Sigorta sektörüne yönelik ödeme yapılacak kart numarasının ilk altı ve son dört hanesi ve kart sahibinin T.C.

Rekabet Kurumu Başkanlığından,

REKABET KURULU KARARI

A. TOPLANTIYA KATILAN ÜYELER

Başkan: Birol KÜLE (Başkan)

Üyeler: Arslan NARİN (İkinci Başkan), Şükran KODALAK,

Ahmet ALGAN, Hasan Hüseyin ÜNLÜ, Ayşe ERGEZEN

B. RAPORTÖRLER: Buket ARI, Cüneyd DAL, Nezir Furkan KIRAN, Barış BİRCAN,

Burçin GÜLEŞ

C. BİLDİRİMDE

BULUNAN: - Sigorta Bilgi ve Gözetim Merkezi

Temsilcisi: Av. Dr. Oğuzkan GÜZEL

Mustafa Kemal Mah. 2110. Sok. No:17

06530 Çankaya/Ankara

(1) D. DOSYA KONUSU: Sigorta sektörüne yönelik ödeme yapılacak kart numarasının ilk altı ve son dört hanesi ve kart sahibinin T.C. kimlik numarası bilgileri ile ödeme işlemi gerçekleştirilmesini sağlayan ödeme yöntemi uygulamasına menfi tespit verilmesi veya bireysel muafiyet tanınması talebi.

(2) E. DOSYA EVRELERİ: Rekabet Kurumu (Kurum) kayıtlarına 23.01.2020 tarih ve 730 sayı ile intikal eden ve Sigorta Bilgi ve Gözetim Merkezi (SBM) tarafından yapılan başvuru ile sigorta sektörüne yönelik banka veya kredi kartı numarasının ilk altı ve son dört hanesi ve kart sahibinin T.C. kimlik numarası bilgileri ile ödeme işlemi gerçekleştirilmesini sağlayan, SBM tarafından yürütülecek bir ödeme yöntemi kurulmasını amaçlayan uygulamaya menfi tespit belgesi verilmesi veya bireysel muafiyet tanınması talep edilmiştir.

(3) 28.09.2020 tarih ve 10356 sayılı yazı ile eksiklikleri tamamlanan bildirim üzerine düzenlenen 21.12.2020 tarih ve 2020-4-007/MM sayılı rapor görüşülerek karara bağlanmıştır.

(4) F. RAPORTÖRLERİN GÖRÜŞÜ: İlgili raporda;

- Ödeme yapılacak kartın ilk altı ve son dört hanesi ile birlikte kart sahibinin T.C.

kimlik numarası ile ödeme alınmasını sağlayan sigorta sektörüne yönelik

geliştirilmiş alt yapı dâhilinde not-on-us işlemlerde tüketicilerden açık kart bilgisi

talep edilmeden açık kart bilgisinin bankalar arasında paylaşılarak ödeme

alınabilmesine yönelik işbirliğini oluşturan uygulamanın 4054 sayılı Kanun’un 4.

maddesi kapsamında olduğu ve anılan uygulamaya menfi tespit belgesi

verilemeyeceği,

- Söz konusu uygulamanın 2002/2 sayılı Dikey Anlaşmalara İlişkin Grup Muafiyeti

Tebliği ve başka bir grup muafiyeti tebliği kapsamına girmediği,

- Bununla birlikte söz konusu uygulamanın 4054 sayılı Kanun’un 5. maddesinde yer

alan bireysel muafiyet koşullarını taşıdığı ve piyasalardaki rekabet üzerindeki

etkilerinin takip edilebilmesi amacıyla bu uygulamaya gerekçeli kararın Türkiye

Bankalar Birliğine tebliğinden itibaren üç yıl boyunca bireysel muafiyet

tanınabileceği,

- SBM tarafından bildirilen ve SBM’nin ödeme geçidi hizmeti sunmasının

öngörüldüğü iş akışına dayalı uygulamaya ise muafiyet tanınamayacağı

sonuç ve kanaatine ulaşıldığı ifade edilmiştir.

G. İNCELEME VE DEĞERLENDİRME

(5) Mevcut dosya kapsamında değerlendirilmek üzere; SBM’den Bankalararası Kart Merkezi A.Ş.’den (BKM), Ödeme ve Elektronik Para Derneğinden (ÖDED), Aypara Ödeme Kuruluşu A.Ş.’den (AYPARA), D Ödeme Elektronik Para ve Ödeme Hizmetleri A.Ş.’den (HEPSİPAY), Föy Fatura Ödeme Kuruluşu A.Ş.’den (FÖY), İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş.’den (İYZİCO), Klon Ödeme Kuruluşu A.Ş.’den (PAYBYME), Moka Ödeme Kuruluşu A.Ş.’den (MOKA), Nestpay Ödeme Kuruluşu A.Ş.’den (NESTPAY), Octet Express Ödeme Kuruluşu A.Ş.’den (OCTET), Ödeal Ödeme Kuruluşu A.Ş.’den (ÖDEAL), Paynet Ödeme Hizmetleri A.Ş.’den (PAYNET), PayTR Ödeme Hizmetleri A.Ş.’den (PAYTR), Paytrek Ödeme Kuruluşu A.Ş.’den (PAYTREK), Payu Ödeme Kuruluşu A.Ş.’den (PAYU), Trend Ödeme Kuruluşu A.Ş.’den (PAYGURU), Wirecard Ödeme ve Elektronik Para Hizmetleri A.Ş.’den (WIRECARD), Turkcell Ödeme ve Elektronik Para Hizmetleri A.Ş.’den (PAYCELL), Net Satış İletişim ve Danışmanlık Ticaret A.Ş.’den (NET SATIŞ), Akbank T.A.Ş.’den (AKBANK), T.C. Ziraat Bankası A.Ş.’den (ZİRAAT), Türkiye Garanti Bankası A.Ş.’den (GARANTİ), Denizbank A.Ş.’den (DENİZBANK), QNB Finansbank A.Ş.’den (QNB), Yapı ve Kredi Bankası A.Ş.’den (YAPIKREDİ) Türkiye İş Bankası A.Ş.’den (İŞBANKASI), ING Bank A.Ş.’den (ING), Türkiye Halk Bankası A.Ş.’den (HALKBANK), Türkiye Vakıflar Bankası T.A.O.’dan (VAKIFBANK), Aksigorta A.Ş.’den (AKSİGORTA), Allianz Sigorta A.Ş.’den (ALLİANZ), Anadolu Anonim Türk Sigorta A.Ş.’den (ANADOLU), Axa Sigorta A.Ş.’den (AXA), HDI Sigorta A.Ş.’den (HDI), Sompo Japan Sigorta A.Ş.’den (SOMPO), Gulf Sigorta A.Ş.’den (GULF), Ziraat Sigorta A.Ş.’den (ZİRAAT SİGORTA), Güneş Sigorta A.Ş.’den (GÜNEŞ), Halk Sigorta A.Ş.’den (HALK SİGORTA), Türkiye Cumhuriyet Merkez Bankasından (TCMB) Garanti Ödeme Sistemleri A.Ş.’den (GÖSAŞ), Bankacılık Düzenleme ve Denetleme Kurumundan (BDDK), Türkiye Bankalar Birliğinden (TBB), istenen bilgi ve belge talebine istinaden gelen cevabi yazılar Kurum kayıtlarına intikal etmiştir.

(6) Ayrıca T.C. Hazine ve Maliye Bakanlığından (Bakanlık) istenen bilgi ve belge talebine istinaden Sigortacılık ve Özel Emeklilik Düzenleme ve Denetleme Kurumu (SDDK) tarafından gönderilen cevabi yazılar Kurum kayıtlarına intikal etmiştir.

(7) Öte yandan dosya kapsamında, İYZİCO, NET SATIŞ, ÖDEAL, PAYCELL ve İnnova Bilişim Çözümleri A.Ş., ve PAYTEN ile görüşmeler yapılmıştır.

G.1. Taraflar

G.1.1. Sigorta Bilgi ve Gözetim Merkezi (SBM)

(8) SBM, 16.12.2003 tarihli ve 25318 sayılı Resmî Gazete’de yayımlanan Trafik Sigortası Bilgi Merkez i Yönetmeliği ile “TRAMER” adıyla kurulmuştur. 09.08.2008 tarih ve 26962 sayılı Resmi Gazete’de yayımlanan Sigorta Bilgi ve Gözetim Merkezi Yönetmeliği ile adı Sigorta Bilgi Merkezi olarak kabul edilmiş; 03.12.2011 tarihli ve 28131 sayılı Resmî

Gazete’de y ayımlanan yönetmelik değişikliği ile unvanı Sigorta Bilgi ve Gözetim Merkezi olarak değiştirilmiştir. SBM, 5684 sayılı Sigortacılık Kanunu’nun (5684 sayılı Kanun) 31/B maddesi uyarınca; sigortalılar ve sigorta sözleşmesinden dolaylı da olsa menfaat sağlayanlara ilişkin olarak, yanlış sigorta uygula maları dâhil, risk değerlendirmesine esas bilgileri toplamak ve bu bilgilerin sigorta, reasürans ve sigortacılık faaliyetinde bulunan emeklilik şirketleri ile Bakanlık tarafından belirlenecek kişilerle paylaşılmasını sağlamak amacıyla Türkiye Sigorta, Reas ürans ve Emeklilik Şirketleri Birliği (TSB) nezdinde faaliyet gösteren tüzel kişiliği haiz bir kuruluştur. İlgili maddede bahse konu sigorta şirketlerinin SBM’ye üye olmalarının zorunlu olduğu ve SBM tarafından istenen her türlü bilgiyi vermekle yükümlü ol dukları hüküm altına alınmıştır. Ayrıca, kuruluş amaçları doğrultusunda SBM, özel hukuk tüzel kişileri ile kamu kurum ve kuruluşlarından, kamu kurumu niteliğinde meslek kuruluşları ve bunların üst kuruluşlarından, ilgili mevzuatla kurulmuş diğer bilgi merk ezlerinden bilgi talep etmeye ve bunlarla Bakanlık’ın uygun görüşüne istinaden bilgi alışverişine yönelik sözleşmeler imzalamaya da yetkili kılınmıştır. Söz konusu kurum ve kuruluşlar SBM tarafından talep edilen bilgileri vermekle yükümlüdür. SBM’nin denet iminin Bakanlıkça yapıldığı ve SBM’nin kendi yönetimi tarafından temsil edildiği yine anılan maddenin devamında belirtilmiştir. İlgili madde kapsamında SBM’nin bütün işlem ve kayıtları gizli olup, SBM topladığı her türlü bilgiyi Bakanlı ğa istenen biçim ve sürede vermekle mükelleftir.

(9) 09.08.2008 tarih ve 26962 sayılı Resmi Gazete’de yayımlanarak yürürlüğe giren Sigorta Bilgi ve Gözetim Merkezi Yönetmeliği’nin (Yönetmelik) 6. maddesinde SBM’nin karar organının Yönetim Komitesi olduğu; Yönetim Komitesi’nin TSB’ye üye sigorta ve emeklilik şirketlerinin genel müdür niteliğini haiz personeli arasından Hayat Dışı Yönetim Komitesi ile Hayat ve Emeklilik Yönetim Komitesince seçilecek birer üye, Bakanlıkça belirlenecek iki üye ve Merkez müdürü olmak üzere toplam beş ü yeden oluşacağı; üyelerin üç yıl süreyle görev yapacakları ve üye tam sayısının yarıdan bir fazlasıyla toplanıp karar alınacağı düzenlenmektedir.

(10) İlgili Yönetmelik uyarınca SBM nezdinde faaliyet göstermek üzere; sigorta branşında güvenilir istatistikler üretmek, uygulama birliği sağlamak, kamu gözetim ve denetiminin daha etkin bir şekilde yerine getirilmesi, sigorta sistemine olan güvenin artırılması vb. amaçlar ile Trafik Sigortaları Bilgi ve Gözetim Merkezi (TRAMER), Sağlık Sigortaları Bilgi ve Gözetim Merkezi (SAGMER), Hayat Sigortaları Bilgi ve Gözetim Merkezi (HAYMER) ve Sigorta Hasar Takip ve Gözetim Sistemi’nden (HATMER) oluşan alt bilgi merkezleri kurulmuştur. SBM tarafından elde edilecek verilerin toplulaştırılmak suretiyle ve Bakanlığın onayıyla yayımlanabileceği düzenlenmiştir. Bunun yanı sıra, anılan Yönetmelik’in 18. maddesinin ilk fıkrasında, SBM’nin görev ve yetki alanı çerçevesinde Bakanlık tarafından talep edilecek her türlü uygulama ve çalışmanın ayrıca bir işleme gerek olmaksızın münhasıran Bakanlıkça belirlenecek usul ve esaslar çerçevesinde SBM tarafından yerine getirileceği ve bunun için gerekli sistemlerin kurulacağı düzenlenmiştir. Aynı maddenin üçüncü fıkrasında ise, SBM’nin sigortacılık sektörünün ortak veri tabanı olarak faaliyette bulunacağı öngörülmüştür.

(11) Üyelerin bilgi verme yükümlülüğünün düzenlendiği Yönetmelik’in 23. maddesinde ise aşağıdaki hususlara yer verilmiştir:

“(1) Üye sigorta şirketleri, Merkez tarafından kendilerinden istenen tüm bilgileri, doğru ve eksiksiz olarak, belirlenen şekilde ve sürelerde Merkeze iletmekle yükümlüdür.

(2) Üye sigorta şirketleri, zorunlu sigortalar, zorunlu trafik sigortası, zorunlu taşımacılık sigortası ve zorunlu ferdi kaza sigortası sözleşmelerine ait poliçe bilgileri ile güncellenmiş ve günlük muallâk ve ödenmiş hasarlara ve kaza tutanaklarına ilişkin bilgileri Merkez tarafından hazırlanarak Müsteşarlık tarafından onaylanan veri yapısında ve en çok bir günlük gecikmeyle Merkeze iletmek zorundadır.

(3) Üye sigorta şirketleri, Yönetim Komitesi kararı üzerine ihtiyari trafik sigortası, kasko sigortası ve Birlik görüşü alınmak üzere Müsteşarlıkça belirlenen sigorta sözleşmelerine ait içeriği ve veri yapısı Birlik tarafından belirlenen poliçe bilgileri ile güncellenmiş ve günlük muallâk ve ödenmiş hasar verilerini en çok bir günlük gecikmeyle Merkeze iletme zorundadır.

(4) Üye sigorta şirketleri, Merkez tarafından, hatalı olarak gönderildiği tespit edilen bilgileri gecikmeksizin düzeltmek ve düzeltme kayıtlarını en çok bir günlük gecikmeyle Merkeze iletmek zorundadır.

(5) Üye sigorta şirketlerinin bilgi verme yükümlülüklerini yerine getirmemesi durumunda Müsteşarlık gerekli tedbirleri alır.”

(12) SBM bünyesinde toplanan verilere erişim bakımından, Yönetmelik’in “Bilgi kayıtlarına

erişim” başlıklı 24. maddesinde ise şu hususlar yer almaktadır:

“(1) Sigortalılara, taraf oldukları sigorta sözleşmeleri ile ilgili özet sigorta ve hasar bilgilerine internet ortamında erişim sağlanır.

(2) Münhasıran çalışma konuları ile ilgili olmak üzere Merkez nezdinde tutulan bilgilere dışarıdan erişim tanınacak yetkili kullanıcılar ve erişebilecekleri kayıtların içeriği ile erişim şekli Müsteşarlıkça belirlenir.

(3) Kurallara uymayan yetkili kullanıcıların sisteme erişimleri ve bilgi kayıtlarından yararlanmaları, Müsteşarlığın onayına tabi olmak üzere ilgili Yönetim Komitesi kararıyla sınırlandırılır. Bu durumun süreklilik göstermesi halinde, bu kişilerin sisteme erişim ve bilgi kayıtlarından yararlanma yetkileri Müsteşarlığın onayına tabi olmak üzere Yönetim Komitesi kararıyla kaldırılır.

(4) Merkez nezdinde tutulan bilgileri talep eden yetkili kullanıcılar dışındaki diğer isteklilerin talepleri Yönetim Komitesi tarafından karara bağlanır. Bu fıkra kapsamında verilecek bilgilerin içeriği Müsteşarlık tarafından belirlenir.

(5) Yönetim Komitesi, yetkili kullanıcılar dışındaki diğer isteklilerin sahip oldukları bilgileri belirlenen amaç doğrultusunda kullanmalarını teminen gerekli tedbirleri alır. (6) İkinci ve dördüncü fıkralar kapsamında tanınacak erişimin ve/veya verilecek bilgilerin ücretinin belirlenmesine veya ücretsiz olarak sağlanmasına Yönetim Komitesince karar verilir…”

(13) SBM’nin görevlerini yerine getirmek üzere yapacağı giderlerin üye sigorta şirketlerinin

üyelik katkı paylarından, yatırım gelirlerinden, kendisinin sunduğu hizmetler karşılığı

elde ettiği gelirlerden ve diğer gelirlerden karşılanacağı Yönetmelik’te hüküm altına

alınmıştır.

G.2. İlgili Sektöre ve Mevzuata İlişkin Bilgi

(14) Ödeme hizmetlerinin yürütüldüğü pazar genel olarak, ekonomik birimler arasında mal ve hizmetlerin değişimini kolaylaştıran araçları, yasal düzenleme ve standartları, kurumsal ve örgütsel çatıyı, işletim süreçlerini ve haberleşme ağını içermektedir. Bu hizmetler vasıtasıyla, çok sayıda ve karmaşık bir yapıda olan bankalar arası para gönderme işlemlerinin hatasız ve hızlı bir şekilde yapılması temin edilmektedir.

(15) Ödeme hizmetleri pazarına yönelik ülkemizde yürürlüğe giren ilk detaylı düzenleme olarak 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun (6493 sayılı Kanun) gösterilebilecektir. Bu düzenlemenin oluşturulmasında, Avrupa Birliği’nde (AB) 2007 yılında yürürlüğe giren ve pazarda yer alan banka dışı ödeme hizmeti sağlayıcısı kuruluşların tanımlanmasıyla yeni oyuncuların faaliyet göstermesinin hukuki alt yapısının oluşturulduğu 2007/64/EC sayılı Ödeme Hizmetleri Direktifi’nin (Payment Services Directive, PSD1) esas alındığı görülmektedir. 6493 sayılı Kanun’un genel gerekçesinde, yapılan düzenlemelerle yaygınlaşan ödeme araçlarına ilişkin hukuksal yapının oluşturulması amaçlanmıştır. Ayrıca Kanun ile ödeme sistemleri ve hizmetleri alanında faaliyet gösteren taraflar arasındaki ilişkilerin ve bu ilişkilerde kullanılan terimlerin tanımlarının yasal bir düzenlemede yer alması yönündeki ihtiyacın giderilmesi gözetilmiştir.

(16) 6493 sayılı Kanun’un gerekçesinde yer verilen bir başka husus, ödeme hizmetleri pazarındaki yerleşik finansal kuruluşlar dışındaki teşebbüslerin sektörde faaliyet göstermesinin sağlanmasının özellikle rekabetin artması, hizmet kalitesinin yükselmesi ve tüketiciler açısından maliyetlerin düşmesi noktasında önem arz etmesidir. Nitekim ödeme hizmetlerinin sunulmasında yerleşik finansal kuruluşların yanında finansal teknoloji (FinTek) şirketlerinin de hız kazanan bir biçimde rol oynadığı görülmektedir. Avrupa Parlamentosunun tespitlerine göre bu durumun oluşmasında özellikle; yerleşik finansal kuruluşların ödeme hizmetlerine yönelik hizmetleri dış kaynak kullanımı ile yürütme eğiliminde olması, ödeme alışkanlıklarının hatırı sayılır biçimde değişmesi sebebiyle yeni ödeme şekillerine ihtiyaç duyulması ve son yıllardaki teknolojik gelişmelerin ödeme hizmetlerinde kullanılmaya oldukça elverişli olması gibi hususlar yatmaktadır [1].

(17) 6493 sayılı Kanun, pazar adına önem taşıyan temel kavramları da tanımlamaktadır. Örneğin, ödeme sistemi ““üç veya daha fazla katılımcı arasındaki transfer emirlerinden kaynaklanan fon aktarımlarının gerçekleştirilmesini sağlamak amacıyla yapılan takas ve mutabakat işlemleri için gerekli alt yapıyı sunan ve ortak kuralları olan yapı” şeklinde tanımlanmaktadır. Ödeme sistemleri adına önem taşıyan takas ve mutabakat kavramlarına madde metninde yer verildiği görülmektedir. 6493 sayılı Kanun’un tanımlara ilişkin 3. maddesinde mutabakat “İki ya da daha fazla taraf arasındaki fon ya da menkul kıymet aktarımından kaynaklanan yükümlülüklerin yerine getirilmesi” olarak tanımlanırken; takas “Sisteme gönderilen transfer emirlerinin aktarımı, bu emirlerin karşılıklı olarak iletilmesine ve mutabakat öncesi provizyon alındığı durumlarda provizyon alınmasına aracılık edilmesi ve bazı durumlarda bu emirlerin netleştirilmesi 1 https://www.europarl.europa.eu/RegData/etudes/STUD/2018/619027/IPOL_STU(2018)619027_EN.p df, s. 56.

işlemleri” olarak tanımlanmaktadır. Ödeme hizmeti ise “Gönderen tarafından ödeme işleminin yapılmasına ilişkin onayın bir bilişim veya elektronik haberleşme cihazı aracılığıyla verildiği ve ödemenin ödeme hizmeti kullanıcısı ile mal veya hizmet sağlayan arasında sadece aracı olarak faaliyet gösteren bir bilişim veya elektronik haberleşme işletmecisine yapıldığı ödeme işlemi” olarak tanımlanmaktadır.

(18) 6493 sayılı Kanun’da ödeme hizmeti sağlama yetkisi yalnızca ödeme hizmeti sağlayıcılarına tanındığından hangi teşebbüslerin ödeme hizmeti sağlayıcısı olarak kabul edileceği de düzenlenmiştir. Bu kapsamda Kanun’da, bankalar dışında ödeme hizmeti sağlayıcı olarak, e-para kuruluşlarına ve ödeme kuruluşlarına yer verilmektedir. Kanun’da ödeme kuruluşu, ödeme hizmeti sağlamak ve gerçekleştirmek için kanun kapsamında yetkilendirilmiş tüzel kişi olarak tanımlanmaktayken e-para kuruluşu, kanun kapsamında elektronik para ihraç etme yetkisi verilen tüzel kişi şeklinde tanımlanmaktadır.

(19) Bununla birlikte 6493 sayılı Kanun’un 12. maddesinin ikinci fıkrasının “ğ” bendine göre “Teknik hizmet sağlayanların sunduğu, ödeme hizmetlerinde provizyon işlemlerinin yapılmasını destekleyen, verinin işlenmesi, saklanması, güvenliğinin sağlanması, gizliliğinin korunması ve doğrulanması ile bilgi teknolojisi, iletişim ağı ve ödeme hizmetleri için kullanılan araçların tedarik ve bakımını kapsayan, teknik hizmet sağlayanların işlemin herhangi bir anında transfer edilen fonun sahibi olmadığı hizmetler” ödeme hizmeti olarak değerlendirilmemektedir.

(20) Bu kapsamda mevcut dosya açısından önem taşıdığı görülen ödeme geçidi (payment gateway) hizmeti ile internet tabanlı ödemelerde tüketicilerin kredi kartına dair bilgilerin, güvenli bir şekilde işyerinden ilgili bankaya ulaşması sağlanmaktadır.

(21) Ödeme geçidi ara birimleri işyerleri tarafından sağlanan yazılımın banka sistemi ile entegre edilmesi ile kurulabilir. Bankalar tarafından test edilecek bu sistemin ödeme geçidi sistemine uygun olup olmadığı, yine banka tarafından onaylanır. Banka yeterli koşulları sağlamayan yazılımları kullanan siteye ödeme geçidi tahsis etmeyebilir. Ödeme geçidi hizmetinin bankaların ödeme sistemleri ile entegre olabilmek için karşılaması gereken yüksek standartlarda yazılım, güvenlik ve erişilebilirlik gerekleri nedeniy le online alışveriş platformlarında söz konusu ödeme geçidi hizmeti ödeme hizmetleri sunan üçüncü kişilerden satın alınmaktadır [2]. Bu üçüncü kişi sağlayıcılar, birden çok banka ile entegre olmak suretiyle işyerinin tek bir ödeme geçidi kullanarak birden çok kabulcü bankanın sanal POS’uyla işlem yapma imkanını sağlamaktadır.

(22) Bu anlamda ödeme geçidinde hizmet sağlayıcılar, işyeri adına ödemelerde bankalarla entegrasyonu sağlayan üçüncü taraf kuruluşlar konumundadır. Anılan sağlayıcılar kendi üzerlerinde herhangi bir fon tutmamakta ve bu yönüyle 6493 sayılı Kanun kapsamında yürüttükleri faaliyet ödeme hizmeti faaliyeti olarak değerlendirilmemekte ve ayrıca salt ödeme geçidi hizmeti sunan kuruluşlar ödeme kuruluşu olarak nitelendirilmemektedir. Fakat dosya kapsamında elde edilen bilgilerden ödeme geçidi hizmeti sunan teşebbüslerin genel olarak çeşitli ödeme hizmetlerini de sunduğu ve 6493 sayılı Kanun kapsamında yetkilendirildiği görülmektedir.

(23) Yine aynı teşebbüslerce sunulan ve dosya açısından önem taşıyan diğer bir hizmet ise

[2] https://eticaretsozlugu.kobisi.com/odeme-gecidi-nedir/ (Erişim tarihi: 06.11.2020)

kart verisi saklama hizmetidir. Bu hizmet, tekrarlayan ödeme alan teşebbüslerin tahsil edecekleri ödemelerde kullanılacak kart bilgilerinin çeşitli güvenlik standartları altında üçüncü taraf hizmet sağlayıcılarınca saklanması ve ödeme işlemi sırasında kullanılmak üzere erişime hazır tutulması faaliyetlerini içermektedir [3].

(24) Bu noktada, “Banka Kartları ve Kredi Kartları Hakkında Yönetmelik”te de kendisine yer bulan Ödeme Kartı Endüstrisi Veri Güvenliği Standardına (Payment Card Industry Data Security Standard) yer verilmesi gerekmektedir. Veri güvenliğine ilişkin bu standart, kredi kartının işlenmesi, iletilmesi ve saklanması aşamalarında uyulması gereken mantıksal ve fiziksel bilgi güvenliği kurallarını tanımlamaktadır. Bu kurallar; VISA, Mastercard, American Express, JCB, Discover gibi şirketlerin oluşturduğu konseyin (PCI Security Standard Council) kart bilgisi ileten, işleyen, saklayan tüm kurumların uymasını beklediği bilgi güvenliği standardı olup, ülkemizde de kart bilgisi ileten, işleyen, saklayan tüm teşebbüslerin bu kurallara uyması beklenmektedir.

(25) Yukarıda anılan hükümler çerçevesinde 2019 yılının sonuna kadar 6493 sayılı Kanun kapsamında ödeme kuruluşları ve elektronik para kuruluşlarının faaliyetlerine yönelik düzenleme ve denetleme yetkisi BDDK’ya tanınmıştır. Fakat 7192 sayılı “Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun” ile birlikte bu yetkilerin çok büyük bir kısmı TCMB’ye devredilmiştir. TCMB, gerekli düzenlemeleri yapmaya yetkili kılınmış ve ödeme hizmetleri alanında faaliyette bulunmak isteyen ödeme kuruluşlarının TCMB’den izin alması gerektiği düzenlenmiştir. Ayrıca TCMB’nin ödeme sistemleri üzerinde çeşitli gözetim ve denetim yetkilerinin düzenlendiği görülmektedir.

(26) 2019 yılında gerçekleşen söz konusu kanun değişikliğiyle ödeme hizmeti sayılacak hizmetlerin kapsamı da genişletilmiş, örneğin toplam büyüklük veya etki alanı açısından TCMB tarafından belirlenecek seviyeye ulaşan diğer işlemlerin ve hizmetlerin de ödeme hizmeti sayılacağı düzenlenmiştir. Benzer şekilde “ödeme emri başlatma hizmeti” ve “hesap bilgileri sağlama hizmeti” gibi açık bankacılık kapsamında sayılan hizmetler de ödeme hizmeti sayılmış ve AB’de uygulanan 2015/2366 sayılı Ödeme Hizmetleri Direktifi (PSD2) ile uyum noktasında ilerleme kaydedilmiştir.

(27) Ödeme hizmetleri pazarını doğrudan ilgilendiren bazı hususlara çeşitli kurumların hazırladığı stratejik planlar içerisinde de çokça yer verilmekte ve özellikle FinTek şirketlerinin piyasada varlığını sürdürmesindeki fayda vurgulanmaktadır. Örneğin; T.C. Cumhurbaşkanlığı Strateji ve Bütçe Başkanlığı tarafından hazırlanan “On Birinci Kalkınma Planı” kapsamında açık bankacılığa ilişkin hukuki alt yapıyı güçlendirmek amacıyla PSD2 ile mevzuat uyumu sağlanacağı ve uluslararası iyi uygulamalardan yararlanılarak teşebbüslere fırsat eşitliği sağlayan, güvenli bir FinTek ekosisteminin oluşumunun destekleneceği ifade edilmektedir [4]. Benzer şekilde Bakanlık tarafından yayımlanan “Yeni Ekonomi Programı 2021-2023” kapsamında da FinTek uygulamalarına yönelik kapsamlı bir strateji dokümanı ve eylem planı hazırlanacağı

[3] DAL, C. (2020), Rekabet Hukuku Perspektifinden Finans Sektöründeki Yıkıcı İnovasyon ve Finansal Teknolojiler, Rekabet Kurumu Uzmanlık Tezi, Ankara.

[4] https://www.sbb.gov.tr/wp-content/uploads/2019/07/OnbirinciKalkinmaPlani.pdf (Erişim Tarihi: 28.10.2020)

belirtilmektedir [5].

(28) Ödeme hizmetlerine ilişkin faaliyetler son dönemlerde Kurul kararlarına da sıkça konu olmuştur. Kurulun 12.06.2018 tarih ve 18-19/337-167 sayılı Kart Saklama II kararında, BKM bünyesinde sunulan kart verisi saklama hizmetine yönelik muafiyet talebi değerlendirilmektedir. Anılan karar öncesinde Kurulun 23.03.2017 tarihli ve 17-11/134- 61 sayılı kararı ile uygulamaya bir yıl süreyle tanınan muafiyetin süresi 23.03.2018 tarihinde dolmuş ve Kart Saklama II kararı ile BKM tarafından yeniden yapılan muafiyet başvurusuna muafiyet tanınmayarak hizmetin sonlandırılmasına hükmedilmiştir. Karar kapsamında dikkat çeken ilk değerlendirme, esasen teşebbüsün etkinlik kazanımı olarak ifade ettiği hususların ve tüketici yararına fayda sağlayacak özelliklerin genel anlamda bankaların münhasıran BKM’ye sağlamış olduğu alt yapıdan doğduğu ve bankaların benzer şekilde diğer kart verisi saklama kuruluşlarına da alt yapı hizmeti vermesi halinde öne sürülen etkinlik kazanımlarının elde edilmesinin mümkün olacağı yönündedir. Diğer bir deyişle, kararın alındığı tarihteki hissedarlık yapısı nedeniyle rakip bankaların bir araya gelerek oluşturduğu bir teşebbüs birliği olan BKM’nin başvuru konusu uygulamasında; kart hâmilinin, işyeri ile kart numarasının tamamı yerine sadece ilk altı ve son dört hanesini paylaşmasının yeterli olması ve saklanan kartın son kullanma tarihinin otomatik güncellenmesi gibi özelliklerin, bankaların FinTek şirketleri ile kurmaktan kaçınıp BKM ile kurduğu münhasır entegrasyondan kaynaklandığı ifade edilmektedir. Bu tespitler dolayısıyla Kurul, anılan uygulamanın 4054 sayılı Kanun’un 5. maddesinin birinci fıkrasının (a) ve (b) bentlerinde yer alan koşulların sağlanmadığına ve pazarda dışlayıcı etki oluşturduğuna hükmetmiştir. Özetle Kurul, uygulamanın katma değer yaratan yanlarını, rekabet karşıtı etkileriyle olan illiyet bağı çerçevesinde incelemiştir.

(29) Karar içerisinde ayrıca bahse konu entegrasyonun, kart saklama hizmeti sunan diğer teşebbüslere bankalar tarafından sağlanmadığı ifade edilerek bu durumun pazardaki rekabeti olumsuz etkilediğine vurgu yapılmıştır. Kurul, bu noktada farklı hizmetler adına bankaların rakibi konumunda bulunan ödeme kuruluşlarının çeşitli pazarlardaki faaliyetlerinin de zorlaşacağını belirterek, kart saklama hizmetinin bağlantılı olduğu diğer faaliyetleri de nazara aldığını göstermektedir. Rekabetin zorunlu olandan fazla sınırlanmaması koşuluna ilişkin olarak Kurul, başvuru konusu hizmetin BKM tarafından sunuluyor oluşunun BKM ile ödeme kuruluşları arasındaki ve bankalar ile ödeme kuruluşları arasındaki rekabeti doğrudan etkilediğini ifade ederek pazardaki rekabetin zarar gördüğünü değerlendirmiştir.

(30) Kurul, Bonus kararı kapsamında ise GARANTİ’nin, "Bonus Kredi Kartı Programı" çerçevesinde gerçekleştirdiği uygulama ve eylemler ile aynı piyasada faaliyet gösteren ödeme kuruluşları aleyhine rekabeti kısıtlayarak 4054 sayılı Kanunun 4. ve 6. maddelerini ihlal ettiği iddialarını incelemiştir [6]. Bu çerçevede özellikle “Bonus program ortaklığı” kapsamında imzalanan sözleşmelerde yer alan, taraf bankalara Bonus kredi kartı programı, bunun parçaları ve uygulamaları ile ilgili alt lisanslama yasağı getiren hükümler değerlendirmeye konu edilmiştir. Zira bu alt lisanslama yasağı ödeme kuruluşlarının faaliyetleri üzerinde doğrudan etki yaratmaktadır. Şöyle ki, Kurul, ödeme 5 https://www.sbb.gov.tr/wp-content/uploads/2020/09/YeniEkonomiProgram%C4%B1_OVP_2021- 2023.pdf (Erişim Tarihi: 28.10.2020)

6 Kurulun 07.09.2017 tarihli ve 17-28/462-201 sayılı kararı

kuruluşlarının üye işyerlerine tek çekim satışlarının yanı sıra taksitli satışlarda da aracılık rolü üstlendiğini, bu teşebbüslerin taksitli satışlara aracılık edebilmesi için Bonus, Axess, World vb. kredi kartı platformlarındaki bankaların alt yapısına erişim sağlamasının gerektiğini dikkate alarak anılan sözleşmelerin 4054 sayılı Kanun’un 4. maddesi kapsamında olduğunu ifade etmiştir. Diğer bir deyişle anılan sözleşmelerin uygulandığı durumda, ödeme kuruluşları üye işyerlerine Bonus marka kredi kartları özelinde taksitli satış opsiyonu sunamamakta ve dolayısıyla üye işyerleriyle anlaşma şansını yitirerek pazardan dışlanma riskiyle karşı karşıya kalmaktadır.

(31) Kurul, Bonus kararı kapsamında yaptığı muafiyet incelemesinde öncelikle Bonus kredi kartı program paylaşımı sözleşmeleri ile doğacak etkinlik kazanımlarına değinmektedir. Kurul, lisans sözleşmeleri kapsamında lisans alan bankaların, çok markalı kredi kartlarına yönelik üye işyeri edinme pazarında yeni bir üye işyeri ağı oluşturmaya gerek kalmaksızın platform bankalarının oluşturduğu mevcut üye işyeri ağında ihraç ettiği kartları kullandırabileceğini ifade etmektedir. Bu uygulama vasıtasıyla anılan marka kredi kartlarının kullanılabileceği üye işyerlerinin sayısının artmasıyla kart sahiplerinin birçok fayda sağlayabileceği de ifade edilmiştir. Buna karşılık Kurul, tüketicilere sağladığı önemli faydaların yanında alt lisans verme yasağı nedeniyle ödeme kuruluşlarının üye işyeri edinme pazarından dışlanması durumunda tüketici refahında yaşanacak azalma dolayısıyla tüketici faydasına yönelik koşulun karşılanmadığına karar vermiştir. Ayrıca kredi kartı program paylaşımı sözleşmelerinde yer alan alt lisans verme yasağı nedeniyle ödeme kuruluşlarının üye işyeri edinme pazarından dışlanması olasılığı vurgulanarak piyasanın önemli bir bölümünde rekabetin ortadan kalkmamasına yönelik koşulun da sağlanmadığı belirtilmiştir. Muafiyetin son koşuluna ilişkin olarak ise teşebbüsün ileri sürdüğü marka imajının korunması, dolandırıcılık gibi olayların önüne geçilmesi ve kalite standartlarının devamlılığının sağlanması gibi gerekçelerin alt lisanslama yasağıyla doğrudan bağlantılı olmadığı saptanarak rekabetin zorunlu olandan fazla sınırlanmaması koşulunun karşılanmadığı değerlendirilmiştir.

(32) Kurul, sonuç olarak tarafça ileri sürülen marka imajına zarar verebilecek dolandırıcılık, suiistimal vb. olayların önüne geçilmesi ve Bonus programının kalite standartlarının korunması gibi savunmaların, ödeme kuruluşlarının üye işyeri edinme pazarında faaliyette bulunabilmesini zorlaştıracak nitelikteki alt lisanslama yasaklarını kabul edilebilir kılmadığını ifade ederek, anılan yasaklayıcı hükümlerin kaldırılması şartıyla sözleşmelere muafiyet tanınacağına hükmetmiştir.

G.3. İlgili Pazar

(33) Dosya konusu uygulama ile sigorta şirketlerinin tahsil edecekleri ödemeler sırasında, ödeme için kullanılacak kart bilgilerinin yalnızca bir kısmı ile ödeme alan kuruluşun işlem yapabilmesi sağlanmaktadır. Bu çerçevede başvuru konusu uygulamanın genel anlamıyla “ödeme hizmetleri pazarı” kapsamında yer aldığı söylenebilecektir. Her ne kadar anılan hizmet pazara sunulan yeni bir hizmet modeli niteliğinde olsa da bildirime konu uygulamanın doğurduğu güvenli ödeme fonksiyonuna benzer fonksiyonlara sahip hizmetler, hâlihazırda bankalar, ödeme kuruluşları ve yazılım şirketleri gibi farklı teşebbüslerce müşterilere sunulmaktadır.

(34) Bildirime konu uygulama adına genel bir pazar tanımı benimsenerek ödeme hizmetleri pazarı ilgili ürün pazarı olarak kabul edilebileceği gibi kart verisi saklama, üye işyeri

edinme/sanal POS hizmetleri gibi faaliyetlere ilişkin birçok alt pazardaki etkileri dolayısıyla farklı pazar tanımları yapılması da mümkündür. Kaldı ki, bildirim konusu işlem dâhilinde SBM tarafından ödeme geçidi hizmeti sunulacak olması da güvenli ödemeye ilişkin iş akışının etkilerinin ödeme hizmeti pazarında yer alan farklı faaliyetler ve oyuncular üzerinde doğması ihtimalini arttırmaktadır. Ayrıca ele alınan ödeme alt yapısı, sigorta sektörüne özel geliştirilmiş bir sistem olmakla birlikte, uygulamanın etkileri sektöre yönelik geliştirilen farklı ödeme hizmetlerine ilişkin rekabet koşulları üzerinde de doğabilecektir. Son olarak, Kurulun Bonus Kararı kapsamında da belirttiği gibi ele alınan hizmetin gelişen teknoloji ile birebir ilişkili olması nedeniyle pazarın nasıl şekilleneceğine yönelik belirsizlikler olması da ilgili pazarın kesin bir şekilde tanımlanmasını zorlaştırmaktadır. Açıklanan nedenlere ek olarak, ilgili ürün pazarı tanımı yapılması ulaşılacak sonucu değiştirmeyeceğinden hareketle, İlgili Pazarın Tanımlanmasına İlişkin Kılavuz’un 20. paragrafında da belirtildiği üzere mevcut dosya kapsamında ilgili pazar tanımı yapılmasına gerek duyulmamıştır.

(35) Öte yandan, her türlü ilgili ürün pazarı tanımında bildirime konu faaliyetin bir sınırlama olmadan ülke genelinde uygulanacak olması ve hizmetten yararlanacak teşebbüslerin ülke çapında faaliyet göstermesi nedeniyle ilgili coğrafi pazar “Türkiye” olarak belirlenmiştir.

G.4. Yapılan Tespitler ve Hukuki Değerlendirme

G.4.1. Bildirime Konu Uygulamaya İlişkin Bilgi

(36) Bildirim Formunda yer alan bilgilerde, dosyaya konu uygulamanın, sigorta sektöründe faaliyet gösteren acente ve sigorta şirketlerinin yararlanabileceği, kullanılan kartlara ait açık kart bilgilerinin acente ve sigorta şirketleri tarafından alınmaksızın sadece kartın ilk altı ve son dört hanesi ile T.C. kimlik numarası alınarak tahsilat yapılmasını amaçlayan ödeme sistemi olduğu ifade edilmektedir.

(37) Başvuruda bahse konu uygulamanın, sigortalılara ait kart bilgilerinin güvenliğini sağlama noktasında sektörde duyulan ihtiyaç sonrasında geliştirildiği ifade edilmektedir. Sektörde gerçekleşen prim tahsilatlarının büyük çoğunluğunun kredi kartları ile gerçekleştirildiği, sektörde tekrarlayan ödemelerin yaygın olduğu, bu nedenle ödeme yapılan kart bilgilerinin güvenliğinin sağlanmasının yanı sıra sunulan hizmetin sekteye uğramaması ve sigorta şirketleri tarafından talep edilmesi halinde bankalar ile ayrı ayrı entegrasyon yapılmasına gerek duymadan tek bir arayüz üzerinden işlemlerin gerçekleştirilebilmesi için bildirime konu uygulamanın tasarlandığı belirtilmektedir.

(38) Sigorta şirketleri ve acentelerin muafiyete konu ödeme sistemini kullanmaları noktasında serbest olacakları, aynı hizmeti sunan başka teşebbüsler ile de çalışabilecekleri beyan edilmektedir. Yine, SBM’nin sunulacak bu hizmet kapsamında kar amacı gütmediği, muafiyete konu uygulamanın maliyetinin ayrı olarak takip edilerek sabit bir fiyatlama yerine kesilen poliçe başına bedel alınacağı ifade edilen hususlardandır.

(39) Bildirim Formunda, BDDK tarafından TSB’ye 21.08.2019 tarih ve 9953 sayı ile gönderilen ve “bankaların sigorta şirketlerine vermiş oldukları sanal POS'ların entegrasyonunda, poliçe bedelinin ödenmesi için müşteri tarafından sunulan hassas kart verisinin mahremiyetine dayalı tahsilat modelinin müşteride yarattığı güven algısının devamını sağlamak üzere, banka ve kredi kartı hassas verisinin işyerleri

sistemlerinde tutulmadan kartın ilk 6, son 4 numarası ve TC kimlik numarası ile ON- US ve NOT ON-US işlem yapabilmesine ilişkin gerekli gelişmelerin 29 Kasım 2019 tarihine kadar tamamlanması için izlenecek maliyet ve zaman efektif yolu belirlemek adına Türkiye Bankalar Birliği koordinasyonunda Türkiye Katılım Bankaları Birliği ve Türkiye Sigorta Birliği ile bir araya gelerek gerekli çalışmaların yürütülmesi” talebini içeren yazı üzerine muafiyete konu uygulamanın geliştirilmesine başlandığı ifade edilmiştir.

(40) BDDK’nın talimatı üzerine, BDDK ve BKM ile yapılan toplantılar sonucunda belirli bir iş modeli üzerinde uzlaşıldığı; bu modelin Hazine ve Maliye Bakanlığı Sigortacılık Genel Müdürlüğüne (Sigortacılık Genel Müdürlüğü) bildirildiği ve 10.01.2020 tarihinde uygunluk yazısının alındığı belirtilmektedir. Buna göre, sektörde gerçekleşen ödeme işlemlerinde 16 numaralı açık kart bilgisi, müşteri adı, son kullanma tarihi ve CVV2 bilgilerine ihtiyaç duyulmadan; ödeme alınan kart numarasının ilk altı son dört hanesi ve kart sahibi T.C. kimlik numarası ile on-us ve not-on-us işlem yapılabilmesi öngörülmektedir. Bu sayede, sigorta şirketleri ve acentelerinde açık kart bilgilerinin işlenmesi ve saklanmasına ihtiyaç duyulmadan ödeme işlemlerinin yapılabileceği ifade edilmektedir. Uygulama sadece sanal POS’ları kapsamakta olup fiziki POS’lardan geçen işlemler uygulamanın kapsamı dışında kalmaktadır.

(41) Muafiyete konu uygulama kapsamında on-us ve not-on-us işlemlerde SBM’nin ödeme geçidi hizmeti verdiği ve bu hizmeti vermediği senaryolar olmak üzere iki farklı teknik akış mevcuttur. Söz konusu akışların işleyiş mekanizmasına aşağıda yer verilmektedir: Şekil 1: SBM’nin Ödeme Geçidi Hizmeti Vermediği On-Us İşlem Akışı

İhraççı ve

Sigorta Kabulcü

Şirketi Banka

(42) Bu ilk akışta, sigorta şirketi ödemenin alınacağı kartın numarasının ilk altı son dört hanesi ve kart sahibinin T.C. kimlik numarası ile tahsilat talebini üye işyeri anlaşması yaptığı sanal POS sağlayıcı bankaya (kabulcü banka) iletir. On-us işlemlerde kartı ihraç eden ile kartı kabul eden banka aynı olduğu için tahsilat talebini alan ilgili banka, bu talebi kendi sisteminde yanıtlayarak talebi gönderen sigorta şirketine onay ya da ret bilgisi verir.

Şekil 2: SBM’nin Ödeme Geçidi Hizmeti Vermediği Not-On-Us İşlem Akışı

Kartın ilk altı son

dört Otorizasyon

hanesi+TCKN+ Otorizasyon

(43) talebi BKM/ talebi

Sigorta işlem bilgileri Kabulcü Diğer İhraççı

Şirketi (44) Banka Takas Banka

Kuru luşu

İşlem onay/ret Otorizasyon Otorizasyon

(43) SBM’nin ödeme geçidi hizmeti sunmadığı not-on-us işlemlerde sigorta şirketi ödemenin alınacağı kartın numarasının ilk altı son dört hanesi ve kart sahibinin T.C. kimlik numarası ile tahsilat talebini üye işyeri anlaşması yaptığı sanal POS sağlayıcı bankaya iletir. Kabulcü banka ise, ödeme alınacak kart kendi çıkardığı bir kart olmadığı için kendisine iletilen kartın ilk altı son dört hanesi, kart sahibi T.C. kimlik numarası ve işlem tutarı bilgilerini içeren otorizasyon talebini BKM ya da diğer takas kuruluşları üzerinden ihraççı banka olarak adlandırılan kartı çıkaran bankaya gönderir. Otorizasyon talebi, ihraççı banka tarafından onaylanmışsa anılan banka onay mesajında takas kuruluşuna açık kart bilgisini de iletir. Takas kuruluşu yanıt mesajını açık kart bilgisini de içerecek şekilde kabulcü banka konumundaki sanal POS sağlayıcı bankaya ulaştırır. Son olarak kabulcü banka da sigorta şirketine işlem onay ya da ret bilgisini iletir.

Şekil 3: SBM’nin Ödeme Geçidi Hizmeti Verdiği On-Us İşlem Akışı

Kartın ilk altı son dört Kartın ilk altı son dört

hanesi+TCKN+işlem hanesi+TCKN+işlem

bilgileri bilgileri

Sigorta Kabulcü

SBM Banka

Şirketi

Satış onay/ret Satış onay/ret

bilgisi bilgisi

(44) Sigorta şirketi ödemenin alınacağı kartın numarasının ilk altı son dört hanesi ve kart sahibinin T.C. kimlik numarası ile tahsilat talebini üye işyeri anlaşması yaptığı kabulcü bankaya SBM arayüzü üzerinden iletir. On-us işlem olduğu için SBM arayüzü üzerinden tahsilat talebini alan banka, bu talebi kendi sisteminde yanıtlayarak yine SBM arayüzü üzerinden ilgili sigorta şirketine işlem için onay ya da ret bilgisi verir. Bu iş akışında sigorta şirketlerinin çalıştığı her banka ile ayrı ayrı entegrasyon yapmasına gerek olmayıp, sadece SBM arayüzü ile yapacakları tek bir entegrasyon sayesinde SBM’nin entegre olduğu bankalar ile tahsilat işlemlerini gerçekleştirebilmektedir.

Şekil 4: SBM’nin Ödeme Geçidi Hizmeti Verdiği Not-On-Us İşlem Akışı

Kartın ilk altı son dört Kartın ilk altı son dört

hanesi+TCKN+işlem hanesi+TCKN+işlem

bilgileri bilgileri

Kabulcü

Sigorta SBM Banka

Şirketi

İşlem onay/ret

İşlem onay/ret bilgisi

bilgisi

Otorizasyon

talebi

BKM/

İhraççı Diğer

Banka Takas

Ku ruluşu

otorizasyon

onay(açık kart

bilgisi)/ret

(45) Not-on-us işlemlerde SBM’nin ödeme geçidi hizmeti verdiği son iş akışı modelinde, sigorta şirketi ödemenin alınacağı kartın numarasının ilk altı son dört hanesi ve kart sahibi T.C. kimlik numarası ile tahsilat talebini önce SBM arayüzüne, bu arayüz vasıtasıyla üye işyeri anlaşması yaptığı kabulcü bankaya iletir. Bu talebi alan banka işlemin not-on-us bir işlem olması yani ödeme alınacak kartın başka banka tarafından çıkarılmış olması nedeniyle kendisine iletilen kartın ilk altı son dört hanesi, kart sahibinin T.C. kimlik numarası ve işlem tutarı bilgilerini içeren otorizasyon talebini BKM ya da diğer takas kuruluşları üzerinden kart sahibi bankaya ulaştırır. Otorizasyon talebi kart sahibi banka tarafından olumlu şekilde onaylanmışsa açık kart bilgisini de içeren mesaj, takas kuruluşu aracılığıyla kabulcü bankaya gönderilir. Kabulcü banka da nihai olarak SBM arayüzü üzerinden sigorta şirketine işlemin onaylandığı bilgisini iletir. Bu iş akışında sigorta şirketlerinin çalıştığı her banka ile ayrı ayrı entegrasyon yapmasına gerek olmayıp sadece SBM arayüzü ile yapacakları tek bir entegrasyon sayesinde SBM’nin entegre olduğu bankalar ile tahsilat işlemlerini gerçekleştirebilmektedir. Diğer bir ifadeyle kabulcü bankanın sanal POS’una ödeme yapılan kartın sadece ilk altı ve son dört haneleri ile T.C. kimlik numarasının girilebilmesine izin veren yazılımın SBM’ye açılmış olması sayesinde bahse konu işlem akışı gerçekleşmektedir.

(46) Açıklandığı üzere, on-us ödeme/tahsilat işlemlerinde otorizasyon talebi kabulcü bankanın kendisi tarafından onaylanabilecektir. Not-on-us işlemlerde ise uygulama, sanal POS sağlayıcı bankanın ilgili bilgileri BKM ya da diğer takas kuruluşları üzerinden kart sahibi bankaya iletip açık kart bilgisinin alınarak işlemin onaylanması şeklindedir. Açık kart bilgisi ile takas, harcama itirazı, fraud (sahtecilik) kontrolü gibi durumların normal işleyişinde yürütülebileceği belirtilmektedir. Bu uygulama kapsamında, ödeme bilgilerinin sigortalı ile yapılan sözleşme kapsamında sigorta şirketleri tarafından alındığı kabul edilerek her bir işlem özelinde 3D Secure

prosedürünün7 uygulanmayacağı ifade edilmektedir.

(47) Bildirim Formunda işlemin sadece sigorta ödemeleri için yapıldığına ilişkin kontrolün, üye işyeri kategori kodunun yanı sıra kart kabul eden banka tarafından da ek birtakım kontroller ile sağlanacağı beyan edilmektedir. SBM’den gelen cevabi yazıda bu ek kontroller, kabulcü bankaların kendilerine iletilen işlemlere konu teşebbüslerin Sigortacılık Genel Müdürlüğüne kayıtlı sigorta ve emeklilik şirketi olduğunu kontrol etmesi, veri tabanında kayıtlı işyeri numarası ve işyeri kategori kodu ile bu kontrolü desteklemesi olarak belirtilmektedir.

(48) Sigorta şirketleri ve bankalar arasında sanal POS ödeme/tahsilat işlemlerinde ödeme geçidi hizmeti sunması durumunda SBM’nin erişebileceği bilgiler ise şu şekildedir:

- Ödemenin yapılacağı kart numarasının ilk altı, son dört hanesi

- Kart sahibinin T.C. kimlik numarası

- İşlem tarih, saati

- İşlem tipi (Satış/İade/İptal/Raporlama)

- Sigorta şirketinin bankada kayıtlı olan üye işyeri kodu

- Acente kodu (Sigorta şirketi acentesi için tahsis edilmiş tekil kod)

- Otorizasyon yanıt kodu (Başarılı/Başarısız)

- İşleme konu olan sipariş kodu

- Otorizasyon numarası (başarılı/onaylı işlem için bankanın döndüğü referans

kodu)

- Sigorta şirketinin bankada tanımlı üye işyeri şifresi

- Sigorta şirketinin bankada tanımlı olan terminal kodu

- İşlem yapılan para birimi kodu

- Ödeme/iptal/iade tutarı/ödemede taksit sayısı

- Ödemeye ilişkin banka kodu

(49) Dosya sürecinde BDDK’dan talep edilen bilgilere istinaden gönderilen cevabi yazıda bankaların muafiyete konu uygulama kapsamında geliştirilen iş akış modelinin yalnızca sigorta şirketlerinin genel müdürlüklerine tahsis edilen sanal POS'larda kullanılması hususunda bilgilendirildiği belirtilmiş ve sigorta şirketlerinin bildirime konu ödeme yöntemi alt yapısına entegre olmaları için gerekli işlemleri kendi bünyelerinde, dış hizmet alımı yoluyla veya SBM tarzı ortak bir yapıda yapmalarının kendi tercihleri olduğu ifade edilmiştir.

(50) Yukarıda temel özelliklerine yer verilen uygulama, esasen iki farklı iş akışına dayanmaktadır. Buna göre, sistemin temel işleyişi, ödeme yapılan kartın sadece ilk altı ve son dört hanesinin kabulcü bankanın sanal POS’una girilmesine imkan sağlayacak şekilde not-on-us işlemlerde takas sistemi üzerinden açık kart bilgisinin ihraççı ve kabulcü bankalar arasında paylaşılması üzerine kurgulanmıştır. Bu sayede kart bilgileri, kart hamili ve/veya bankalar tarafından işyerleri ile paylaşılmamakta olup bu birinci iş akışında kartın ilk altı son dört hanesi ve kart sahibinin T.C. kimlik numarası ile ödeme alınmasına imkân tanıyan alt yapıya sigorta şirketleri, doğrudan kendileri entegre olabileceği gibi bu entegrasyonu üçüncü taraf hizmet sağlayıcıları aracılığı ile de gerçekleştirebilecektir. Bu ilk iş akışına ilişkin olarak Kurumumuza bankalar

[7] Visa ve MasterCard taraf ı ndan geli ş tirilen ve 3 boyutlu g ü venlik sistemi anlam ı na gelen 3D Secure, m üş teri, banka ve i ş yeri aras ı ndaki bilgi ak ışı n ı ö zel ş ifreler ve anahtarlar ile sa ğ layan ve internetten yapılan alışverişlerdeki olası sahtekârlıkların önlenmesini amaçlayan bir uygulamad ı r.

tarafından doğrudan bir başvuruda bulunulmamış olmakla birlikte bahse konu işbirliği olası rekabet karşıtı etkileri nedeniyle mevcut dosya kapsamında incelenmiştir.

(51) Öte yandan, bahse konu uygulamanın işleyişinde ortaya çıkan ve SBM tarafından muafiyet bildirimi yapılan ikinci tür iş akışında ise yine birinci tür iş akışında olduğu gibi bankalar arasında açık kart bilgisinin paylaşımına dayalı işbirliği yapılmakta, ancak birinci tür iş akışından farklı olarak kartın ilk altı son dört hanesi ile kart sahibinin T.C. kimlik numarası ile ödeme alınmasına imkân tanıyan alt yapıya sigorta şirketleri, ödeme geçidi hizmeti verecek olan SBM aracılığıyla dahil olmaktadır.

G.4.2. Bildirime Konu Uygulamanın 4054 Sayılı Kanun’un 4. Maddesi Açısından Değerlendirilmesi

(52) Bazı anlaşmalar, amaç yönüyle rekabeti sınırlayıcı olmamakla birlikte pazarda doğuracağı etki yönüyle rekabeti sınırlayıcı olabilir. Bu durumda gerek 4054 sayılı Kanun’un 4. maddesi hükmü gerek Kurulun yerleşik uygulamaları dikkate alındığında, söz konusu anlaşmaların hem “fiili” hem de “potansiyel” etkilerinin incelenmesi yerinde olacaktır. Dolayısıyla, fiilen ortaya çıkmış rekabeti sınırlayıcı sonuçların yanı sıra henüz ortaya çıkmamış ancak makul bir olasılık dâhilinde ortaya çıkabilecek sınırlayıcı etkiler de anlaşmanın Kanun’un 4. maddesini ihlal ettiğinin ileri sürülebilmesi bakımından yeterlidir [8].

(53) Bildirim konusu uygulama; sigorta sektörüne yönelik ödemelerde, ödeme işlemi için kullanılacak banka ya da kredi kartı numarasının ilk altı son dört hanesi ve ilgili kart sahibinin T.C. kimlik numarası ile ödeme işleminin gerçekleştirilebilmesini amaçlamaktadır. Bu işleyişte iki farklı tür iş akışı bulunmaktadır. Bunlardan ilkinde, ödeme alınacak kartın ilk altı son dört hanesinin ve kart sahibinin T.C. kimlik numarasının işyerine iletilmesinin yeterli olduğu ve not-on-us işlemlerde açık kart bilgisinin kabulcü banka tarafından ihraççı bankadan elde edildiği iş akışıdır. Söz konusu ödeme alt yapısına sigorta şirketleri doğrudan kendileri ya da üçüncü taraf hizmet sağlayıcılar üzerinden entegre olabilmektedir. İkinci tür iş akışında ise yine ilgili ödeme alt yapısı tesis edilmekte, ancak tercih etmeleri halinde bu alt yapıya sigorta şirketleri, ödeme geçidi hizmeti vermek isteyen SBM üzerinden erişebilecektir.

(54) Bildirime konu işlemde ele alınması gereken ilk işleyişte; ödeme yapılacak kartın ilk altı ve son dört hanesi ile kart sahibinin T.C. kimlik numarası ile ödeme alınmasını sağlayacak alt yapı çerçevesinde not-on-us ödemelerde, kabulcü banka tarafından ödeme işlemi için kullanılacak banka ya da kredi kartı numarasının ilk altı son dört hanesi ve ilgili kart sahibinin T.C. kimlik numarası takas sistemi üzerinden ihraççı bankaya iletilmekte ve ödeme işlemine otorizasyon verilmesi talebinin yanında 16 haneli açık kart numarası talep edilmektedir. Buna karşılık ihraççı banka, kendi kontrollerini sağlayıp ilgili ödeme işleminin gerçekleşmesine engel bir durumun olmadığını tespit ettiğinde otorizasyon talebine olumlu cevap vermekte ve 16 haneli açık kart bilgisini takas sistemi üzerinden kabulcü bankaya iletmektedir.

(55) Söz konusu iş akışında bankalar; kendi ihraç ettiği kartlara ilişkin açık kart numarasını, üye işyeri edinme pazarı ile kredi kartı ya da banka kartı hizmetleri pazarları başta olmak üzere genel olarak bankacılık hizmetlerinde rakibi konumundaki diğer bankalar ile paylaşmakta ve bu yönüyle bankalar arası bir işbirliği meydana gelmektedir. Rakip konumundaki bankalar arasındaki işbirliğini incelemek için söz konusu işbirliğinin 8 Muafiyetin Genel Esaslarına İlişkin Kılavuz’un 10. paragrafı

niteliğine değinilmesi gerekmektedir.

(56) Bir işyeri ile akdettiği üye işyeri anlaşması kapsamında o işyerinin ödemeleri sorunsuz olarak alması amacıyla hizmet sunan banka (kabulcü banka), işyerine tahsis edeceği POS’tan kendi ihraç ettiği kartların yanı sıra başka bankalarca ihraç edilen kartlardan da ödeme alınmasına ihtiyaç duymaktadır. Söz konusu ihtiyacın karşılanması için ihraççı bankanın ilgili ödeme işlemine onay vermesi gerekmektedir. Bu durum, kabulcü banka tarafından ihraççı bankaya ödenen takas komisyonu olarak ifade edilen ücret karşılığında takas sistemleri üzerinden ihraççı bankanın gerekli kontrollerden sonra ilgili işleme onay verdiği ve onay sayesinde kabulcü bankanın ödeme işlemini başarıya ulaştırabildiği iş akışını doğurmuştur. Bu iş akışında, kabulcü banka ile ihraççı bankanın farklı olduğu (not-on-us) işlemler özelinde ihraççı bankanın sağlayıcı, kabulcü bankanın ise alıcı olduğu dikey bir ilişki tesis edilmektedir.

(57) İncelenen bu ilk iş akışı, söz konusu dikey ilişki kapsamında olup sağlayıcı konumundaki ihraççı bankanın, alıcı konumundaki kabulcü bankaya otorizasyon yanıtının yanında açık kart numarasını da iletmesine dayalı bir sistemdir. Bu bakımdan bildirime konu uygulama özü itibarıyla rakipler arasında dikey bir işbirliği anlaşması niteliğindedir. Bu ilk iş akışı çerçevesinde, ödeme yapılacak kartın sanal POS’a girilerek ilk altı ve son dört hanesi ve T.C. kimlik numarası ile ilgili karta ilişkin verilerin tanımlanmasına imkan veren alt yapıya dayalı iş akışının bankalar haricindeki diğer finansal kuruluşlar ve hizmetlere etkisinin değerlendirilmesi önem arz etmektedir.

(58) Bankalar arasında açıklanan şekilde gerçekleşecek dikey işbirliği ile sigorta sektörü özelinde kart verilerinin güvenliğinin sağlanması adına sunulan kart verisi saklama, dijital cüzdan ya da çeşitli anti-fraud odaklı hizmetlere yönelik talebin azalacağı değerlendirilmektedir. Şöyle ki, bildirime konu uygulama ile hassas nitelikteki açık kart bilgisinin işyeri ile paylaşılmasına son verilmesi planlanmakta olup bu uygulama hassas kart verisinin saklanması gibi hizmetleri ortadan kaldırabilecek niteliktedir. Bu durum, gelişen teknolojiyle birlikte bankalar arası rekabette ön plana çıkan katma değerli, yenilikçi hizmetlerin gelişimini sekteye uğratabilecektir. Nitekim bankaların bildirime konu uygulama ile işbirliği gerçekleştirmeleri, kart verisinin güvenliğinin sağlanması adına geliştirilen QR kod ile ödeme, mobil ödeme çözümleri, dijital cüzdan hizmetleri gibi yenilikçi hizmetlere yönelik teşebbüslerin rekabet etme güdülerini azaltabilecektir. Bu da, pazardaki inovasyonun işbirliğine konu uygulama ile sınırlandırılması ve alternatif hizmetlere yönelik rekabetin azalması sonucunu doğurabilecektir.

(59) Diğer taraftan, söz konusu uygulamaya dâhil olmak istemeyen bir sigorta şirketinin, sisteme dahil olan sigorta şirketlerinden farklı olarak tüm kart bilgisini istemeye devam edecek olması, tüketiciler nezdinde bu sigorta şirketinin tercih edilebilirliğini azaltacak ve ilgili sigorta şirketinin pazarda rekabet etmesini zorlaştırabilecektir.

(60) Öte yandan, ödeme yapılacak kartın ilk altı ve son dört hanesine ek olarak kart sahibinin T.C. kimlik numarası ile ödeme yapılabilmesine yönelik alt yapının sadece bankalar arasında tesis edilmesi ve üye işyeri edinme pazarında kabulcü bankalar ile rekabet halinde olan ödeme kuruluşlarının bu alt yapıdan dışlanması durumunda, sigorta sektörü özelinde üye işyeri edinme pazarındaki rekabet ağır bir şekilde kısıtlanmış olacaktır. Öyle ki bahse konu ödeme kuruluşları sağlayacakları sanal POS hizmetinin alt yapısını bankalardan temin etmek durumundadır. Bu bağlamda, kabulcü bankalar ile ödeme kuruluşları arasında dikey görünüm arz eden ilişki, üye iş yeri edinme pazarında yatay bir nitelik kazanmaktadır. Dolayısıyla ilk altı ve son dört işleyişine imkan veren alt yapının ödeme kuruluşlarına açılmaması bu kuruluşların

sigorta sektöründe üye iş yeri edinme pazarındaki rekabetini önemli ölçüde sınırlandıracak ve bunların pazar dışına itilmesine neden olabilecektir. Söz konusu dışlayıcı risk, incelenen iş akışının rekabet üzerinde potansiyel olumsuz etkilere sahip olabileceğini ortaya koymaktadır.

(61) Bildirime konu olan ikinci tür iş akışında ise değinilmesi gereken temel husus, SBM’nin ödeme geçidi sağlayıcısı olarak sisteme dâhil olması halinde pazardaki rekabetin bu durumdan ne şekilde etkileneceğidir. Bildirim Formunda belirtildiği üzere sigorta şirketleri, sanal POS anlaşması yapmak istedikleri bankalar ile ayrı ayrı entegrasyon kurulumunun ortaya çıkaracağı gerek teknik süreçlerin uzaması nedeniyle gerek zaman ve para maliyetlerinin artması kaynaklı zorlukların üstesinden gelmek amacıyla SBM ile anlaşabilecek ve SBM ile entegrasyon gerçekleştirmesi durumunda SBM’nin entegre olduğu bankalar ile entegre olabilecektir. Bu entegrasyon sonucunda SBM, sigorta şirketleri ile bankalar arasında köprü vazifesi görecektir. Bu kapsamda sanal POS’tan geçecek bir sigorta ödemesinde acente, kart hamilinden edineceği kartın ilk altı son dört hanesi ile kart sahibinin T.C. kimlik numarasını, SBM’nin arayüzüne/ekranına girerek ödeme işlemini başlatabilecektir.

(62) Bildirime konu uygulamada SBM’nin sigorta sektörüne özel olarak sunacağı hizmet, “ödeme geçidi” (gateway) olarak adlandırılan hizmettir. Bu hizmet esasen sadece sigorta sektörü özelinde değil, genel olarak internet tabanlı ödemelerde işyerlerinin farklı servis sağlayıcılarından aldığı teknik bir hizmet niteliğindedir. Bu hizmete yönelik ihtiyacın ana nedenini ise bankaların işyerlerinden aldığı “üye işyeri komisyonu” oluşturmaktadır. Bir banka, üye işyeri anlaşması yaptığı işyerinden kendi ihraç ettiği kartlar ile ödeme yapılırken aldığı üye işyeri komisyonu ile başka bankalarca ihraç edilen kartlar ile yapılan ödemelerden aldığı üye işyeri komisyonu farklılık arz etmektedir. Not-on-us işlemlerde bankalar arasındaki dikey ilişki kapsamında kabulcü banka ihraççı bankaya takas komisyonu ödemektedir. Not-on-us işlemler kapsamında ihraççı bankaya takas ücreti ödeyen kabulcü banka, ödediği takas ücretini, on-us işlemlerde işyerinden aldığı üye işyeri komisyonuna eklemekte ve iki ücretin toplamı, not-on-us işlemlerdeki üye işyeri komisyonunu oluşturmaktadır.

(63) Bu durumun bir sonucu olarak bir işyeri, üye işyeri anlaşması yaptığı bankaların kartlarıyla gerçekleştirilen ödemelerde bu bankalara daha düşük oranlarda komisyon öderken üye işyeri anlaşması yapmadığı bankaların kartlarından gerçekleştirilen ödemelerde daha yüksek oranlarda komisyon ödemektedir. Bu bakımdan, bir işyerinin mümkün olan en çok sayıda banka ile üye işyeri anlaşması yapması, o işyerinin bankalara ödeyeceği toplam üye işyeri komisyonunu azaltmaktadır. Ancak bir işyerinin her bir banka ile ayrı ayrı üye işyeri anlaşması akdetmesi ve buna bağlı olarak her bir banka ile ayrı ayrı teknik entegrasyon süreçlerini yönetmesi uygulamada her zaman mümkün olmamaktadır.

(64) Söz konusu olgu karşısında sanal POS’lar üzerinden geçecek çevrimiçi ödemelerde işyerleri için iki ana çözüm bulunmaktadır. Bunlardan ilki, bildirime konu uygulamada SBM tarafından üstlenilmesi öngörülen hizmetin de dâhil olduğu ödeme geçidi hizmetidir. Bu hizmette bir işyerinin bizzat kendisi bankalar ile ayrı ayrı üye işyeri anlaşması yapmakta, ancak her bir banka ile ayrı ayrı teknik entegrasyon kurulması ile tek bir ödeme arayüzünün oluşturulması sürecini ödeme geçidi hizmeti sunan servis sağlayıcıları yürütmektedir. Söz konusu hizmeti yürüten servis sağlayıcıları, genellikle PCI DSS sertifikası başta olmak üzere gerekli standartları sağlayan şirketler olarak pazarda yer almaktadır. Ödeme geçidi hizmetinde servis sağlayıcılar, kendi üzerlerinde herhangi bir fon tutmamakta ve bu yönüyle 6493 sayılı Kanun kapsamında

yürüttükleri faaliyet ödeme hizmeti faaliyeti olarak değerlendirilmemektedir.

(65) İşyerleri için ikinci bir çözüm ise ödeme kuruluşlarından hizmet almaktır. Ödeme kuruluşlarının faaliyetleri 6493 sayılı Kanun’da düzenlenmiş olup bu kuruluşlar, ödeme hizmeti sağlamak ve gerçekleştirmek için kanun kapsamında yetkilendirilmiş tüzel kişi şeklinde tanımlanmıştır. Ödeme kuruluşları, bankalar ile sanal POS tedarik anlaşmaları yapmakta ve sonrasında kendi faaliyetleri kapsamında bu POS’ları, üye işyeri anlaşması akdettikleri işyerlerine entegre edip kullandırmaktadır. Bu kapsamda ödeme kuruluşları, dikey bir ilişki çerçevesinde bankalardan sanal POS temin ederek işyerlerine bu POS’ları kullandırmaktadır. Bu yönüyle ödeme kuruluşları, birçok bankaya entegre olan sanal POS’larını, üye işyerlerine entegre etmekte ve bu sayede işyerleri, her bir banka ile ayrı ayrı anlaşma ve teknik entegrasyon süreçlerini yönetmeksizin tek bir istasyondan (ödeme kuruluşunun sanal POS’undan) birçok banka ile entegre olabilme imkanı elde etmektedir. Bu bilgiler çerçevesinde kabulcü bankalar ile ödeme kuruluşları arasında alt pazarda yatay anlamda rakiplik ilişkisi olduğunu söylemek mümkündür.

(66) Ancak ödeme kuruluşlarının bankalardan POS tedarik edebilmesi için bankalara çeşitli ücret ve komisyon ödemeleri gerekmektedir. Bu durum sağlayıcı konumundaki bankaların, üye işyeri edinme pazarında rakip oldukları ödeme kuruluşlarına yüksek komisyon oranları uygulamaları sonucu ödeme kuruluşlarının faaliyetlerini zorlaştırılması riskini doğurmaktadır. İşyerlerine sunduğu sanal POS hizmetinin ücret ve komisyonlarına bankalara ödediği/ödeyeceği ücret ve komisyonları da yansıtmak zorunda kalan ödeme kuruluşları, kimi durumlarda işyerleri nezdinde rekabetçi fiyat sunmakta zorlanabilmekte ve bu durumda ödeme kuruluşlarının sanal POS’ları, işyerleri için cazip olmayabilmektedir. Bu durumda, işyerleri için ödeme geçidi hizmeti daha rasyonel bir tercih halini alabilmektedir.

(67) Bildirim konusu uygulamaya dönüldüğünde; SBM’nin sigorta şirketlerine, yukarıda hangi ihtiyaçlardan kaynaklandığı izah edilen ödeme geçidi hizmetini sunması planlanmakta ve tercih eden sigorta şirketlerinin tek bir entegrasyon ile SBM üzerinden işbirliğine konu iş akışına dahil olması tasarlanmaktadır. Bildirim Formunda yer verildiği üzere SBM, söz konusu ödeme geçidi hizmetini kar amacı gütmeksizin sigorta şirketlerine sunacak ve bu kapsamda sistemin işleyişinin sağlanması için gereken maliyetlerin dışında sigorta şirketlerinden herhangi bir ücret istenmeyecektir. Sistemin işleyişi için gereken giderlerin ise SBM Yönetmeliği’nin 21. maddesinde yer alan “Bu Yönetmelikle Merkeze verilen görevleri yerine getirmek üzere yapılacak giderler; üye sigorta şirketlerinin üyelik katkı paylarından, yatırım gelirlerinden, Merkez tarafından sağlanan hizmetler karşılığında elde edilen gelirler ile diğer gelirlerden karşılanır.” hükmü uyarınca karşılanacağı ifade edilmiştir.

(68) Bahsi geçen ödeme geçidi fonksiyonu kapsamında SBM üzerinden kartın ilk altı son dört hanesi ve T.C. kimlik numarası ile işlem yapılabilmesine yönelik bankalar ile SBM arasında kurulacak entegrasyonun, pazarda ödeme geçidi hizmeti sunan diğer kuruluşlar ile de kurulmaması durumunda, söz konusu kuruluşların sunduğu hizmetler geri planda kalabilecek ve bu kuruluşlar, sigorta sektörü özelinde rekabet edemeyecek duruma gelebilecektir. Özellikle sigorta şirketleri ile bankalar arasındaki organik bağlar dikkate alındığında [9]; sigorta şirketleri ile bankalar arasında oluşacak dikey bütünleşik 9 Örneğin; Hacı Ömer Sabancı Holding A.Ş. bünyesinde bankacılık alanında faaliyet gösteren Akbank T.A.Ş, aynı ekonomik bütünlük altında sigortacılık alanında faaliyet gösteren Aksigorta A.Ş. ve Avivasa Emeklilik ve Hayat A.Ş.’nin acentesi konumunda olup bu teşebbüslerden hayat ve hayat dışı sigorta hizmetleri alınmaktadır. Bir başka örnek de Türkiye İş Bankası A.Ş.’nin kuruluşu olan Milli Reasürans

yapı üzerinden bankaların, SBM’ye sundukları özel entegrasyonları pazardaki diğer ödeme geçidi hizmeti sunan teşebbüslere sunmaması tehlikesi ortaya çıkabilecektir. Keza, SBM dışında bu hizmeti sunan teşebbüslerin genellikle aynı zamanda başta sanal POS hizmetleri olmak üzere bankaların işyerlerine ve tüketicilere sunduğu hizmetler ile rekabet içerisindeki farklı hizmetleri de sunuyor olmaları, bankaların SBM’ye tanınan entegrasyonu başka kuruluşlara da tanıma yönündeki güdüsünü azaltabilecek ve bu durum, pazardaki rekabeti sınırlandırabilecektir.

(69) Diğer taraftan, sigorta şirketlerinin kendi teşebbüs birliği niteliğindeki TSB bünyesinde faaliyet gösteren SBM üzerinden bu hizmeti alabilecek olmaları, sigorta şirketlerinin sunulan hizmetin kalitesinden bağımsız olarak ödeme geçidi hizmetini SBM’den almayı önceliklendirmelerine neden olabilecektir. Ayrıca, Bildirim Formunda belirtildiği şekilde anılan hizmetin kar amacı güdülmeksizin salt maliyet esaslı giderlerin karşılanması şeklinde fiyatlandırılması durumunda, ödeme geçidi hizmetini ticari bir faaliyet olarak kar elde etmeyi amaçlayarak yürüten teşebbüslerin, sigorta şirketi müşterileri özelinde SBM ile etkin rekabet etmesi mümkün gözükmemektedir.

(70) Ödeme geçidi hizmetinin genellikle tek başına değil, kart verisi saklama, anti-fraud çözümleri başta olmak üzere ödeme hizmetine yardımcı diğer hizmetler ile bir bütün halinde veriliyor olması gerçeği karşısında, SBM’nin elde ettiği avantajlara sahip ol(a)mayan teşebbüslerin işyerlerine sunduğu diğer katma değerli hizmetlerin de olumsuz etkilenmesi ihtimali doğmaktadır. Nitekim işyerlerine sunulan katma değerli hizmetlerin genellikle bir paket olarak birlikte sunulması ve hatta fiyatlandırmanın dahi tüm paket üzerinden yapıldığı dikkate alındığında, SBM’nin ödeme geçidi hizmetinin diğer ödeme geçidi hizmeti sunan teşebbüsler üzerinde oluşturacağı rekabeti kısıtlayıcı etki, bu teşebbüslerin diğer faaliyetlerinin de sigorta şirketleri nezdindeki tercih edilebilirliğini olumsuz yönde etkileyebilecektir.

(71) SBM tarafından sunulacak hizmetin maliyet esaslı oluşu, kimi bankalar ile sigorta şirketleri arasındaki sözleşmesel (ör. bankasürans ilişkileri) ve organik bağlar (hissedarlık ilişkileri) ile SBM’nin sigorta şirketlerince finanse edilmesi gibi hususlar nedeniyle her ne kadar mecburi olmasa da bildirime konu uygulama kapsamında rakip konumundaki sigorta şirketlerinin çoğunluğunun sadece SBM üzerinden ödeme geçidi hizmeti almasına yönelik fiili durum oluşması riski karşısında, rakip konumundaki sigorta şirketlerinin bir nevi ortak hizmet alımı yapması ve bunun sonucu olarak pazardaki hizmet çeşitliliğinin azalması gündeme gelebilecektir. Bu durum ayrıca, sistemde oluşabilecek teknik bir aksaklık durumunda sigorta sektörünün büyük bir çoğunluğunda ödeme işlemlerinin aksamasına neden olabilecektir. Diğer bir deyişle, sektörün tek bir hizmet sağlayıcısına bağımlı olması muhtemel riskleri artırabilecek ve tüketici güvenliğini tehlikeye atabilecektir. Nitekim SBM’nin söz konusu hizmet kapsamında sektör standardı olarak görülen PCI DSS sertifikasına hâlihazırda sahip olmaması dikkate alındığında, SBM’nin pazarda birtakım entegrasyonlar ile bankalarla arasındaki organik bağlar üzerinden ön plana çıkarılması, pazardaki etkin işleyişe zarar verebilecektir.

T.A.Ş.’nin Anadolu Anonim Türk Sigorta Şirketi’nin, Şekerbank T.A.Ş. Personeli Munzam Sosyal Güvenlik Yardım Sandığı Vakfı’nın Şeker Sigorta A.Ş.’nin çoğunluk hisselerine sahip olması olarak karşımıza çıkmaktadır. Yine BNP Paribas Cardif SA’nın sigortacılık alanında BNP Paribas Cardif Emeklilik A.Ş., BNP Paribas Cardif Hayat Sigorta A.Ş. ve BNP Paribas Cardif Sigorta A.Ş olmak üzere faaliyet gösteren teşebbüsleri bulunurken, bu teşebbüsün bankacılık alanındaki faaliyetlerini Çolakoğlu Grubu ile ortak kontrol ettiği Türk Ekonomi Bankası A.Ş. yürütmektedir. Nitekim Neova Sigorta A.Ş.’nin ortaklık yapısına bakıldığında da hisselerinin tamamının Kuveyt Türk Katılım Bankası A.Ş.’ye ait olduğu görülmektedir.

(72) Sistemin işleyişine dair yukarıda ortaya konulan tüm rekabet karşıtı tehlikeler birlikte ele alındığında, bildirime konu uygulamanın rekabeti sınırlayabilecek potansiyel etkilere sahip olduğu anlaşıldığından anılan uygulama, 4054 sayılı Kanun’un 4. maddesi kapsamındadır. Bu nedenle bildirime konu uygulamaya menfi tespit belgesi verilemeyeceği ve uygulamanın 4054 sayılı Kanun’un 5. maddesi uyarınca muafiyet incelemesine tabi olduğu değerlendirilmektedir.

(73) Her ne kadar bildirime konu uygulama kapsamında SBM’nin hizmet vermesi durumunda SBM tarafından yukarıda “Bildirime Konu Uygulamaya İlişkin Bilgi” başlığı altında yer verilen bilgilere erişilebilecek olsa da, SBM’nin hâlihazırda 5684 sayılı “Sigortacılık Kanunu” ile “Sigorta Bilgi ve Gözetim Merkezi Yönetmeliği” hükümleri gereği yukarıda yer verilen bilgilerden çok daha geniş kapsamdaki bilgilere erişebiliyor olması nedeniyle; bildirime konu uygulama kapsamında SBM’nin bahsi geçen bilgileri elde etmesi, işbu dosya kapsamında ilave bir rekabetçi kaygı oluşturmamaktadır. G.4.3. Bildirime Konu Uygulamanın 4054 Sayılı Kanun’un 5. Maddesi Açısından Değerlendirilmesi

(74) 4054 sayılı Kanun’un 5. maddesinin birinci fıkrası hükmü uyarınca; piyasada rekabeti engelleyici ya da kısıtlayıcı amaç veya etkiye sahip anlaşmalar, Kanun’un 5. maddesinin birinci fıkrasında sayılan şartların tamamını taşıması durumunda Kanun’un 4. maddesi hükümlerinin uygulanmasından muaf tutulmuştur.

G.4.3.1. Grup Muafiyeti Değerlendirmesi

(75) Bildirime konu uygulama, sigorta sektöründeki not-on-us işlemlerde her bir ödeme işlemi özelinde ihraççı bankanın kendi kart müşterisinin açık kart numarasını kabulcü banka ile paylaşmasına dayalı bankalar arası dikey bir işbirliği anlaşmasına dayanmaktadır. Söz konusu işbirliği modelinde, ilgili işyeri ile üye işyeri anlaşması kurulup kurulmadığına bağlı olarak, bir işyerine ait ödeme işleminde kabulcü olan ve dikey ilişkide alıcı konumunda bulunan banka, başka bir işyerinin ödeme işleminde ihraççı olabilmekte ve dikey ilişkide sağlayıcı konumunda bulunabilmektedir.

(76) Diğer taraftan, ödeme işleminin SBM’nin sunacağı arayüz üzerinden gerçekleştirilmesine dayalı iş akışında ise bankalar ile SBM arasındaki entegrasyon ön plana çıkmaktadır. Ödeme alınacak kartın ilk altı son dört hanesi ile kart sahibinin T.C. kimlik numarası ile işlem yapılabilmesine, diğer bir deyişle açık kart bilgisine ihtiyaç duyulmadan ödemelerin alınabilmesine yönelik entegrasyon, bankaların sağlayıcı SBM’nin ise alıcı konumunda olduğu bir diğer dikey ilişkiyi doğurmaktadır. Nitekim SBM, sigorta şirketlerine sunacağı ödeme geçidi hizmetinde bankalardan aldığı entegrasyon hizmetini girdi olarak kullanmaktadır.

(77) Bildirime konu uygulama ile hem bankalar arasında hem de SBM ile bankalar arasındaki dikey işbirlikleri dikkate alındığında, anılan uygulamanın “2003/3 ve 2007/2 sayılı Rekabet Kurulu Tebliğleri ile Değişik, 2002/2 sayılı Dikey Anlaşmalara İlişkin Grup Muafiyeti Tebliği” (2002/2 sayılı Dikey Tebliğ) kapsamına girip girmediğinin değerlendirilmesi yerinde olacaktır.

(78) 2002/2 sayılı Dikey Tebliğ’in 2. maddesinin beşinci fıkrasına göre rakip teşebbüsler arasında yapılan dikey anlaşmalar, Tebliğ ile tanınan muafiyetten yararlanamamaktadır. Dikey Anlaşmalara İlişkin Kılavuz’un 5. paragrafında ise rakip teşebbüsler arasında yapılan dikey anlaşmaların kural olarak grup muafiyetinden yararlanamayacağı, ancak sadece dağıtım seviyesinde birbirlerine rakip olan teşebbüsler arasındaki dikey anlaşmaların muafiyetten yararlanabileceği belirtilmiştir.

Başka bir ifadeyle, sağlayıcının anlaşma konusu malların hem üreticisi hem de dağıtıcısı olduğu, alıcının ise bu mallarla rekabet eden malların üreticisi değil dağıtıcısı olduğu dikey anlaşmalar grup muafiyetinden yararlanabilecektir.

(79) Dosya kapsamında incelenen uygulamada, not-on-us işlemlerde ödeme onayı veya reddi cevabı ile birlikte açık kart bilgisinin rakip bankalar ile paylaşılmasına imkân veren uygulamanın rakip konumundaki bankalar arasında bir işbirliği ortaya çıkardığı görülmektedir. Dosya konusu uygulamadaki tarafların konum ve faaliyetlerine bakıldığında; bankaların hem üye işyeri edinme pazarında hem de kart ihraç pazarında birbirleri ile rekabet halinde olduğu görülmektedir. Bu yönüyle bahse konu rakipler arası işbirliğinin, 2002/2 sayılı Dikey Tebliğ’in m. 2/5 hükmünde yer alan istisna kapsamına girmediği ve bu nedenle 2002/2 sayılı Dikey Tebliğ kapsamında grup muafiyetinden yararlanamayacağı kanaati oluşmuştur.

(80) SBM’nin bankalardan entegrasyon hizmeti aldığı dikey ilişki kapsamında ise BDDK talimatının perakende seviyesindeki tüm bankaları kapsıyor olması nedeniyle perakende seviyesinde faal olan tüm bankaların sağlayıcı konumunda yer alması ve bu bankaların bankacılık faaliyetlerinde pazar payları toplamının her halükarda %40’ın üstünde olması, SBM ile bankalar arasındaki dikey ilişkinin de 2002/2 sayılı Dikey Tebliğ kapsamında grup muafiyetinden yararlanmasını engellemektedir. Diğer taraftan, sigorta sektöründeki teşebbüs birliği olan TSB bünyesinde faaliyet gösteren SBM’nin ödeme geçidi hizmetinin yatay seviyede sigorta şirketleri arasındaki rekabete de etki etme ihtimali bulunmaktadır.

(81) Anılan uygulama 2002/2 sayılı Tebliğ veya herhangi başka bir grup muafiyeti kapsamına girmemektedir.

G.4.3.2. Bireysel Muafiyet Değerlendirmesi

(82) 4054 sayılı Kanun’un 4. maddesi kapsamındaki anlaşmalar 4054 sayılı Kanun’un 5. maddesinin birinci fıkrasında belirtilen koşulların tümünün sağlanması halinde 4. maddenin uygulanmasından muaf tutulabilmektedir. Aşağıda dosya konusu uygulama 4054 sayılı Kanun’un 5. maddesinde yer alan koşullar bakımından değerlendirilmiştir. a) Malların Üretim veya Dağıtımı ile Hizmetlerin Sunulmasında Yeni Gelişme ve İyileşmelerin ya da Ekonomik veya Teknik Gelişmenin Sağlanması

(83) Bireysel muafiyet incelemesinde ele alınan olumlu şartlardan ilki, malların üretim veya dağıtımı ile hizmetlerin sunulmasında yeni gelişme ve iyileşmelerin ya da ekonomik veya teknik gelişmelerin sağlanması olup, bu hüküm çerçevesinde hangi hallerin ekonomik yarar olarak kabul edileceği mevcut sistemin özelliklerine göre değişmektedir. Kısaca etkinlik kazanımı olarak ifade edilebilen dağıtımda, üretimde vb. alanlarda ekonomik/teknik gelişme ve kazanımlar; üretim ve dağıtım maliyetlerinin düşürülmesi, kalitenin artır ılması, malın arzında devamlılığın sağlanması, yeni piyasalara girişin kolaylaştırılması ve yeni ürünlerin ya da üretim tekniklerinin bulunması gibi çeşitli görünümler arz etmektedir. Bu kapsamda, rekabeti kısıtlayıcı bir anlaşmanın muafiyet korumasından f aydalanabilmesi için öncelikle rekabet üzerindeki olumsuz etkisini bertaraf edebilecek düzeyde bir etkinlik kazanımı sunabilmesi gerekmektedir.

(84) Bildirime konu uygulama incelendiğinde, tasarlanan işbirliği modelinin esasen iki farklı iş akışı üzerinden gerç ekleşebileceği anlaşılmaktadır. Bunlardan ilkinde, ödeme yapılacak kartın ilk altı ve son dört hanesi ile T.C. kimlik numarasıyla birlikte ödeme

yapılmasına imkan veren alt yapı çerçevesinde not-on-us işlemlerde açık kart bilgilerinin paylaşımına dayalı bankalar arasında işbirliği kurulmakta ve sigorta şirketleri, doğrudan ya da üçüncü bir taraf aracılığıyla sisteme dâhil olmaktadır. İkinci tür iş akışında ise sigorta şirketleri, doğrudan ya da üçüncü bir taraf yerine SBM üzerinden sisteme dâhil olmakta ve böylelikle kartın ilk altı son dört hanesi ve kart sahibinin T.C. kimlik numarası ile ödeme almaya başlayabilmektedir. Her iki senaryoda da sigorta şirketleri bankalar ile üye işyeri anlaşmalarını kendileri yapmakta, SBM ise ikinci senaryoda sadece kartın ilk altı son dört hanesi ve kart sahibinin T.C. kimlik numarası ile ödeme alınmasına yönelik entegrasyonda bankalar ile sigorta şirketleri arasında aracılık rolü üstlenmektedir.

(85) İki farklı iş akışının varlığı dikkate alındığında, bireysel muafiyetin ilk şa rtı olan ekonomik veya teknik gelişmenin sağlanması şartının karşılanıp karşılanmadığının her iki iş akışı özelinde ayrı ayrı ele alınması uygun olaca ktır.

(86) Yukarıda ele alındığı üzere, sigorta şirketlerinin banka ya da kredi kartının ilk altı son dört han esi ve kart sahibinin T.C. kimlik numarası ile ödeme almasına yönelik uygulama, takas sistemi üzerinden otorizasyon yanıtının yanı sıra ihraççı bankanın kabulcü bankaya açık kart numarasını da iletmesine dayalı bir işbirliği modelidir.

(87) Söz konusu uygulama nın çıkış noktası, BDDK’nın bankalara yönelik talimatı olup söz konusu talimatta; bankaların sigorta şirketlerine ver dikleri sanal POS’Iarın entegrasyonunda poliçe bedelinin ödenmesi amacıyla sigortacılık sektöründe sıklıkla kullanılan mail order yöntemind en kaynaklı risklerin ortadan kaldırılması ve sisteme güvenin artırılması için, sigorta sektöründe tek seferlik ya da tekrarlayan ödeme işlemlerinin sigorta acentelerinde ya da firmalarında açık kart bilgilerinin işlenmesine ya da saklanmasına ihtiyaç duyu lmadan kartın ilk altı son dört hanesi ve T.C. kimlik numarası ile yapılabilmesi amacıyla TBB koordinasyonunda Türkiye Katılım Bankaları Birliği (TKBB) ve TSB ile bir araya gelinerek gerekli çalışmaların yürütülmesi talep edilmiştir.

(88) BDDK’nın söz konusu ta limatında da belirtildiği üzere, özellikle tekrarlayan ödemelerin yoğun olarak gerçekleştiği sigorta sektöründe tüketicilere ait açık kart bilgilerinin acentelerde güvenli olmayan ortamlarda tutulması (ör. ajandalara kaydedilen kart bilgileri), çeşitli güv enlik risklerini artırmakta ve kart sahiplerinin banka ya da kredi kartı bilgilerinin rıza dışı kullanımına dayalı işlemlerin gerçekleşme tehlikesini doğurmaktadır. Sektörde yaşanan söz konusu riski bertaraf etmek adına PCI DSS sertifikasına sahip çeşitli hizmet sağlayıcılar (ödeme kuruluşları, yazılım şirketleri vb. kuruluşlar), sigorta şirketlerine başta kart verisi saklama çözümleri olmak üzere farklı türde hizmetler sunmaktadır [10].

(89) Bildirime konu uygulamada ise esasen müşterilerin tüm kart bilgilerinin alınmasına yönelik ihtiyacın tümüyle ortadan kaldırılması hedeflenmektedir. Şöyle ki, bildirime konu uygulama ile açık kart bilgisinin sigorta şirketi ile paylaşılmadan doğrudan bankal ar arasında iletiminin sağlanması, tüketicilerin açık kart bilgilerine işyerleri 10 Keza, BKM bünyesinde çok sayıda sigorta şirketine kart verisi saklama hizmeti verilmiş olmakla birlikte, söz konusu hizmetin pazarda oluşturduğu dışlayıcı etkinin dikkate alındığı Kurulun 12.06.2018 tarih ve 18-19/337-167 sayılı kararı ile muafiyet süresi sona eren ilgili faaliyetin muafiyet süresinin uzatılmamasına karar verilmiştir.

tarafından erişilememesini sağlayacaktır. Böylelikle, sigorta sektörü müşterilerinin kartları ile izinsiz harcama yapılmasının önüne geçilecektir.

(90) Her ne kadar bu sistemde kar tın ilk altı ve son dört hanesi ile işlem yapılabilmesi nedeniyle kötü niyetli kişilerin 16 haneli kart numarasına ihtiyaç duymadan da kartın ilk altı ve son dört hanesi ile kart sahibinin rızası dışında harcama yapabilmesi gündeme gelebilecek olsa da, söz konusu iş modelinin sadece sigorta şirketlerinin merkezlerine tahsis edilen sanal POS’lardan geçen sigorta ödemelerine yönelik olması ve bankaların ilgili ödeme işleminin gerçekten bir sigorta ödemesi olup olmadığını farklı kontrol yöntemleri ile denetley ecek olması nedeniyle uygulamanın sektördeki güvenlik açığı riskini azaltacağı d eğerlendiril mektedir.

(91) Ayrıca bu sistemde kart saklama ve diğer kriptolama işlemlerine gerek kalmaması nedeniyle ödeme işlemlerine yönelik sürecin kısaltılması ve işlem maliyetl erinin azaltılması mümkün olmaktadır. Diğer taraftan, on - us işlemlerde kart bilgisinin takas sistemi üzerinden iletilmesine gerek duyulmaması ve kabulcü bankanın doğrudan kendi sistemleri üzerinden açık kart bilgisine ulaşabilmesi nedeniyle kart verisinin saklanmasına dayalı iş modeline nazaran bildirime konu uygulamanın sigorta şirketleri için daha az maliyet oluşturacağı değerlendirilmektedir.

(92) Özet olarak, ele alınan bu ilk iş akışı, bu alandaki hem işlem maliyetlerini hem de yatırım maliyetlerini azaltab ilecektir. Bu bakımdan, bildirime konu uygulamanın iki farklı iş akışından ilki olan ve sigorta şirketlerinin bankalar ile doğrudan entegre olması ve ihraççı banka tarafından not - on - us işlemlerde otorizasyon yanıtı ile birlikte açık kart bilgilerinin kabul cü banka ile paylaşılmasına dayalı iş akışının, muafiyetin ilk şartı olan ekonomik veya teknik gelişmenin sağlanması şartını karşıladığı kanaatine varılmıştır.

(93) İkinci aşama olarak, SBM’nin sigorta şirketlerine ödeme geçidi hizmeti sunmasına dayalı iş akışı nın muafiyetin ilk şartını karşılayıp karşılamadığının incelenmesi gerekmektedir. SBM’nin iş akışına dâhil olduğu durumda dahi bankalar arasında takas sistemi üzerinden açık kart verisinin paylaşılmasına yönelik işbirliğinin devam etmesi nedeniyle, tekrara düşmemek için aşağıda sadece SBM’nin akışta yer alma fonksiyonu ve bunun etkileri bireysel muafiyetin ilk şartı açısından ele alınacaktır.

(94) Öncelikle belirtilmesi gereken, yukarıda detaylarına yer verilen ve takas sistemi üzerinden bankalar arasında kart v erisinin paylaşılmasını içeren ve bu yönüyle pazarda hâlihazırda deneyimlenmemiş yeni bir hizmetin sunulmasına dayalı işbirliğinin aksine; SBM’nin sigorta şirketlerine ödeme geçidi hizmeti sunması, pazarda yeni bir hizmetin sunulması niteliği taşımamaktadı r. Nitekim sadece sigorta sektörü özelinde değil, genel olarak e - ticaret işlemlerinde ödemelerin alınması için işyerlerinin bankalar ile teknik entegrasyonun sağlanması faaliyetlerinde bulunan çok sayıda kuruluş bulunmaktadır. Gerek ödeme kuruluşlarının su nduğu sanal POS hizmetleri gerek teşebbüslerce sunulan ödeme geçidi hizmetleri, işyerlerinin her bir banka ile ayrı ayrı teknik entegrasyon kurmasından kaynaklanan maliyetleri ortadan kaldırmaktadır.

(95) Gerçekten de BDDK’nın konuya ilişkin bankalara yönelik t alimatında da SBM’nin aracılık fonksiyonuna dair herhangi bir ihtiyaçtan bahsedilmemektedir. Konuya dair BDDK tarafından verilen bilgide, sigorta sektörüne yönelik olarak yürütülen çalışmada sigorta şirketlerinin bu alt yapıya entegre olması için gerekli işlemleri kendi bünyelerinde mi, dış hizmet alımı yoluyla mı yoksa SBM gibi bir yapı üzerinden mi

yürütecekleri hususunun sigorta sektörü paydaşlarının kendi tercihi olduğu belirtilmiştir.

(96) Bu yönüyle SBM’nin sunacağı ödeme geçidi hizmeti, mevcut dosyada me nfi tespit bahsinde yer verilen pazardaki rekabeti sınırlayıcı etkilerini bertaraf edebilecek nitelikte herhangi bir etkinlik artışı sunmamaktadır. Ödeme geçidi hizmetinin bizatihi kendisinden kaynaklanan başta işlem maliyetlerinin düşürülmesi olmak üzere çeşitli etkinlikler ise SBM’nin sunduğu hizmetten bağımsız olarak başka kuruluşlar tarafından sunulan/sunulabilecek ödeme geçidi hizmetlerinde de ortaya çıkmaktadır.

(97) Bu çerçevede, bildirim konusu uygulama kapsamında SBM tarafından sunulacak hizmetin niteli ği dikkate alındığında, söz konusu ödeme geçidi hizmetinin pazarda hâlihazırda hizmet veren PCI DSS sertifikasına sahip farklı oyuncular tarafından sunulduğu ve SBM’nin bahse konu hizmeti sunmasına özgü herhangi bir katma değerin bulunmadığı değerlendirilm ektedir. Her ne kadar SBM üzerinden sisteme entegre olunması sayesinde sigorta şirketleri ile bankalar arasında akdedilecek çok sayıda ikili anlaşmanın doğuracağı maliyetlerden kaçınılabileceği öne sürülebilecekse de, benzer bir fonksiyon pazarda ödeme geç idi hizmeti sunan başka bir teşebbüsten hizmet alınması durumunda da ortaya çıkabilecektir.

(98) Sigorta şirketleriyle bankalar arasındaki organik bağların varlığı ve yine SBM’nin sigorta şirketlerinin yer aldığı teşebbüs birliği niteliğindeki TSB bünyesinde fa aliyet göstermesi, pazarda güvenlik ve kalite algısından bağımsız olarak SBM’nin ödeme geçidi hizmetinin sigorta şirketleri tarafından tercih edilmesi sonucunu doğurabilecektir. Bu durum, pazardaki etkin işleyişi baltalayabilecek ve pazarda ödeme geçidi hi zmeti sunan teşebbüslerin dışlanması sonucunu doğurarak pazardaki çeşitliliği azaltabilecektir. Keza, ödeme geçidi hizmeti sunan teşebbüslerin sigorta sektörü özelinde dışlanması nedeniyle bu teşebbüslerce yapılan yatırımlar boşa çıkabilecek ve bu alandaki yatırımlar/kaynaklar atıl kalabilecektir.

(99) Diğer taraftan, SBM’den elde edilen bilgilerde, SBM’nin kar amacı güden bir kuruluş olmadığı ve SBM tarafından sunulacak ödeme geçidi hizmetinde de kar amacının güdülmeyeceği ifade edilmiştir. Söz konusu durum, ödeme geçidi hizmetini ticari bir faaliyet olarak müşterilerine sunan teşebbüslerin pazarda SBM ile eşit koşullarda rekabet etmesinin önüne geçebilecektir. Aşağıda bireysel muafiyetin üçüncü şartı olan “piyasanın önemli bir bölümünde rekabetin ortadan kalk maması” şartına yönelik değerlendirmelerde detaylıca değinilecek olan bu durum, piyasadaki çeşitliliğin/inovasyonun azalmasına ve rekabetçi sürecin getirdiği etkinlik artışlarından mahrum kalınmasına neden olabilecektir.

(100) Sonuç olarak, değerlendirilen ilk i ş akışı kapsamında ödeme yapılacak açık kart bilgisinin takas sistemi üzerinden bankalar arasında paylaşılmasına ve sigorta şirketlerinin bankalar ile doğrudan ya da pazarda ödeme geçidi hizmeti sunan herhangi bir teşebbüs üzerinden entegre olmasına dayalı iş modelinin, ortaya çıkacak etkinlikler dikkate alındığında bireysel muafiyetin ilk şartını karşıladığı kanaati oluşmuştur. Bununla birlikte bir diğer alternatif olan sigorta şirketlerinin SBM üzerinden bankalar ile entegrasyon kurmasına ve SBM’nin ödeme geçidi hizmeti sunmasına dayalı iş modelinin anılan nedenlerden ötürü bireysel muafiyetin ilk şartı olan ekonomik veya teknik gelişmenin sağlanması şartını taşımadığı kanaatine varılmıştır.

b) Tüketicinin Bundan Yarar Sağlaması

(101) 4054 sayılı Kanun’un 4. maddes i anlamında rekabeti sınırlayıcı etkileri olan bir anlaşmanın muafiyet alabilmesi için tüketicinin ekonomik gelişmeden yarar sağlaması ve ortaya çıkacak faydadan tüketicinin adil bir pay alması bir diğer koşuldur. Tüketiciye yansıyacak yararlar kapsamında; fiyatlarda sağlanacak düşüş, kalitenin ve ürün çeşitliliğinin arttırılması, mal veya hizmet arzında devamlılığın sağlanması gibi hususlar sayılabilir.

(102) Muafiyetin Genel Esaslarına İlişkin Kılavuz’da belirtildiği üzere, muafiyet değerlendirmesi bakımından “tüketici” kavramı, anlaşmadan etkilenen ilgili pazarlardaki mal veya hizmetlerin doğrudan veya dolaylı tüm kullanıcılarını içerecek şekilde anlaşılmalıdır. Söz konusu ürünleri girdi olarak kullananlar, yeniden satışını gerçekleştiren toptancılar ya da pera kendeciler ve bayiler tüketici olarak tanımlanabilir. Tüketici kavramı ürünün yalnızca nihai kullanıcılarını içermemekte, yeniden satış amacıyla alım yapanlar da tüketici olarak tanımlanabilmektedir. Tüketici, gerçek veya tüzel kişi olabilmektedir.

(103) Dosya k onusu uygulama açısından değerlendirildiğinde, bankaların sunacağı entegrasyon hizmeti öncelikli olarak sigorta şirketleri tarafından kullanılaca k, ilaveten sigorta şirketlerinin söz konusu ödeme alt yapısını kendi hizmetlerinin kalitesinin artması amacıyl a girdi olarak kullanması sonucu bu şirketlerin müşterisi konumundaki nihai tüketiciler de söz konusu ödeme alt yapısından faydalanabilecektir. Dolayısıyla mevcut dosya bakımından, sigorta şirketleri ile bu şirketlerin müşterileri tüketici olarak ele alına bilecektir.

(104) Rekabeti kısıtlayıcı bir anlaşmanın muafiyetten yararlanabilmesi için anlaşma sonucunda ortaya çıkan etkinlik kazanımlarının, anlaşmanın rekabet veya tüketiciler üzerinde gerçekleşen veya potansiyel negatif etkisini tüketiciler bakımından telafi etmesi gerekmektedir. Bireysel muafiyetin ilk şartına ilişkin yapılan değerlendirmede benimsendiği üzere, aşağıda öncelikle bildirime konu uygulama kapsamında bankalar arasında açık kart bilgisinin paylaşılmasına dayalı iş modeli muafiyetin ikinci ş artı açısından incelenmiş, devamında sigorta şirketlerinin SBM üzerinden bankalar ile entegrasyon kurmasına ve SBM’nin ödeme geçidi hizmeti sunmasına dayalı iş akışı muafiyetin ikinci şartı bağlamında ele alınmıştır.

(105) Yukarıda belirtildiği üzere sigorta sektöründe gerçekleşen ödemelerde açık kart bilgisinin işyerleri ile paylaşılmasının önüne geçmeyi hedefleyen ve bu kapsamda açık kart bilgisinin işyerleri ile paylaşılmamasına ve not - on - us işlemlerde ihraççı ve kabulcü bankalar arasında takas sistemi üzerinden iletimine dayalı iş modeli sayesinde tüketicilerin kartlarından izinsiz harcama yapılması riski en aza indirgenebilecek ve bu yönüyle sektördeki güvenlik açığı ortadan kaldırılabilecektir. Ayrıca, yine bu iş modeli sayesinde ilave güvenlik yatırımlarına yönelik ihtiyacın ortadan kalkmasıyla ödeme işlemlerindeki işlem maliyet ve süreçleri azalabilecektir.

(106) Banka ya da kredi kartı bilgilerinin çalınması ve rızaları dışında harcama yapılması halinde tüketiciler, kendile rinin yapmadığı harcamalardan sorumlu tutulabilecek yahut söz konusu sorumluluktan kurtulmak için kartı ihraç eden banka nezdinde harcama itiraz prosedürleriyle uğraşmak zorunda kalabilecektir. Buna göre, k redi kartı hamilleri, gerçekleştirmiş oldukları iş lemler karşısında iş yeri ile sorun yaşarsa veya kendisi

tarafından gerçekleştirilmemiş işlemler olduğunu tespit ederlerse; bu işlemlerle ilgili olarak kartı veren bankaya harcama itirazı (chargeback) başvurusunda bulunma hakkına sahiptir. Bu itiraz, ilk o larak kart sahibi tarafından kartının ait olduğu bankaya yapılmakta ve banka tarafından işlemin yapıldığı iş yerine bu talep iletilmektedir. İlgili banka da iş yerinden itiraza konu olan işlem ile ilgili detayları talep etmektedir. Talep edilen detayların yetersiz olması durumunda kart sahibi haklı bulunursa, itiraz edilen işlem tutarı iş yeri bankası tarafından ilgili iş yerinden tahsil edilmekte ve kartın ait olduğu bankaya aktarılmaktadır [11]. Bu çerçevede, kart bilgilerinin çalınmasının ve rıza dışı kullan ılmasının önüne geçebilecek olan bildirime konu ödeme alt yapısı sayesinde tüketiciler doğrudan fayda sağlamaktadır.

(107) Diğer taraftan, bu iş modeli sayesinde sigorta şirketlerinin müşterilerinden ödeme alırken karşılaşabileceği sorun ve maliyetler asgariye i ndirgenebilmektedir. Örneğin, kart verisi saklama hizmetinde verisi saklanan kartın son kullanma tarihinin güncelliğini yitirmesi durumunda karttan ödeme alınamaması sorununa, kart verisinin saklanmayıp her bir ödeme işleminde ihraççı banka nezdindeki kart ın güncel son kullanma tarihinin dikkate alındığı bildirime konu uygulamada rastlanmamakta ve bu yönüyle tüketicilerin sorunsuz bir şekilde ödeme yapmalarına, sigorta şirketlerinin de sorunsuz bir şekilde ödeme almalarına imkân tanınmaktadır.

(108) Ayrıca, bildi rime konu uygulama ile sigorta şirketlerince güvenlik kriterlerine uyum amacıyla yapılması gereken yatırım ve bakım maliyetlerinin düşmesiyle meydana gelecek maliyet avantajlarının sigorta primlerine yansıtılması durumunda tüket iciler dolaylı olarak maliye t avantajı sağlayabilece ktir. Tüm bu hususlar birlikte değerlendirildiğinde, sigorta şirketlerinin bankalar ile doğrudan ya da pazarda ödeme geçidi hizmeti sunan herhangi bir teşebbüs üzerinden entegre olmasına dayalı iş modelinin ortaya çıkaracağı etkinli klerden tüketicilerin yarar sağlayabileceği ve bu bakımdan söz konusu ödeme modelinin, bireysel muafiyetin ikinci şartını karşıladığı değerlendirilmektedir.

(109) Bildirime konu uygulama kapsamında SBM’nin ödeme geçidi hizmeti sunması ve ödemelerin SBM’nin sunacağı arayüz üzerinden gerçekleştirilmesine dayalı alternatif iş akışında ise, SBM’nin bu hizmeti sunmasından kaynaklanan bir verimlilik bulunmadığından tüket iciye yansıyacak herhangi bir faydadan da bahsetmek mümkün görünmemektedir. Aksine, bankaların SBM’ye özel olarak kurdukları entegrasyon vasıtasıyla SBM bünyesinde kar amacı güdülmeksizin ödeme geçidi hizmetinin sunulması, SBM’nin sigorta şirketlerince fin anse edilmesi ile yine sigorta şirketleri ile bankalar arasındaki organik bağlar sebebiyle bu şirketler tarafından sadece SBM’den ödeme geçidi hizmeti alınması sonucunun doğabileceği, bu durumun da piyasadaki oyuncu sayısını azaltarak sunulan hizmet çeşitl iliğinde azalmaya yol açabileceği değerlendirilmektedir. Bu şekilde pazarda ortaya çıkabilecek dışlayıcı etkiler, pazardaki çeşitliliğe zarar verebilecek, bu durum ise nihai olarak tüketici tercihlerinin kısıtlanmasına neden olabilecektir.

(110) Diğer yandan, se ktörün tek bir hizmet sağlayıcısına bağımlı olması muhtemel riskleri artırabilecek ve tüketici güvenliğini tehlikeye atabilecektir. Nitekim SBM’nin söz konusu

[11] https://www.iyzico.com/destek/yardim-merkezi/guvenli-odeme/ters-ibraz-chargeback (Erişim Tarihi: 09.12.2020).

hizmet kapsamında sektör standardı olarak görülen PCI DSS sertifikasına hâlihazırda sahip olmaması dikkate alındığında, SBM’nin pazarda birtakım entegrasyonlar ile bankalarla arasındaki organik bağlar üzerinden ön plana çıkarılması, pazardaki etkin işleyişe zarar verebilecektir.

(111) Tüm bu hususlar birlikte ele alındığında, açık kart bilgisinin bankalar arasında paylaşılmasına dayalı iş modelinin muafiyetin ikinci şartını taşıdığı; ancak sigorta şirketlerinin SBM üzerinden bankalar ile entegre olması durumunda 4054 sayılı Kanun’un 5. maddesinin birinci fıkrasının (b) bendinde ifade edilen tüketici faydası koşulunun karşılanmadığı kanaatine ulaşılmıştır.

c) İlgili Piyasanın Önemli Bir Bölümünde Rekabetin Ortadan Kalkmaması

(112) 4054 sayılı Kanun'un 5. maddesinin (c) bendinde yer alan “İlgili piyasanın önemli bir bölümünde rekabetin ortadan kalkmaması” şeklindeki muafiyet kararı verilebilmesinde aranan bu olumsuz koşul gereğince, muafiyete konu anlaşma ilgili piyasanın önemli bir bölümünde rekabetin ortadan kalkmasına neden olmamalı, başka bir deyişle sağlanan ekonomik gelişme veya fayda ile tüketicinin bundan yarar sağlaması, rekabetin ortadan kaldırılması ile ulaşılan sonuçlar olmamalıdır. Piyasadaki rekabetin tamamen ortadan kalkması halinde kısa vadeli etkinlik kazanımları gerçekleşse dahi bu etkinlik kazanımları; inovasyonun azalması, fiyatların artması ve kaynakların etkin kullanılmaması gibi uzun vadeli olumsuz etkileri telafi edemeyecektir. Bu kapsamda yapılacak incelemede, pazardaki fiili rekabetin yanı sıra potansiyel rekabet de dikkate alınmalıdır.

(113) Muafiyetin ilk iki şartına yönelik yapılan değerlendirmelerde yer verildiği üzere, bildirime konu uygulama kapsamındaki iki farklı iş akışı özelinde muafiyetin üçüncü şartına ilişkin tespitlere aşağıda ayrı ayrı yer verilecek olup değerlendirmeler de yine iki farklı iş akışı için ayrı yapılacaktır.

(114) Dosya konusu uygulama kapsamında ilk olarak kısaca bankalar arasında açık kart bilgisinin paylaşılmasına dayalı iş modeli şeklinde ifade edilen akış incelendiğinde; kurulacak olan ödeme alt yapısının esasen pazara sunulan yeni bir hizmet modeli niteliğinde olduğu ve güncel durumda rakipler tarafından bu hizmet ile birebir niteliklere sahip bir hizmetin verilmediği görülmektedir. Diğer taraftan, bu hizmetin müşterilere sunduğu güvenli ödeme fonksiyonu ile benzer güvenlik fonksiyonlarını haiz başta kart verisi saklama hizmeti olmak üzere çeşitli ödeme çözümleri, bankalar, ödeme kuruluşları ve yazılım şirketleri gibi farklı teşebbüslerce müşterilere sunulmaktadır.

(115) Teknoloji odaklı dinamik bir pazar görünümü veren ödeme hizmetleri pazarında teşebbüslerin, homojen nitelikteki yerleşik ürün ve hizmetlerden ziyade, geliştirdikleri inovatif, katma değerli ve farklılaştırılmış ürün ve hizmetler üzerinden rekabet etme uğraşında oldukları görülmektedir. Bu bakımdan, işyerlerine güvenli ödeme alt yapısı hizmeti sunulmasına yönelik faaliyetler kapsamında rekabet analizi yapılırken sadece aynı iş modeline sahip ürün ve hizmetlerin değil, aynı amaca hizmet eden farklılaştırılmış türdeki ürün ve hizmetlerin de göz önünde bulundurulması gerekmektedir. Diğer bir deyişle, teknolojik gelişmelerin yoğun olarak gözlemlendiği bu alanda, pazar içindeki rekabetin yanı sıra pazar için rekabetin de analizlere dâhil edilmesi önem arz etmektedir.

(116) Ödeme işlemlerinde ihraççı bankadan açık kart bilgilerinin edinilmesine yönelik işbirliği ile kart bilgilerinin güvenli bir biçimde tutulmasına yönelik farklı türdeki hizmetlere ilişkin ihtiyaç, büyük ölçüde ortadan kalkmaktadır. Bu bakımdan, kart verisi saklama hizmeti gibi farklı türde hizmetler, bildirime konu rekabeti sınırlayıcı işbirliğinden yakından etkilenmiş olmaktadır. Ancak, BDDK’nın bankalara verdiği talimat doğrultusunda, söz konusu ödeme alt yapısının yalnızca sigorta sektörüne yönelik ödeme işlemlerini kapsayacak olması nedeniyle bildirime konu uygulama, sigorta sektörü dışındaki sektörlerde alınan çevrimiçi ödemelerde kart verisi saklama ve diğer güvenlik hizmetlerine olan ihtiyaç ve talebi etkilemeyecektir.

(117) İlaveten, her ne kadar BDDK’nın bankalara yönelik talimatı nedeniyle bankaların sigorta sektörü özelinde kartın ilk altı son dört hanesi ve kart sahibinin T.C. kimlik numarası ile ödeme alınabilmesine yönelik alt yapıyı tesis etmeleri bankalar için zorunluluk teşkil etse de, sigorta şirketlerinin bu alt yapıya entegre olma gibi bir zorunluluğu bulunmamaktadır. Bu bakımdan bir sigorta şirketi, bahsi geçen ödeme alt yapısı dışında -gereken güvenlik koşullarının sağlanması şartıyla- farklı ödeme çözüm ve entegrasyonlarını tercih etme noktasında sözleşmesel serbestiye sahiptir.

(118) Bunun yanı sıra, BDDK’nın bankalara talimatı doğrultusunda geliştirilen ve kart bilgilerinin bankalar arasında paylaşımını içeren işbirliğinde, bankalar arasında herhangi bir ayrım gözetilmemekte ve kart kabul ile kart ihraç eden bankalar, üye işyeri edinme veya kredi kartı/banka kartı hizmetleri pazarlarındaki konumlarından bağımsız olarak sisteme eşit koşullarda entegre olup müşterileri olan sigorta şirketlerine hizmet verebilmektedir.

(119) Ayrıca, söz konusu ödeme alt yapısından faydalanması durumunda sigorta şirketlerine, sanal POS tedarik etmek için üye işyeri anlaşması yapabileceği kuruluşlara (bankalar veya ödeme kuruluşları) ilişkin herhangi bir kısıtlama getirilmemektedir. Bildirime konu ödeme alt yapısına entegre olunsa dahi sigorta şirketleri arzu ettiği kuruluş ile üye işyeri edinme anlaşması yapabilecek olup bu alanda teşebbüsler arası rekabet devam edecektir.

(120) Bu noktada, bankalar tarafından tesis edilen işbirliğinden ödeme kuruluşlarının dışlanmaması ve gerekli prosedürleri yerine getiren ödeme kuruluşlarının kendi sanal POS’larından kartın ilk altı son dört hanesi ve kart sahibinin T.C. kimlik numarası ile ödeme alabilmesinin sağlanması kritik öneme sahiptir. Aksi bir senaryoda, yani bankaların açık kart bilgisini yalnızca bankalar arasında kapalı devre olarak paylaşmaları ve ödeme kuruluşlarına bu entegrasyonu sağlamamaları halinde, ödeme kuruluşları üye işyeri edinme pazarından dışlanabilecek ve 6493 sayılı Kanun ile sahip oldukları ticari faaliyetleri yürütme yeteneğinden ve rekabet imkânından yoksun hale gelebileceklerdir.

(121) Nitekim BDDK’nın cevabi yazısında da bu hususa ilişkin olarak, “ödeme kuruluşları da bankalarla gerekli entegrasyonları yapıp gerekli tedbirleri alarak yalnızca Sigorta Şirketlerinin Genel Müdürlüklerine sanal POS tahsis edebilirler.” ifadeleri yer almaktadır. Ayrıca, SBM tarafından sunulan bilgilerde de “mevzuatça izin verilen ödeme kuruluşlarının (lisanslı kuruluşlar), entegrasyondan faydalanabilecekleri” belirtilmektedir.

(122) Diğer taraftan, dosya kapsamında bilgi talep edilen bankalardan gelen cevabi yazılarda, konuya ilişkin muhtelif cevaplar verilmiştir. Örneğin (…..) cevabi yazısında; uygulamanın ödeme kuruluşlarının sanal POS’larından geçen işlemleri de kapsayabileceği belirtilirken, (…..) cevabi yazısında; ilgili ödeme alt yapısının sadece bankaların sigorta şirketlerine verdiği POS’lardan geçen işlemleri kapsadığı, ancak ileriki dönemde uygulamanın ödeme kuruluşlarının sanal POS’larından geçen işlemleri de kapsar hale gelmesi durumunda banka tarafından ilave bir alt yapı çalışmasının yapılmasına gerek olmadığı ifade edilmiştir. (…..) cevabi yazısında ise söz konusu ödeme alt yapısının bankaların sigorta şirketleri ile yapacakları anlaşmalarla sınırlı olduğu beyan edilmiştir. Keza, (…..) cevabi yazısında da; kartın ilk altı son dört hanesi ve T.C. kimlik numarası ile tahsilat alınabilmesine yönelik iş akışının sadece bankaların sigorta şirketlerine sunduğu sanal POS’lardan geçen işlemler ile sınırlı olduğu belirtilmiştir. Benzer şekilde, (…..) cevabi yazısında; ödeme kuruluşlarının hâlihazırda sisteme dâhil olmadığı ifade edilmiştir. (…..) cevabi yazısında ise, ödeme kuruluşlarının bankalardan almış oldukları POS uygulamalarını, anlaşma yaptıkları alt üye işyerlerine kullandırdığı ve bu kapsamda bankadan POS alan ödeme kuruluşunun, bildirime konu ödeme çözümünü de alt işyerlerine kullandırabileceği belirtilmiştir.

(123) Cevabi yazıların incelenmesi neticesinde, sigorta sektörüne yönelik kurgulanan ve banka/kredi kartı numarasının ilk altı son dört hanesi ile kart sahibinin T.C. kimlik numarası ile ödeme alınmasına imkân veren alt yapının ödeme kuruluşlarına da açılmasının ve ödeme kuruluşlarının sigorta şirketlerine tahsis ettiği/edeceği sanal POS’ların sisteme entegre olmasının önünde herhangi bir teknik engelin olmadığı anlaşılmaktadır. Bununla birlikte, hâlihazırda bankaların kendi teknik uyum süreçlerini nihayete erdirmeye çalıştıkları güncel durumda, herhangi bir ödeme kuruluşunun uygulamaya dâhil edilmediği görülmektedir. Ödeme kuruluşlarının sigorta şirketlerine yönelik sanal POS hizmetlerinin çok sınırlı olması ve sigorta şirketlerinin büyük çoğunluğunun bankaların sanal POS’larını kullanıyor olması, ödeme kuruluşlarının bildirime konu uygulamada en baştan itibaren aktif rol almamalarını beraberinde getirmektedir.

(124) Bununla birlikte, 6493 sayılı Kanun ve diğer düzenlemeler uyarınca ödeme kuruluşlarının ticari fonksiyonlarının işler hale gelebilmesi ve ödeme kuruluşlarının üye işyeri edinme/POS hizmetleri pazarında bankalar ile eşit koşullarda rekabet edebilmesi adına, TCMB tarafından yetkilendirilen ve denetlenen ödeme kuruluşlarının bildirime konu ödeme alt yapısına açık, objektif, ayrımcı olmayan ve makul şartlarda erişim sağlaması önem taşımaktadır. Nitekim pazardaki potansiyel rekabetin ve hizmet çeşitliliğinin korunması için söz konusu ödeme alt yapısının, ödeme kuruluşlarının pazardan dışlamasına hizmet eden bir araç haline dönüştürülmemesi gerekmektedir.

(125) Sonuç olarak, ilgili iş akışının genel olarak farklı alanlarda bankalar arasındaki ve sigorta şirketleri arasındaki rekabetin devam etmesine engel teşkil etmediği değerlendirilmektedir. Bununla birlikte, bahse konu alt yapıdan ödeme kuruluşlarının dışlanması durumunda sigorta sektörü özelinde üye işyeri edinme pazarında ağır dışlayıcı etkilerin oluşabileceği, ancak güncel durumda ödeme kuruluşlarının sigorta sektöründeki sanal POS hizmetlerinin çok kısıtlı olması ve bankaların, ilgili ödeme alt yapısından faydalanma yönünde ödeme kuruluşlarından gelen talepleri sistematik bir şekilde geri çevirdiğine ilişkin bulguya rastlanılmaması nedeniyle, güncel durumda

bahsi geçen iş akışının muafiyetin üçüncü şartını taşıdığı, ancak olası dışlayıcı davranışların önüne geçilmesi adına pazardaki gelişmelerin yakından takip edilmesi gerektiği kanaatine varılmıştır.

(126) Mevcut muafiyet koşulu kapsamında ikinci olarak sigorta şirketlerinin SBM üzerinden bankalar ile entegrasyon kurmasına dayalı iş modeli nedeniyle piyasanın önemli bir bölümündeki rekabetin ne şekilde etkilenebileceğinin incelenmesi yerinde olacaktır.

(127) Yukarıda yer verildiği üzere, SBM tarafından sigorta şirketlerine sunulması planlanan ödeme geçidi hizmeti, pazara yeni bir hizmet modeli getirmemekte olup farklı teşebbüsler tarafından gerek sigorta sektöründe gerek başka sektörlerde işyerlerine sunulmakta olan ödeme geçidi hizmetinin SBM üzerinden verilmesinden ibarettir. Bu yönüyle rakip konumundaki sigorta şirketlerince SBM bünyesinde ortak bir şekilde bu faaliyetin yürütülmesi, pazarda herhangi bir etkinlik doğurmamaktadır.

(128) Bunun yanı sıra, SBM bünyesinde bu hizmetin kar amacı güdülmeksizin yürütülecek olması, ödeme geçidi hizmeti sunan diğer teşebbüsler ile SBM arasında eşit rekabet koşullarının olmadığı bir pazar yapısının doğmasına neden olabilecektir. Bu noktada her ne kadar SBM’nin bu hizmeti sadece sigorta sektörüne yönelik verecek olması ve bu hizmeti sunan teşebbüslerin diğer sektörlerde faaliyet göstermelerine bir engel teşkil edilmeyecek olması ileri sürülebilse de; BDDK’nın talimatı uyarınca bahsi geçen ödeme alt yapısının yalnızca sigorta sektörüne özel geliştirilmiş olması, sigorta sektörünü diğer sektörlerden ayrıştırmaktadır. Keza, sigorta sektörünün tekrarlayan ödeme alan sektörlerin başında yer alıyor olması nedeniyle, ödeme çözümleri sunan teşebbüsler açısından sigorta sektörü özelinde rekabet önem arz etmektedir.

(129) Diğer taraftan, kartın ilk altı son dört hanesi ve T.C. kimlik numarasıyla işlem yapılmasına imkân tanıyan entegrasyona ilişkin teknik dokümanlar incelendiğinde, ödeme geçidi hizmeti ile sigorta şirketlerinin sisteme entegre olduğu durumda ödeme geçidi hizmetinin sadece SBM tarafından sunulduğu iş akışına yönelik teknik detayların çalışıldığı, başka bir kuruluş tarafından sunulan ödeme geçidi hizmeti üzerinden sigorta şirketlerinin sisteme entegre olabilmesine imkân tanıyan teknik alt yapıya dair ise herhangi bir çalışmanın yapılmadığı görülmektedir. Söz konusu durumla birlikte sigorta şirketlerinin bankalar ile hissedarlık ilişkileri de dikkate alındığında [12] bankaların ve sigorta şirketlerinin bu alanda SBM’ye öncelik vermesi riski oluşabilecek ve böylelikle ödeme geçidi hizmeti sunan diğer kuruluşların pazardan dışlanması tehlikesi doğabilecektir.

(130) Dosya kapsamında bilgi talep edilen teşebbüslerden gelen cevabi yazılarda da bu hususlar ifade edilmektedir. Örneğin (…..) cevabi yazısında; (…..) ödeme ve elektronik para kuruluşlarına bildirime konu uygulama kapsamında erişim hakkı sağlanıp sağlanamayacağı, SBM sisteminin sigorta şirketleri ile ödeme kuruluşları arasında anlaşma yapılmasını mümkün kılınması halinde ise kart ihraç eden bankanın kart bilgisini ödeme kuruluşları ile paylaşıp paylaşmayacağına dair ciddi endişelerin mevcut olduğu belirtilmiştir. Bu bakımdan, ödeme kuruluşları için böyle bir seçenek üretilmez ise (…..) sigorta sektöründen tamamen dışlanmış ve müşteri kabul edemez hale gelmiş olacağı ifade edilmiştir.

12 Bkz. Dipnot 10.

(131) (…..) cevabi yazısında ise; bildirime konu uygulamanın mevcut hali ile faaliyete geçmesi halinde sigorta sektöründe ödemeye aracılık hizmeti veren diğer tüm ödeme kuruluşlarının ilgili pazardaki faaliyetlerinin sonlanabileceği ve sigortacılık sektöründe ilgili hizmetlere ilişkin bir tekelleşmeye neden olunabileceği belirtilmiştir. Ayrıca, SBM projesinin, hâlihazırda güvenli bir şekilde ödeme kuruluşları tarafından sunulan sanal POS ve ödeme geçidi hizmetlerinin sunulamamasına neden olabileceği, hizmetlerini çeşitlendirmek ve üye işyeri ağını genişletmek için büyük yatırımlar yapan ödeme kuruluşlarının pazarın dışına itilebileceği belirtilmiştir.

(132) (…..) cevabi yazısında; bankaların SBM üyelerinin acenteleri olduğuna dikkat çekilmiş ve bankaların bu hizmet kapsamında SBM’yi bir piyasa oyuncusu olarak pazara sürmelerinin pazardaki rekabeti tehlikeye attığı belirtilmiştir. Hâlihazırda TCMB tarafından yetkilendirilmiş 34 ödeme kuruluşu ve 18 elektronik para kuruluşunun birçoğunun sigorta şirketlerine güvenli ödeme hizmeti sağlayabileceği ve ana faaliyet alanı ödeme hizmeti olmayan, ödeme kuruluşu lisansı almamış, faaliyetleri ve bilgi sistemleri ödeme kuruluşları mevzuatı kapsamında denetlenmeyen bir kuruluşa muafiyet tanınmasının ödeme kuruluşlarına duyulan güveni olumsuz etkileyebileceği ifade edilmiştir. Söz konusu durumun ödeme kuruluşlarının yükümlülüklerini yerine getirmek için yapmış olduğu yatırımların da boşa gitmesine yol açacağı bildirilmiştir.

(133) (…..) cevabi yazısında; ilgili uygulamanın tüm sigorta şirketlerini aynı hizmet kalitesinde aynı ücretlerle çalışmaya itebileceği, yapının tamamen banka odaklı olabileceği ve bu durumun da ödeme kuruluşları ve finansal teknoloji firmalarını rekabetin dışına çıkaracağı endişelerini doğurduğu ifade edilmiştir.

(134) (…..) cevabi yazısında; söz konusu entegrasyonun münhasıran SBM'ye tanımlanması halinde, ödeme kuruluşlarının bankalar ile rekabet ederek, sigorta sektörüne hizmet verme ihtimalinin tamamen ortadan kalkabileceği belirtilmiştir. Bu entegrasyonun münhasıran SBM'ye tanımlanacağı her ne kadar belirtilmemiş olsa da, geçmişte benzer şekilde kart verisi saklama hizmetine ilişkin olarak bankalar tarafından BKM’ye sunulan entegrasyonun, bankalardan defaatle talep edilmesine rağmen ödeme kuruluşlarına sağlanmadığı vurgulanmıştır. SBM ile kurulan bu entegrasyonda rakip ödeme kuruluşlarının sistem dışında bırakılması halinde, bankalar ve SBM arasındaki bu anlaşmaların toplam etkisinin, ödeme kuruluşları açısından dışlayıcı nitelikte olacağı ve açıkça rekabeti kısıtlayıcı bir durum yaratacağı beyan edilmiştir. Cevabi yazıda ayrıca, ödeme hizmetleri konusunda en yüksek güvenlik standartlarının hâlihazırda ödeme kuruluşlarınca karşılanmakta olduğu, ödeme kuruluşlarının bu konudaki yetkinliklerinin SBM'nin yetkinlikleriyle kıyaslanamayacak ölçüde ilerde olduğu belirtilmiş ve bugüne kadar sektörde açıklanan güvenlik zaaflarının hiçbirinin ödeme kuruluşlarıyla ilişkisinin bulunmadığı ifade edilmiştir.

(135) (…..) cevabi yazısında; SBM’nin sigorta sektöründeki yetkilerine atıfta bulunularak SBM’nin kural belirleyici ve aynı anda pazarda faaliyet gösteren bir oyuncu olarak diğer teşebbüslere göre avantajlı bir konum elde edeceği ve yürüteceği faaliyetin rekabeti kısıtlayıcı bir etki yaratacağı belirtilmiştir.

(136) (…..) cevabi yazısında; SBM’nin söz konusu hizmeti ücretsiz veya piyasa koşullarının çok altında bir fiyat ile sigorta firmalarına sunması durumunda pazardaki diğer oyuncuların rekabet anlamında olumsuz etkileneceği belirtilmiştir. Ayrıca, kartın ilk altı son dört hanesiyle işlem yapabilme hizmetinin sadece SBM tarafından verilmesine

yönelik bir kısıtlamanın, kabulcü bankalar tarafından uygulanırsa pazardaki rakip ürün ve hizmetlerin rekabet edemeyecek hale geleceği ifade edilmiştir.

(137) (…..) cevabi yazısında; SBM’nin ödeme teknolojileri ve ödeme güvenliği noktasında yeterli deneyim ve donanıma sahip olmadığı ve hâlihazırda bu alandaki uluslararası standartlara (PCI DSS) uyum göstermediği bilgisine sahip olunduğu belirtilmiştir. Bu bakımdan, SBM’nin sadece kar amacı gütmemesinin değil, fiyata baz oluşturacak maliyetlere dahi katlanmamasının, pazarda bu alana ilişkin alt yapı ve donanım yatırımları yapan teşebbüsler açısından rekabeti zedeleyeceği ifade edilmiştir. Ayrıca SBM’nin, sigorta sektöründe farklı fonksiyonlar açısından merkezi bir role sahip olması nedeniyle, tüm şartların eşit olması durumunda dahi SBM’nin serbest piyasa oyuncusundan çok farklı avantajlara ve yönlendirici konuma sahip olacağı beyan edilmiştir.

(138) Cevabi yazıda ayrıca; sektörün ihtiyaçlarına en hızlı şekilde yanıt veren, güvenlik ve performans anlamında uluslararası standartlara uyumlu ve ödeme teknolojilerindeki uzmanlığı ile sigorta sektörü müşterilerine değer katan hizmet sağlayıcılar vasıtası ile bildirime konu ödeme sistemine erişim mümkün iken; teknik anlamda farklı bir aracı role hiç ihtiyaç olmayan ortamda, hem de tüm tarafların bu alanda tecrübe sahibi olmayan münhasır bir sağlayıcıya güvenlik ve performans anlamında bağımlılığına mahal vererek, serbest rekabeti kısıtlayıcı bir yapı oluşmasının sigorta sektörüne fayda sağlamayacağı ve ödeme teknolojileri hizmetleri alanındaki rekabete büyük zarar vereceği belirtilmiştir.

(139) SBM’nin bankalar ile sigorta şirketleri arasında ödeme geçidi hizmeti vermesine dayalı iş modeline yönelik olarak gerek yapılan incelemeler gerek dosya kapsamında bilgisine başvurulan teşebbüslerden elde edilen bilgiler dikkate alındığında, muafiyetin ilk iki şartını karşılamayan iş modelinin, esasen sigorta sektörüne yönelik ödeme hizmetleri ve buna bağlı faaliyetlerde pazardaki rekabeti ağır bir biçimde sınırlayabileceği ve pazardaki diğer teşebbüsleri pazar dışına itebileceği değerlendirilmektedir. Bu bakımdan, ödeme yapılacak kartın ilk altı ve son dört hanesine ek T.C. kimlik numarası ile ödeme alınmasına imkân sağlayacak alt yapı kapsamında not-on-us işlemlerde bankalar arasında açık kart bilgisinin paylaşımına dayalı iş modeli muafiyetin üçüncü şartını karşılıyor olmakla beraber, SBM’nin ödeme geçidi hizmeti vermesine dayalı iş modelinin, 4054 sayılı Kanun'un 5. maddesinin birinci fıkrasının (c) bendinde belirtilen piyasanın önemli bir bölümünde rekabetin ortadan kalkmaması şartını taşımadığı anlaşılmaktadır.

d) Rekabetin (a) ve (b) Bentlerindeki Amaçların Elde Edilmesi İçin Zorunlu Olandan Fazla Sınırlanmaması

(140) Muafiyetin son şartı anlaşmanın, anlaşma ile hedeflenen etkinlik kazanımlarına erişmek için zorunlu olandan daha fazla sınırlayıcı olmamasını gerektirmektedir. Bu noktada değerlendirilmesi gereken, bildirime konu uygulama kapsamındaki rekabeti kısıtlayıcı hususların anlaşma ile elde edilmek istenen etkinlikler için zorunlu nitelikte olup olmadığıdır. Anlaşmanın zorunlu olup olmadığı, anlaşma ile ortaya çıkması hedeflenen etkinlik kazanımlarının rekabeti daha az sınırlayacak alternatif yollarla elde edilmesinin var olup olmadığı ile ilişkilidir. Eğer etkinlik kazanımları rekabeti daha az sınırlayacak bir yolla elde edilebiliyorsa, muafiyetin son şartı sağlanmamış olacaktır.

(141) Dosya kapsamında ele alınan ilk iş akışına yönelik olarak bankalar arasında açık kart bilgisinin paylaşılmasına dayalı işbirliği kapsamında, sigorta şirketlerine bu alt yapıya entegre olma gibi bir zorunluluk getirilmediği görülmektedir. Sigorta şirketleri, bahsi geçen ödeme alt yapısı dışında -gereken güvenlik koşullarının sağlanması şartıyla- farklı ödeme çözüm ve entegrasyonlarını tercih etme noktasında serbestiye sahiptir. Keza, bildirime konu uygulamada sigorta şirketlerinin hizmet alabileceği banka veya ödeme kuruluşlarına ilişkin herhangi bir sınırlama getirilmemekte olup sigorta şirketleri sanal POS hizmeti alımında kendi tercihleri doğrultusunda istedikleri kuruluş ile çalışabilme konusunda serbestiye sahip olacaktır. Diğer taraftan, fiili durumda sigorta şirketlerinin büyük çoğunluğunun ilgili alt yapıyı kullanır hale gelmesi durumunda pazardaki hizmet çeşitliliğinin sınırlanması söz konusu olabilecekse de, hizmet sunumu noktasında sigorta şirketleri arasında herhangi bir ayrıma gidilmemesi ve sigorta şirketlerinin üye işyeri anlaşması yapabileceği kuruluşlara yönelik sözleşmesel bir sınır getirilmemesi nedeniyle bildirme konu uygulama, rekabeti zorunlu olandan fazla kısıtlayan bir hüküm barındırmamaktadır.

(142) Bununla birlikte, söz konusu ödeme alt yapısına sigorta şirketlerinin SBM üzerinden entegre olması ve SBM’nin ödeme geçidi hizmeti sunmasına dayalı iş modelinde ise, yukarıda detaylı bir şekilde yer verildiği üzere, pazarda dışlayıcı etkiler oluşabilecek ve pazardaki rekabet sınırlandırılabilecektir. Bu noktada, SBM’nin üstleneceği fonksiyonun, kartın ilk altı son dört hanesi ve T.C. kimlik numarası ile ödeme alınmasına imkân tanıyan güvenli ödeme alt yapısının işleyişi için zorunlu olmadığı belirtilmelidir. Nitekim bildirim formunda da söz konusu ödeme alt yapısına sigorta şirketlerinin SBM olmadan da entegre olabileceği belirtilmiş ve SBM’nin ödeme geçidi hizmetinin, sistemin işleyişi için olmazsa olmaz niteliğinin bulunmadığı ortaya konmuştur.

(143) Bir sigorta şirketinin bildirime konu ödeme alt yapısına erişmek için her bir banka ile entegrasyon süreçlerini kendisinin yürütmek istememesi durumunda dahi ilgili sigorta şirketi, bu alanda faaliyet gösteren ve ödeme geçidi hizmeti sunma noktasında tecrübe ve alt yapıya sahip teşebbüslere başvurabilecektir. Nitekim BDDK’nın bankalara yönelik talimatında da sigorta sektöründe kart numarasının ilk altı son dört hanesi ve kart sahibinin T.C. kimlik numarası ile ödeme alınabilmesine yönelik ödeme alt yapısının oluşturulması talep edilmiş olup ilgili talimatta SBM tarafından herhangi bir rol üstlenilmesi öngörülmemiştir. BDDK’nın cevabi yazısında da; sigorta şirketlerinin SBM olmaksızın doğrudan veya başka bir hizmet sunucusu aracılığıyla sisteme dâhil olabileceği ifade edilmiştir. Bu nedenle bildirime konu uygulamanın kendisinden beklenen etkinliklerin meydana gelebilmesi için rekabeti zorunlu olandan fazla sınırlamaması koşulunu karşılamadığı kanaatine ulaşılmıştır.

(144) Dosya kapsamında muafiyetin dört şartına ilişkin ele alınan tüm hususlar birlikte değerlendirildiğinde;

İlk iş akışına yönelik olarak,

- Ödeme yapılacak kartın ilk altı ve son dört hanesi ile birlikte kart sahibinin T.C.

kimlik numarası ile ödeme alınmasını sağlayan sigorta sektörüne yönelik

geliştirilmiş alt yapı dâhilinde not-on-us işlemlerde tüketicilerden açık kart bilgisi

talep edilmeden açık kart bilgisinin bankalar arasında paylaşılarak ödeme

alınabilmesine yönelik işbirliğine dayalı ilk iş akışının 4054 sayılı Kanun’un 5. maddesinde sıralanan muafiyetin dört şartını da karşıladığı,

- 4054 sayılı Kanun’un 5. maddesinde yer alan “Piyasanın önemli bir bölümünde rekabetin ortadan kalkmaması” şartına ilişkin olarak uygulamanın özellikle üye işyeri edinme pazarında bankalar ile ödeme kuruluşları arasındaki rekabete etkilerinin yakından takip edilmesi amacıyla, muafiyet süresinin gerekçeli kararın tebliğinden itibaren üç yıl ile sınırlandırılabileceği,

- Söz konusu ilk iş akışına yönelik ödeme alt yapısının Türkiye Bankalar Birliği koordinasyonunda bankalar arasında gerçekleştirildiği, ancak bu ilk iş akışına ilişkin olarak Kurumumuza bankalar tarafından doğrudan bir başvuruda bulunulmamış olduğundan bahse konu işbirliğinin olası rekabet karşıtı etkileri nedeniyle bu dosya kapsamında incelendiği, bu cihetle söz konusu uygulama hakkında alınacak kararın Türkiye Bankalar Birliğine tebliğ edilmesinin uygun olacağı;

İkinci iş akışına yönelik olarak,

- SBM tarafından yapılan bildirime konu olan ve mevcut dosyada ikinci iş akışı olarak ele alınan SBM’nin ödeme geçidi hizmeti sunmasına dayalı iş akışının piyasada herhangi bir etkinlik artışı doğurmayacağı ve tüketiciler açısından fayda sağlamayacağı, Ayrıca SBM üzerinden gerçekleşecek iş akışının ödeme hizmetlerine ilişkin piyasaların önemli bir bölümünde rekabetin ortadan kalkmasına sebep olabileceği ve aynı zamanda söz konusu iş akışından beklendiği ileri sürülen etkinlik artışlarının sağlanması için SBM’nin sistemde yer almasının zorunlu nitelikte olmadığı ve bu nedenle bahse konu iş akışına muafiyet tanınamayacağı,

sonucuna ulaşılmıştır.

H. SONUÇ

(145) Düzenlenen rapora ve incelenen dosya kapsamına göre,

- Ödeme yapılacak kartın ilk altı ve son dört hanesi ile birlikte kart sahibinin T.C. kimlik numarası ile ödeme alınmasını sağlayan sigorta sektörüne yönelik geliştirilmiş alt yapı dâhilinde not-on-us işlemlerde tüketicilerden açık kart bilgisi talep edilmeden açık kart bilgisinin bankalar arasında paylaşılarak ödeme alınabilmesine yönelik işbirliğini oluşturan uygulamaya, 4054 sayılı Kanun’un 4. maddesi kapsamında olması nedeniyle, aynı Kanun’un 8. maddesi çerçevesinde menfi tespit verilemeyeceğine,

- Bununla birlikte, söz konusu uygulamaya 4054 sayılı Kanun’un 5. maddesi çerçevesinde, gerekçeli kararın Türkiye Bankalar Birliğine tebliğinden itibaren üç yıl boyunca bireysel muafiyet tanınmasına,

- Sigorta Bilgi ve Gözetim Merkezi tarafından bildirilen ve Sigorta Bilgi ve Gözetim Merkezinin ödeme geçidi hizmeti sunmasının öngörüldüğü iş akışına dayalı uygulamaya ise muafiyet tanınamayacağına

gerekçeli kararın tebliğinden itibaren 60 gün içinde Ankara İdare Mahkemelerinde yargı

yolu açık olmak üzere, OYBİRLİĞİ ile karar verilmiştir.