Uzaktan Kimlik Tespitinde IP, Cihaz Kimliği ve Coğrafi Konum Neden Kontrol Edilir? SPK m.8/A/1-ç | 2026
Güncel kontrol tarihi: 16 Eylül 2026. Yabancı gerçek kişinin aracı kurum, portföy yönetim şirketi veya kripto varlık hizmet sağlayıcı nezdinde pasaportla uzaktan müşteri olmasında yalnız pasaport ve görüntülü görüşme kontrol edilmez. 3 Eylül 2026 tarihli SPK değişikliği, müşterinin işlem yaptığı elektronik ortamdan elde edilen teknik verilerin de pasaport bilgileriyle birlikte risk temelli yaklaşımla değerlendirilmesini zorunlu hale getirdi.
Bu yazıyla ilgili genel bir sorunuz mu var? Anonim soru sor
Kısa ve Net Cevap
SPK III-42.1 sayılı Tebliğ m.8/A/1-ç uyarınca; IP/port bilgisi, cihaz kimliği, coğrafi konum, tarayıcı bilgileri ve benzeri teknik veriler ile pasaporttaki bilgiler risk temelli yaklaşımla değerlendirilir. Bu değerlendirme sonucunda şüpheli bir durum saptanırsa uzaktan kimlik tespiti süreci sonlandırılır.
Bu hüküm, her IP değişikliğinin veya her farklı coğrafi konumun otomatik olarak şüpheli işlem sayıldığı anlamına gelmez. Mevzuat teknik verilerin bütüncül ve risk temelli değerlendirilmesini ister. Ancak kuruluş bu verileri hiç toplamadan veya değerlendirmeden yabancı pasaportla uzaktan müşteri kabul sürecini tamamlamamalıdır.
Hukuki Dayanak
III-42.1 sayılı Tebliğe m.8/A, 3 Eylül 2026 tarihli ve 33359 sayılı Resmî Gazete’de yayımlanan III-42.1.b sayılı Tebliğle eklendi. Maddenin birinci fıkrasının (ç) bendi, müşterinin işlem yaptığı elektronik ortamdan elde edilen teknik veriler ile pasaporttaki bilgilerin risk temelli yaklaşımla değerlendirilmesini zorunlu kılar.
Hüküm örnek olarak IP/port bilgisi, cihaz kimliği, coğrafi konum ve tarayıcı bilgisini sayar ve “ve benzeri” diyerek teknik veri kategorisini kapalı liste olarak sınırlamaz. Bununla birlikte toplanan her veri, uzaktan kimlik tespiti ve güvenlik amacıyla bağlantılı, hukuka uygun ve ölçülü şekilde işlenmelidir.
Resmî düzenleme 3 Eylül 2026 tarihli Resmî Gazete, sermaye piyasası kaynakları SPK üzerinden izlenebilir.
Hangi Teknik Veriler Kontrol Edilir?
Mevzuatın açıkça saydığı ilk veri IP/port bilgisidir. IP, internet bağlantısının ağ tarafındaki tanımlayıcı bilgilerini; port ise bağlantının teknik iletişim kanalını anlamaya yardımcı olabilir. İkinci veri kategorisi cihaz kimliğidir. Kullanılan cihazın güvenlik ve oturum bağlamında ayırt edilmesini sağlayan teknik tanımlayıcılar bu kapsamda değerlendirilebilir.
Üçüncü açık kategori coğrafi konum, dördüncü ise tarayıcı bilgileridir. Bunlara ilave olarak m.8/A/1-ç “ve benzeri” teknik veriler ifadesini kullanır. Kuruluşun kullandığı diğer teknik göstergeler de risk yönetimi amacıyla değerlendirilebilir; ancak veri toplamanın kapsamı kişisel verilerin korunması ilkelerine uygun olmalıdır.
Pasaport Bilgileriyle Teknik Veri Nasıl İlişkilendirilir?
Hüküm teknik verilerin yalnız başına incelenmesini değil, pasaporttaki bilgilerle birlikte risk temelli değerlendirme yapılmasını ister. Örneğin kişinin beyan ettiği ülke, adres ve kimlik bilgileri ile oturumun teknik bağlamı arasında açıklanması gereken ciddi çelişki varsa kuruluş bunu görmezden gelemez.
Buna karşılık teknik verinin tek başına kesin kimlik kanıtı olmadığı da unutulmamalıdır. Bir kişi seyahat ediyor, mobil ağ kullanıyor veya kurumsal ağ üzerinden bağlanıyor olabilir. Bu nedenle mevzuat “otomatik ret” yerine risk temelli değerlendirme kurgular; şüpheli durum ortaya çıktığında ise süreç sonlandırılır.
Risk Temelli Yaklaşım Ne Demektir?
Risk temelli yaklaşım, her müşteriye ve her teknik işarete aynı sonucu bağlamak yerine, kimlik tespiti sürecinin bütün unsurlarını birlikte değerlendirerek riskin ağırlığına uygun kontrol uygulanmasıdır. Pasaport verisi, NFC sonucu, görüntülü görüşme, adres bilgisi ve teknik oturum verileri birbirini doğruluyorsa risk değerlendirmesi farklı; ciddi ve açıklanamayan uyumsuzluklar varsa farklı sonuç verir.
M.8/A’nın diğer fıkraları da aynı yaklaşımı tamamlar. Pasaportla uzaktan kabul edilen müşteriler m.8/A/3 gereği yüksek riskte izlenir; adres teyidi yapılmadan m.8/A/1-c kapsamındaki transfer ve virmanlar yapılamaz; para fonlaması ise m.8/A/4 uyarınca kendi yurt dışı banka hesabından SWIFT ile gerçekleşir.
Şüpheli Durum Saptanırsa Ne Olur?
M.8/A/1-ç’nin sonucu açıktır: yapılan değerlendirme neticesinde şüpheli bir durum saptanması hâlinde uzaktan kimlik tespiti süreci sonlandırılır. Kuruluş, önemli bir kimlik veya güvenlik şüphesine rağmen yalnız satış hedefi veya müşteri talebi nedeniyle süreci tamamlayamaz.
Sürecin sonlandırılması, her durumda kişinin suç işlediği anlamına gelmez. Buradaki sonuç, bu uzaktan müşteri kabul yönteminin güvenli şekilde tamamlanamamasıdır. Ayrı bir şüpheli işlem bildiriminin doğup doğmadığı, kendi mevzuatı ve somut olaya göre ayrıca değerlendirilir.
VPN Kullanmak Otomatik Ret Nedeni mi?
M.8/A/1-ç “VPN kullanılması hâlinde hesap açılamaz” şeklinde özel bir cümle içermez. Bu nedenle yalnız VPN kullanımı üzerinden otomatik ve genel bir hukuk kuralı kurmak doğru değildir. Ancak VPN, IP ve coğrafi konum gibi teknik verilerin değerlendirilmesini etkileyebilir ve kuruluşun risk analizinde açıklanması gereken bir unsur olabilir.
Kullanıcının gerçek konumunu veya kimlik bağlamını gizlemek amacıyla yanıltıcı teknik yöntem kullanması, risk değerlendirmesini olumsuz etkileyebilir. Meşru güvenlik veya kurumsal ağ kullanımı gibi durumlar ise somut koşullara göre değerlendirilmelidir. En güvenli yaklaşım, uzaktan kimlik tespiti sırasında kuruluşun resmi uygulamasını olağan ve şeffaf teknik koşullarda kullanmaktır.
Başvuru Sırasında Cihaz Değişirse Ne Olur?
Mevzuat cihaz değişikliğini tek başına yasaklamaz; ancak cihaz kimliği açıkça değerlendirilecek teknik verilerden biridir. Başvuru bir cihazda başlayıp başka bir cihazda devam ediyorsa kuruluş oturum bütünlüğünü ve kimlik tespiti güvenliğini korumak zorundadır.
Kuruluşun sistemi yeniden kimlik doğrulaması isteyebilir, süreci baştan başlatabilir veya ek kontrol uygulayabilir. Kullanıcının amacı bu kontrolleri aşmak değil, kimlik tespitini mevzuata uygun biçimde tamamlamak olmalıdır.
Coğrafi Konum Pasaporttaki Ülkeyle Aynı Olmak Zorunda mı?
Hayır; pasaport vatandaşlığı veya düzenleyen ülke ile kişinin başvuru anındaki fiziksel konumu aynı olmak zorunda değildir. Bir yabancı Türkiye’de seyahatte, başka bir ülkede ikamet ediyor veya üçüncü bir ülkede geçici olarak bulunuyor olabilir. M.8/A/1-ç’nin amacı basit ülke eşitliği kontrolü değil, teknik veriler ve pasaport bilgileri üzerinden risk temelli değerlendirmedir.
Ancak kişinin beyan ettiği adres, başvuru amacı ve teknik konum arasında önemli, açıklanamayan çelişkiler varsa kuruluş bunları değerlendirmek zorundadır. Adres doğrulaması da m.8/A/1-c uyarınca ayrı şekilde yapılır.
IP ve Konum Verilerinin İşlenmesi KVKK’ya Tabi mi?
Evet. IP, cihaz kimliği, konum ve tarayıcı verileri belirli veya belirlenebilir kişiyle ilişkilendirilebildiği ölçüde kişisel veri niteliği taşıyabilir. 6698 sayılı KVKK bakımından işleme faaliyetinin hukuki sebebi, amacı, ölçülülüğü, güvenliği ve aydınlatma yükümlülüğü ayrıca değerlendirilir.
M.8/A/1-ç, sermaye piyasası kuruluşuna uzaktan kimlik tespitinde bu teknik verileri risk temelli değerlendirme görevi verir. Bu açık düzenleyici yükümlülük, verilerin amaç dışı sınırsız kullanılmasına izin vermez. Kuruluş veri minimizasyonu, erişim güvenliği ve saklama yönetimini de yürütmelidir.
Teknik Veriler Pazarlama İçin Kullanılabilir mi?
M.8/A/1-ç’nin hukuki amacı uzaktan kimlik tespiti ve risk değerlendirmesidir. Bu düzenleme, teknik verilerin otomatik olarak reklam, davranışsal profilleme veya başka ticari amaçlarla serbestçe kullanılmasına dayanak oluşturmaz. Başka amaçlarla veri işlenmesi kendi KVKK hukuki sebebi ve şeffaflık şartları içinde değerlendirilmelidir.
Kullanıcı açısından da kuruluşun aydınlatma metninde hangi verilerin hangi amaçlarla işlendiği ve hangi hukuki sebeplere dayandığı kontrol edilmelidir.
NFC Kontrolü ile Teknik Veri Kontrolü Aynı mı?
Hayır. NFC doğrulaması m.8/A/1-a’ya göre pasaport yongasındaki kimlik bilgilerinin pasaport üzerindeki bilgilerle eşleşmesini kontrol eder. Teknik veri değerlendirmesi ise m.8/A/1-ç uyarınca bağlantı ve cihaz ortamına ilişkin riskleri ele alır.
Bu iki kontrol birbirini tamamlar. NFC’nin başarılı olması IP/cihaz risklerini ortadan kaldırmaz; teknik verilerin normal görünmesi de başarısız NFC doğrulamasını telafi etmez. NFC başarısızlığının hukuki sonucu için NFC Pasaport Okunmazsa Hesap Açılır mı? yazımız incelenebilir.
Adres Teyidi ile Coğrafi Konum Aynı Şey mi?
Hayır. Coğrafi konum m.8/A/1-ç kapsamında teknik risk verisidir. Adres teyidi ise m.8/A/1-c’de yerleşim yeri belgesi, kişinin adına düzenlenmiş güncel adres temelli fatura, kamu kurumu belgesi veya ilgili ülkenin kamuya açık veri tabanları gibi doğrulama yöntemlerine bağlanmıştır.
Telefonun belirli konum göstermesi, tek başına adres belgesi yerine geçmez. Adres teyidi ve transfer kısıtları için adres teyidi rehberimize bakabilirsiniz.
Yüksek Risk İzlemesiyle Bağlantı
Pasaportla uzaktan kabul edilen gerçek kişiler m.8/A/3 gereği yüksek risk grubunda izlenir. Kimlik tespitindeki IP, cihaz, konum ve tarayıcı verileri ilk kabul anındaki güvenliği sağlarken; yüksek risk izlemesi müşteri ilişkisi devam ederken profil ve işlemlerin daha sıkı izlenmesini ifade eder.
Bu ayrımın detayları yüksek risk izleme rehberimizde yer alır.
Uygulama Örnekleri
Örnek 1: Seyahat eden müşteri
Yabancı müşteri pasaport ülkesinden farklı bir ülkede bulunurken başvuru yapar. Bu fark tek başına otomatik ret kuralı değildir; kuruluş adres, pasaport, teknik veriler ve diğer kontrolleri risk temelli değerlendirir.
Örnek 2: Cihaz kimliği sürekli değişiyor
Başvuru sırasında olağandışı cihaz değişiklikleri varsa sistem oturum güvenliğini yeniden doğrulayabilir. Açıklanamayan durum güvenlik şüphesi doğurursa m.8/A/1-ç uyarınca süreç sonlandırılabilir.
Örnek 3: IP ile beyan edilen bilgiler çelişiyor
Teknik veri tek başına kesin kanıt değildir; fakat ciddi ve açıklanamayan çelişki risk değerlendirmesine dahil edilir. Şüpheli durum saptanırsa uzaktan süreç devam ettirilmez.
Sık Sorulan Sorular
Aracı kurum IP adresimi görebilir mi?
M.8/A/1-ç, IP/port bilgisini risk temelli değerlendirilmesi gereken teknik veriler arasında açıkça sayar.
Kripto platformu cihaz kimliğini kontrol eder mi?
Tebliğ cihaz kimliğini de açıkça sayar; kripto varlık hizmet sağlayıcı m.8/A kapsamındadır.
Coğrafi konum kontrolü zorunlu mu?
Coğrafi konum, m.8/A/1-ç’de değerlendirilecek teknik verilerden biri olarak sayılmıştır.
VPN kullanmak yasak mı?
M.8/A/1-ç VPN’i özel olarak yasaklamaz; ancak IP ve konum değerlendirmesini etkileyen teknik koşullar risk temelli analizde dikkate alınabilir.
Farklı ülkeden bağlanırsam hesap açılmaz mı?
Otomatik bir ülke eşitliği kuralı yoktur; bütün veriler risk temelli değerlendirilir.
Şüpheli durum çıkarsa ne olur?
Uzaktan kimlik tespiti süreci sonlandırılır.
Bu, suç işlediğim anlamına gelir mi?
Hayır. Sürecin güvenli şekilde tamamlanamaması ile cezai suç tespiti farklı hukuki konulardır.
NFC başarılıysa teknik veri kontrolüne gerek var mı?
Evet. NFC ve m.8/A/1-ç teknik veri değerlendirmesi ayrı zorunluluklardır.
Telefon konumu adres teyidi yerine geçer mi?
Hayır. Adres teyidi m.8/A/1-c’de ayrıca düzenlenmiştir.
IP verisi KVKK kapsamında mı?
Kişiyle ilişkilendirilebildiği ölçüde kişisel veri niteliğinde olabilir; KVKK ilkeleri ayrıca uygulanır.
Resmî Kaynaklar
- 3 Eylül 2026 tarihli ve 33359 sayılı Resmî Gazete
- Sermaye Piyasası Kurulu
- Kişisel Verileri Koruma Kurumu
Sonuç
SPK III-42.1 m.8/A/1-ç, yabancı pasaportla uzaktan müşteri kabulünde IP/port, cihaz kimliği, coğrafi konum, tarayıcı bilgileri ve benzeri teknik verilerin pasaport bilgileriyle birlikte risk temelli değerlendirilmesini zorunlu kılar. Şüpheli durum saptanırsa uzaktan kimlik tespiti süreci sonlandırılır. Teknik veri kontrolü; NFC doğrulaması, adres teyidi, yüksek risk izlemesi ve SWIFT fonlama kuralının yerine geçmez, onlarla birlikte uygulanır.
Hukukçu İncelemesi
Bu içerik Av. Halil Bakırcı tarafından 16 Eylül 2026 tarihinde SPK III-42.1 m.8/A/1-ç ile bağlantılı m.8/A hükümleri ve 6698 sayılı KVKK dikkate alınarak hazırlanmıştır.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
Bakırcı & Keskin Hukuk Bürosu sitesinden daha fazla şey keşfedin
Son gönderilerin e-postanıza gönderilmesi için abone olun.
