Banka ve Müşteri Sırrı Kimlere Açıklanabilir? 5411 m.73 | 2026
Kısa ve net cevap: 5411 sayılı Bankacılık Kanunu m.73’e göre banka ve müşteri sırrı, kanunen açıkça yetkili kılınan merciler ve maddede düzenlenen istisnalar dışında açıklanamaz ve başkasının yararına kullanılamaz. Banka ile müşteri ilişkisi kurulduktan sonra oluşan gerçek veya tüzel kişiye ait veriler müşteri sırrı hâline gelir. İstisna dışında, müşteri KVKK kapsamında açık rıza vermiş olsa bile müşteriden gelen bir talep veya talimat olmaksızın bu bilgiler yurt içindeki veya yurt dışındaki üçüncü kişilerle paylaşılamaz. Paylaşım her hâlükârda amaçla sınırlı ve ölçülü olmalıdır.
Bankacılık Kanunu m.73 Ne Düzenliyor?
Bankacılık Kanunu m.73, bankacılık sistemindeki sır saklama yükümlülüğünün temel hükmüdür. Düzenleme hem kamu otoritesinde görev yapan kişileri hem bankalar nedeniyle sır niteliğinde bilgiye ulaşan özel hukuk kişilerini kapsar. Kurul başkan ve üyeleri, BDDK personeli, Fon Kurulu başkan ve üyeleri, TMSF personeli ve Kurumun dışarıdan destek hizmeti aldığı kişi ve kuruluşlar görevleri sırasında öğrendikleri banka ve müşteri sırlarını yetkisiz kişilere açıklayamaz.
Madde ayrıca sıfat ve görevleri nedeniyle bankalara veya müşterilerine ait sırları öğrenen kişilere genel bir sır saklama yükümlülüğü getirir. Bu yükümlülük görev sona erdiğinde ortadan kalkmaz. Dolayısıyla banka çalışanının işten ayrılması, yöneticinin görevinin bitmesi veya kamu görevlisinin başka göreve geçmesi sır saklama borcunu sona erdirmez.
Müşteri Sırrı Ne Zaman Oluşur?
2020 yılında yapılan değişiklikle m.73’e açık bir tanım ölçütü eklendi. Bankacılık faaliyetlerine özgü olarak banka ile müşteri ilişkisi kurulduktan sonra oluşan gerçek ve tüzel kişilere ait veriler müşteri sırrı hâline gelir. Bu hüküm, sadece hesap bakiyesi veya kredi borcu gibi klasik finansal bilgileri değil, müşteri ilişkisi içinde oluşan bankacılık verilerini de kapsar.
BDDK’nın Sır Niteliğindeki Bilgilerin Paylaşılması Hakkında Yönetmeliği daha ayrıntılı bir çerçeve kurar. Müşteri ilişkisi kurulmadan önce başka kaynaktan var olan bir veri tek başına müşteri sırrı olmayabilir; ancak kişinin belirli bir bankanın müşterisi olduğunu gösterecek biçimde müşteri ilişkisi sonrasında oluşan verilerle birlikte işlendiğinde sır niteliği kazanabilir.
Banka Sırrı ile Müşteri Sırrı Aynı Şey mi?
Hayır. Müşteri sırrı müşteriye ilişkin bankacılık ilişkisi içinde oluşan gizli bilgileri ifade eder. Banka sırrı ise bankanın kendi ticari, finansal, operasyonel ve kurumsal yapısına ilişkin sır niteliğindeki bilgileri kapsar. İki kavramın koruma amacı farklı olsa da m.73 ve ilgili Yönetmelik paylaşım bakımından ortak sınırlamalar getirir.
Örneğin belirli müşterinin hesap hareketi müşteri sırrıdır. Bankanın henüz kamuya açıklanmamış risk modeli, iş stratejisi veya bazı iç denetim verileri ise şartlarına göre banka sırrı niteliğinde olabilir. Bir bilgi hem müşteri hem banka bakımından birden fazla koruma rejimine tabi de olabilir.
Müşterinin Açık Rızası Tek Başına Yeterli mi?
Hayır. Bankacılık Kanunu m.73’ün en önemli özelliklerinden biri, müşteri sırrı bakımından KVKK’daki genel açık rıza mantığından daha sıkı bir kural getirmesidir. Diğer kanunların emredici hükümleri saklı kalmak kaydıyla ve m.73’teki istisnalar dışında, müşteri açık rıza vermiş olsa dahi müşteriden gelen bir talep veya talimat olmadan müşteri sırrı yurt içindeki veya yurt dışındaki üçüncü kişilere paylaşılamaz.
Bu nedenle bankanın “aydınlatma metninde onay aldım” demesi her paylaşım için tek başına yeterli değildir. Paylaşımın hangi hukuki istisnaya veya hangi müşteri talimatına dayandığı ayrıca belirlenmelidir. BDDK Yönetmeliği, müşterinin talep veya talimatının yazılı veya kanıtlanabilir kalıcı veri saklayıcısı yoluyla alınabilmesini ve belirli şartlarla değiştirilebilir veya geri alınabilir olmasını düzenler.
Müşteri Talimatı Bankacılık Hizmetinin Ön Şartı Yapılabilir mi?
BDDK’nın Sır Niteliğindeki Bilgilerin Paylaşılması Hakkında Yönetmeliği, müşteri sırrının paylaşımına ilişkin açık rıza, talep veya talimatın bankanın sunacağı hizmet için kural olarak zorunlu ön şart hâline getirilmesini kabul etmez. Müşteri gerçekten gerekli olmayan bir veri aktarımına zorlanarak hizmetten yararlanma seçeneğini kaybetmemelidir.
Ancak bankanın belirli hizmeti sağlayabilmesi için kanuni olarak zorunlu bir aktarım veya hizmetin doğası gereği gerekli bir işlem varsa bu durum ayrıca değerlendirilir. Banka, hangi verinin hangi amaçla ve hangi hukuki dayanakla paylaşılacağını somut biçimde belirlemelidir.
Yetkili Kamu Mercilerine Bilgi Verilmesi Sır İhlali midir?
Kanunen açıkça yetkili kılınmış mercilere, yetki sınırları içinde bilgi verilmesi m.73’teki sır saklama yasağının ihlali sayılmaz. Ancak talebin gerçekten kanuni yetkiye dayanması, istenen bilginin talebin kapsamıyla sınırlı olması ve gereğinden fazla veri verilmemesi gerekir.
Örneğin mahkeme, savcılık, vergi idaresi veya başka bir kamu kurumunun her talebi aynı kapsamda değildir. Banka gelen yazının dayanağını, yetkili makamı, istenen veri aralığını ve paylaşımın ölçülülüğünü kontrol etmelidir. Yetkisiz veya aşırı geniş bir talebe sırf “resmî yazı” olduğu için sınırsız veri aktarılması doğru değildir.
Bankalar Kendi Aralarında Bilgi Paylaşabilir mi?
m.73, belirli şartlarla bankalar ve finansal kuruluşlar arasında doğrudan veya Risk Merkezi ya da en az beş banka veya finansal kuruluş tarafından kurulacak şirketler üzerinden bilgi ve belge alışverişini sır saklama yükümlülüğünün istisnaları arasında düzenler. Bunun için ilgili hükümlerdeki şartların ve gizlilik yükümlülüklerinin yerine getirilmesi gerekir.
Bu düzenleme kredi riskinin ölçülmesi, dolandırıcılık riskinin önlenmesi ve finansal sistemin sağlıklı çalışması bakımından önemlidir. Ancak istisna bulunması her türlü verinin sınırsız biçimde paylaşılabileceği anlamına gelmez. Amaçla sınırlılık ve ölçülülük ilkesi istisna hâllerinde de devam eder.
Risk Merkezi Paylaşımı Neden Önemli?
Bankaların müşterinin finansal riskini doğru değerlendirebilmesi için farklı finansal kuruluşlardaki kredi ve ödeme performansı belirli yasal sistemler üzerinden görülebilir. Bu amaçla yapılan bilgi paylaşımı, m.73’teki istisna yapısı ve özel düzenlemeler içinde yürütülür.
Risk Merkezi raporunda yanlış veya güncel olmayan kayıt bulunduğunu düşünen kişiler için ayrı düzeltme mekanizmaları vardır. Sitemizdeki Risk Merkezi raporu ve kayıt düzeltme rehberi bu süreci müşteri açısından ele almaktadır.
Grup Şirketleri Arasında Müşteri Bilgisi Paylaşılabilir mi?
Bir bankanın aynı holding içinde bulunması, tüm grup şirketlerinin müşteri bilgilerine sınırsız erişebileceği anlamına gelmez. Bankacılık Kanunu m.73 ve BDDK Yönetmeliği, grup içi paylaşım için de hukuki dayanak, amaç, kapsam ve ölçülülük şartlarını arar.
Konsolide finansal tablo hazırlama, risk yönetimi, iç denetim, değerleme veya kanunda sayılan belirli işlemler bakımından istisnalar bulunabilir. Buna karşılık yalnız pazarlama kolaylığı amacıyla müşteri verisinin grup içinde kontrolsüz biçimde dolaştırılması m.73’ün sistematiğiyle bağdaşmaz.
Yurt Dışına Banka veya Müşteri Sırrı Aktarılabilir mi?
Yurt dışına aktarım, m.73 bakımından ayrıca sıkı kurallara tabidir. Müşteri sırrı niteliğindeki bilgilerin üçüncü kişilere aktarımında kanuni istisna veya müşteri talimatı bulunmalıdır. Ayrıca BDDK, ekonomik güvenliğe ilişkin değerlendirmesi sonucunda banka veya müşteri sırrı niteliğindeki verilerin yurt dışındaki üçüncü kişilerle paylaşılmasını veya aktarılmasını yasaklama yetkisine sahiptir.
Kurul ayrıca bankaların faaliyetlerini yürütmede kullandıkları bilgi sistemleri ve yedeklerinin yurt içinde bulundurulmasına ilişkin karar alabilir. Bu nedenle uluslararası bulut hizmeti, grup içi veri merkezi veya yabancı hizmet sağlayıcı kullanımı sadece KVKK açısından değil Bankacılık Kanunu m.73 ve BDDK düzenlemeleri açısından da incelenmelidir.
Paylaşımda Ölçülülük İlkesi Ne Anlama Gelir?
m.73, sır niteliğindeki bilgilerin sadece belirtilen amaçla sınırlı ve bu amacın gerektirdiği kadar veri içerecek şekilde paylaşılmasını şart koşar. BDDK Yönetmeliği de aynı ilkeyi somutlaştırır. Amaca ulaşmak için daha az veri yeterliyse daha geniş veri setinin paylaşılması ölçülü kabul edilmez.
Örneğin bir doğrulama işlemi için sadece “borcu vardır/yoktur” bilgisi yeterliyken ayrıntılı hesap hareketlerinin gönderilmesi gerekli olmayabilir. Banka paylaşım öncesinde veri minimizasyonu yapmalı, mümkünse kimliksizleştirme veya toplulaştırma yöntemlerini kullanmalıdır.
Anonimleştirme ve Kimliksizleştirme Ne Sağlar?
Sır niteliğindeki bilginin paylaşım amacı, kimliği belirli müşterinin açıklanmasına gerek olmadan gerçekleştirilebiliyorsa anonimleştirme veya kimliksizleştirme önemli bir uyum aracıdır. Yönetmelik, amaca daha az veriyle ulaşılması mümkünse bunun tercih edilmesi gerektiğini vurgular.
Ancak bir veri setine isim yazılmaması tek başına anonimleştirme anlamına gelmez. Diğer verilerle birleştirildiğinde kişinin yeniden belirlenmesi mümkünse veri hâlâ korunan nitelikte olabilir. Teknik yöntem ile hukuki değerlendirme birlikte yapılmalıdır.
Hizmet Sağlayıcıya Veri Aktarımı Mümkün mü?
Bankalar bilgi teknolojisi, çağrı merkezi, arşivleme, bağımsız denetim, değerleme veya başka destek hizmetleri için dış kuruluşlarla çalışabilir. Bu durum müşteri sırrının serbestçe aktarılabileceği anlamına gelmez. Bankacılık Kanunu m.73, hizmet alımlarını belirli şartlarla istisna kapsamında değerlendirebilir; sözleşmesel gizlilik, amaçla sınırlılık ve gerekli teknik-idari tedbirler uygulanmalıdır.
Bankaların destek hizmeti almasına ilişkin m.35 yükümlülükleri de veri paylaşımı değerlendirmesinde birlikte ele alınmalıdır.
Banka Çalışanı Müşteri Bilgisini Yakınıyla Paylaşabilir mi?
Hayır. Çalışanın görevi nedeniyle öğrendiği müşteri sırrını eş, akraba, arkadaş veya başka bir kişiyle paylaşması için hukuki bir yetki bulunmaz. Bilginin sosyal medya, mesajlaşma uygulaması veya sözlü konuşma yoluyla paylaşılması da sır ihlali niteliğini değiştirmez.
Yetkisiz açıklama, Bankacılık Kanunu’nun cezai hükümleri yanında şartlarına göre kişisel verilerin korunması ve özel hayatın gizliliğine ilişkin başka sorumluluklar da doğurabilir. Mevcut TCK 239 ticari ve müşteri sırrı rehberi cezai boyutu ayrıca ele almaktadır.
Müşteri Sırrı Görevden Ayrılınca Açıklanabilir mi?
Hayır. m.73 açıkça sır saklama yükümlülüğünün görevden ayrıldıktan sonra da devam edeceğini düzenler. Emeklilik, istifa, işten çıkarma veya kurum değişikliği sır niteliğindeki bilgiyi serbest bilgi hâline getirmez.
Bu kural banka çalışanları kadar BDDK ve TMSF personeli gibi kamu görevlileri bakımından da önemlidir. Eski görev nedeniyle edinilen bilgilerin ticari danışmanlıkta, yeni işverende veya kişisel çıkar için kullanılması yasaktır.
Bilgi Paylaşım Komitesi Nedir?
Sır Niteliğindeki Bilgilerin Paylaşılması Hakkında Yönetmelik bankalar bakımından bilgi paylaşım komitesine ilişkin düzenleme içerir. Komitenin amacı, sır niteliğindeki bilgilerin paylaşım taleplerinin mevzuata, amaçla sınırlılık ve ölçülülük ilkelerine uygun biçimde yönetilmesidir.
Bankanın paylaşım kararlarını dağınık birimlerin takdirine bırakmak yerine merkezi ve kayıt altına alınmış bir süreçte değerlendirmesi, hem müşteri haklarını hem bankanın ispat ve uyum yükümlülüğünü güçlendirir.
Bankada Sır Paylaşımı İçin Uygulama Kontrol Listesi
- Bilginin banka sırrı mı müşteri sırrı mı olduğunu belirleyin.
- Paylaşımın açık kanuni istisnasını veya müşterinin talep/talimatını kaydedin.
- Alıcının gerçekten yetkili kişi veya kurum olduğunu doğrulayın.
- Paylaşımın amacını somut ve kayıt altına alınabilir biçimde tanımlayın.
- Amaca ulaşmak için gereken en az veri setini belirleyin.
- Gereksiz alanları maskeleyin, mümkünse kimliksizleştirin veya anonimleştirin.
- Yurt dışı aktarımında BDDK kısıtları ile KVKK hükümlerini birlikte kontrol edin.
- Hizmet sağlayıcılarda sözleşmesel gizlilik ve teknik-idari güvenlik önlemlerini uygulayın.
- Paylaşım kararını ve gönderilen veri setini sonradan denetlenebilir biçimde saklayın.
Müşteri Bilgisi Yanlış Kişiye Gönderilirse Ne Yapılmalı?
Yanlış alıcıya müşteri sırrı gönderilmesi sır saklama yükümlülüğünün ihlali yanında kişisel veri ihlali de doğurabilir. Banka olayın kapsamını, hangi verinin paylaşıldığını, veriye erişilip erişilmediğini ve geri alma/silme imkânını derhal tespit etmelidir.
KVKK bakımından veri ihlali bildirim yükümlülükleri, Bankacılık Kanunu bakımından iç kontrol ve uyum süreçleri, sözleşmesel sorumluluk ve müşteri bilgilendirmesi birlikte ele alınmalıdır. Olayın kayıt dışı bırakılması veya yalnız teknik bir hata olarak kapatılması doğru değildir.
Resmî Kaynaklar
- 5411 sayılı Bankacılık Kanunu – Mevzuat Bilgi Sistemi
- BDDK – Bankacılık Mevzuatı ve Sır Niteliğindeki Bilgilerin Paylaşılması Hakkında Yönetmelik
- Kişisel Verileri Koruma Kurumu
Sık Sorulan Sorular
Banka hesap bakiyemi üçüncü kişiye söyleyebilir mi?
Kanuni yetki, m.73’teki bir istisna veya müşterinin gerekli talep/talimatı bulunmadan hesap bilgisi üçüncü kişiye açıklanamaz.
Açık rıza müşteri sırrını paylaşmak için tek başına yeterli mi?
İstisna hâlleri dışında hayır. m.73, açık rıza alınsa dahi müşteriden gelen talep veya talimat olmaksızın üçüncü kişi paylaşımını yasaklar.
Banka bilgileri yurt dışındaki grup şirketine gönderebilir mi?
Grup ilişkisi tek başına sınırsız aktarım yetkisi vermez. Kanuni istisna, amaç, ölçülülük, BDDK kuralları ve gerekiyorsa müşteri talimatı değerlendirilmelidir.
Mahkeme bankadan hesap hareketi isteyebilir mi?
Kanunen yetkili mahkemenin usulüne uygun talebi, yetki ve talep kapsamı içinde karşılanabilir. Gereksiz veri paylaşılmamalıdır.
Görevden ayrılan banka çalışanı eski müşterilerin bilgilerini açıklayabilir mi?
Hayır. Sır saklama yükümlülüğü görevden ayrıldıktan sonra da devam eder.
Bankalar kendi aralarında kredi bilgisi paylaşabilir mi?
Kanunda ve ilgili düzenlemelerde belirtilen istisna ve sistemler kapsamında, özellikle risk değerlendirmesi amacıyla belirli bilgi paylaşımları mümkündür.
Müşteri sırrı ile kişisel veri aynı kavram mı?
Hayır. Kapsamları kesişebilir ancak hukuki dayanakları farklıdır. Müşteri sırrı gerçek kişiler yanında tüzel kişiler bakımından da söz konusu olabilir.
Banka sırrı paylaşımında ölçülülük zorunlu mu?
Evet. m.73 ve BDDK Yönetmeliği, istisna hâllerinde dahi paylaşımın amaçla sınırlı ve gerekli veri miktarıyla ölçülü olmasını ister.
Yanlış kişiye ekstre gönderilmesi ihlal midir?
Somut verinin niteliğine göre hem bankacılık sırrı hem kişisel veri ihlali gündeme gelebilir. Banka olayı derhal incelemeli ve gerekli bildirim/önlemleri uygulamalıdır.
Banka müşterinin veri paylaşım talimatını geri almasına izin vermeli mi?
BDDK Yönetmeliği, talep veya talimatın alındığı yöntemler üzerinden belirli şartlarla değiştirilebilir veya iptal edilebilir olmasını düzenler.
Sonuç
Bankacılık Kanunu m.73, banka ve müşteri sırrını koruyan özel ve sıkı bir gizlilik rejimi kurar. Müşteri ilişkisi sonrasında oluşan bankacılık verileri müşteri sırrıdır; istisnalar dışında açık rıza dahi tek başına üçüncü kişi paylaşımı için yeterli değildir. Banka her paylaşımda hukuki dayanak, amaç, ölçülülük ve veri minimizasyonunu ayrı ayrı kontrol etmelidir. Yurt dışı aktarım, grup içi paylaşım, hizmet sağlayıcı kullanımı ve kamu makamı talepleri de aynı disiplin içinde yönetilmelidir.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
