Açık bankacılık nedir? Hesap bilgisi ve ödeme başlatma

Kısa cevap: Açık bankacılık, bankalardaki ve diğer ödeme kuruluşlarındaki hesap verilerinin, müşterinin açık rızasıyla standart API'ler üzerinden TCMB'den izinli üçüncü taraflara açılmasıdır. Türkiye'de iki hizmet olarak düzenlenir: farklı kurumlardaki hesapların tek uygulamada gösterildiği hesap bilgisi hizmeti ve başka bir kurumdaki hesaptan ödeme başlatılan ödeme emri başlatma hizmeti. Bağlantılar BKM'nin işlettiği GEÇİT altyapısı üzerinden kurulur.

Birden fazla bankada hesabı olan biri, bütün bakiyelerini ve hareketlerini tek bir uygulamada görmek için her bankanın uygulamasına ayrı ayrı girmek zorunda değildir; muhasebe yazılımı da şirketin hesap hareketlerini elle girilmeden alabilir. Bunu mümkün kılan düzenin genel adı açık bankacılıktır. TCMB'nin 30 Nisan 2023 tarihli rehberi açık bankacılığı, finansal sistemdeki verilerin standart uygulama programlama arayüzleri (API) aracılığıyla, müşterinin açık rızası dahilinde üçüncü taraf hizmet sağlayıcıların erişimine açılması olarak tanımlar.

Türkiye'deki çerçeve, Avrupa Birliği'nin ikinci ödeme hizmetleri direktifiyle (PSD2) uyumlu olarak 6493 sayılı Kanun'a 7192 sayılı Kanun'la eklenen iki ödeme hizmetine dayanır. TCMB bu iki hizmeti birlikte Ödeme Hizmetleri Veri Paylaşım Servisleri (ÖHVPS) olarak adlandırır.

Açık bankacılığın yasal dayanağı nedir?

6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun'un 12. maddesinin birinci fıkrasına 12 Kasım 2019 tarihli 7192 sayılı Kanun'la iki bent eklendi:

• (f) Ödeme emri başlatma hizmeti: Ödeme hizmeti kullanıcısının isteği üzerine başka bir ödeme hizmeti sağlayıcısında bulunan ödeme hesabıyla ilgili sunulan hizmet.
• (g) Hesap bilgisi hizmeti: Kullanıcının onayıyla, bir veya daha fazla sağlayıcıdaki ödeme hesaplarına ilişkin konsolide bilgilerin çevrim içi platformlarda sunulması.

Kanun'un 14/A maddesi, bu iki hizmet kapsamında verinin sağlayıcılar arasında paylaşılmasına ilişkin usul ve esasları belirleme yetkisini TCMB'ye verir. Ayrıntılar, 1 Aralık 2021 tarihli ve 31676 sayılı Resmî Gazete'de birlikte yayımlanan iki düzenlemede yer alır: Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik'in 59-61. maddeleri ve Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğ'in 23-27. maddeleri. Bu iki hizmeti sunmak, bankalar dışında TCMB'den ödeme kuruluşu izni gerektirir; izin süreci ödeme kuruluşu nedir yazısında anlatılıyor.

Hesap bilgisi hizmeti nedir, nasıl çalışır?

Hesap bilgisi hizmetinde HBHS, müşterinin farklı kurumlardaki hesaplarının bilgisini derleyip tek bir uygulamada gösterir. TCMB rehberine göre süreç iki aşamalıdır:

1. Rıza tesisi: Müşteri HBHS uygulamasında hesabının bulunduğu kurumu seçer ve rıza talebi oluşturur. Kimlik doğrulama ve onay için hesabın bulunduğu kurumun (HHS) ekranına yönlendirilir; burada hangi hesaplar için izin verdiğini seçip onaylar.
2. Veri sorgulama: Rıza tamamlandıktan sonra HBHS, izin verilen hesapların hesap bilgisini, bakiyesini ve hareketlerini sorgulayabilir.

Tebliğ'in 26. maddesine göre rızanın alınması sırasında güçlü kimlik doğrulamayı HHS uygular. Müşterinin bankacılık şifresi bu nedenle üçüncü taraf uygulamaya girilmez; doğrulama, hesabın bulunduğu kurumun kendi ekranında yapılır. Yönetmelik'in 61. maddesi HBHS'ye de sınırlar getirir: yalnızca müşterinin onay verdiği hizmetleri sunabilir, yalnızca belirlenen hesapların bilgisine erişebilir, hassas müşteri verisi talep edemez ve veriyi hesap bilgisi hizmeti dışındaki bir amaçla kullanamaz veya saklayamaz.

Ödeme emri başlatma hizmeti nedir?

Ödeme emri başlatma hizmetinde ÖBHS, müşterinin talebi üzerine müşterinin HHS'deki hesabından bir ödeme başlatır. Uygulamada bir e-ticaret ödeme sayfasında kart yerine banka hesabından ödeme seçeneği sunulması veya bir uygulamanın fatura ödemesini müşterinin hesabından başlatması bu hizmete örnektir. Tebliğ'in 26. maddesine göre bu hizmette HHS müşteriye güçlü kimlik doğrulama uygular ve işlem doğrulama koduyla müşterinin onayını alır. TCMB'nin ÖHVPS tanıtım belgesine göre işlem doğrulama kodu işleme özgüdür, belirli bir süre geçerlidir ve alıcı veya tutar değişirse geçersiz hale gelir.

Yönetmelik'in 60. maddesi ÖBHS için kesin yasaklar koyar:

• Müşterinin fonunu hiçbir zaman kendi nezdinde tutamaz; para doğrudan müşterinin hesabından alıcıya gider.
• Müşterinin hassas verilerini saklayamaz ve hizmet için gerekli olanlar dışında veri isteyemez.
• Ödeme işleminin alıcısını, tutarını veya başka bir özelliğini değiştiremez.
• Her işlemde kendini hesabın bulunduğu kuruluşa tanıtır ve güvenli kanaldan iletişim kurar.

Aynı madde HHS'yi de bağlar: ÖBHS üzerinden gelen ödeme emirlerine zaman, öncelik veya ücret bakımından, objektif sebepler dışında, müşterinin doğrudan verdiği emirlerden farklı davranamaz. Tebliğ'e göre hesap bilgisi hizmetinde onay sözleşmeyle de verilebilirken, her ödeme emri başlatma işlemi için ayrı onay gerekir. Kartlı ödemelerle karşılaştırma için sanal POS nedir yazısına bakılabilir.

BKM GEÇİT nedir?

Türkiye'de açık bankacılık bağlantıları, her kurumun diğerleriyle ayrı ayrı anlaşma yaptığı dağınık bir yapı yerine ortak bir altyapı üzerinden kurulur. TCMB rehberine göre Bankalararası Kart Merkezi (BKM) teknik hizmet sağlayıcı olarak belirlendi ve BKM'nin geliştirdiği BKM Geçidi (GEÇİT) ortak ÖHVPS altyapısı olarak konumlandırıldı. Hesap hizmeti sağlayıcıları ve yetkili ödeme hizmeti sağlayıcıları GEÇİT'e tek bir entegrasyonla bağlanır; GEÇİT üzerinden çalışan HHS ile YÖS'ün birbirleriyle ayrıca sözleşme imzalaması gerekmez, her ikisi de BKM ile taahhütname imzalar.

• Standart: Teknik ve operasyonel gereklilikler TCMB'nin yayımladığı ÖHVPS API İlke ve Kuralları ile belirlenir; rehbere göre standardın geliştirme sürümleri herkese açık bir kod deposunda da yayımlanır.
• Sertifikasyon: Yönetmelik'in 59. maddesine göre gerekliliklere uyum BKM'nin teknik kontrol ve değerlendirme süreciyle tespit edilir; süreci tamamlayanlar BKM tarafından kayıt altına alınıp internet sitesinde duyurulur.
• Kayıtlar: BKM, bu altyapıdaki işlemlerin denetim izlerini beş yıl saklar ve uyuşmazlıklarda bu kayıtlar geçerli olur.
• Kimin bağlanması zorunlu: Ekim 2026 itibarıyla yürürlükteki metne göre, 28 Mart 2025 tarihli değişiklikle 59. madde, GEÇİT'e bağlanma ve altyapı sunma yükümlülüğünü Fonların Anlık ve Sürekli Transferi (FAST) Sistemi'ne katılan sağlayıcılar ile katılımcı olmayanlardan ödeme hacmine göre ilk ona girenler için öngörür.

API tabanlı mimari: teknik açıdan nasıl işler?

Açık bankacılıkta veri ekran kazıma (screen scraping) ile değil, standart API'ler üzerinden alınır. Yönetmelik'in 59. maddesi hesabı tutan kurumları, yetkisiz kişilerin bu hizmetleri sunmak amacıyla ödeme hesaplarına erişmesini engelleyecek önlemleri almakla yükümlü tutar. Tebliğ'in teknik hükümlerinden öne çıkanlar şunlardır:

• Sertifika ve yetki kontrolü (md. 23): Taraflar TCMB'nin belirlediği elektronik sertifikaları kullanır ve karşı tarafın yetkili olup olmadığı kontrol edilir.
• Oturum güvenliği (md. 25): İletişim uçtan uca güvenlidir; her oturum biricik bir oturum numarası ve zaman damgası içerir, işlemler ayrıntılı kayıt altına alınır ve oturum işlem biter bitmez kapatılır.
• Hizmet kalitesi (md. 24): HHS gelen istekleri gecikmeksizin karşılar, test ortamı sunar, teknik özelliklerdeki değişiklikleri üç ay önceden duyurur ve API üzerinden verdiği hizmetin performansı, müşterinin doğrudan çevrim içi erişiminden farksız olur.

Bu yapı, borsa ve kripto platformlarında kullanılan imzalı API isteklerine benzer bir mantıkla çalışır; istek-yanıt modeli ve oturum yönetimi REST ve WebSocket farkı yazısında, kurumsal sistemlerde API entegrasyonunun nasıl kurgulandığı API entegrasyonu sayfasında anlatılıyor. Kapsam ödeme hesaplarıyla sınırlıdır: Yönetmelik'in 59. maddesinde ödeme hesabı olarak vadesiz hesaplar, işlem hesapları, kredi kartı hesapları ve elektronik para hesapları sayılır. Aracı kurumdaki yatırım hesapları bu listede yer almaz; bu hesaplara programatik erişim, aracı kurumların kendi API'leri üzerinden yürür.

Açık bankacılık güvenli mi? Riskler ve dikkat edilecekler

Düzenleme, riskleri azaltan birkaç temel ilkeye dayanır: veri yalnızca TCMB'den izinli ve BKM sertifikasyonundan geçmiş kuruluşlarla paylaşılır, kimlik doğrulama müşterinin kendi bankasında yapılır, ödeme başlatan kuruluş parayı tutamaz ve tutarı değiştiremez, her ödeme ayrıca onaylanır. Yine de kullanıcı açısından şu riskler devam eder:

• Sahte uygulama ve oltalama: Bankacılık şifresini kendi ekranında isteyen bir uygulama, açık bankacılık akışına uymaz; meşru akışta müşteri hesabının bulunduğu kurumun ekranına yönlendirilir.
• Gereğinden geniş rıza: Bütün hesaplar yerine yalnızca ihtiyaç duyulan hesaplar için izin verilir; kullanılmayan uygulamaların rızası geri alınır.
• Veri kullanımı: Yönetmelik'e göre veri yalnızca hizmet amacıyla kullanılabilir. Kişisel veriler ayrıca 6698 sayılı Kişisel Verilerin Korunması Kanunu'na tabidir; aydınlatma metninde verinin ne kadar süre ve hangi amaçla tutulacağı okunur.
• Hizmet kesintisi: Tebliğ'in 27. maddesine göre HHS, veri paylaşım servisleri kesilirse uygulanacak olağanüstü durum planlarını hazırlamak ve önemli olayları TCMB'ye bildirmek zorundadır.

Bir uygulamanın yetkili olup olmadığı iki yerden kontrol edilir: TCMB'nin ödeme ve elektronik para kuruluşları listelerinde kuruluşun (f) veya (g) bendinde izinli görünmesi ve BKM'nin GEÇİT kapsamında yayımladığı kayıtlar. İzinsiz finansal faaliyetin genel işaretleri izinsiz yatırım faaliyeti yazısında anlatılıyor.

Sık sorulan sorular

Açık bankacılık güvenli mi?

Hizmeti yalnızca TCMB'den izinli ve BKM teknik sertifikasyonunu tamamlamış kuruluşlar sunabilir; kimlik doğrulama müşterinin kendi bankasında yapılır ve her ödeme ayrıca onaylanır. Risk çoğunlukla bu akışı taklit eden sahte uygulamalardan ve gereğinden geniş verilen rızalardan kaynaklanır.

Hesap bilgisi hizmeti nedir?

Müşterinin onayıyla, farklı bankalardaki ve ödeme kuruluşlarındaki ödeme hesaplarının bakiye ve hareket bilgilerinin tek bir çevrim içi uygulamada gösterilmesidir. 6493 sayılı Kanun'un 12. maddesinin (g) bendinde tanımlanır.

Ödeme emri başlatma hizmeti para tutar mı?

Hayır. Yönetmelik'in 60. maddesine göre ödeme emri başlatma hizmeti sağlayıcısı müşterinin fonunu hiçbir zaman kendi nezdinde tutamaz ve ödemenin alıcısını veya tutarını değiştiremez.

BKM GEÇİT nedir?

BKM'nin geliştirdiği ve TCMB'nin ortak açık bankacılık altyapısı olarak belirlediği API geçididir. Hesabı tutan kurumlar ile yetkili hizmet sağlayıcılar birbirine bu geçit üzerinden tek entegrasyonla bağlanır.

Verilen rıza geri alınabilir mi?

Evet. Yönetmelik'in 4. maddesine göre müşteri bir hizmeti kullanmaktan vazgeçtiğinde kuruluş hizmetin sunumunu derhal durdurur ve müşterinin onayı olmadan yeniden başlatamaz. Ödeme başlatmada ise her işlem için ayrıca onay gerekir.

Kaynaklar

• Mevzuat.gov.tr: 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun (yeni sekmede açılır)
• TCMB: Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik (yeni sekmede açılır)
• TCMB: Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğ (yeni sekmede açılır)
• TCMB: Ödeme Hizmetlerinde Veri Paylaşım Servislerine İlişkin Rehber (30 Nisan 2023) (yeni sekmede açılır)
• TCMB: Ödeme Hizmetleri Veri Paylaşım Servisleri (ÖHVPS) Genel Tanıtım (Aralık 2021) (yeni sekmede açılır)
• TCMB: Ödeme Hizmetleri (yeni sekmede açılır)
• TCMB: Ödeme Kuruluşları listesi (yeni sekmede açılır)

Burada yer alan yatırım bilgi, yorum ve tavsiyeleri yatırım danışmanlığı kapsamında değildir. Yatırım danışmanlığı hizmeti, yetkili kuruluşlar tarafından kişilerin risk ve getiri tercihleri dikkate alınarak kişiye özel sunulmaktadır. Burada yer alan yorum ve tavsiyeler ise genel niteliktedir. Bu tavsiyeler mali durumunuz ile risk ve getiri tercihlerinize uygun olmayabilir. Bu nedenle, sadece burada yer alan bilgilere dayanılarak yatırım kararı verilmesi beklentilerinize uygun sonuçlar doğurmayabilir.