler arasında verilerin iletimine ilişkin usul ve esasları belirlemeye yetkili olan TCMB’ye, düzenleme çalışmalarında dikkate almasını teminen, özellikle rekabete duyarlı verilerin iletiminin ilgili pazarlarda yaratabileceği anti-rekabetçi sonuçlar hakkında görüş gönderilmesini teminen Başkanlığın görevlendirilmesine OYÇOKLUĞU ile,

gerekçeli kararın tebliğinden itibaren 60 gün içinde Ankara İdare Mahkemelerinde yargı

yolu açık olmak üzere, karar verilmiştir.

Rekabet Kurulunun 24.12.2020 Tarih ve 20-55/767-340 Sayılı Kararına

Karşı Oy Gerekçesi

Kurulun, 24.12.2020 tarih ve 20-55 sayılı toplantısında görüşülen; Softtech Yazılım Teknolojileri Araştırma Geliştirme ve Pazarlama Ticaret A.Ş. tarafından geliştirilen ve Türkiye İş Bankası A.Ş.'nin kurumsal müşterilerine İş Cep uygulaması ve ticari internet bankacılığı kanalları üzerinden sunulan Tek Cep Hesap Hareketleri Otomasyonu (TekCep) uygulamasına 4054 sayılı Rekabetin Korunması Hakkında Kanun uyarınca menfi tespit belgesi verilmesi, bu talebin kabul görmemesi halinde ise ilgili uygulamaya bireysel muafiyet tanınması talebine yönelik olarak düzenlenen rapor ve neticesinde; Kurulca 4054 sayılı Kanunun 5. maddesi uyarınca mezkur uygulamaya, “bireysel muafiyet” tanınması kararına katılmamız aşağıdaki gerekçelerle mümkün olmamıştır.

Düzenlenmiş olan raporda bildirime konu uygulamaya, 4054 sayılı Kanunun 8. maddesi uyarınca “menfi tespit belgesi” verilemeyeceği söz konusu işlemin bireysel muafiyetin etkinlik ve tüketici faydası ile ilgili pazarın önemli bir bölümünde rekabetin ortadan kalkmaması şeklindeki ilk üç şartını sağlar nitelikte olduğu ve bireysel muafiyetin, rekabetin etkinlik ve tüketici faydası şartları için zorunlu olandan fazla sınırlanmaması şeklindeki son şartının ise rekabete duyarlı verilerin rakip teşebbüslerce görüntülenmesinin, işlenmesinin ve saklanmasının önüne geçen teknik güvenlik standartları oluşturulması durumunda sağlanacağı kanaati ile uygulamaya bireysel muafiyet tanınmasına oyçokluğu ile karar verilmiştir.

İşbankası’nın ekonomik bütünlüğü içerisinde yer alan Softtech ve İşbankası arasında akdedilmiş olan anlaşma ile İşbankası'nın tüzel kişi müşterilerine, diğer bankalarda bulunan ticari mevduat hesaplarını, hesap hareketlerini, POS alacaklarını ve çek tahsilatı bilgilerini görüntüleme imkanı getirilmektedir. Ancak kanaatimizce; Softtech ve İşbankası’nın aynı ekonomik bütünlük içerisinde bulunması İşbankası’nın, Softtech tarafından geliştirilmiş TekCep uygulaması aracılığıyla İşbankası’na rakip bankalardaki rekabete duyarlı bilgilere rahatlıkla erişilebileceği yönündedir. Her ne kadar akdedilen sözleşmede; (…..) olsa da, veri güvenliği açısından son derece önemli olan bu ilişki hakkında Kurumumuz Bilişim Teknolojileri Dairesi Başkanlığı’ndan bilgi talep edilmiştir. Dairenin cevabi yazısında; “Her ne kadar İşbankası’nın TekCep üzerinden sunulan bilgilere erişemeyeceği ve sadece kanallar üzerinden gösterim sağlanacağı belirtilmiş ve mimari topoloji içerisinde yer alan Microserver Cluster katmanında barındırılacak olan servisler açıklamaları ile listelenmiş olsa da, ilerleyen dönemde rekabetçi süreci olumsuz etkileyebilecek bilgileri sunan servislerin geliştirilebilmesinin önünde bir engel bulunmadığı, Softtech’in nihai kontrolünün İşbankası’nda olduğu dikkate alındığında, İşbankası’nın müşterilerinin diğer bankalardaki rekabete duyarlı bilgilere hiçbir zaman erişimi olamayacağını geçerli olarak kabul etmenin mümkün olmadığı, TekCep yazılımının mimari yapısında ilave

önlemler alınmasının Softtech tarafından edinilen karşı banka bilgilerine İşbankası’nın erişiminin engellenmesinde etkin olabileceğini söylemenin mümkün olamayacağı, devreye alınacak her türlü önlemin, anlık konfigürasyon değişiklikleri ile her zaman atlatılabileceği ifade edilmiştir. Nitekim Daire’nin görüşü, tarafımızda oluşan endişeleri destekler niteliktedir.

Diğer yandan Raporun “Sonuç” kısmında; “uygulamanın, Bireysel muafiyetin rekabetin etkinlik ve tüketici faydası şartları için zorunlu olandan fazla sınırlanmaması şeklindeki son şartının, rekabete duyarlı verilerin rakip teşebbüslerce görüntülenmesinin, işlenmesinin ve saklanmasının önüne geçen teknik güvenlik standartları oluşturulması durumunda sağlanacağı” ifade edilmiştir. Fakat Bilişim Teknolojileri Dairesi’nin yukarıdaki beyanları ışığında; İşbankası’nın, Softtech tarafından edinilen karşı banka bilgilerine erişiminin engellenmesinin mümkün olamayacağı aşikardır. Bu nedenle bireysel muafiyetin koşula bağlanmış bu son şartının, Raportörlerin kanaatlerinin hilafına gerçekleşmemiş olduğu açıktır.

Diğer taraftan raporda; bireysel muafiyet analizi yapılmış ve “…tüketiciye bankalar haricinde alternatif hizmet kanalları oluşturan ve hesaplarını tekil bankalar yerine konsolide olarak tek bir uygulamadan görüntüleyebilmelerini sağlayan hesap bilgisi görüntüleme hizmetlerinin, muafiyet koşullarından malların üretim veya dağıtımı ile hizmetlerin sunulmasında yeni gelişme ve iyileşmelerin ya da ekonomik ve teknik gelişmenin sağlanması ile tüketicinin bundan yarar sağlaması şeklindeki ilk iki şartını sağladığı” belirtilmiştir.

Kanaatimizce; İşbankası’nın Softtech aracılığı ile müşterilerine sunduğu ve yeni bir gelişme veya iyileşme olarak addedilen bu hizmetlerin çıkış noktalarını Avrupa’da 2015 yılında yürürlüğe giren AB Ödeme Hizmetleri Direktifi 2 (Payment Services Directive 2 - PSD2) oluşturmaktadır. PSD2’nin tanımladığı yeni hizmetlerden biri hesap bilgilendirme hizmetidir. Söz konusu hizmet; ödeme hizmeti kullanıcısına bir ya da birden fazla ödeme hizmeti sağlayıcısında bulunan bir ya da daha fazla ödeme hesabı üzerinde birikmiş bilgileri sağlamak şeklinde tanımlanmakta olup hizmet veren ödeme hizmeti sağlayıcısının hesabının online ara yüzleri aracılığıyla bunlara erişilebileceğini düzenlemektedir. Kısaca İşbankası’nın Softtech aracılığıyla müşterilerine sunduğu hizmetin kaynağını, 2015 yılında Avrupa Birliği’nce hazırlanmış olan ve mudilerin farklı banka veya benzeri hizmet sağlayıcılarında bulunan hesaplarına online olarak ulaşmalarını sağlayan hizmetin mevzuatı oluşturmaktadır.

Ayrıca ülkemizde de AB Ödeme Hizmetleri Direktif’lerinin yansıması olarak mevzuat birlikteliği çerçevesinde 6493 sayılı “Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun” (6493 sayılı Kanun) 2013 yılında yürürlüğe girmiştir. Kanun’un “Ödeme Hizmeti Sağlayıcısı” başlıklı 13. maddesi; 5411 sayılı Kanun kapsamındaki Bankaların, Elektronik Para Kuruluşlarının, Ödeme Kuruluşlarının ve PTT A.Ş.’nin ödeme hizmeti sağlayıcısı

olduklarını ve bunun dışındaki kişilerin ödeme hizmeti sunamayacaklarını hüküm altına almıştır. Kimlerin bu hizmeti sağlayabileceğine ilişkin görüşüne başvurulan TCMB de; hesap bilgisi hizmetlerini, bankalar lisans almaya gerek kalmadan sunabilecekken banka dışı kuruluşların TCMB’ye başvurarak lisans aldıktan sonra bu hizmetleri sunmalarının mümkün olacağını ifade etmiştir.

Halbuki söz konusu uygulamada; İşbankası müşterilerinin rakip bankalardaki hassas verilerine ulaşacak olan Softtech şirketinin, 6493 sayılı Kanun’da sayılan ödeme hizmeti sağlayıcıları arasında olmadığı gibi TCMB’den onaylı bir lisansı da bulunmamaktadır. Kanaatimizce; hizmeti sunmak için gerekli şartları taşımayan kuruluşların müşteri talebi olsa dahi bu hizmeti doğrudan son kullanıcıya sunmalarının uygun olmayacağı, bu faaliyeti yürütecek firmaların veri güvenliğini sağlaması ve söz konusu verileri farklı amaçlar için kullanmamaları amacıyla konunun regüle edilmesinin yerinde olacağı düşünülmektedir.

Sonuç olarak söz konusu uygulamanın, bireysel muafiyetten yararlandırılması için gereken ve Kanunu’nun 5. maddesinde sayılan şartlardan hem ilk ikisini hem de sonuncusunu sağlamadığını düşünmekteyiz. Özellikle veri güvenliğinin temin edilmeden adı geçen bankaya bireysel muafiyetin verilmesi, rekabetin geliştirilmesini hedefleyen ve “açık bankacılık” olarak tabir edilen bu uygulamanın amacının ötesinde mezkur bankaya, rekabet açısından diğer rakipleri ile kıyaslandığında önemli bir avantaj sağlanmış olunacağı kanaatindeyiz. Kanun’un 5. maddesinin gerekçesinde de ifade olunduğu üzere; “Herşeyden önce rekabeti sınırlayıcı anlaşmanın veya uyumlu davranışın ya da teşebbüs birliği kararlarının, ekonomi üzerinde olumlu etkiler doğurması gerektiği ve bu yararlı etkilerin tüketiciye yansımayarak sadece firma karları olarak kalması halinde muafiyetin uygulanmaması gerektiği” hükmü açıktır. Bu mülahazalar çerçevesinde uygulamaya, koşullu da olsa “bireysel muafiyet” tanınmasının mümkün olmayacağı değerlendirmesiyle çoğunluk görüşüne katılmamaktayız.

Ahmet ALGAN Arslan NARİN

Kurul Üyesi İkinci Başkan